Registrazione NIS2 sulla piattaforma ACN: cosa preparare

Con la NIS2 non è più l'autorità a individuare le aziende coinvolte: sono le imprese a doversi riconoscere nel perimetro e a registrarsi. La registrazione sulla piattaforma dell'ACN sembra un adempimento burocratico, ma è il momento in cui l'azienda dichiara formalmente chi è, cosa fa e chi risponde della sicurezza. Arrivarci con le informazioni in ordine evita errori e ripensamenti.

Che cosa significa registrarsi

Il D.Lgs. 138/2024, che recepisce in Italia la Direttiva (UE) 2022/2555, prevede che i soggetti potenzialmente rientranti nel perimetro si registrino sulla piattaforma digitale messa a disposizione dall'ACN, Agenzia per la Cybersicurezza Nazionale.

Con la registrazione l'azienda comunica i propri dati identificativi, le attività svolte e i settori di appartenenza. Sulla base di queste informazioni l'ACN individua i soggetti NIS e li classifica come essenziali o importanti. La registrazione non è un evento unico: le informazioni vanno mantenute aggiornate e confermate periodicamente, secondo le finestre temporali e le modalità indicate dall'Agenzia.

Le scadenze e le procedure operative possono essere aggiornate nel tempo: il riferimento affidabile è sempre il sito dell'ACN, da consultare prima di ogni adempimento.

Chi se ne occupa in azienda

La registrazione non è un compito da delegare a chi ha tempo libero. Di norma il percorso coinvolge:

• il legale rappresentante, che ha la responsabilità dell'adempimento e designa chi opera sulla piattaforma;
• un punto di contatto, la persona incaricata di curare la registrazione e i rapporti con l'ACN, che accede con le proprie credenziali di identità digitale;
• l'amministrazione, per i dati societari, dimensionali e sulle eventuali imprese collegate;
• il referente IT o il fornitore IT, per le informazioni tecniche e per la successiva attuazione delle misure.

Conviene decidere per iscritto chi fa cosa, così che il ruolo non resti scoperto in caso di ferie, cambi di mansione o uscite dall'azienda.

Cosa preparare prima di accedere

Prima di entrare nel portale è utile raccogliere in un unico fascicolo:

• dati societari aggiornati: ragione sociale, codice fiscale e partita IVA, sede legale, PEC;
• codice ATECO e una descrizione realistica delle attività effettivamente svolte, non solo di quelle riportate in visura;
• dati dimensionali: numero di dipendenti, fatturato e totale di bilancio, considerando anche le imprese collegate o associate;
• elenco delle società del gruppo e dei rapporti di controllo;
• nominativi e recapiti del punto di contatto e di eventuali sostituti;
• l'indicazione degli Stati membri in cui l'azienda opera, se presenti attività all'estero;
• per alcuni soggetti, informazioni sugli spazi di indirizzamento IP pubblici e sui domini utilizzati.

La parte più delicata è quasi sempre l'inquadramento dell'attività. Un'impresa può svolgere più attività, alcune delle quali rientrano in un settore NIS2 e altre no: va ragionato con attenzione, eventualmente con il supporto di un consulente.

Gli errori più comuni

Nella pratica capitano spesso gli stessi inciampi:

1. Fermarsi al codice ATECO senza analizzare cosa l'azienda produce o fornisce davvero.
2. Dimenticare il gruppo: la dimensione va valutata considerando collegate e associate.
3. Lasciare il punto di contatto senza sostituto, rendendo l'azienda irraggiungibile in caso di assenza.
4. Considerare la registrazione come la fine del lavoro, mentre è solo l'inizio del percorso di adeguamento.
5. Non conservare traccia delle informazioni inserite e delle ricevute, utili in caso di verifiche.

Dopo la registrazione: cosa succede

Una volta classificata come soggetto essenziale o importante, l'azienda deve attuare le misure di gestione del rischio e prepararsi alla notifica degli incidenti significativi. È il momento di fare una fotografia della situazione attuale e di confrontarla con quanto richiesto: in altre parole, una gap analysis NIS2.

In parallelo vanno coinvolti gli organi di amministrazione, che per legge approvano le misure e ne rispondono, e va impostata la procedura per gestire gli incidenti e rispettare le tempistiche di notifica.

Checklist rapida

• ☐ Verificata l'applicabilità della NIS2 con criteri documentati
• ☐ Designato il punto di contatto e un sostituto
• ☐ Raccolti dati societari, dimensionali e di gruppo
• ☐ Descritte le attività effettivamente svolte
• ☐ Consultate sul sito ACN le modalità e le finestre di registrazione in vigore
• ☐ Archiviate ricevute e informazioni inserite
• ☐ Pianificata la gap analysis successiva

Come può aiutarti Area GUI

Area GUI può supportarti nel raccogliere le informazioni tecniche richieste e, soprattutto, nel percorso che segue la registrazione: assessment, piano di adeguamento e attuazione delle misure di sicurezza. Scopri l'approccio nella pagina NIS2 oppure scrivici per fissare un primo confronto.