L’Agenzia per la Cybersicurezza Nazionale (“ACN”) ha pubblicato, nel settembre 2026, la prima versione del Vademecum NIS, un documento operativo che riepiloga i principali adempimenti previsti dal decreto legislativo 4 settembre 2024, n. 138 (“Decreto NIS”) a carico dei soggetti essenziali e importanti.
Il vademecum si rivolge alle organizzazioni cui è stata comunicata l’inclusione o la permanenza nell'’elenco dei soggetti NIS ai sensi dell'articolo 7, comma 2, del decreto.
I sei obblighi principali
Il decreto NIS individua sei aree di obbligo per i soggetti inclusi nell’elenco, ciascuna con termini propri fissati dal decreto medesimo o dalle determinazioni ACN attuative:
- articolo 7, comma 1 - registrazione e aggiornamento della registrazione;
- articolo 7, comma 4 - trasmissione e aggiornamento delle informazioni;
- articolo 23 - obblighi per gli organi di amministrazione e direttivi;
- articolo 24 - obblighi in materia di misure di gestione dei rischi per la sicurezza informatica;
- articolo 25 - obblighi in materia di notifica di incidente;
- articolo 30 - elencazione e categorizzazione delle attività e dei servizi.
Alcuni termini sono ricorrenti su base annuale, mentre altri ricorrono una tantum e sono correlati all’annualità di inserimento nell’elenco dei soggetti NIS.
Il calendario ricorrente
Registrazione (1° gennaio - 28 febbraio)
Dal 1° gennaio al 28 febbraio di ogni anno tutti i soggetti NIS sono tenuti a effettuare o aggiornare la registrazione, presentando una nuova dichiarazione NIS tramite il Servizio NIS/Registrazione reso disponibile dal portale dei servizi di ACN (https://portale.acn.gov.it/). I soggetti che effettuano la registrazione nei termini previsti ricevono la comunicazione di inserimento, permanenza o espunzione dall'elenco dei soggetti NIS entro il 14 aprile di ogni anno.
La registrazione è il processo con cui il soggetto NIS si manifesta all’Autorità nazionale competente, fornendo le informazioni necessarie a determinare l'effettiva riconducibilità alle tipologie di soggetto di cui agli allegati I, II, III e IV del decreto NIS e la qualificazione come soggetto importante o soggetto essenziale. La prima registrazione è anche il momento in cui il soggetto designa il punto di contatto, la persona fisica incaricata di curare l'attuazione delle disposizioni del decreto per suo conto: il punto di contatto accede ai Servizi NIS, effettua la registrazione e interloquisce con l’Autorità.
Aggiornamento delle informazioni (15 aprile - 31 maggio)
Dal 15 aprile al 31 maggio di ogni anno tutti i soggetti NIS sono tenuti a trasmettere o aggiornare le informazioni previste dall'articolo 7, commi 4 e 5, del decreto NIS, tramite il Servizio NIS/Aggiornamento delle informazioni. In caso di sopravvenuta modifica delle informazioni già condivise, i soggetti NIS sono tenuti al loro aggiornamento tempestivo e, in ogni caso, entro 14 giorni dalla modifica, tramite il medesimo servizio.
Le informazioni da condividere e mantenere aggiornate comprendono, tra l'altro: i dati anagrafici e di contatto del soggetto NIS (codice fiscale, denominazione, sede legale, rappresentante legale, procuratori generali, telefono, domicilio digitale e indirizzo di posta elettronica ordinaria funzionale); i dati anagrafici e di contatto del punto di contatto e del suo sostituto; i dati del referente CSIRT e dei suoi eventuali sostituti; i dati dei componenti degli organi di amministrazione e direttivi ai sensi dell'articolo 38, comma 5; i dati della segreteria, ove presente; l'elenco dei servizi offerti nell'Unione europea; l'elenco degli indirizzi IP statici pubblici e dei nomi di dominio; l'elenco degli accordi di condivisione delle informazioni; l'elenco dei fornitori rilevanti.
La prima trasmissione delle informazioni è anche il momento in cui il soggetto NIS designa il sostituto del punto di contatto, il referente CSIRT e i suoi sostituti, fermo restando che, con riferimento a questi ultimi, è possibile avvalersi della facoltà di rimandare la designazione al 31 dicembre dell'anno di inserimento nell'elenco.
Categorizzazione delle attività e dei servizi (1° maggio - 30 giugno)
Dal 1° maggio al 30 giugno di ogni anno tutti i soggetti NIS sono tenuti a svolgere o aggiornare la categorizzazione delle attività e dei servizi, tramite il Servizio NIS/Categorizzazione. Si tratta del processo con cui il soggetto NIS svolge un'analisi di impatto semplificata in base a un modello armonizzato, condividendone gli esiti con l’Autorità al fine di stabilire obblighi in materia di misure di sicurezza proporzionati.
Le scadenze per i soggetti già inseriti nell’elenco
I soggetti NIS inseriti nell’elenco nel 2025 devono procedere, a partire da gennaio 2026, alla notifica degli incidenti significativi di base allo CSIRT Italia e, entro ottobre 2026, completare l’adozione delle misure di sicurezza di base. I soggetti NIS inseriti nell’elenco nel 2026 seguono lo stesso schema temporale sinora descritto con lo scorrimento di un anno.
Rilievo pratico
Il vademecum offre un quadro sintetico e aggiornato, utile per guidare i soggetti NIS nella pianificazione degli adempimenti a cadenza annuale (registrazione, aggiornamento delle informazioni, categorizzazione) e nella verifica delle scadenze correlate all'anno di inserimento. Resta ferma la necessità di consultare le determinazioni ACN attuative per il dettaglio operativo di ciascun adempimento.
Avv. Pietro Maria Mascolo e Dott.ssa Giulia Laschera
