A settembre 2026 l’ACN ha pubblicato il Vademecum NIS: poche pagine con le indicazioni generali e il calendario degli adempimenti per le organizzazioni a cui è stata comunicata l’inclusione o la permanenza nell’elenco dei soggetti essenziali e importanti.
Non introduce obblighi nuovi: mette in fila, in un unico documento, quello che il D.Lgs. 138/2024 e le determinazioni ACN chiedono e quando. È il riferimento da tenere a portata di mano, soprattutto per chi è entrato in elenco da poco.
Come si sa di essere un soggetto NIS
Con una PEC dell’ACN, inviata da noreply@pec.acn.gov.it al domicilio digitale dell’organizzazione. Chi si registra entro il 28 febbraio riceve entro il 14 aprile la comunicazione di inserimento, permanenza o espunzione dall’elenco dei soggetti NIS.
I sei obblighi principali
Il Vademecum li riassume così, ciascuno con il suo articolo del decreto NIS:
- Art. 7, c. 1: registrazione e aggiornamento della registrazione
- Art. 7, c. 4: trasmissione e aggiornamento delle informazioni
- Art. 23: obblighi per gli organi di amministrazione e direttivi
- Art. 24: misure di gestione dei rischi per la sicurezza informatica
- Art. 25: notifica degli incidenti
- Art. 30: elencazione e categorizzazione delle attività e dei servizi
Il calendario: tre finestre ogni anno
Alcuni termini si ripetono ogni anno, per tutti i soggetti NIS:
| Quando | Cosa |
|---|---|
| 1 gennaio – 28 febbraio | Registrazione o aggiornamento della registrazione, con una nuova dichiarazione NIS |
| Entro il 14 aprile | L’ACN comunica inserimento, permanenza o espunzione dall’elenco |
| 15 aprile – 31 maggio | Trasmissione o aggiornamento delle informazioni, compreso l’elenco dei fornitori rilevanti |
| 1 maggio – 30 giugno | Categorizzazione delle attività e dei servizi |
| Entro 14 giorni da una modifica | Aggiornamento delle informazioni già comunicate |
Le scadenze legate all’anno di inserimento
Altri termini valgono una volta sola e dipendono da quando si è entrati in elenco.
- Soggetti inseriti nel 2025: notifica degli incidenti significativi di base al CSIRT Italia da gennaio 2026 e misure di sicurezza di base adottate entro ottobre 2026. Per chi si è registrato entro il 28 febbraio 2025 i termini esatti sono 9 e 18 mesi dalla ricezione della comunicazione di inserimento (art. 42 del decreto NIS).
- Soggetti inseriti nel 2026: notifica degli incidenti significativi di base da gennaio 2027 e misure di sicurezza di base entro luglio 2027, secondo la determinazione ACN che fissa i termini dopo il periodo di prima applicazione.
Misure e incidenti di base sono quelli della Determinazione ACN 379907/2025. Ne parliamo nella Guida NIS2 e nell’articolo sulle FAQ ACN sulla vigilanza.
Punto di contatto e referente CSIRT
Con la prima registrazione l’organizzazione designa il punto di contatto: la persona fisica che cura l’attuazione del decreto NIS, accede ai servizi NIS, fa la registrazione e parla con l’ACN.
Con la prima trasmissione delle informazioni si designano il sostituto del punto di contatto, il referente CSIRT e i suoi sostituti. La designazione del referente CSIRT si può rimandare fino al 31 dicembre dell’anno di inserimento nell’elenco.
Le informazioni da tenere sempre aggiornate
Il Vademecum elenca cosa va condiviso con l’ACN e mantenuto aggiornato, con la verifica annuale fra il 15 aprile e il 31 maggio e l’aggiornamento entro 14 giorni da ogni modifica:
- dati anagrafici e di contatto dell’organizzazione, compresi rappresentante legale, procuratori generali, domicilio digitale e un indirizzo email ordinario funzionante
- dati del punto di contatto e del sostituto, del referente CSIRT e dei sostituti
- dati dei componenti degli organi di amministrazione e direttivi, responsabili ai sensi dell’art. 38, c. 5, del decreto
- dati della segreteria, se c’è
- se applicabile, i servizi offerti nell’UE che rientrano nel decreto, con gli Stati membri
- gli indirizzi IP statici pubblici e i nomi di dominio in uso
- gli accordi di condivisione delle informazioni
- l’elenco dei fornitori rilevanti
Alcune tipologie di soggetto (art. 7, c. 5) devono indicare anche la sede principale e le altre sedi nell’Unione europea.
La categorizzazione è un’analisi d’impatto
Il Vademecum descrive l’elencazione e la categorizzazione delle attività e dei servizi come un’analisi di impatto semplificata, fatta con un modello armonizzato, che serve all’ACN per stabilire obblighi di sicurezza proporzionati. Come si fa lo spieghiamo nella guida alla categorizzazione.
Tutto passa dal portale ACN
Tutte le comunicazioni previste dal decreto si fanno con i servizi NIS del portale portale.acn.gov.it, dopo l’autenticazione e l’associazione dell’utenza all’organizzazione. Per dubbi sulla disciplina, sul proprio status o sul funzionamento del portale c’è il Service Desk, sempre previa autenticazione.
Due note dal Vademecum: i gestori di registri dei nomi di dominio di primo livello e i registrar hanno anche gli obblighi dell’art. 29; le entità finanziarie soggette al regolamento DORA sono sollevate da alcuni adempimenti, ma possono applicarli volontariamente.
Come ti aiuta Teseo NIS2 GRC Software
La piattaforma tiene aggiornati in un unico posto asset, domini e IP pubblici, fornitori e processi di business, e prepara i file da caricare sul portale ACN per fornitori, categorizzazione e infrastruttura. Il caricamento lo fai tu, con i dati già pronti.
Il Vademecum e gli altri documenti ufficiali sono raccolti nelle fonti della Guida NIS2.