Guida NIS2
Registrazione sulla piattaforma ACN secondo l’art. 7
Ogni soggetto essenziale e importante si registra sulla piattaforma digitale dell’ACN, e lo fa ogni anno. Chi ha perso la finestra di inizio 2026 deve prepararsi per quella del 1° gennaio–28 febbraio 2027. Qui trova le scadenze, i dati richiesti e la procedura.
Aggiornato a: ottobre 2026 · Base normativa: D.Lgs. 138/2024 (Decreto NIS)
Chi deve registrarsi
L’obbligo riguarda tutti i soggetti che rientrano nell’ambito del decreto, essenziali e importanti (art. 7, comma 1, D.Lgs. 138/2024). Se non è certo di rientrarvi, chiarisca prima questo punto con la pagina su chi è soggetto. Si registra il soggetto, cioè la persona giuridica: un gruppo con tre società che rientrano nel decreto effettua tre registrazioni, anche se tutte condividono la stessa infrastruttura IT.
La registrazione non è un adempimento da fare una sola volta. Il decreto prevede un ciclo annuale, con una finestra per la registrazione e una per l’aggiornamento dei dati.
Il calendario annuale
| Periodo | Che cosa succede | Base |
|---|---|---|
| 1° gennaio – 28 febbraio | Registrazione o conferma sulla piattaforma ACN | Art. 7, comma 1 |
| Entro il 31 marzo | L’ACN redige l’elenco dei soggetti essenziali e importanti e comunica l’inserimento tramite la piattaforma | Art. 7, commi 2 e 3 |
| 15 aprile – 31 maggio | Aggiornamento annuale con ulteriori informazioni | Art. 7, comma 4 |
| Entro 14 giorni | Comunicazione di ogni modifica dei dati | Art. 7, comma 7 |
Le finestre del 2025 e del 2026 sono chiuse. La prossima registrazione è possibile dal 1° gennaio al 28 febbraio 2027. Per alcuni fornitori di servizi digitali (DNS, registri TLD, cloud, data center, reti per la distribuzione dei contenuti, servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca e social network) la prima scadenza era anticipata al 17 gennaio 2025 (art. 42, comma 1, lett. a).
I dati da indicare
Nella registrazione l’art. 7, comma 1, chiede:
- ragione sociale, indirizzo e recapiti aggiornati, compresi PEC, e-mail e telefono;
- il punto di contatto designato, cioè la persona che gestisce i rapporti con l’ACN;
- i settori, i sottosettori e le tipologie di soggetto secondo gli allegati I, II, III e IV.
Nella finestra di aggiornamento dal 15 aprile al 31 maggio si aggiungono (art. 7, comma 4): gli spazi di indirizzamento IP pubblici e i nomi di dominio, gli eventuali Stati membri in cui il soggetto presta servizi, le persone fisiche responsabili indicate all’art. 38, comma 5, cioè componenti degli organi di amministrazione e direttivi o rappresentanti legali, e il sostituto del punto di contatto.
Dal 1° gennaio 2026 vale anche l’obbligo di comunicare l’elenco delle attività e dei servizi (art. 30, comma 1, in combinato con l’art. 42, comma 2). Le modalità di elencazione e categorizzazione sono state definite dalla determinazione ACN n. 127437/2026, pubblicata il 13 aprile 2026.
La procedura passo dopo passo
Designare il punto di contatto
Scelga una persona affidabile, raggiungibile e con accesso alle informazioni necessarie. Designi fin da subito anche un sostituto, che dovrà comunque essere indicato nell’aggiornamento di primavera.
Accedere al portale ACN
Il punto di contatto accede al portale dei servizi ACN con SPID o CIE. Il collegamento con il soggetto avviene tramite codice IPA per le amministrazioni oppure tramite codice fiscale.
Compilare la dichiarazione
La dichiarazione si articola in quattro sezioni: contesto, caratterizzazione, tipologia di soggetto e autovalutazione. Tenga a portata di mano l’elenco delle attività e i dati dimensionali del gruppo.
Attendere la comunicazione
Entro il 31 marzo l’ACN comunica tramite la piattaforma se il soggetto è inserito nell’elenco e con quale qualifica. Da quella comunicazione decorrono i termini per notifiche e misure di base.
Che cosa rischia chi non si registra
La mancata registrazione o il mancato aggiornamento sono sanzionati dall’art. 38, comma 10: fino allo 0,1% del fatturato mondiale annuo per i soggetti essenziali e fino allo 0,07% per quelli importanti, fermi restando i minimi del comma 9 (comma 11). Ancora più pesante è il comma 13: in caso di mancata o tardiva registrazione l’autorità contesta tutte le violazioni dei commi 8 e 10 e applica la sanzione più grave aumentata fino al triplo.
In pratica, chi si accorge oggi di rientrare nel decreto senza essersi registrato non dovrebbe aspettare gennaio senza fare nulla. Usi i mesi che restano per documentare l’analisi di applicabilità, designare punto di contatto e sostituto, raccogliere IP pubblici e domini e avviare le misure di base. In caso di dubbi interpretativi conviene un confronto con un consulente legale. Il NIS2-Scoring verifica la registrazione nell’area “Registrazione e notifica degli incidenti”.
Domande frequenti
Quando posso registrarmi la prossima volta?
Dal 1° gennaio al 28 febbraio 2027 sulla piattaforma digitale dell’ACN (art. 7, comma 1, D.Lgs. 138/2024).
Chi può fare la registrazione?
Il punto di contatto designato, che accede al portale ACN con SPID o CIE e collega il soggetto tramite codice fiscale o codice IPA.
Ogni anno devo registrarmi di nuovo?
Sì, il ciclo è annuale: registrazione dal 1° gennaio al 28 febbraio e aggiornamento dei dati dal 15 aprile al 31 maggio. Le modifiche vanno comunicate entro 14 giorni (art. 7, commi 1, 4 e 7).
Che cosa succede se non mi registro?
Oltre alla sanzione per la mancata registrazione, l’autorità contesta tutte le violazioni dei commi 8 e 10 dell’art. 38 e applica la più grave aumentata fino al triplo (art. 38, comma 13).