NIS2, registrazione ACN entro il 28 febbraio: chi deve iscriversi e cosa scatta dopo

La finestra annuale per la registrazione dei soggetti NIS2 sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale è aperta dal 1° gennaio e chiude il 28 febbraio. Se la tua azienda opera in uno dei settori del decreto e supera le soglie dimensionali, l’iscrizione non è una scelta: è un obbligo di legge, con sanzioni per chi lo ignora. E la registrazione è solo il primo passo di un calendario che nel 2026 entra nella fase operativa.

Perché ti riguarda: molte imprese italiane rientrano nel perimetro senza saperlo. La direttiva non riguarda solo banche e telecomunicazioni: tocca manifattura, trasporti, gestione rifiuti, servizi digitali e altri settori dove le PMI strutturate abbondano.

Chi deve registrarsi?

Il riferimento è il decreto legislativo 138 del 4 settembre 2024, che ha recepito in Italia la direttiva europea NIS2 e ha designato l’ACN come autorità nazionale competente. La sezione NIS del sito ACN raccoglie normativa, determinazioni e accesso alla piattaforma di registrazione.

Il criterio generale combina due elementi: il settore di attività e la dimensione. I settori sono elencati negli allegati al decreto e coprono ambiti ad alta criticità, come energia, trasporti, sanità e infrastrutture digitali, più altri settori critici, tra cui la fabbricazione di determinate categorie di prodotti, i servizi postali, la gestione dei rifiuti e i fornitori di servizi digitali. Sul fronte dimensionale, l’ordine di grandezza da tenere a mente è quello dell’impresa media: indicativamente dai 50 dipendenti o dai 10 milioni di euro in su, con eccezioni e casi particolari che il decreto disciplina settore per settore.

La conseguenza pratica: il titolare di un’azienda manifatturiera o di servizi con più di 50 dipendenti non può assumere di esserne fuori. Deve verificare, con il proprio legale o con un consulente, se il codice attività e la dimensione la collocano nel perimetro. La verifica costa poco. Scoprire l’obbligo dopo una contestazione costa molto di più.

Come funziona la registrazione?

La registrazione avviene sulla piattaforma digitale dell’ACN, con finestra annuale dal 1° gennaio al 28 febbraio. L’azienda censisce sé stessa: dati anagrafici, settore, punto di contatto. Non è una certificazione e non richiede audit: è un’autodichiarazione strutturata, che serve all’Agenzia per costruire l’elenco dei soggetti NIS e graduare gli obblighi.

Il calendario prosegue poi con una seconda finestra: tra il 15 aprile e il 31 maggio di ogni anno i soggetti registrati devono aggiornare e integrare le informazioni fornite. Chi si è registrato negli anni precedenti non è quindi a posto per sempre: l’aggiornamento annuale è parte dell’obbligo.

Scadenza: 28 febbraio per la registrazione, 31 maggio per l’aggiornamento dei dati. Due date da mettere nel calendario aziendale accanto alle scadenze fiscali.

Cosa scatta dopo la registrazione?

Il 2026 è l’anno in cui la NIS2 italiana passa dagli adempimenti anagrafici agli obblighi sostanziali, secondo il calendario graduale pubblicato dall’ACN.

Da gennaio 2026 sono operativi gli obblighi di notifica degli incidenti significativi: il soggetto NIS che subisce un incidente rilevante deve segnalarlo all’Agenzia nei termini previsti. Non è più teoria: un ransomware che ferma la produzione, oggi, per un’azienda nel perimetro comporta anche un obbligo di comunicazione formale, con tempi stretti.

Entro ottobre 2026 i soggetti devono poi aver adottato le misure di sicurezza di base definite dall’Agenzia: gestione dei rischi, controllo degli accessi, gestione delle vulnerabilità e degli aggiornamenti, continuità operativa, sicurezza della catena di fornitura. Per un’azienda partita da zero, otto mesi non sono molti: la valutazione del divario tra lo stato attuale e i requisiti richiesti conviene farla adesso, non a settembre.

Cosa c’entra il software che usi ogni giorno?

Più di quanto sembri. Tra le misure richieste, la gestione degli aggiornamenti e la sicurezza della catena di fornitura chiamano in causa direttamente i fornitori di software dell’azienda: chi sviluppa il gestionale, chi gestisce i server, chi eroga i servizi cloud. Il questionario di sicurezza che molte PMI hanno iniziato a ricevere dai clienti grandi nasce esattamente da qui.

C’è poi un effetto a catena sulle forniture. L’azienda nel perimetro NIS2 ha interesse a scegliere fornitori software in grado di documentare le proprie pratiche di sicurezza, perché ne risponde. Il fornitore che non sa rispondere a domande su vulnerabilità, backup e notifica degli incidenti diventa un rischio di conformità, oltre che tecnico. È lo stesso principio che vale per gli adeguamenti fiscali: come abbiamo mostrato per le novità della fatturazione elettronica, la reattività del fornitore agli obblighi normativi è il test più affidabile della sua solidità.

In pratica: i tre passi per febbraio

• Verifica del perimetro. Codice attività negli allegati del decreto 138/2024 più soglia dimensionale: la risposta è sì, no, o da approfondire con un consulente. Documenta la valutazione anche se la risposta è no.
• Registrazione entro il 28 febbraio sulla piattaforma ACN, se la risposta è sì. Serve un punto di contatto interno con nome, ruolo e recapiti presidiati.
• Piano verso ottobre. Un’analisi del divario rispetto alle misure di base richieste, con priorità e budget. Le misure fondamentali coincidono in gran parte con la buona igiene informatica che un’azienda dovrebbe avere comunque.

La NIS2 viene raccontata spesso come un adempimento calato dall’alto. Per una PMI strutturata è anche un’occasione per fare ordine: sapere quali sistemi tengono in piedi l’azienda, chi li mantiene e cosa succede se si fermano è un’informazione che vale a prescindere dall’obbligo. La scadenza di febbraio è solo il promemoria con la data stampata sopra.