Domande frequenti su registrazioni, aggiornamenti, designazioni e flussi operativi previsti dalla normativa
Introduzione
La piattaforma NIS è il canale operativo attraverso il quale i soggetti NIS gestiscono registrazione, aggiornamenti e interlocuzione con ACN. Il quadro corrente è disciplinato dalla Determinazione ACN n. 127437/2026, che aggiorna e sostituisce la precedente disciplina della piattaforma e regola, tra l’altro, Punto di contatto, sostituto, Referente CSIRT, fornitori rilevanti e processi di categorizzazione.
In questa pagina riepiloghiamo in modo semplice le FAQ principali basate sulle indicazioni ufficiali ACN, con particolare attenzione al ruolo del Referente CSIRT e ai flussi operativi.
FAQ — Domande frequenti
1. Che cosa è la piattaforma ACN NIS e a cosa serve?
La piattaforma ACN è lo strumento telematico attraverso cui i soggetti NIS:
- effettuano la registrazione annuale;
- comunicano i ruoli obbligatori (PdC, sostituto, Referente CSIRT, sostituti);
- aggiornano le informazioni tra il 15 aprile e il 31 maggio;
- gestiscono l’aggiornamento continuo entro 14 giorni;
- interagiscono con ACN e CSIRT Italia.
2. Chi deve registrarsi sulla piattaforma NIS?
La registrazione riguarda i soggetti che rientrano nell’ambito di applicazione del d.lgs. 138/2024 secondo le regole dell’articolo 3.
Non è corretto ricondurre tutti i casi a una preventiva “designazione” da parte di ACN. Nel regime ordinario il soggetto effettua o aggiorna annualmente la registrazione e ACN comunica successivamente l’inserimento, la permanenza o l’espunzione dall’elenco NIS. Il decreto prevede inoltre specifici casi di individuazione da parte dell’Autorità.
3. Quali sono le scadenze principali?
Le scadenze devono essere distinte tra finestre ricorrenti e termini legati all’anno di inserimento nell’elenco NIS.
- L’aggiornamento annuale si svolge dal 15 aprile al 31 maggio.
- Dopo tale fase il servizio di aggiornamento continuo resta disponibile fino al 14 aprile dell’anno successivo e le variazioni rilevanti vanno comunicate tempestivamente e comunque entro 14 giorni.
- La categorizzazione delle attività e dei servizi si svolge dal 1 maggio al 30 giugno.
- Il Referente CSIRT è designato entro il 31 dicembre dell’anno di inserimento, ove l’obbligo sia applicabile.
- Per i soggetti 2026, l’obbligo di notifica decorre dal 1 gennaio 2027 e le misure di sicurezza di base devono essere adottate entro il 31 luglio 2027.
4. Che cos’è il Referente CSIRT?
Il Referente CSIRT è la persona fisica designata dal Punto di contatto per interloquire con CSIRT Italia ed effettuare, per conto del soggetto NIS, le notifiche previste dagli articoli 25 e 26 del decreto.
La designazione deve avvenire attraverso il Portale ACN entro il 31 dicembre dell’anno in cui il soggetto viene inserito nell’elenco NIS.
La Determinazione ACN non attribuisce al Referente CSIRT, per il solo fatto della designazione, la responsabilità complessiva della gestione tecnica e organizzativa degli incidenti. L’organizzazione deve quindi distinguere il ruolo di interlocuzione e notifica dalle ulteriori responsabilità interne previste dal proprio processo di incident management.
5. Chi può ricoprire il ruolo di Referente CSIRT?
La Determinazione ACN individua il Referente CSIRT come una persona fisica designata dal Punto di contatto e non lo qualifica come necessariamente appartenente al personale interno.
La scelta deve però essere coerente con i requisiti sostanziali previsti dall’Autorità: il Referente deve possedere almeno competenze di base in sicurezza informatica e gestione degli incidenti e una conoscenza approfondita dei sistemi informativi e di rete del soggetto per conto del quale opera.
L’eventuale affidamento del ruolo a una figura esterna deve quindi essere valutato anche sotto il profilo dell’effettiva conoscenza dell’organizzazione, della reperibilità e della capacità di operare nei tempi molto stretti previsti per le notifiche.
6. Quali competenze minime deve avere il Referente CSIRT?
ACN richiede che il referente e gli eventuali sostituti possiedano almeno:
- competenze di base in sicurezza informatica;
- competenze nella gestione degli incidenti cyber;
- conoscenza approfondita dei sistemi informativi e delle reti dell’organizzazione.
7. È possibile nominare dei sostituti del Referente CSIRT?
Sì. Per garantire continuità nello svolgimento dei compiti del Referente CSIRT possono essere designati uno o più sostituti.
La designazione dei sostituti non è formulata da ACN come obbligo generalizzato: la Determinazione 127437/2026 stabilisce che possono essere designati e che, ove presenti, supportano il Referente e possono svolgerne le funzioni per suo conto.
La necessità di prevedere uno o più sostituti va quindi valutata anche in relazione all’organizzazione del soggetto e alla necessità di garantire la capacità di notifica nei termini previsti.
8. Qual è la differenza tra Punto di Contatto e Referente CSIRT?
| Ruolo | Funzione |
| Punto di Contatto (PdC) | Cura l’attuazione degli adempimenti verso l’Autorità, accede ai Servizi NIS, effettua la registrazione per conto del soggetto e interloquisce con ACN. |
| Referente CSIRT | Interloquisce con CSIRT Italia ed effettua per conto del soggetto le notifiche previste dagli articoli 25 e 26 del decreto NIS. |
9. Che cosa prevede la designazione obbligatoria del Referente CSIRT?
La designazione del Referente CSIRT:
- viene effettuata dal Punto di contatto attraverso la procedura telematica del Portale ACN;
- deve essere completata entro il 31 dicembre dell’anno di inserimento del soggetto nell’elenco NIS;
- può essere accompagnata dalla designazione di uno o più sostituti;
- richiede che Referente ed eventuali sostituti possiedano le competenze previste dalla Determinazione ACN.
Per i soggetti inseriti nel 2025 la finestra 20 novembre–31 dicembre 2025 ha costituito la fase di prima applicazione. Per i soggetti inseriti nel 2026 il termine è il 31 dicembre 2026.
10. Quali informazioni devono essere aggiornate in piattaforma?
Le informazioni da mantenere aggiornate comprendono, secondo il regime applicabile:
- dati identificativi e di contatto del soggetto, del rappresentante legale e dei procuratori generali;
- dati del Punto di contatto e del suo sostituto;
- dati del Referente CSIRT e degli eventuali sostituti;
- dati dei componenti degli organi di amministrazione e direttivi, nei casi previsti;
- dati della segreteria, ove presente;
- servizi NIS offerti negli altri Stati membri, ove applicabile;
- indirizzi IP pubblici statici e nomi di dominio in uso o nella disponibilità del soggetto;
- accordi di condivisione delle informazioni;
- fornitori rilevanti NIS;
- ulteriori informazioni specifiche previste per determinate tipologie di soggetto.
Le variazioni devono essere comunicate tempestivamente e comunque entro 14 giorni quando si applica l’obbligo di aggiornamento continuo.
11. Cosa accade se non si rispettano le scadenze?
Il mancato rispetto degli obblighi informativi:
- espone l’organizzazione a non conformità;
- può comportare responsabilità degli Organi Direttivi;
- può incidere negativamente in caso di incidenti significativi;
- può generare richieste di chiarimenti o ispezioni da parte di ACN.
12. I soggetti DORA (Regolamento 2022/2554) devono adempiere agli obblighi previsti dalla nuova disciplina NIS?
Il rapporto tra DORA e disciplina NIS richiede di distinguere gli obblighi sostanziali di cybersicurezza dagli adempimenti informativi e procedurali della piattaforma.
Per le entità finanziarie di cui al Regolamento (UE) 2022/2554 che rientrano anche nell’ambito del decreto NIS, l’articolo 3, comma 14, del d.lgs. 138/2024 esclude l’applicazione dell’articolo 17 e dei Capi IV e V del decreto.
La Determinazione ACN 127437/2026 prevede inoltre specifiche esenzioni da alcuni adempimenti della piattaforma. In particolare, le entità finanziarie soggette a DORA sono esentate dalla disciplina del Referente CSIRT, dall’elencazione dei componenti degli organi di amministrazione e direttivi prevista dagli articoli 16 e 17 della Determinazione e dalla categorizzazione delle attività e dei servizi. Per tali adempimenti è comunque possibile l’adesione volontaria.
L’articolo 18 della stessa Determinazione, relativo all’elencazione dei fornitori rilevanti NIS, non contiene invece un’analoga esenzione. Non è quindi corretto sintetizzare il rapporto tra i due regimi affermando che ai soggetti DORA si applichi esclusivamente la registrazione: i singoli adempimenti devono essere verificati sulla base del decreto e della Determinazione ACN applicabile.
Il supporto di iSimply
Offriamo supporto completo per:
- gestione operativa della piattaforma ACN;
- designazione Referente CSIRT;
- compilazione e aggiornamento dei dati;
- verifiche di conformità alle determinazioni ACN;
- assistenza in caso di richieste dell’Agenzia.
Hai dubbi sulle procedure ACN o sulla figura del Referente CSIRT? Siamo a disposizione.
Contattaci per un supporto dedicato
Tel 0125 1899500