Con la Determinazione n. 314287 del 20 ottobre 2026, applicabile a partire dal 25 ottobre, l’Agenzia per la Cybersicurezza Nazionale (“ACN”) ha aggiornato e sostituito la precedente Determinazione n. 127437/2026, riguardante le modalità di utilizzo e accesso alla piattaforma digitale ACN (la “Piattaforma”). La nuova Determinazione semplifica la registrazione annuale per i soggetti già presenti nell’elenco, disciplina gli effetti di alcune operazioni societarie e rafforza i meccanismi di verifica delle informazioni comunicate all’ACN. L’obiettivo è quello di rendere più agevole il percorso di accreditamento alla Piattaforma. Ma quali sono le principali novità per le imprese? Registrazione annuale e continuità dello “status NIS” Una delle principali semplificazioni riguarda le organizzazioni già registrate e presenti nell’elenco dei soggetti NIS. Se le informazioni precedentemente comunicate non sono cambiate, non sarà necessario effettuare nuovamente la registrazione annuale nella finestra dal 1° gennaio al 28 febbraio. La semplificazione opera, in particolare, quando non siano intervenute modifiche rispetto alle informazioni contenute nella dichiarazione presentata nell’annualità precedente o nelle successive dichiarazioni integrative trasmesse nel corso della medesima annualità. In questi casi, l’ACN comunicherà comunque al soggetto, a fini ricognitivi, la sua permanenza nell’elenco dei soggetti NIS. Cosa significa in pratica? Un soggetto registrato nel 2026 che non abbia modificato le informazioni già comunicate non dovrà ripetere la registrazione nel 2027. Se, invece, tali informazioni sono cambiate, dovrà procedere alla nuova registrazione, descrivendo le modifiche intervenute. Qualora la variazione riguardi la rimozione di una o più tipologie di soggetto, dovranno essere indicate anche le relative motivazioni. La continuità riguarda anche la qualificazione del soggetto. In assenza di variazioni, i soggetti già iscritti mantengono infatti lo “status NIS”, come soggetto essenziale o importante, attribuito nell’annualità precedente. La Determinazione introduce inoltre una valutazione preliminare dello status NIS: al termine della compilazione della dichiarazione, il soggetto potrà confermare la valutazione proposta oppure contestarla, fornendo le relative motivazioni. La semplificazione, quindi, non elimina la necessità per le imprese di tenere sotto controllo le informazioni precedentemente trasmesse. Al contrario, rende ancora più importante disporre di un processo interno che consenta di individuare tempestivamente eventuali variazioni rilevanti ai fini NIS2. Registrazione e operazioni societarie L’ACN disciplina espressamente anche gli effetti di alcune operazioni societarie sulla registrazione NIS. In caso di fusione, anche per incorporazione, se almeno uno dei soggetti partecipanti rientra nell’ambito di applicazione del Decreto NIS2, il soggetto risultante dall’operazione è tenuto a registrarsi. I soggetti NIS partecipanti alla fusione devono, inoltre, comunicare i dati identificativi del soggetto risultante dall’operazione. Un obbligo informativo è previsto anche in caso di cessione di uno o più rami d’azienda relativi alle attività che hanno determinato l’inclusione del soggetto nell’ambito di applicazione del Decreto NIS2. In questa ipotesi, il soggetto NIS deve comunicare i dati identificativi del cessionario. Accesso alla Piattaforma: nuove modalità di autenticazione Cambiano anche le modalità di accesso alla Piattaforma. A SPID e CIE si aggiungono la Carta Nazionale dei Servizi (CNS) e l’autenticazione tramite eIDAS[1], ampliando così le modalità attraverso le quali gli utenti possono identificarsi e accedere ai servizi della Piattaforma. Per gli utenti che non possano disporre di credenziali SPID, CIE, CNS o eIDAS, è inoltre prevista la possibilità di richiedere credenziali personali. La relativa procedura può essere avviata direttamente dalla Piattaforma attraverso la funzione “Richiedi credenziali” (cfr. FAQ ACC.1). Registrazioni tardive: cambia la gestione delle dichiarazioni La Determinazione interviene anche sulla gestione delle registrazioni tardive. Dal 31 ottobre 2026 non sarà più possibile trasmettere tali dichiarazioni attraverso la Piattaforma per l’anno 2026, in modo da consentire l’introduzione delle modifiche previste dalla nuova Determinazione. Per le annualità successive viene invece precisato che le dichiarazioni tardive presentate entro il 1° settembre saranno trattate ai fini della registrazione nell’annualità di riferimento. Controlli sulle informazioni comunicate in sede di registrazione: le verifiche di coerenza Accanto alle semplificazioni, la nuova disciplina rafforza i meccanismi attraverso i quali l’ACN può verificare le informazioni comunicate dai soggetti NIS in sede di registrazione. L’ACN può effettuare verifiche di coerenza, d’ufficio e a campione, anche con strumenti automatizzati, e, se lo ritiene necessario, può richiedere attraverso la Piattaforma informazioni aggiuntive, modifiche o integrazioni della dichiarazione. Il soggetto NIS deve rispondere entro 10 giorni dalla richiesta. In caso di risposta tardiva, l’ACN procede alla valutazione sulla base delle informazioni disponibili, con la possibilità che ne derivi una valutazione dello status NIS differente rispetto a quello corrente o rispetto alla valutazione preliminare generata dalla Piattaforma. Sono inoltre previste ulteriori verifiche di coerenza entro 60 giorni[2] dalla comunicazione di inserimento, permanenza (con variazioni o meno), espunzione o mancato inserimento per carenza dei presupposti nell’elenco dei soggetti NIS. In questi casi, i soggetti NIS possono presentare istanza di revisione entro 60 giorni dalla ricezione della comunicazione. Per i soggetti NIS il punto non è soltanto assicurarsi che la dichiarazione sia completa al momento della trasmissione. Diventa altrettanto importante conservare gli elementi sulla base dei quali sono state effettuate le valutazioni e organizzarsi internamente per poter rispondere tempestivamente a eventuali richieste dell’ACN. Aggiornamento annuale delle informazioni La Determinazione introduce l’obbligo di verificare la correttezza e l’aggiornamento delle informazioni trasmesse in sede di registrazione nell’ambito dell’aggiornamento annuale delle informazioni, da effettuarsi tra il 15 aprile e il 31 maggio. Fermo restando il controllo delle ulteriori informazioni già oggetto dell’aggiornamento annuale (quali, ad esempio, l’elenco dei componenti degli organi amministrativi e direttivi, gli indirizzi IP e i nomi di dominio e i fornitori rilevanti), la verifica interesserà quindi anche: Per i soggetti già inseriti nell’elenco NIS, tali informazioni saranno precompilate sulla base dei dati trasmessi fino al 14 aprile dell’anno in corso. La presenza di dati precompilati non dovrebbe tuttavia tradursi in una loro conferma automatica. L’aggiornamento annuale diventa un momento di controllo sostanziale della situazione dell’impresa, soprattutto quando nel corso dell’anno siano intervenuti cambiamenti. Categorizzazione e verifiche di conformità La Determinazione interviene, infine, anche sul processo di categorizzazione delle attività e dei servizi NIS, sul quale l’ACN può effettuare verifiche di conformità a campione. Fino al 31 dicembre 2026, l’ACN potrà fornire riscontro al soggetto NIS entro 150 giorni dalla trasmissione dell’elenco categorizzato. Successivamente, in linea con l’art. 30, co. 3, del Decreto NIS2, il termine sarà di 90 giorni (salvo proroga). Secondo quanto comunicato dall’ACN, nelle prossime settimane circa il 10% dei soggetti NIS sarà contattato nell’ambito delle attività volte ad affinare le relative analisi di impatto riguardanti la categorizzazione. Cosa dovrebbero fare i soggetti NIS Nel complesso, la nuova Determinazione semplifica alcuni adempimenti, soprattutto per i soggetti la cui situazione è rimasta invariata, ma attribuisce maggiore rilievo alla qualità e all’aggiornamento delle informazioni presenti sulla Piattaforma. Per le imprese già incluse nell’elenco NIS, diventa quindi utile verificare sin d’ora se, rispetto all’ultima dichiarazione trasmessa, siano intervenute modifiche che rendano necessaria procedere alla registrazione; controllare che eventuali operazioni societarie siano correttamente intercettate dai processi NIS2; individuare le funzioni interne responsabili dell’aggiornamento delle informazioni; e conservare evidenza delle valutazioni effettuate, soprattutto rispetto alla categorizzazione delle attività e dei servizi. L’obiettivo dovrebbe essere quello di evitare che la gestione della Piattaforma resti confinata ai diversi adempimenti annuali. Le informazioni comunicate all’ACN dovrebbero essere mantenute allineate con l’evoluzione effettiva dell’organizzazione, così da rendere più semplice sia l’aggiornamento periodico sia la gestione di eventuali verifiche. Timeline operativa e prossime scadenze [1] Il Regolamento eIDAS (Reg. UE 910/2014) rappresenta la base normativa per le interazioni elettroniche tra imprese, cittadini e autorità pubbliche, migliorando la sicurezza e l’efficienza dei servizi online e delle transazioni commerciali elettroniche nell’UE. La sua implementazione consente l’uso delle identità digitali italiani negli altri Stati membri dell’UE. [2] Il termine può essere prorogato dall’ACN per una sola volta e fino a un massimo di ulteriori 30 giorni se necessario svolgere approfondimenti. [3] Questo punto rappresenta una novità rispetto alla determinazione precedente dove veniva chiesto ai soggetti NIS di indicare il numero di dipendenti e i valori di fatturato e bilancio “aggregati” in caso di imprese appartenenti al medesimo perimetro di controllo (Raccomandazione 2003/361/CE). Con la nuova Determinazione, invece, viene richiesto al soggetto NIS di indicare la riconducibilità alle categorie di micro, piccole, medie o grandi imprese e, solo qualora in fase di compilazione siano automaticamente rilevante incongruenze, il soggetto NIS dovrà indicare anche i valori di fatturato, bilancio e numero di dipendenti.
