L’Agenzia per la Cybersicurezza Nazionale ha pubblicato il nuovo Vademecum NIS, uno strumento operativo che sintetizza gli adempimenti principali previsti dal decreto NIS per i soggetti essenziali e importanti, con particolare attenzione a scadenze, ruoli e modalità di interazione con il portale ACN.

Il documento, aggiornato a settembre 2026, offre indicazioni di carattere generale e rinvia alle FAQ tematiche presenti sul sito istituzionale, pensate per accompagnare le organizzazioni nella corretta applicazione della disciplina. 

Parte centrale del Vademecum è il calendario degli adempimenti: sono sei i blocchi principali, che discendono dagli artt. 7, 23, 24, 25 e 30 del decreto NIS (D.Lgs. 138/2024 che recepisce la Dir. UE 2022/2555) e che scandiscono, lungo l’anno, registrazione, trasmissione delle informazioni, obblighi degli organi di amministrazione, misure di gestione del rischio, notifica degli incidenti ed elencazione e categorizzazione di attività e servizi.

Dal 1° gennaio al 28 febbraio tutti i soggetti NIS devono effettuare o rinnovare la registrazione tramite il Servizio Web dedicato disponibile sul portale ACN, ricevendo entro il 14 aprile la comunicazione di inserimento, permanenza o esclusione dall’elenco. 

Segue, dal 15 aprile al 31 maggio, la finestra annuale per la trasmissione e l’aggiornamento delle informazioni, che devono comunque essere aggiornate tempestivamente e, in ogni caso, entro 14 giorni da ogni variazione rilevante. 

Dal 1° maggio al 30 giugno è invece prevista la categorizzazione delle attività e dei servizi, attraverso il servizio NIS dedicato, sulla base del modello e delle linee guida approvate da ACN. 

Il Vademecum chiarisce anche le tempistiche di entrata a regime delle misure di sicurezza di base e degli obblighi di notifica degli incidenti significativi: i soggetti NIS inseriti nell’elenco nel 2025 devono notificare gli incidenti allo CSIRT Italia a partire da maggio 2026 e completare le misure di base entro ottobre 2026; per chi è stato inserito nel 2026, la notifica scatterà da maggio 2027, con adozione delle misure entro luglio 2027. 

Una sezione di focus è dedicata alla registrazione, descritta come il processo attraverso il quale il soggetto NIS comunica all’Autorità nazionale competente le informazioni necessarie a verificarne l’inclusione nell’ambito di applicazione e la corretta tipologia, sulla base degli allegati al decreto. In questa fase viene designato anche il punto di contatto, figura centrale per l’attuazione delle disposizioni NIS e per il dialogo con ACN e con lo CSIRT Italia. 

Ulteriori approfondimenti riguardano l’aggiornamento delle informazioni, che include dati anagrafici del soggetto, dei referenti, dei componenti degli organi amministrativi, degli eventuali fornitori rilevanti, degli indirizzi IP statici e delle sedi nell’Unione europea, con obbligo di mantenerli sempre completi e aggiornati. 

Infine, il Vademecum illustra l’adempimento relativo all’elencazione e categorizzazione delle attività e dei servizi, concepito come un’analisi semplificata e armonizzata che consente all’Autorità di calibrare gli obblighi di sicurezza in modo proporzionato, sulla base di un modello standardizzato e supportato da FAQ dedicate. 

Tutte le comunicazioni con l’Autorità nazionale competente NIS devono avvenire tramite i servizi autenticati del portale ACN, dove è disponibile anche un servizio di assistenza (Service Desk) per segnalare criticità e formulare quesiti su disciplina, status NIS e funzionamento della piattaforma.

Fonte: Vademecum NIS ACN