Domani, 31 ottobre 2026, l’Agenzia per la Cybersicurezza Nazionale chiude il canale delle dichiarazioni tardive NIS. Non è un’interpretazione allarmistica: lo scrive ACN stessa, nell’avviso pubblicato il 23 ottobre, nero su bianco. Da quella data, chi non si è ancora presentato all’appello non potrà più farlo attraverso la procedura tardiva, perché il portale verrà aggiornato per recepire le nuove regole.
Indice degli argomenti
Le nuove regole ACN sulla registrazione NIS2
Le nuove regole stanno nella Determinazione ACN n. 314287/2026, firmata il 20 ottobre e applicabile — secondo le ricostruzioni della stampa specializzata — dal 25 ottobre. Sostituisce la precedente Determinazione n. 127437 di aprile e ridisegna le procedure di registrazione e aggiornamento dell’elenco dei soggetti NIS in vista della finestra 2027. Il testo è stato discusso durante la decima riunione del Tavolo NIS, quindi nessuno potrà dire che è piovuto dal cielo: le associazioni di categoria erano al tavolo, letteralmente.
Ogni Consiglio di Amministrazione che aveva archiviato la pratica NIS2 nella cartella “appena il legale ha un attimo” scopre oggi che l’attimo è scaduto ieri. E la cosa interessante, come vedremo, è che la cartella era intestata male fin dall’inizio: la pratica non era del legale.
Registrazione NIS2 2027: chi evita la nuova dichiarazione
Partiamo dalla notizia che il vostro responsabile compliance vi porterà con il sorriso. Chi è già regolarmente nell’elenco NIS e non ha variazioni da comunicare non dovrà trasmettere una nuova dichiarazione nella finestra di registrazione del 2027 (1° gennaio – 28 febbraio). Resterà in elenco con lo status già attribuito e riceverà da ACN una comunicazione di permanenza. Attenzione alla formula: non significa “non dovete più fare nulla”, significa “non dovete rifare la dichiarazione se nulla è cambiato”.
Restano in piedi l’aggiornamento annuale delle informazioni nella finestra 15 aprile – 31 maggio (incluso l’elenco dei fornitori rilevanti), la categorizzazione delle attività tra 1° maggio e 30 giugno, e l’obbligo di comunicare le variazioni entro 14 giorni. La semplificazione toglie un adempimento ridondante, non la vigilanza.
Seconda comodità, per chi si registra: secondo la determina — come ricostruito dalla stampa di settore — in fase di registrazione sarà normalmente sufficiente indicare la categoria dimensionale dell’impresa (micro, piccola, media o grande, ai sensi della raccomandazione 2003/361/CE), senza dover inserire fatturato, totale di bilancio e numero dei dipendenti. I valori puntuali verranno richiesti solo in caso di incongruenze. Un dettaglio tecnico che vale un’osservazione: se ACN rinuncia ai numeri di bilancio è perché quei numeri li può già incrociare altrove. La semplificazione amministrativa non è mai una riduzione della visibilità dell’Agenzia su di voi; è il contrario.
Nel pacchetto ci sono altre novità operative che meritano un passaggio in CdA più che una nota a piè di pagina: l’accesso al portale anche con CNS ed eIDAS oltre a CIE e SPID; la nuova istanza di revisione dell’inquadramento, da presentare entro 60 giorni dalla comunicazione ACN a pena di decadenza — formula che in linguaggio giuridico significa “dopo, silenzio”; le regole per fusioni e cessioni di ramo d’azienda, dove il soggetto risultante si registra e il cedente comunica i dati del cessionario.
Chi ha operazioni straordinarie in pipeline per il 2027 farebbe bene a mettere la variabile NIS nel data room adesso, non alla firma.
Dichiarazioni tardive NIS: cosa succede dal 31 ottobre
Fin qui il regime ordinario funzionava con una valvola di sfogo: le dichiarazioni tardive presentate entro il 1° settembre valevano per l’anno in corso. Era la rete di sicurezza di chi si accorgeva in ritardo di rientrare nel perimetro — e in Italia, con un perimetro NIS2 che tocca diciotto settori e migliaia di imprese che non si sono mai percepite come “infrastruttura critica”, gli accorgimenti in ritardo non sono l’eccezione, sono la statistica. Dal 31 ottobre quella rete viene arrotolata.
Qui sta l’ironia perfetta di questa vicenda: la burocrazia si alleggerisce proprio nel momento in cui chiude la porta a chi non si è ancora presentato. Per chi è dentro, meno moduli. Per chi è fuori, niente più modulo. La distanza tra compliance semplificata e compliance disattesa non è mai stata così corta sul calendario e così lunga sulle conseguenze.
E non vale il ragionamento consolatorio del “tanto non ci hanno individuato”. La determina disciplina anche i soggetti individuati d’ufficio da ACN: registrazione entro 30 giorni dalla notifica, o nella finestra successiva se la notifica arriva dopo il 31 luglio. Tradotto dal burocratese: l’Agenzia non aspetta che vi autodenunciate, vi viene a cercare.
E quando un’autorità di vigilanza vi trova prima che vi siate presentati, il colloquio inizia con una premessa diversa. Chiunque abbia gestito un’ispezione sa che la differenza tra “ci siamo registrati spontaneamente” e “ci avete trovato voi” non sta nella sanzione in sé, ma nel tono di tutto quello che viene dopo.
NIS2, la responsabilità personale degli amministratori
Veniamo al punto che rende questa scadenza materia da Consiglio e non da circolare interna. L’articolo 23 del D.Lgs. 138/2024 — il decreto che ha recepito la NIS2 in Italia — stabilisce che gli organi di amministrazione e direttivi dei soggetti essenziali e importanti approvano le modalità di implementazione delle misure di gestione dei rischi, sovrintendono all’implementazione degli obblighi del decreto, inclusi quelli dell’articolo 7 — cioè proprio la registrazione sulla piattaforma di cui stiamo parlando — e, testuale, “sono responsabili delle violazioni“. Lo stesso articolo impone ai membri del board una formazione in materia di sicurezza informatica. Non ai dipendenti: a voi. Il legislatore ha scritto esplicitamente che la delega non è un paracadute.
Il conto, quando qualcosa va storto, lo presenta l’articolo 38. Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; per gli importanti fino a 7 milioni o all’1,4%.
Ma i due commi che dovrebbero togliere il sonno a chi siede in CdA sono altri. Il comma 5 prevede che la persona fisica responsabile o il rappresentante legale possa essere ritenuta responsabile dell’inadempimento. Il comma 6 aggiunge che, se il soggetto non adempie nei termini della diffida, l’Autorità può disporre nei confronti delle persone fisiche — inclusi espressamente gli organi di amministrazione e direttivi dell’articolo 23 — l’incapacità a svolgere funzioni dirigenziali all’interno del medesimo soggetto.
In altre parole: l’ordinamento ha previsto il caso in cui un amministratore venga sospeso dalle proprie funzioni per non aver vigilato su un adempimento di cybersicurezza. Non è teoria del rischio, è testo di legge pubblicato in Gazzetta Ufficiale.
Una precisazione da chi i testi li legge prima di citarli: in giro si trova la responsabilità personale attribuita all’articolo 23, comma 2. È un’imprecisione che rimbalza di articolo in articolo — quel comma riguarda la formazione; la responsabilità delle persone fisiche sta nell’articolo 38, commi 5 e 6. Il che, se possibile, peggiora la posizione di chi sperava in un cavillo: la formazione è un obbligo, la responsabilità è un altro, e sono cumulativi.
Registrazione NIS2: le verifiche da fare in azienda
Tre domande, da fare in riunione e non via email, perché le risposte via email arrivano filtrate. Primo: la nostra azienda è nell’elenco NIS, sì o no, e chi in questa stanza lo sa con certezza documentale e non per sentito dire? Se la risposta è un giro di sguardi, avete già la risposta.
Secondo: le informazioni comunicate ad ACN fotografano l’azienda di oggi o quella di un anno fa? Fusioni, cambi di sede, nuovi servizi, variazioni dimensionali: ognuna di queste va comunicata entro 14 giorni, e la semplificazione del 2027 vale solo per chi ha i dati in ordine.
Terzo: chi presidia il calendario 2027 — registrazione a gennaio-febbraio, aggiornamento ad aprile-maggio, categorizzazione a maggio-giugno — con un nome e un cognome, non con una funzione aziendale?
La Determinazione 314287 è, a suo modo, un gesto di cortesia istituzionale: ACN ha reso più semplice essere in regola. Il che rende molto più difficile spiegare perché non lo si è. Quando lo Stato vi toglie perfino la scusa della burocrazia, l’unica variabile rimasta sul tavolo siete voi.
La domanda con cui chiudere il prossimo CdA, allora, non è “siamo a posto con la NIS2?” — a quella risponderà sempre qualcuno con un sì rassicurante. È un’altra: se domani ACN ci cercasse nell’elenco, ci troverebbe, e con i dati giusti?
Fonti
- ACN — ACN semplifica la registrazione NIS 2027 (avviso del 23 ottobre 2026)
- ACN — Determinazione n. 314287/2026 (testo firmato)
- CyberSecItalia — NIS2, cambiano le procedure ACN per il 2027
- Cybertrends — NIS 2027: ACN semplifica la procedura di registrazione
- Onorato Informatica — Registrazione NIS2 2027
- D.Lgs. 4 settembre 2024, n. 138 — artt. 23 e 38 (G.U. n. 230 dell’1/10/2024)
Partecipa alla community