Aggiornamento annuale NIS2: cosa comunicare all'ACN dal 15 aprile al 31 maggio
Ogni primavera i soggetti NIS completano sul Portale ACN i dati che la registrazione non chiede: chi amministra, indirizzi IP e domini, referente CSIRT, fornitori rilevanti. Cosa preparare e chi fa cosa.
La registrazione di gennaio e febbraio dice all'ACN chi siete. L'aggiornamento annuale, dal 15 aprile al 31 maggio, le dice chi vi amministra, quali indirizzi IP e domini usate, chi è il vostro referente CSIRT e da quali fornitori dipendete (d.lgs. 138/2024, art. 7, c. 4-5; det. ACN 314287/2026, art. 16). È un adempimento a sé, con una finestra propria, e riguarda tutti i soggetti NIS, ogni anno.
Questa guida spiega chi lo deve fare, cosa si comunica voce per voce, come si preparano i dati più laboriosi e cosa succede dopo il 31 maggio.
Chi lo deve fare
Tutti i soggetti essenziali e importanti che hanno ricevuto dall'ACN la comunicazione di inserimento o di permanenza nell'elenco (art. 7, c. 4; FAQ ACN AGA.4). Il servizio «NIS/Aggiornamento annuale informazioni» del Portale ACN compare infatti solo agli utenti delle organizzazioni che hanno ricevuto quella comunicazione (FAQ AGA.5). Il fatto di non essersi registrati non esonera dall'aggiornamento (FAQ AGA.4).
Due casi particolari:
- chi si è registrato in ritardo ha 30 giorni dalla comunicazione di inserimento per completare l'aggiornamento (det. 314287/2026, art. 16, c. 11);
- le entità finanziarie soggette al DORA sono esentate dall'elenco degli organi di amministrazione, salvo adesione volontaria (art. 16, c. 13).
Non va confuso con la categorizzazione di attività e servizi, che ha una finestra in parte sovrapposta (1° maggio – 30 giugno) ma è un obbligo diverso (art. 30).
Cosa si comunica, voce per voce
| Voce | Cosa serve | Fonte |
|---|---|---|
| Utenti | Dati e delega del punto di contatto, del sostituto e dell'eventuale segreteria, corretti e aggiornati | det. 314287/2026, art. 16, c. 2 |
| Dati del soggetto | Codice fiscale, denominazione, sede legale, rappresentante legale, procuratori generali, telefono, domicilio digitale, email funzionale | art. 16, c. 3, lett. a |
| Organi di amministrazione | Codice fiscale e PEC di ogni componente; ciascuno accetta l'indicazione sul Portale | art. 7, c. 4, lett. c; det., art. 17 |
| Servizi nell'UE | Se applicabile, i servizi NIS offerti in altri Stati membri e quali | art. 7, c. 4, lett. b; det., art. 16, c. 3, lett. c |
| IP e domini | Lo spazio di indirizzamento IP pubblico e i nomi di dominio in uso o nella vostra disponibilità | art. 7, c. 4, lett. a; det., art. 16, c. 3, lett. d |
| Accordi di condivisione | Gli accordi per lo scambio di informazioni sulla sicurezza informatica | art. 17; det., art. 16, c. 3, lett. e |
| Referente CSIRT | Dati del referente e degli eventuali sostituti | det., art. 16, c. 3, lett. f |
| Fornitori rilevanti NIS | Denominazione, codice fiscale, Paese, codici CPV, criterio di rilevanza | det., art. 16, c. 3, lett. g, e art. 18 |
| Sostituto del punto di contatto | Da designare entro il 31 maggio dell'anno di ingresso nell'elenco | art. 7, c. 4, lett. d; det., art. 5 |
I fornitori digitali dell'art. 7, c. 5 (DNS, registri e registrar, cloud, data center, CDN, servizi gestiti e di sicurezza gestiti, marketplace, motori di ricerca, social network) indicano anche le sedi nell'Unione e, se non sono stabiliti nell'UE, il loro rappresentante (det., art. 16, c. 4-5). Se avete fatto l'aggiornamento l'anno prima, trovate i dati precompilati con quelli trasmessi fino al 14 aprile (art. 16, c. 12).
Gli organi di amministrazione: chi elencare
Vanno elencati tutti i componenti del consiglio di amministrazione, o l'amministratore unico, o i componenti dell'organo che svolge funzioni analoghe se il consiglio non c'è (FAQ ODA.2 e ODA.4); il rappresentante legale è comunque considerato tra loro (ODA.5). Non vanno elencati dirigenti, punto di contatto, CISO o responsabili della sicurezza, a meno che siedano anche in consiglio (ODA.3 e ODA.6).
Ogni componente riceve una richiesta alla propria PEC e deve accettare l'indicazione accedendo al Portale (det. 314287/2026, art. 17, c. 3). Una PEC personale è auspicabile ma non obbligatoria: basta anche una PEC funzionale dell'organizzazione o, in mancanza, un indirizzo email aziendale (FAQ ODA.13). Avvisate i consiglieri prima: un'accettazione che resta in sospeso è il motivo più comune di aggiornamenti incompleti a fine maggio. Perché il consiglio è chiamato in causa lo spiega NIS2 e amministratori.
Indirizzi IP e domini: cosa includere
Vanno elencati gli indirizzi IP pubblici e statici presenti nei contratti con provider, registri internet o altri fornitori di indirizzi, e i nomi di dominio che usate o avete a disposizione in base a contratti con registrar o simili (FAQ IPD.2-IPD.5). Le regole che sorprendono di più:
- contano anche gli IP delle filiali all'estero, ovunque si trovino (IPD.7);
- ogni società elenca i propri: gli IP e i domini delle società estere del gruppo non si sommano (IPD.8);
- vanno inclusi IP e domini che avete in uso per conto di clienti, per esempio se gestite i loro siti, e quelli gestiti da fornitori ma a vostra disposizione per contratto (IPD.9).
Il modo più rapido è partire dai contratti di connettività e dagli estratti del registrar, e confrontarli con l'inventario degli asset, dove domini e servizi esposti dovrebbero già esserci.
Fornitori rilevanti e accordi di condivisione
Un fornitore è rilevante NIS se soddisfa almeno uno di due criteri: la fornitura rientra nelle infrastrutture digitali o nei servizi informatici gestiti dell'allegato I, punti 8 e 9 (fornitura ICT), oppure la sua interruzione avrebbe un impatto significativo sui vostri servizi NIS, anche perché non ci sono alternative (fornitura non fungibile) (FAQ FRN.2). Per ciascuno indicate denominazione, codice fiscale, Paese della sede, codici CPV delle forniture e criterio (det. 314287/2026, art. 18). L'elenco serve all'ACN per individuare gli elementi sistemici della filiera, che possono diventare a loro volta soggetti NIS (art. 3, c. 9, lett. f; FAQ FRN.1). Come costruirlo, e il rapporto con le misure sui fornitori, è in NIS2 e fornitori.
Gli accordi di condivisione sono gli accordi con cui scambiate informazioni su minacce, vulnerabilità e incidenti. Per l'ACN rientrano i contratti per servizi di sicurezza come SOC, MDR, CERT, VA/PT, red teaming o threat intelligence; non i contratti ordinari in cui il fornitore vi segnala eventi solo per cortesia o per clausola. Basta comunicare l'estratto del contratto che riguarda lo scambio di informazioni (FAQ ACI.4).
Chi fa cosa sul Portale
A trasmettere è il punto di contatto, che conferma le informazioni come dichiarazione sostitutiva ai sensi del DPR 445/2000 (det. 314287/2026, art. 16, c. 7): una dichiarazione falsa ha conseguenze anche penali. Il sostituto può fare le stesse azioni del punto di contatto, salvo la registrazione (art. 5, c. 2). Segreteria e operatori, se li avete designati, possono preparare e aggiornare i dati ma non trasmettere (FAQ RR.1 e RR.2). Una copia per ricevuta arriva al domicilio digitale: conservatela nel fascicolo NIS.
Dopo il 31 maggio: l'aggiornamento continuo
Chiusa la finestra, i dati vanno tenuti aggiornati: ogni modifica si comunica tempestivamente e comunque entro 14 giorni (art. 7, c. 7; FAQ AGA.1), con il servizio «NIS/Aggiornamento continuo informazioni» (det. 314287/2026, art. 19). I casi tipici sono un consigliere che cambia, un nuovo dominio, un fornitore rilevante sostituito, un referente CSIRT che lascia l'azienda. Decidete chi in azienda avvisa il punto di contatto quando succede: senza un responsabile, i 14 giorni passano senza che nessuno se ne accorga.
La mancata comunicazione o il mancato aggiornamento delle informazioni dell'art. 7 sono sanzionati fino allo 0,1% del fatturato per gli essenziali e allo 0,07% per gli importanti (art. 38, c. 10-11), con i dubbi sui minimi che spieghiamo in le sanzioni.
Da dove partire
- A marzo raccogliete composizione del consiglio, PEC dei consiglieri, contratti di connettività e domini, elenco dei fornitori e dei contratti di sicurezza.
- Avvisate i consiglieri che riceveranno una PEC da accettare.
- Dal 15 aprile il punto di contatto controlla i dati precompilati, completa le voci e trasmette entro il 31 maggio.
- Subito dopo preparate la categorizzazione, che chiude il 30 giugno.
- Durante l'anno comunicate ogni modifica entro 14 giorni.
La guida sulla registrazione spiega i passaggi di gennaio e febbraio, quella sull'elenco dei soggetti NIS cosa succede dopo la PEC di aprile. Se non sapete se siete dentro, c'è la verifica gratuita. Lo scadenzario di Pilot vi avvisa prima di ogni finestra e tiene i dati da comunicare in un posto solo: provatelo gratis. Per farvi seguire nella raccolta di fornitori rilevanti e CPV c'è la consulenza NIS2 dello Studio.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
Un'azienda di fantasia, Meccanica Rossi, dalla verifica alla registrazione ACN, alle misure, a un incidente simulato e al piano dei primi 90 giorni: per ogni passo cosa chiede la legge e cosa fare in pratica.
Guardate il webinar gratis
