Portale ACN: registrazione NIS2

Accesso, punto di contatto, dichiarazione, aggiornamento annuale e referente CSIRT, secondo le determinazioni, le FAQ e il vademecum dell'ACN. Verificato il 30 ottobre 2026.

In breve:

Registrazione sul portale dei servizi ACN dal 1° gennaio al 28 febbraio di ogni anno, con accesso SPID, CIE, CNS o eIDAS.
La fa il punto di contatto: rappresentante legale, procuratore generale o dipendente delegato.
Tre fasi: censimento del punto di contatto, associazione al soggetto con il codice fiscale (codice IPA per le PA) e dichiarazione.
Chi è nell'elenco aggiorna i dati dal 15 aprile al 31 maggio, tra cui indirizzi IP pubblici, nomi di dominio, organi di amministrazione e referente CSIRT.

Le tre fasi della registrazione

Censimento del punto di contatto. La persona accede al portale e conferma o inserisce i propri dati: nome, codice fiscale, cittadinanza, residenza, e-mail ordinaria e, se disponibile, PEC, telefono e un numero alternativo.
Associazione al soggetto. Serve il codice fiscale dell'impresa, per le pubbliche amministrazioni il codice IPA. Se il punto di contatto non è il rappresentante legale o un procuratore generale, carica la delega. Il link di convalida arriva al domicilio digitale del soggetto.
Dichiarazione NIS. Quattro sezioni: contesto, caratterizzazione, tipologie di soggetto e autovalutazione come essenziale, importante o fuori ambito. Copia della dichiarazione arriva al domicilio digitale.

Le regole sono nella determinazione ACN 314287/2026. Chi svolge attività di più tipologie si registra per tutte, non solo per l'attività principale. Come capire se l'impresa rientra lo spieghiamo in a chi si applica la NIS2, con una verifica rapida.

Cosa preparare prima

i codici ATECO delle attività e dei servizi, in particolare quelli rilevanti per la NIS2;
le normative europee di settore che si applicano all'impresa e che il decreto richiama;
dipendenti, fatturato e totale di bilancio; per chi fa parte di un gruppo, i dati consolidati con le imprese collegate e associate;
le tipologie di soggetto degli allegati I, II, III e IV in cui rientra;
per i gruppi, le informazioni sulle imprese collegate e l'eventuale richiesta della clausola di salvaguardia (DPCM 221/2024);
la delega del rappresentante legale, se il punto di contatto è un dipendente.

Dopo la registrazione

Passaggio	Quando	Cosa
Elenco dei soggetti NIS	entro il 31 marzo	l'ACN redige l'elenco degli essenziali e degli importanti (art. 7, comma 2)
Comunicazione al soggetto	entro il 14 aprile	PEC da no-reply@pec.acn.gov.it al domicilio digitale: inserimento, permanenza o esclusione
Aggiornamento delle informazioni	dal 15 aprile al 31 maggio	sostituto punto di contatto, referente CSIRT e sostituti, organi di amministrazione, IP pubblici statici, domini, servizi nell'UE, fornitori rilevanti
Categorizzazione delle attività	dal 1° maggio al 30 giugno	elenco di attività e servizi con categoria di rilevanza (art. 30)
Modifiche	entro 14 giorni	ogni cambiamento dei dati comunicati

Date dal vademecum NIS dell'ACN (settembre 2026) e dall'articolo 7 del D.Lgs. 138/2024. Calendario completo con i termini per misure e notifiche: scadenze NIS2.

I ruoli sul portale

Ruolo	Chi può essere	Compiti
Punto di contatto	rappresentante legale, procuratore generale o dipendente delegato; interno	registrazione, dichiarazione, aggiornamenti, dialogo con l'ACN
Sostituto punto di contatto	persona fisica diversa dal punto di contatto	lo sostituisce; designato nell'aggiornamento annuale
Referente CSIRT e sostituti	competenze di base di sicurezza e gestione degli incidenti e conoscenza dei sistemi; anche esterno	dialogo con lo CSIRT Italia e notifica degli incidenti
Segreteria e operatori	utenti designati dal punto di contatto	supporto nella compilazione

Il referente CSIRT è una delega operativa: la responsabilità per le violazioni resta agli organi di amministrazione. Le notifiche degli incidenti possono inviarle anche il punto di contatto e il suo sostituto. Tempi e contenuto delle notifiche sono nella pagina notifica degli incidenti.

Indirizzi IP e domini

Nell'aggiornamento annuale il soggetto comunica all'ACN gli indirizzi IP pubblici statici e i nomi di dominio che usa. Prima di compilare conviene fare l'inventario: sito web, e-commerce, portale clienti, posta, VPN, API e sottodomini, con il fornitore di hosting o di protezione di ciascuno. Lo stesso inventario serve per le misure di sicurezza di base, che chiedono di conoscere sistemi, servizi e fornitori. Se il sito passa attraverso un servizio di protezione come WEDOS o Cloudflare, il dominio punta agli indirizzi del servizio e non a quelli dell'hosting: conviene annotare entrambi nell'inventario.

Domande frequenti

Come si accede al portale ACN?

All'indirizzo portale.acn.gov.it con SPID, CIE, CNS o eIDAS. Chi per legge non può avere queste credenziali può chiedere all'ACN credenziali personali dalla pagina di accesso al portale.

Chi può essere punto di contatto NIS2?

Il rappresentante legale, un suo procuratore generale iscritto nel registro delle imprese oppure un dipendente delegato. Il dipendente carica in fase di registrazione la delega del rappresentante legale; basta una delega ad hoc (l'ACN pubblica un modello) o una delega più ampia già esistente. Nei gruppi può essere un dipendente di un'altra impresa del gruppo che è soggetto NIS.

Il punto di contatto può essere esterno all'azienda?

No. Il punto di contatto deve essere interno all'organizzazione o del gruppo. Il referente CSIRT invece può essere esterno, per esempio il responsabile del SOC o dell'infrastruttura IT esternalizzata.

Chi è il referente CSIRT e quando va nominato?

È la persona che dialoga con lo CSIRT Italia e invia le notifiche degli incidenti significativi. Lo designa il punto di contatto nella funzione di aggiornamento dati del portale, indicando codice fiscale ed e-mail; il referente completa poi il proprio censimento sul portale. Secondo il vademecum ACN la designazione si può rimandare al 31 dicembre dell'anno di inserimento nell'elenco. Nelle organizzazioni piccole può coincidere con il punto di contatto, che in quel caso deve essere interno.

Mi sono registrato: sono un soggetto NIS?

Chi rientra nell'ambito del decreto è soggetto NIS a prescindere dalla registrazione. La registrazione serve all'ACN per redigere entro il 31 marzo l'elenco dei soggetti essenziali e importanti; la comunicazione di inserimento, permanenza o esclusione arriva al domicilio digitale entro il 14 aprile.

Devo registrarmi ogni anno?

Chi è già nell'elenco non deve ripetere la registrazione dal 1° gennaio al 28 febbraio se i dati dichiarati non sono cambiati. Resta l'aggiornamento annuale dal 15 aprile al 31 maggio e ogni modifica va comunicata entro 14 giorni.

Fonti: ACN, registrazione; ACN, aggiornamento delle informazioni; FAQ registrazione; FAQ ruoli e procedure. Assistenza ufficiale: Service Desk del portale ACN. Questa pagina non è affiliata all'ACN.