ACN e NIS2: ruolo, registrazione e obblighi in Italia

Quando si parla di NIS2 in Italia, tutte le strade portano all'ACN, l'Agenzia per la Cybersicurezza Nazionale. È l'autorità nazionale competente per la direttiva, il punto di contatto unico verso l'Europa e la sede del CSIRT Italia. Capire cosa fa l'ACN, e cosa si aspetta da chi rientra nel perimetro, è il modo più rapido per orientarsi tra registrazione e obblighi senza perdersi negli adempimenti. Questa pagina spiega il ruolo dell'Agenzia e gli obblighi che ne derivano, non i passi tecnici per accedere al portale.

Che cos'è l'ACN

L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'ente pubblico che in Italia presidia la sicurezza informatica a livello di sistema-Paese. Nel quadro della NIS2 ricopre tre ruoli che conviene tenere distinti:

• Autorità nazionale competente per l'attuazione della direttiva e del suo recepimento, il D.Lgs. 138/2024.
• Punto di contatto unico, cioè l'interfaccia dell'Italia verso la Commissione europea e verso le autorità degli altri Stati membri.
• Sede del CSIRT Italia, la squadra nazionale di risposta agli incidenti informatici.

Per un'azienda che rientra nella NIS2 questo significa una cosa concreta: l'interlocutore è uno solo. Non ci sono più uffici da coordinare per la registrazione, la notifica di un incidente e la vigilanza, perché fanno capo tutti alla stessa Agenzia. È una semplificazione, ma anche un punto di responsabilità ben definito. Per l'IT manager e per il vertice il vantaggio pratico è sapere a chi rivolgersi e cosa aspettarsi, senza rimbalzare tra enti diversi a seconda del tipo di adempimento.

Il ruolo dell'ACN nella NIS2

Il ruolo dell'ACN nella NIS2 si può riassumere in cinque funzioni, che coprono l'intero ciclo di vita dell'obbligo, dall'ingresso nel perimetro fino alla sanzione:

• Gestisce la piattaforma di registrazione dei soggetti, su cui le aziende che rientrano si iscrivono e mantengono aggiornati i propri dati.
• Redige e comunica l'elenco dei soggetti essenziali e importanti, confermando chi è dentro e in quale categoria.
• Riceve le notifiche di incidente attraverso il CSIRT Italia, secondo i tempi previsti dalla normativa.
• Emana le determinazioni che traducono la direttiva in misure e obblighi puntuali, con termini e requisiti concreti.
• Vigila e sanziona: verifica il rispetto degli obblighi e applica le sanzioni previste in caso di violazione.

È un ciclo completo: l'Agenzia definisce le regole con le determinazioni, sa chi deve rispettarle grazie a registrazione ed elenco, raccoglie i segnali quando qualcosa va storto tramite le notifiche e verifica che tutto funzioni con la vigilanza. Sul dettaglio di cosa si rischia in caso di inadempienza rimandiamo all'articolo sulle sanzioni NIS2.

Il CSIRT Italia

Il CSIRT Italia (Computer Security Incident Response Team) è la struttura, incardinata nell'ACN, che riceve e gestisce le notifiche di incidente e coordina la risposta a livello nazionale. Per i soggetti NIS2 è il destinatario delle segnalazioni: quando un incidente significativo va comunicato, è al CSIRT Italia che arriva. La sua collocazione dentro l'ACN non è casuale: mette la capacità tecnica di risposta agli incidenti e la funzione istituzionale sotto lo stesso tetto, così che la lettura di un attacco e la sua gestione non viaggino separate. I tempi e le modalità della notifica sono trattati nell'articolo dedicato alla notifica degli incidenti NIS2.

Il punto di contatto unico: cosa significa verso l'Europa

Tra i tre ruoli dell'ACN, quello di punto di contatto unico è il meno visibile per l'azienda ma dice molto sul disegno della NIS2. La direttiva nasce europea, e la sicurezza informatica non si ferma ai confini nazionali: un incidente che colpisce un fornitore in un Paese può propagarsi ai suoi clienti in un altro. Per questo ogni Stato membro designa un punto di contatto unico che fa da raccordo con la Commissione europea e con le autorità degli altri Paesi.

Per un'azienda italiana la ricaduta pratica è che, dietro l'interlocutore nazionale, esiste una rete di cooperazione che scambia informazioni sulle minacce e coordina la risposta agli incidenti che attraversano più Paesi. Non è un dettaglio da addetti ai lavori: significa che gli obblighi di notifica e le misure richieste non sono un requisito locale isolato, ma parte di un impianto condiviso a livello europeo, con logiche coerenti da uno Stato membro all'altro.

La registrazione dei soggetti, cosa significa davvero

Uno dei compiti operativi più visibili dell'ACN è la gestione della registrazione. I soggetti essenziali e importanti che rientrano nel perimetro NIS2 si registrano sulla piattaforma dell'Agenzia e sono tenuti a mantenere aggiornati i dati dichiarati. Sulla base di queste registrazioni, l'ACN redige l'elenco dei soggetti NIS. L'onere di verificare se si rientra e di iscriversi ricade sull'azienda stessa: non arriva una convocazione dall'alto, è il soggetto a doversi attivare per tempo.

Vale la pena chiarire cosa comporta, al di là del gesto tecnico di iscriversi. Registrarsi significa entrare formalmente nel raggio della vigilanza: da quel momento l'azienda è un soggetto NIS a tutti gli effetti, con gli obblighi e le responsabilità che ne conseguono. E l'aggiornamento dei dati non è un dettaglio burocratico: serve all'Agenzia per sapere chi contattare, in quale categoria collocare l'azienda e come raggiungere il referente in caso di necessità. Le finestre e le scadenze della registrazione seguono il calendario dell'ACN: le mettiamo in fila nell'articolo su scadenze e calendario degli adempimenti NIS2.

Gli obblighi che derivano dalla NIS2

La registrazione è la porta d'ingresso; una volta dentro, gli obblighi sostanziali si raccolgono in quattro grandi famiglie, tutte presidiate dall'ACN in fase di vigilanza:

• Misure di gestione del rischio. Un insieme di misure tecniche e organizzative, dall'analisi dei rischi alla continuità operativa, dalla sicurezza della catena di fornitura alla gestione degli incidenti, che l'azienda deve adottare e saper dimostrare.
• Notifica degli incidenti significativi. L'obbligo di segnalare al CSIRT Italia gli incidenti rilevanti, entro le finestre temporali previste dalla normativa.
• Responsabilità degli organi di amministrazione. Sono gli organi di gestione ad approvare le misure, vigilare sulla loro attuazione e rispondere delle violazioni: la NIS2 porta la sicurezza al tavolo del consiglio.
• Formazione. Gli stessi organi di amministrazione, e più in generale il personale, devono ricevere una formazione adeguata sui rischi e sulle misure.

Il filo che lega questi obblighi è la dimostrabilità: l'ACN, in sede di vigilanza, non chiede solo se le misure esistono, ma se sono documentate, aggiornate e realmente operative. Per capire come si arriva a questo risultato in modo ordinato, la roadmap di adeguamento NIS2 è il punto di partenza pratico.

Cosa cambia, in pratica, per un'azienda mid-market

Per un'azienda di medie dimensioni il messaggio dietro il ruolo dell'ACN è duplice. Da un lato c'è una semplificazione: un solo interlocutore, regole scritte nelle determinazioni, un percorso definito. Dall'altro c'è un'asticella che si alza, perché la vigilanza è reale e la responsabilità arriva fino agli organi di vertice.

Tre implicazioni concrete su cui conviene ragionare da subito:

• Il referente conta. Serve una persona, o un ruolo, che tenga i rapporti con l'ACN, curi la registrazione e i suoi aggiornamenti e sappia attivare la notifica quando serve.
• La notifica presuppone il rilevamento. Non si può segnalare in poche ore un incidente di cui ci si accorge dopo settimane: gli obblighi verso l'ACN reggono solo se esiste un presidio di rilevamento e risposta. È il legame tra la conformità formale e i tempi reali, che si misura con indicatori come l'MTTR.
• La documentazione è la prova. Davanti all'Agenzia vale ciò che è scritto e dimostrabile, non le buone intenzioni: le evidenze vanno prodotte man mano, non ricostruite alla vigilia di un controllo.

Tradotto: il ruolo dell'ACN non chiede all'azienda di diventare un'agenzia di sicurezza in miniatura, ma di dotarsi di tre cose che reggano nel tempo, ossia qualcuno che risponda, la capacità tecnica di accorgersi di ciò che va segnalato e la disciplina di lasciare traccia di quello che si fa. Sono anche i tre punti su cui la vigilanza si concentra quando arriva a fare le verifiche, ed è la ragione per cui conviene impostarli come routine e non come adempimenti una tantum.

In sintesi, l'ACN è il baricentro della NIS2 in Italia: definisce le misure con le proprie determinazioni, gestisce registrazione ed elenco dei soggetti, riceve le notifiche tramite il CSIRT Italia, vigila e sanziona. Conoscere questo ruolo aiuta a leggere gli obblighi nella giusta prospettiva, come un rapporto continuativo con un'autorità, non come un modulo da compilare una volta sola. Per il quadro completo su norma e perimetro resta utile la guida completa alla NIS2.

AmagisTech affianca le aziende mid-market italiane nel trasformare gli obblighi NIS2 in un presidio operativo: rilevamento e risposta continui, gestione degli incidenti pronta per le finestre di notifica e documentazione allineata alle attese dell'Agenzia. Puoi vedere come lavoriamo nella pagina dei servizi NIS2.