Dal 2027, un soggetto NIS che ha già trasmesso la propria dichiarazione e non ha modifiche da comunicare non dovrà inviarne una nuova. È la novità annunciata dall’Agenzia per la cybersicurezza nazionale il 23 ottobre 2026, in vista della registrazione che prenderà avvio a gennaio. ACN ha pubblicato la Determinazione n. 314287/2026 e aggiornato le FAQ dedicate alla registrazione.
È una semplificazione amministrativa significativa: evita di ripetere una trasmissione quando non vi sono variazioni.
Sarebbe però un errore trasformarla nella formula «nel 2027 non dobbiamo fare nulla». L’assenza di modifiche è una conclusione a cui arrivare dopo aver confrontato i dati già dichiarati con la situazione attuale, non una condizione da presumere.
Indice degli argomenti
NIS2: che cosa cambia dal 2027, e per chi
La novità riguarda i soggetti che hanno già presentato una dichiarazione NIS. Per loro, se le informazioni da comunicare non sono cambiate, ACN non richiede l’invio di una nuova dichiarazione. Se invece vi sono variazioni, occorre seguire le modalità previste dalla determinazione e dalle istruzioni aggiornate del Portale.
La semplificazione non va estesa automaticamente ai soggetti che devono registrarsi per la prima volta.
Sul piano operativo, il controllo dovrebbe coinvolgere almeno chi presidia la registrazione e le funzioni che conoscono l’evoluzione dell’organizzazione e dei servizi.
Acquisizioni, riorganizzazioni, cambiamenti delle attività o dei riferimenti comunicati ad ACN sono esempi di circostanze da esaminare: non significa che ciascuna produca necessariamente una nuova dichiarazione, ma che non si può dichiarare immutata la situazione senza verificarla.
È utile conservare traccia del confronto svolto, delle eventuali variazioni individuate e della decisione assunta. Questa è una buona prassi di governo dell’adempimento, non un nuovo documento autonomo imposto dall’annuncio ACN.
Il 31 ottobre non è una scadenza generale della NIS2
ACN segnala anche un passaggio ravvicinato: dal 31 ottobre 2026 non sarà più possibile trasmettere dichiarazioni tardive, per consentire l’introduzione delle modifiche alla piattaforma previste dalla determinazione.
Chi si trova ancora in quella situazione deve quindi valutare tempestivamente la propria posizione. La data non va però presentata come termine generale per completare misure di sicurezza, categorizzazione o notifiche degli incidenti: riguarda specificamente la possibilità di inviare dichiarazioni tardive nella fase di transizione del Portale.
Meno duplicazioni, responsabilità invariata
La Determinazione ACN interviene sul percorso di registrazione, non abroga gli obblighi sostanziali del D.lgs. 138/2024. Restano distinti gli adempimenti relativi alle misure di gestione del rischio, alla governance, alle informazioni da mantenere aggiornate e alla notifica degli incidenti secondo le rispettive regole applicabili.
Per le organizzazioni e per chi le assiste, il lavoro in vista del 2027 non consiste dunque nel predisporre automaticamente una nuova dichiarazione per tutti. Consiste nel verificare chi è già registrato, confrontare le informazioni trasmesse con quelle attuali, identificare i casi che richiedono un aggiornamento e seguire le istruzioni operative del Portale ACN.
La semplificazione funziona se elimina una duplicazione. Non funziona se diventa una scorciatoia che lascia dati non più attuali nella registrazione NIS.
Partecipa alla community