Il punto di contatto NIS2 e la persona che funge da interfaccia tra l'organizzazione e l'ACN. E obbligatorio designarlo e registrarlo sulla piattaforma dell'Agenzia. Ma chi dovrebbe essere? Quali competenze deve avere? E come si formalizza la nomina?
Requisiti del punto di contatto
La normativa non specifica requisiti formali precisi, ma nella pratica il punto di contatto deve: avere accesso e conoscenza dei sistemi informativi dell'organizzazione, essere raggiungibile h24 per le emergenze, avere l'autorita per coordinare le risposte agli incidenti, saper interagire con l'ACN e il CSIRT a livello tecnico e organizzativo. La Determinazione ACN 379887/2025 aggiunge un vincolo gerarchico: il punto di contatto riferisce direttamente al vertice del soggetto NIS e agli organi di amministrazione e direttivi. Per il quadro normativo completo, vedi la guida alla direttiva NIS2.
Chi nominare
| Profilo | Pro | Contro |
|---|---|---|
| CISO | Competenza tecnica completa | Potrebbe mancare in azienda |
| Responsabile IT | Conosce l'infrastruttura | Potrebbe non avere visione strategica |
| DPO | Esperienza normativa | Potrebbe mancare competenza tecnica cyber |
| Manager dedicato | Focus esclusivo NIS2 | Costo aggiuntivo |
| Consulente esterno | Utile come supporto tecnico specialistico | Non puo ricoprire il ruolo: l'ACN vieta l'esternalizzazione (FAQ RR.3) |
Attenzione a un equivoco diffuso: affidare la nomina in blocco a una societa di consulenza. Su questo l'ACN e netta — il punto di contatto e il suo sostituto non possono essere esternalizzati, pur restando ferma la facolta di avvalersi di personale esterno nell'espletamento delle proprie funzioni. In pratica la firma e l'interlocuzione con l'Agenzia restano interne, il know-how puo arrivare da fuori.
Come formalizzare la nomina
La nomina deve essere formalizzata con una delibera del CdA o una lettera di incarico che specifichi: identita del punto di contatto, ambito delle responsabilita, deleghe operative, risorse assegnate, obblighi di reportistica verso il management. Il punto di contatto va poi registrato sulla piattaforma ACN: l'accesso avviene con SPID o CIE e serve caricare il titolo giuridico che delega a operare per conto del soggetto, anche una delega preesistente piu ampia.
Il sostituto del punto di contatto
Cosa succede se il punto di contatto e in ferie quando arriva un'ispezione ACN? Serve un sostituto. L'ACN lo designa con le stesse modalita previste per il titolare: puo interloquire direttamente con l'Autorita nazionale competente e compiere sulla piattaforma NIS le medesime azioni del punto di contatto. Designa quindi almeno una persona come sostituto, con le stesse credenziali e la stessa conoscenza dei processi. Un incidente alle 3 di notte di sabato non aspetta il lunedi.