'/%3E%3C/svg%3E){kind=small}
Il 23 ottobre 2026 l’Agenzia per la Cybersicurezza Nazionale (ACN) ha annunciato la semplificazione della registrazione dei soggetti NIS a partire dal 2027. Le regole sono nella nuova determinazione del Direttore generale (n. 314287/2026), applicabile dal 25 ottobre 2026, che aggiorna e sostituisce quella del 13 aprile 2026. La novità in sintesi: chi è già nell’elenco dei soggetti NIS e non ha modifiche da comunicare non deve presentare una nuova dichiarazione. Attenzione, però: «nessuna modifica» è una conclusione da verificare, non un’ipotesi di partenza.
1. Cosa cambia con la registrazione 2027
Ogni anno, dal 1° gennaio al 28 febbraio, i soggetti NIS compilano la dichiarazione tramite il «Servizio NIS/Dichiarazione» sul Portale ACN. La determinazione prevede che i soggetti già presenti nell’elenco non procedano a questo adempimento se non sono intervenute modifiche rispetto alle informazioni condivise con la dichiarazione dell’annualità precedente (o con eventuali dichiarazioni integrative trasmesse in quell’annualità). Chi non dichiara resta in elenco per l’anno in corso, con lo stato NIS già attribuito.
Per chi invece deve dichiarare, la piattaforma propone all’avvio una bozza precompilata con le informazioni trasmesse e valutate nell’anno solare precedente. Una volta inviata, la dichiarazione diventa definitiva e non più modificabile dopo dieci giorni (salvo le dichiarazioni tardive).
2. Il calendario annuale
Le finestre previste dalla determinazione si ripetono ogni anno:
- 1° gennaio – 28 febbraio: registrazione tramite il Servizio NIS/Dichiarazione.
- 15 aprile – 31 maggio: aggiornamento annuale delle informazioni, con dati precompilati sulla base di quelli trasmessi fino al 14 aprile.
- 1° maggio – 30 giugno: elencazione e categorizzazione delle attività e dei servizi.
- Entro 14 giorni: ogni modifica alle informazioni già trasmesse va comunicata tempestivamente e, in ogni caso, entro quattordici giorni dalla modifica.
Il quadro completo degli adempimenti è nel nostro articolo sul Vademecum NIS.
3. Prima di concludere che «nulla è cambiato»
La semplificazione elimina un doppione, non la responsabilità di avere dati corretti. La dichiarazione comprende elementi che possono cambiare senza che ce ne si accorga. Prima di decidere di non dichiarare, conviene controllare almeno:
- Gruppo e imprese collegate: l’appartenenza a un gruppo di imprese e i soggetti NIS collegati.
- Attività e tipologie di soggetto: i codici ATECO e le tipologie degli allegati I, II, III e IV del decreto.
- Dimensione: fatturato, bilancio e numero di dipendenti, per l’inquadramento come micro, piccola, media o grande impresa.
- Operazioni societarie: chi nasce da una fusione, anche per incorporazione, deve registrarsi, e le società partecipanti comunicano i dati del soggetto risultante; in caso di cessione di rami d’azienda, il cedente comunica i dati del cessionario.
4. Cosa non cambia
- Non vale per chi non è ancora in elenco. I nuovi soggetti dichiarano nella finestra 1° gennaio – 28 febbraio; chi riceve da ACN una notifica di individuazione registra entro 30 giorni dalla ricezione, o nella finestra dell’anno successivo se la notifica arriva dopo il 31 luglio.
- Restano gli altri obblighi del decreto NIS. La determinazione disciplina il processo di registrazione e aggiornamento, non le misure di gestione del rischio, né la notifica degli incidenti.
- La responsabilità resta in capo al vertice. Gli organi di amministrazione e direttivi sovrintendono alla registrazione e rispondono di eventuali violazioni; la mancata registrazione, comunicazione o aggiornamento è punita ai sensi dell’articolo 38 del decreto.
- Le dichiarazioni tardive hanno regole proprie. Sono considerate tardive salvo documentate criticità tecnico-operative non imputabili al soggetto; quelle presentate entro il 1° settembre sono trattate ai fini della registrazione dell’annualità di riferimento.
- Le verifiche di coerenza continuano. ACN può controllare a campione le informazioni e chiedere integrazioni, da riscontrare entro dieci giorni.
5. Cosa fare ora
Alcuni suggerimenti pratici, ispirati dalla determinazione e dal buon senso organizzativo:
- Chiarire chi è il punto di contatto. È la persona fisica designata dal soggetto (legale rappresentante, procuratore generale o dipendente delegato) che accede al Portale ACN con CIE, SPID personale, CNS o eIDAS. Se cambia, il nuovo punto di contatto va designato senza ingiustificato ritardo e censito sul Portale.
- Confrontare la dichiarazione precedente con la situazione attuale, voce per voce, con chi conosce l’evoluzione dell’organizzazione e dei servizi.
- Tenere traccia del confronto: una breve nota con data, responsabile e conclusione. È una buona pratica di governance, non un requisito imposto da ACN.
- Informare il vertice aziendale, che sovrintende all’adempimento.
- Seguire le istruzioni operative del Portale ACN quando la finestra si aprirà.
Non sei sicuro di cosa verificare nella tua organizzazione? Prenota una call conoscitiva gratuita con FinGreenTech oppure scrivici a info@fingreentech.com.
Fonti: Agenzia per la Cybersicurezza Nazionale, Determinazione del Direttore generale ai sensi dell’art. 7, comma 6, del D.Lgs. 138/2024 (firmata il 20/10/2026, applicabile dal 25/10/2026); Cybersecurity360, «NIS2 dal 2027, registrazione semplificata sul portale ACN: cosa cambia per le aziende» (27/10/2026).
Nota sulla trasparenza. Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale e revisionato dal Team di FinGreenTech, che ne è responsabile editoriale.
