Domande frequenti su registrazioni, aggiornamenti, designazioni e flussi operativi previsti dalla normativa
Introduzione
La piattaforma NIS è il canale operativo attraverso il quale i soggetti NIS gestiscono registrazione, aggiornamenti e interlocuzione con ACN. Il quadro corrente è disciplinato dalla Determinazione ACN n. 127437/2026, che aggiorna e sostituisce la precedente disciplina della piattaforma e regola, tra l’altro, Punto di contatto, sostituto, Referente CSIRT, fornitori rilevanti e processi di categorizzazione.
In questa pagina riepiloghiamo in modo semplice le FAQ principali basate sulle indicazioni ufficiali ACN, con particolare attenzione al ruolo del Referente CSIRT e ai flussi operativi.
FAQ — Domande frequenti
1. Che cosa è la piattaforma ACN NIS e a cosa serve?
La piattaforma ACN è lo strumento telematico attraverso cui i soggetti NIS:
- effettuano la registrazione annuale;
- comunicano i ruoli obbligatori (PdC, sostituto, Referente CSIRT, sostituti);
- aggiornano le informazioni tra il 15 aprile e il 31 maggio;
- gestiscono l’aggiornamento continuo entro 14 giorni;
- interagiscono con ACN e CSIRT Italia.
2. Chi deve registrarsi sulla piattaforma NIS?
Tutti i soggetti essenziali e importanti designati da ACN ai sensi del d.lgs. 138/2024.
L’obbligo riguarda sia enti pubblici sia operatori privati.
3. Quali sono le scadenze principali?
Le scadenze devono essere distinte tra finestre ricorrenti e termini legati all’anno di inserimento nell’elenco NIS.
- L’aggiornamento annuale si svolge dal 15 aprile al 31 maggio.
- Dopo tale fase il servizio di aggiornamento continuo resta disponibile fino al 14 aprile dell’anno successivo e le variazioni rilevanti vanno comunicate tempestivamente e comunque entro 14 giorni.
- La categorizzazione delle attività e dei servizi si svolge dal 1 maggio al 30 giugno.
- Il Referente CSIRT è designato entro il 31 dicembre dell’anno di inserimento, ove l’obbligo sia applicabile.
- Per i soggetti 2026, l’obbligo di notifica decorre dal 1 gennaio 2027 e le misure di sicurezza di base devono essere adottate entro il 31 luglio 2027.
4. Che cos’è il Referente CSIRT?
Il Referente CSIRT è una figura obbligatoria introdotta da ACN per:
- interfacciarsi con lo CSIRT Italia in caso di incidenti significativi;
- gestire il processo di notifica;
- coordinare le attività interne relative alla gestione dell’incidente;
- garantire la correttezza delle comunicazioni verso ACN.
È una figura diversa dal Punto di Contatto, anche se, nelle organizzazioni più piccole, le due funzioni possono coincidere.
5. Chi può ricoprire il ruolo di Referente CSIRT?
Il Referente CSIRT può essere:
- una persona interna all’organizzazione;
- un consulente esterno formalmente designato.
L’importante è che risponda ai requisiti minimi previsti.
6. Quali competenze minime deve avere il Referente CSIRT?
ACN richiede che il referente e gli eventuali sostituti possiedano almeno:
- competenze di base in sicurezza informatica;
- competenze nella gestione degli incidenti cyber;
- conoscenza approfondita dei sistemi informativi e delle reti dell’organizzazione.
7. È possibile nominare dei sostituti del Referente CSIRT?
Sì. La piattaforma ACN consente di designare uno o più sostituti, che possono operare in assenza del referente principale.
8. Qual è la differenza tra Punto di Contatto e Referente CSIRT?
| Ruolo | Funzione |
| Punto di Contatto (PdC) | coordina le comunicazioni generali con ACN |
| Referente CSIRT | gestisce notifiche incidenti significativi e interfaccia operativa con CSIRT Italia |
Nelle strutture molto piccole le funzioni possono coincidere, ma non è la scelta consigliata.
9. Che cosa prevede la designazione obbligatoria del Referente CSIRT?
- la designazione avviene solo tramite piattaforma;
- il periodo utile è entro il 31 dicembre di ogni anno di inserimento;
- devono essere designati anche eventuali sostituti;
- il PdC è responsabile della registrazione dei nominativi.
Nota storica sul Referente CSIRT La finestra 20 novembre–31 dicembre 2025 ha rappresentato la fase di prima applicazione per i soggetti inseriti nel 2025. Non deve essere letta come regola generale per gli anni successivi.
10. Quali informazioni devono essere aggiornate in piattaforma?
Tra le principali:
- dati identificativi dell’organizzazione;
- ruoli NIS obbligatori;
- informazioni tecniche sui sistemi informativi;
- estremi di contatto;
- variazioni rilevanti su infrastrutture, reti o processi critici.
11. Cosa accade se non si rispettano le scadenze?
Il mancato rispetto degli obblighi informativi:
- espone l’organizzazione a non conformità;
- può comportare responsabilità degli Organi Direttivi;
- può incidere negativamente in caso di incidenti significativi;
- può generare richieste di chiarimenti o ispezioni da parte di ACN.
12. I soggetti DORA (Regolamento 2022/2554) devono adempiere agli obblighi previsti dalla nuova disciplina NIS?
DORA (Regolamento (UE) 2022/2554) è considerato lex specialis settoriale per la maggior parte delle previsioni della Direttiva NIS (2022/2555).
Pertanto, ai soggetti DORA riconducibili alle medie o grandi imprese che svolgono attività o erogano servizi riconducibili alle tipologie di soggetto di cui all’allegato I, punti 3 (settore bancario) e 4 (settore infrastrutture dei mercati finanziari), si applicano solamente le disposizioni del decreto NIS relative all’obbligo di registrazione (articolo 7, comma 1, del decreto NIS).
In sostanza, l’articolo 3, comma 14, del decreto NIS disapplica, per tali soggetti, solo le previsioni dell’articolo 17 e dei capi IV e V, fermo restando il ruolo di CyCLONe nel contesto della gestione delle crisi cyber a livello transfrontaliero.
Il supporto di iSimply
Offriamo supporto completo per:
- gestione operativa della piattaforma ACN;
- designazione Referente CSIRT;
- compilazione e aggiornamento dei dati;
- verifiche di conformità alle determinazioni ACN;
- assistenza in caso di richieste dell’Agenzia.
Hai dubbi sulle procedure ACN o sulla figura del Referente CSIRT? Siamo a disposizione.
Contattaci per un supporto dedicato
Tel 0125 1899500