Elenco dei soggetti NIS e comunicazione di inserimento: cosa fare dopo la PEC

La registrazione sulla piattaforma dell'ACN non vi rende ancora un soggetto NIS. Lo diventate quando l'ACN vi inserisce nell'elenco dei soggetti essenziali e importanti e ve lo comunica via PEC. Da quella comunicazione partono quasi tutte le scadenze: referente CSIRT, notifica degli incidenti, misure di sicurezza, aggiornamento annuale, categorizzazione.

Questa guida spiega cos'è l'elenco, cosa può dire la PEC dell'ACN, cosa fare se non siete d'accordo e quali passi seguono, anno per anno.

Cos'è l'elenco dei soggetti NIS

Entro il 31 marzo di ogni anno l'ACN redige l'elenco dei soggetti essenziali e importanti, sulla base delle registrazioni ricevute dal 1° gennaio al 28 febbraio e delle decisioni sull'ambito e sullo status (d.lgs. 138/2024, art. 7, c. 2). Ogni anno l'elenco dell'anno prima viene aggiornato con tre tipi di variazione (det. ACN 314287/2026, art. 15, c. 1):

• inserimento dei nuovi soggetti;
• permanenza di chi c'era già, con o senza cambio dello status (da importante a essenziale o viceversa);
• espunzione di chi non ha più i requisiti.

L'elenco è adottato dopo la prima riunione utile del Tavolo per l'attuazione della disciplina NIS (art. 15, c. 2) e si consolida durante l'anno con le registrazioni tardive, le individuazioni dell'ACN, le verifiche e le revisioni, entro il 31 dicembre (art. 15, c. 8). Per dare un'idea dei numeri: alla prima applicazione l'ACN parlava di oltre 20.000 organizzazioni (notizia del 15 aprile 2025); a settembre 2026 ha aggiornato l'elenco esaminando oltre 2.000 registrazioni tardive e circa 2.000 istanze di revisione (notizia del 18 settembre 2026).

L'elenco non è pubblico. La determinazione che lo stabilisce è esclusa dall'accesso e dalla pubblicazione (art. 40, c. 6, lett. b). Non c'è quindi un registro da consultare per sapere se un cliente, un fornitore o un concorrente è soggetto NIS: lo sa solo l'interessato, dalla sua PEC.

La comunicazione via PEC: cosa può dire

Dopo l'adozione dell'elenco, l'ACN comunica a chi si è registrato uno di questi esiti, tramite la piattaforma e al domicilio digitale (art. 7, c. 3; det. 314287/2026, art. 15, c. 3):

I registrati nei termini ricevono la comunicazione entro il 14 aprile (Vademecum NIS dell'ACN, settembre 2026). Nel 2025 le prime PEC sono partite «a cavallo del 12 e 13 aprile» (FAQ ACN ELN.1). Con la comunicazione arriva anche l'esito dell'eventuale richiesta di clausola di salvaguardia per i gruppi (det. 314287/2026, art. 12, c. 3).

Chi era già nell'elenco e non aveva modifiche da dichiarare non ripresenta la dichiarazione: resta nell'elenco con lo status dell'anno precedente (art. 11, c. 1 e c. 11) e riceve la comunicazione di permanenza solo a fini ricognitivi (art. 15, c. 4).

Non avete ricevuto la PEC?

Prima di tutto controllate a fondo il domicilio digitale dell'azienda, cioè la PEC registrata, anche nelle cartelle meno guardate: l'ACN chiede di farlo prima di scrivere al Service Desk, e i soggetti per cui la consegna non era certa sono stati contattati direttamente (FAQ ELN.1). Poi verificate di aver davvero completato la registrazione: censimento del punto di contatto e invio della dichiarazione, con la ricevuta PEC (art. 11, c. 7).

Se vi siete registrati in ritardo, la dichiarazione tardiva inviata entro il 1° settembre è trattata nell'anno (art. 11, c. 8), quindi la comunicazione arriva più tardi; in quel caso l'aggiornamento annuale va fatto entro 30 giorni dalla comunicazione di inserimento (art. 16, c. 11). Il ritardo resta comunque una violazione (d.lgs. 138/2024, art. 38, c. 10 e 13).

Se non siete d'accordo: l'istanza di revisione

Se l'esito non vi convince, per esempio uno status essenziale che ritenete sbagliato, potete presentare un'istanza di revisione dai servizi NIS del Portale entro 60 giorni dalla ricezione della comunicazione, a pena di decadenza (det. 314287/2026, art. 15, c. 6). L'ACN, d'intesa con le Autorità di settore, risponde entro 60 giorni, prorogabili una volta di altri 30. Se vi chiede integrazioni, i termini si fermano e dovete rispondere entro 10 giorni (c. 7).

Anche senza istanza, entro 60 giorni dalla comunicazione l'ACN può fare d'ufficio verifiche di coerenza a campione sulle dichiarazioni (c. 5): rispondete alle richieste nei tempi, perché in mancanza la valutazione avviene allo stato degli atti e può cambiare lo status (art. 14, c. 2).

Cosa fare dopo la comunicazione di inserimento

Dalla PEC di inserimento parte un calendario preciso. Per chi è entrato per la prima volta nel 2026:

Chi è entrato nel 2025 ha avuto 9 mesi per le notifiche e 18 mesi per le misure dalla propria comunicazione (det. 379907/2025, art. 3): per le PEC di aprile 2025 i termini sono scaduti a gennaio e a ottobre 2026. Per chi entra dal 2027 l'ACN non ha ancora fissato i termini di notifica e misure. Il quadro completo è in scadenze 2026-2027.

Tre consigli pratici, appena arriva la PEC:

1. Portatela in consiglio di amministrazione. Gli organi di amministrazione approvano le misure e rispondono delle violazioni (art. 23): è il momento di decidere chi segue cosa e con quale budget.
2. Conservate PEC e codice identificativo nel fascicolo NIS: servono nei rapporti con l'ACN e sono la prova della data da cui partono i vostri termini.
3. Mettete le date in calendario con un responsabile per ciascuna, e un promemoria per la registrazione dell'anno successivo, dal 1° gennaio al 28 febbraio, se qualcosa cambia.

Permanenza, cambio di status ed espunzione

Ogni anno la vostra posizione può cambiare: un'acquisizione può portarvi sopra la soglia della grande impresa, la cessione di un ramo d'azienda può farvi uscire da un settore. Le operazioni straordinarie hanno regole proprie: la società risultante da una fusione si registra, e chi cede il ramo che lo rendeva soggetto NIS comunica i dati del cessionario (det. 314287/2026, art. 11, c. 12-13).

Se passate da importante a essenziale, cambiano le misure da applicare (43 invece di 37), la vigilanza, che diventa possibile anche senza indizi di violazioni (art. 36), e le sanzioni (art. 38). Il confronto tra i due status è in a chi si applica la NIS2. Se invece venite espunti, l'elenco non vi comprende più: conservate comunque la documentazione degli anni in cui eravate soggetti NIS.

Da dove partire

Se non sapete ancora se dovete registrarvi, partite dalla verifica gratuita e dalla guida sulla registrazione e il punto di contatto. Se la PEC è già arrivata, l'autovalutazione vi dice quanta strada c'è da fare sulle misure. Pilot parte proprio dalla data della vostra comunicazione e costruisce lo scadenzario con tutte le date di questa pagina: iniziate il percorso. Se l'esito non vi convince e state pensando a un'istanza di revisione, la consulenza NIS2 dello Studio vi aiuta a valutarla nei 60 giorni.

Domande frequenti