La registrazione sulla piattaforma ACN è il primo adempimento concreto della NIS2. Ogni soggetto essenziale o importante deve registrarsi dichiarando i propri dati, i servizi erogati e il punto di contatto designato. Non si tratta di una formalità: è l'atto con cui l'azienda entra ufficialmente nel perimetro di vigilanza dell'Agenzia per la Cybersicurezza Nazionale.
Chi deve registrarsi
La domanda che si pone quasi ogni imprenditore: la mia azienda rientra davvero nel perimetro? La risposta dipende da due variabili: il settore di attività e le dimensioni aziendali. Ecco la distinzione operativa:
| Tipo di soggetto | Dimensione minima | Settori di riferimento |
|---|---|---|
| Soggetto essenziale | Grande impresa: 250+ dipendenti, oppure fatturato oltre 50M€ e insieme bilancio oltre 43M€ | Allegato I: energia, trasporti, banche, mercati finanziari, sanità, acqua, acque reflue, infrastrutture digitali, servizi ICT B2B, spazio. A prescindere dalla dimensione: servizi fiduciari qualificati, TLD, DNS, PA centrali |
| Soggetto importante | Media impresa: 50-249 dipendenti, oppure fatturato e bilancio entrambi oltre 10M€ | Allegato I (medie imprese) + Allegato II: servizi postali, gestione rifiuti, chimica, alimentare, fabbricazione, fornitori digitali, ricerca |
| Fuori perimetro (in linea di massima) | Piccole e micro imprese: meno di 50 dipendenti e fatturato o bilancio fino a 10M€ | Eccezioni a qualsiasi dimensione (art. 3, comma 5): telecomunicazioni, servizi fiduciari, TLD e DNS, registrar, soggetti critici — più le designazioni ACN |
Se hai dubbi sul tuo settore ATECO o sulla classificazione, consulta la guida completa NIS2. In caso di incertezza, la registrazione resta consigliata: l'ACN valuterà la tua dichiarazione. Gli obblighi NIS2 per le aziende variano poi tra soggetti essenziali e importanti.
Documenti e informazioni necessarie
Prima di aprire il portale, è utile avere tutto a portata di mano. La compilazione interrotta a metà non si salva automaticamente e ricominciare da capo è frustrante.
| Informazione | Dettagli | Note pratiche |
|---|---|---|
| Dati identificativi | Ragione sociale, codice fiscale, partita IVA, sede legale | Devono corrispondere esattamente alla visura camerale |
| Settore di appartenenza | Allegato I o II del D.Lgs. 138/2024, con codice ATECO | Il portale suggerisce il settore in base all'ATECO — verificare che sia corretto |
| Servizi erogati | Descrizione dei servizi rilevanti per la NIS2 | Essere specifici: indicare il tipo di servizio e i destinatari, non una descrizione generica |
| Punto di contatto | Nome, ruolo, email, telefono, SPID del referente NIS2 | Deve essere una persona fisica con SPID — non una casella generica |
| Dati dimensionali | Numero dipendenti, fatturato annuo, totale di bilancio | Riferiti all'ultimo esercizio approvato |
| Perimetro IT | Descrizione sintetica dell'infrastruttura informatica rilevante | Focus sui sistemi che supportano i servizi dichiarati |
| Certificazioni (se presenti) | ISO 27001, SOC 2, o altre certificazioni di sicurezza | Non obbligatorie, ma utili per la successiva classificazione |
Come compilare il portale ACN: passo per passo
Ecco la procedura completa per la compilazione del portale ACN, dall'accesso all'invio. Ogni step richiede attenzione: un errore nei dati identificativi o nella classificazione del settore può comportare la necessità di riaprire la dichiarazione nella finestra successiva.
- Accedi al portale con SPID o CIE del Punto di Contatto — Vai su portale.acn.gov.it e autenticati con le credenziali personali (SPID, CIE, CNS o eIDAS) del soggetto che sarà designato come Punto di Contatto NIS2. Non utilizzare le credenziali di un altro dipendente: l'identità digitale del POC è quella che firma la dichiarazione.
- Crea o accedi al profilo dell'organizzazione — Se è la prima registrazione, il sistema chiederà di associare il tuo SPID all'organizzazione tramite codice fiscale o codice IPA (per le PA). Inserisci i dati aziendali di base e verifica che la PEC risulti attiva e raggiungibile: l'ACN usa questa casella per le comunicazioni ufficiali.
- Seleziona il settore di attività e i codici ATECO — Il portale presenta l'elenco dei settori degli Allegati I e II. Seleziona il settore principale e quelli secondari pertinenti. Il sistema propone automaticamente alcune categorie in base all'ATECO registrato: verifica che la corrispondenza sia corretta, non dare per scontata la proposta automatica.
- Dichiara le dimensioni aziendali — Inserisci il numero di dipendenti (teste, non FTE), il fatturato annuo e il totale di bilancio dell'ultimo esercizio approvato. Questi dati determinano la tua classificazione come soggetto essenziale o importante.
- Descrivi i servizi erogati — Dettaglia i servizi che rientrano nell'ambito NIS2: quali sistemi informativi li supportano, verso quali destinatari (clienti B2B, B2C, PA). Più la descrizione è precisa, più la classificazione ACN sarà corretta. Evita descrizioni vaghe.
- Censisci il Punto di Contatto e il Referente CSIRT — Inserisci i dati completi del POC (nome, cognome, email diretta, telefono, ruolo). Se la tua azienda ha già individuato anche un Referente CSIRT, registralo in questa fase. Per approfondire il ruolo e i requisiti di questa figura leggi come nominare il punto di contatto NIS2.
- Compila la sezione sull'infrastruttura IT — Descrivi sinteticamente il perimetro tecnologico che supporta i servizi dichiarati: tipologia di infrastruttura (on-premise, cloud, ibrida), principali fornitori tecnologici, eventuali certificazioni di sicurezza. Questa sezione alimenta il questionario di autovalutazione che l'ACN potrà inviarti successivamente.
- Rivedi, conferma e invia — Prima dell'invio definitivo, il portale mostra un riepilogo completo della dichiarazione. Leggila per intero: una volta inviata, la dichiarazione è vincolante fino alla prossima finestra annuale di aggiornamento. Il sistema genera una ricevuta di registrazione che va conservata.
Errori comuni nella compilazione del portale ACN
Dalla prima fase di registrazione (piattaforma aperta da dicembre 2024, prima scadenza 28 febbraio 2025) sono emersi pattern ricorrenti di errore. Conoscerli in anticipo fa risparmiare tempo e riduce il rischio di dichiarazioni da correggere.
- SPID sbagliato all'accesso — Molte aziende tentano di accedere con le credenziali SPID aziendali o con lo SPID di un dipendente diverso dal POC designato. Il portale richiede lo SPID personale della persona fisica nominata come Punto di Contatto. Se il POC non ha ancora lo SPID, deve richiederlo prima di procedere.
- Settore ATECO non corrispondente all'Allegato — Il sistema suggerisce il settore in base all'ATECO, ma la corrispondenza non è sempre univoca. Un'azienda con ATECO manifatturiero può rientrare nell'Allegato II se produce beni critici. Verificare manualmente la corrispondenza tra l'ATECO e i settori del D.Lgs. 138/2024.
- Dati dimensionali non aggiornati — Inserire dipendenti e fatturato di esercizi precedenti o stime non documentate. L'ACN può richiedere evidenza dei dati dichiarati: usare sempre i valori dell'ultimo bilancio approvato.
- Descrizione servizi troppo generica — Una descrizione vaga non aiuta la classificazione corretta e può portare a richieste di chiarimento da parte dell'ACN. Specificare cosa si fa, per chi e su quale infrastruttura.
- PEC non monitorata — La PEC aziendale inserita nel portale è il canale ufficiale per le comunicazioni ACN. Molte PMI hanno una PEC attiva ma non controllata regolarmente. Assicurarsi che qualcuno nella struttura verifichi questa casella periodicamente.
Dopo la registrazione: cosa aspettarsi
La registrazione non chiude un adempimento — apre un percorso. Dal momento in cui sei registrato sul portale ACN, entri formalmente nel sistema di vigilanza NIS2.
L'ACN può inviarti, via PEC, comunicazioni ufficiali, richieste di integrazione dei dati, o questionari di autovalutazione sulle misure di sicurezza adottate. Questi questionari periodici mappano il livello di maturità cyber dell'organizzazione e confluiscono nel sistema di monitoraggio nazionale. Non sono opzionali: la mancata risposta può configurarsi come inadempimento.
Ogni anno, tra il 1° gennaio e il 28 febbraio, si apre la finestra obbligatoria di aggiornamento. I soggetti già classificati trovano nel portale una dichiarazione pre-compilata da confermare o aggiornare: dati aziendali, Punto di Contatto, Referente CSIRT. Se sono cambiate le dimensioni aziendali, i servizi erogati o il referente, va aggiornato. Tra il 15 aprile e il 31 maggio si apre poi una seconda finestra per integrazioni. Per preparare le scadenze successive, la checklist NIS2 2026 passo per passo mette in ordine le misure da documentare.
La scadenza più rilevante del 2026 cade a ottobre 2026 per chi ha ricevuto la comunicazione di inclusione ad aprile 2025: il decreto concede 18 mesi da quella comunicazione per gli obblighi degli artt. 23, 24 e 29 (art. 42), cioè le misure di sicurezza di base previste dall'ACN, con documentazione dimostrabile. La registrazione è il punto di partenza, non il traguardo.