Registrazione NIS2 2027: come aggiornare i dati sul portale ACN

La registrazione NIS2 ACN non si fa una volta sola. Aggiornato a ottobre 2026, il quadro è questo: ogni anno, dal 1° gennaio al 28 febbraio, i soggetti nel perimetro devono registrarsi o aggiornare i propri dati sul Portale dei servizi di ACN. La prossima finestra è quella tra il 1° gennaio e il 28 febbraio 2027, e conviene arrivarci con i dati già in ordine.

Cosa dice la norma

L'obbligo discende dall'articolo 7 del D.Lgs. 138/2024, come ricostruito dal Vademecum NIS pubblicato da ACN e commentato da Unindustria. La registrazione identifica il soggetto e lo inserisce nel sistema NIS; l'aggiornamento mantiene allineate nel tempo le informazioni; la categorizzazione di attività e servizi misura l'impatto e permette di applicare il principio di proporzionalità.

Tre passaggi diversi, dunque, che il Vademecum invita a leggere come un processo continuo e non come una sequenza di comunicazioni scollegate.

Cosa preparare prima di gennaio

Il portale non perdona i dati incoerenti. Prima di aprire la sessione, raccolgo sempre le stesse informazioni in un unico foglio condiviso con la direzione.

• Dati anagrafici e di contatto aggiornati, compresa la delega e il punto di contatto.
• Descrizione delle attività e dei servizi svolti, con i settori dell'allegato in cui l'organizzazione si riconosce.
• Eventuali variazioni intervenute nell'anno: nuove sedi, nuovi servizi, fusioni, cambi di fornitori rilevanti.
• Credenziali e ruoli sul portale: chi è il punto di contatto, chi ha la delega, chi può accedere.

Un caso tipico, ipotetico: il punto di contatto designato ha cambiato incarico durante l'anno e nessuno ha aggiornato il portale. Il giorno in cui serve una comunicazione urgente, il referente non c'è più.

Registrazione NIS2 ACN: il calendario di lavoro da dicembre

Lavorare a gennaio, con la finestra già aperta, significa farlo sotto pressione. Propongo una scansione in tre tempi che lascia margine anche agli imprevisti del portale.

1. Dicembre. Si apre il fascicolo: anagrafica, delega, punto di contatto, elenco dei servizi. Si interpellano i responsabili di ciascun reparto per confermare i dati e si verifica che chi ha le credenziali abbia ancora il ruolo attribuito.
2. Gennaio. Si accede al portale nella prima metà del mese, si controllano i dati già presenti, si inseriscono le variazioni e si salva la ricevuta. Se emergono dubbi sulla qualificazione (soggetto importante o essenziale) si chiude la questione adesso, non a febbraio.
3. Febbraio. Resta il margine per correggere errori e completare le informazioni mancanti, senza essere a ridosso del 28.

Un fascicolo ben tenuto contiene sempre le stesse cose: la copia dei dati inviati, la ricevuta del portale, le delibere di nomina del punto di contatto e le istruzioni interne su chi può accedere. Se l'organizzazione cambia consulente o responsabile, quel fascicolo evita di ricominciare da capo. Chi gestisce più società o più sedi dovrebbe prevedere una scheda per ciascuna entità, e documentare le scelte fatte sul perimetro, con la ragione, per poterle ricostruire in caso di richiesta di chiarimenti.

Fornitori rilevanti e categorizzazione

Le determinazioni ACN del 2026 hanno introdotto anche l'elencazione dei fornitori rilevanti: la Determinazione 127437/2026 aggiorna le modalità di accesso alla piattaforma con un apposito articolo 18, come riporta Assolombarda. Un fornitore è rilevante, secondo la lettura delle determinazioni, se fornisce servizi ICT dell'allegato I (punti 8 e 9) oppure se è non fungibile, cioè la sua interruzione avrebbe un impatto significativo.

Ne consegue che il registro dei fornitori non può restare un elenco di nomi: serve una classificazione per criticità, con la motivazione scritta.

Errori da evitare

1. Considerare la registrazione conclusa dopo il primo anno e non rientrare nella finestra successiva.
2. Dichiarare servizi o dati senza una fonte interna: ogni campo deve poter essere ricondotto a un responsabile.
3. Non allineare la registrazione con la categorizzazione e con il perimetro dei sistemi.
4. Lasciare tutto a fine febbraio, quando eventuali blocchi sul portale non lasciano margine.

La registrazione è un atto formale, ma i dati che contiene descrivono l'organizzazione agli occhi dell'autorità. Conviene che un amministratore li legga prima dell'invio e ne confermi l'esattezza.

Cosa fare adesso

Fissa in calendario un lavoro di due ore a dicembre per rivedere i dati e riunire i documenti. Verifica poi se l'organizzazione rientra davvero nel perimetro con il test di applicabilità NIS2. Per un supporto operativo vedi la pagina consulente NIS2, e per i concetti di base la voce ACN del glossario. La checklist NIS2 ti aiuta a collegare la registrazione alle misure di sicurezza.