Registrazione NIS2 2027: scadenze e obblighi da preparare

Il 18 settembre 2026 l’Agenzia per la cybersicurezza nazionale ha pubblicato la notizia “Le novità per i soggetti NIS”. Dalla riunione plenaria del Tavolo di attuazione, con le Autorità di settore e i rappresentanti regionali, escono tre cose: l’aggiornamento dell’elenco dei soggetti NIS, l’avvio della consultazione sulle misure di sicurezza rafforzate e il promemoria sulla nuova finestra di registrazione, che si apre il 1° gennaio 2027 e si chiude il 28 febbraio.

Una settimana prima era arrivato il Vademecum NIS con il calendario degli adempimenti. La nota di ACN indica la prima scadenza nel mese di ottobre, per l’attuazione delle misure di sicurezza di base da parte dei soggetti inseriti in elenco nel 2025. La successiva è la registrazione per il 2027.

Questo articolo si occupa solo della finestra di gennaio e degli atti che devono esistere prima che si apra. Il calendario completo degli adempimenti, dalla categorizzazione alle misure rafforzate, è ricostruito nella mappa degli adempimenti NIS2 della rivista.

La finestra non riguarda soltanto i nuovi

L’obbligo nasce dall’articolo 7, comma 1, del decreto legislativo 4 settembre 2024, n. 138. Dal 1° gennaio al 28 febbraio di ogni anno i soggetti nel campo di applicazione si registrano oppure aggiornano la propria registrazione sulla piattaforma digitale di ACN.

È il punto che più spesso viene frainteso. La finestra non serve solo a chi entra per la prima volta: chi è già in elenco è tenuto ad aggiornare la propria registrazione ogni anno, dentro gli stessi due mesi.

Le informazioni minime richieste dal comma 1 sono quattro: ragione sociale, indirizzo e recapiti aggiornati, designazione di un punto di contatto con ruolo e recapiti, e, ove applicabile, i pertinenti settori, sottosettori e tipologie di soggetto degli allegati I, II, III e IV.

Modalità, termini e procedimenti sono oggi stabiliti dalla Determinazione ACN 127437/2026, che aggiorna e sostituisce la Determinazione 379887/2025 e si applica dal 15 aprile 2026. Fa eccezione il capo V, su elencazione e categorizzazione, la cui applicazione è differita al 1° maggio 2026. È il testo da tenere aperto durante la compilazione, perché il decreto fissa l’obbligo mentre la determinazione descrive cosa succede a schermo.

Resta ferma la possibilità per ACN, su proposta delle Autorità di settore, di individuare ulteriori soggetti ritenuti critici. La pagina istituzionale sulla registrazione precisa che questi soggetti ricevono una comunicazione diretta, a valle della quale possono procedere.

Il punto di contatto, e la delega che serve davvero

La registrazione è composta da tre fasi: il censimento del punto di contatto, la sua associazione al soggetto e la compilazione della dichiarazione NIS.

Il punto di contatto va designato prima di avviare la procedura, ai sensi dell’articolo 7, comma 1, lettera c) del decreto. L’articolo 4, comma 2 della Determinazione 127437/2026 indica tre possibilità alternative: il rappresentante legale, uno dei procuratori generali censiti sul registro delle imprese, oppure un dipendente delegato dal rappresentante legale. Per i gruppi di imprese e per le pubbliche amministrazioni i commi 3 e 4 ammettono un dipendente di un’altra impresa del gruppo o di un’altra amministrazione, sempre su delega. A due condizioni: che quell’impresa o quell’amministrazione rientri a sua volta nell’ambito di applicazione del decreto, e, per le amministrazioni, che intervenga l’autorizzazione di quella di appartenenza ai sensi dell’articolo 53 del decreto legislativo 165/2001.

La scelta ha una conseguenza pratica immediata. Solo nel terzo caso occorre caricare sul Portale il titolo giuridico che abilita a operare per conto del soggetto. Il rappresentante legale e il procuratore generale ne sono esentati.

Il punto di contatto si autentica sul Portale con SPID o CIE e, per associarsi al soggetto, indica il codice IPA se si tratta di una pubblica amministrazione, il codice fiscale negli altri casi. Il processo si chiude con l’invio di un link di convalida al domicilio digitale del soggetto.

La dichiarazione è divisa in quattro sezioni: contesto, caratterizzazione, tipologie di soggetto e autovalutazione. Richiede, fra l’altro, i codici ATECO, le normative settoriali europee applicabili, i valori di fatturato, bilancio e dipendenti, e l’indicazione dell’eventuale appartenenza a un gruppo di imprese. Dopo la trasmissione, una copia va al domicilio digitale.

Qui sta una regola che conviene segnare in rosso. L’articolo 11, comma 9 della determinazione stabilisce che, trascorsi dieci giorni solari dalla sottomissione, la dichiarazione si intende definitivamente acquisita e non è più modificabile. Quei dieci giorni vanno però letti insieme al comma 8, che considera tardiva ogni dichiarazione sottomessa o modificata oltre il 28 febbraio. Chi trasmette il 18 febbraio ha dieci giorni pieni per correggersi; chi trasmette il 27 ne ha uno, perché oltre la chiusura la correzione diventa tardiva.

Nella stessa sede si esercita anche la clausola di salvaguardia dell’articolo 3, comma 12 del decreto: chi ritiene sproporzionato il calcolo dimensionale può chiederne l’applicazione durante la registrazione, non dopo.

L’interpretazione, distinta dal dato: il collo di bottiglia di gennaio non è il modulo, è il titolo giuridico. Una delega da produrre, firmare e caricare attraversa la direzione e l’ufficio legale, e non si improvvisa a ridosso del 28 febbraio.

Quattro atti formali, quattro scadenze diverse

La finestra dura due mesi, ma gli atti che la rendono possibile hanno tempi propri e scadenze scaglionate lungo tutto l’anno successivo. Sono quattro, e nessuno dipende da ACN.

La delega al punto di contatto, quando non coincide con il rappresentante legale o con un procuratore generale. Va prodotta prima di gennaio, perché senza titolo giuridico caricato l’associazione non si perfeziona.

Il sostituto del punto di contatto, previsto dall’articolo 7, comma 4, lettera d) del decreto. L’articolo 5, comma 3 della Determinazione 127437/2026 lo colloca entro il 31 maggio dell’anno in cui il soggetto è stato inserito nell’elenco dei soggetti NIS. È una persona fisica distinta, che opera sulla piattaforma con le stesse facoltà del punto di contatto, con l’unica eccezione della registrazione. L’obbligo non si applica ai soggetti in cui il punto di contatto è l’unica persona fisica dell’organizzazione.

Il referente CSIRT, designato dal punto di contatto entro il 31 dicembre dell’anno di inserimento, ai sensi dell’articolo 7, comma 1 della stessa determinazione. Deve possedere almeno competenze di base in sicurezza informatica e gestione degli incidenti, e conoscenza approfondita dei sistemi del soggetto. Possono essere designati uno o più sostituti. Le entità finanziarie soggette a DORA ne sono esentate, salva adesione volontaria.

La delibera dell’organo di amministrazione. L’articolo 2, comma 3 della determinazione lo dice senza perifrasi: gli organi di amministrazione e direttivi sovrintendono alla registrazione, alla comunicazione e all’aggiornamento delle informazioni dell’articolo 7, e sono responsabili delle eventuali violazioni. Le FAQ ACN aggiornate il 14 luglio 2026 hanno chiarito che l’approvazione dei documenti previsti dall’articolo 23 del decreto è competenza esclusiva dell’organo collegiale o monocratico e non è delegabile, mentre resta delegabile l’attuazione operativa.

Un dettaglio che semplifica la vita a una parte dei soggetti pubblici. L’articolo 4, comma 8 della determinazione riguarda i soggetti dell’articolo 1, comma 1 della legge 90/2024 che rientrano anche nel decreto NIS. Per loro la designazione del punto di contatto può soddisfare l’obbligo di nomina e comunicazione del referente per la cybersicurezza dell’articolo 8, comma 2 della stessa legge.

Chi salta la finestra resta dentro il perimetro

I numeri comunicati il 18 settembre dicono che l’elenco si muove. Oltre 2000 registrazioni tardive e circa 2000 istruttorie di revisione sono state analizzate da ACN fra maggio e luglio, e hanno portato all’aggiornamento dell’elenco. Sono due fenomeni distinti: le registrazioni tardive sono soggetti arrivati fuori finestra, le istruttorie di revisione riguardano posizioni già presenti, riesaminate in entrata o in uscita.

Chi salta la finestra non esce dal perimetro. Si espone a una sanzione e perde il controllo sui tempi. L’articolo 38, comma 10, lettera a) del decreto colpisce la mancata registrazione, comunicazione o aggiornamento delle informazioni; il comma 11 fissa la misura fino allo 0,1% del fatturato annuo su scala mondiale per i soggetti essenziali e fino allo 0,07% per i soggetti importanti. La pagina di ACN riassume la sanzione con il solo massimo dello 0,1%: per un soggetto importante il tetto è più basso di quasi un terzo.

C’è poi una conseguenza procedurale meno nota. L’articolo 16, comma 11 della Determinazione 127437/2026 stabilisce che, in caso di registrazione tardiva, il termine per completare l’aggiornamento annuale delle informazioni è di trenta giorni dalla ricezione della comunicazione di inserimento. Chi arriva in ritardo non guadagna tempo: ne perde, perché la seconda finestra si comprime in un mese.

La registrazione è inoltre sottoposta a verifiche di coerenza a campione, svolte da ACN d’intesa con le Autorità di settore, con riscontro entro trenta giorni prorogabili una sola volta di venti. Le richieste di integrazione vanno soddisfatte entro dieci giorni, e il tardivo riscontro può essere motivo di rigetto.

Che cosa guardare da qui al 28 febbraio

Dopo la chiusura della finestra il calendario prosegue: elenco redatto entro il 31 marzo, comunicazione di inserimento, permanenza o espunzione, seconda finestra informativa dal 15 aprile al 31 maggio, elencazione e categorizzazione delle attività dal 1° maggio al 30 giugno. La ricostruzione completa, con i termini differenziati per anno di ingresso, è nella mappa degli adempimenti.

Restano aperte due cose.

La prima è la determina sui termini per i soggetti che entreranno in elenco nel 2027. Per chi si è registrato nel 2026 la Determinazione 127434/2026 ha fissato la decorrenza dell’obbligo di notifica al 1° gennaio 2027 e il termine per le misure di sicurezza di base al 31 luglio 2027. Quelle misure sono quelle degli allegati 1 e 2 della Determinazione 379907/2025, che resta il testo di riferimento sul contenuto. Un atto analogo per la coorte del 2027 non è ancora stato pubblicato, e il precedente lo colloca in primavera, dopo la comunicazione di inserimento.

La seconda è interna all’organizzazione. Delega del punto di contatto, designazione del sostituto, referente CSIRT e delibera dell’organo di amministrazione sono quattro atti con quattro tempi diversi, distribuiti su dodici mesi. La finestra dura due mesi. La produzione di quei quattro atti, quasi sempre, richiede di più.