L’obbligo di registrazione sul portale ACN per i soggetti NIS2 è scattato il 1° dicembre 2024 e deve essere completato entro il 28 febbraio 2025. Il mancato rispetto di questa scadenza può comportare sanzioni significative per le organizzazioni inadempienti.

Tempistiche chiave

• ▶ 1° dicembre 2024: Apertura portale
• ▶ 17 gennaio 2025: Scadenza fornitori digitali
• ▶ 28 febbraio 2025: Termine ultimo generale

• Entro metà maggio 2025 → Le aziende soggette alla normativa devono comunicare le proprie informazioni e aggiornarle tempestivamente (entro 14 giorni in caso di modifiche).
• Entro gennaio 2026 → Entro 9 mesi dalla notifica di inserimento nell’elenco NIS, devono rispettare gli obblighi di base per la segnalazione degli incidenti.
• Entro ottobre 2026 → Entro 18 mesi dalla notifica di inserimento nell’elenco NIS, devono adeguarsi agli obblighi minimi di sicurezza informatica.

Dal punto di vista operativo, la procedura di registrazione della tua organizzazione al portale ACN, accessibile tramite questo link, deve essere completata da una persona fisica con i necessari poteri di rappresentanza. L’accesso al portale avviene tramite SPID o CIE e dovrebbe essere gestito direttamente dal legale rappresentante o da un procuratore generale.

In alternativa, è possibile delegare un altro soggetto, caricando la relativa documentazione direttamente sul portale. Il processo di registrazione si articola in tre fasi principali:

Fase 1: Censimento del punto di contatto

In questa fase, è necessario fornire i seguenti dati del punto di contatto:

• Nome e cognome
• Luogo e data di nascita
• Codice fiscale
• Cittadinanza
• Paese di residenza e, se richiesto, di domicilio
• Indirizzo email ordinario, preferibilmente individuale e professionale
• Indirizzo PEC, se disponibile
• Numero di telefono, preferibilmente individuale e professionale
• Numero di telefono alternativo, se disponibile

Questi dati sono fondamentali per identificare correttamente il punto di contatto all’interno dell’organizzazione.

Fase 2: Associazione del punto di contatto al Soggetto NIS2

Dopo il censimento, il punto di contatto deve essere associato al soggetto NIS. Utilizza il codice fiscale (per soggetti pubblici e privati) o il codice IPA (per pubbliche amministrazioni) per collegare il punto di contatto all’organizzazione. Se il punto di contatto non è il rappresentante legale o un procuratore generale registrato nel registro delle imprese, è necessario caricare un titolo giuridico che lo autorizzi ad operare per conto dell’organizzazione.

Fase 3: Compilazione della dichiarazione

Nell’ultima fase, si procede alla compilazione della dichiarazione, che richiede:

• Elenco dei codici ATECO relativi alle attività svolte e ai servizi erogati dall’organizzazione, con particolare riferimento all’ambito di applicazione della Direttiva NIS2.

• Eventuali normative europee settoriali applicabili all’organizzazione.
• Tipologie di soggetti a cui l’organizzazione è riconducibile, come specificato negli allegati I, II, III e IV del decreto NIS.

È essenziale assicurarsi che tutte le informazioni fornite siano accurate e complete per garantire la conformità alla normativa vigente.

La Direttiva NIS2 introduce un regime sanzionatorio rigoroso per garantire la sicurezza delle reti e dei sistemi informativi. Le sanzioni variano in base alla classificazione dell’entità e alla gravità delle violazioni:

Sanzioni per le entità essenziali:

• Multe fino a 10 milioni di euro o al 2% del fatturato globale annuo totale dell’esercizio precedente, scegliendo l’importo più elevato.

Sanzioni per le entità importanti:

• Multe fino a 7 milioni di euro o all’1,4% del fatturato globale annuo totale dell’esercizio precedente, scegliendo l’importo più elevato.

Sanzioni per i dirigenti:

• La direttiva prevede sanzioni accessorie che possono includere la sospensione temporanea dalle funzioni dirigenziali per i responsabili che non adempiono agli obblighi di sicurezza informatica.

Altre sanzioni:

• In caso di mancata registrazione, comunicazione o aggiornamento delle informazioni richieste dall’Agenzia per la Cybersicurezza Nazionale (ACN), possono essere comminate sanzioni amministrative pecuniarie fino allo 0,1% del fatturato annuo globale dell’organizzazione.

È fondamentale che le organizzazioni interessate si adeguino tempestivamente agli obblighi previsti dalla Direttiva NIS2 per evitare tali sanzioni e garantire la sicurezza delle proprie infrastrutture digitali.