NIS 2: sta per scadere il termine per procedere alla registrazione sul Portale dell’Agenzia per la Cybersicurezza Nazionale per i soggetti NIS

Il 28 febbraio 2026 si chiude (per l’anno 2026) la finestra temporale per la registrazione sul Portale ACN per le imprese che rientrano nell’ambito di applicazione del D. Lgs. n. 138/2024, Decreto NIS, in materia di obblighi relativi alla cybersicurezza. Il Decreto NIS ha recepito la Direttiva NIS 2 (Direttiva 2022/2555, che ha sostituito la prima Direttiva NIS, la Direttiva 2016/1148) introducendo obblighi più stringenti relativamente alla gestione del rischio per la sicurezza informatica e alla notifica degli incidenti informatici, ma soprattutto estendendo l’ambito soggettivo di applicazione della disciplina a tanti altri settori economici che prima non erano contemplati, rendendo il presente adempimento sempre più di interesse generale. È lo stesso Decreto, all’art. 7, a disporre che, dal 1° gennaio al 28 febbraio di ogni anno successivo alla sua entrata in vigore, le imprese che rientrano nel relativo ambito di applicazione (secondo i criteri di cui agli artt. 3 e ss., Decreto NIS) si registrino sull’apposito Portale dell’ACN, senza che sia necessario ricevere alcuna comunicazione o “invito” da parte dell’Agenzia, bensì procedendo in autonomia ad una prima autovalutazione, che dovrà ricevere poi la validazione dell’ACN stessa.

I potenziali soggetti NIS devono procedere alla registrazione seguendo le disposizioni operative di cui alla Determinazione ACN n. 379887 del 18 dicembre 2025 (ultima versione della Determinazione, che viene aggiornata costantemente) per quanto attiene alle modalità di utilizzo e accesso al Portale e alle informazioni che devono essere fornite. A seguito della registrazione, entro il 31 marzo (cfr. sempre art. 7, Decreto NIS) l’ACN comunicherà a ciascun soggetto se rientra effettivamente nell’ambito di applicazione NIS e se vi rientra come soggetto “essenziale” o “importante” (questa distinzione rileva, ad esempio, in relazione all’estensione dei poteri di vigilanza dell’ACN e all’ammontare delle sanzioni amministrative comminabili).

Oltre all’obbligo di registrazione in capo ai nuovi soggetti NIS, sempre entro il 28 febbraio 2026 anche i soggetti NIS già registrati sono tenuti a procedere all’aggiornamento delle informazioni comunicate in sede di registrazione, tra cui, ad esempio, la ragione sociale, gli indirizzi e recapiti e la figura del punto di contatto.

Si ricorda infine che la mancata registrazione, o il mancato aggiornamento delle informazioni nei termini, sono sanzionabili ai sensi dell’art. 38, co. 10 e 11, Decreto NIS, con una sanzione amministrativa pecuniaria il cui ammontare varia a seconda che l’impresa sia un soggetto essenziale o importante.

(VG)