ACN e NIS2: il ruolo dell'Agenzia per la Cybersicurezza
Cosa fa l'ACN nell'attuazione della NIS2 in Italia: registrazione dei soggetti, vigilanza, sanzioni e i riferimenti ufficiali da conoscere.
di Elias Mahdavi · Pubblicato il · 8 min
L'ACN, l'Agenzia per la Cybersicurezza Nazionale, è l'autorità italiana competente per la NIS2: gestisce la registrazione dei soggetti obbligati, vigila sull'adozione delle misure di sicurezza e riceve le notifiche di incidente. L'Italia ha recepito la direttiva con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, con sanzioni fino a 10 milioni di euro.
In sintesi
- L'ACN è l'autorità nazionale competente per la NIS2 in Italia, individuata dal D.Lgs. 138/2024.
- Gestisce il registro dei soggetti essenziali e importanti tramite una finestra di registrazione annuale sul proprio portale.
- Riceve le notifiche di incidente secondo la tempistica della direttiva: preallarme entro 24 ore, notifica entro 72 ore, rapporto finale entro un mese.
- Dispone di poteri ispettivi e può irrogare sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali.
- Pubblica FAQ, determinazioni e comunicazioni operative sul proprio portale, il riferimento primario per ogni adempimento pratico.
- Il ruolo dell'ACN sulla NIS2 è distinto da quello del Garante per la protezione dei dati personali, competente sul GDPR.
Indice
Cos'è la NIS2?
La NIS2 è la Direttiva (UE) 2022/2555, la normativa europea che stabilisce un livello comune di cybersicurezza per i soggetti pubblici e privati considerati critici per il funzionamento del mercato interno. Sostituisce la prima direttiva NIS del 2016, ampliando in modo significativo i settori coperti e introducendo responsabilità dirette per gli organi di gestione.
La direttiva, consultabile sul testo ufficiale pubblicato su EUR-Lex, è stata adottata il 14 dicembre 2022 ed è entrata in vigore il 16 gennaio 2023, con l'obbligo per gli Stati membri di recepirla entro il 17 ottobre 2024. In Italia il recepimento è avvenuto con il D.Lgs. 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre successivo.
Per una panoramica completa di obblighi, scadenze e sanzioni, la guida completa alla NIS2 approfondisce l'intero impianto della normativa; questo articolo si concentra invece sul ruolo specifico dell'ACN.
Quali aziende sono soggette alla NIS2?
La NIS2 si applica a due categorie di soggetti, essenziali e importanti, individuate in base al settore di attività e alla dimensione dell'organizzazione. I settori ad alta criticità — energia, trasporti, sanità, acqua potabile, infrastrutture digitali, pubblica amministrazione, tra gli altri — generano tipicamente soggetti essenziali; settori critici come manifattura, servizi postali, gestione dei rifiuti e fornitori digitali generano più spesso soggetti importanti.
La distinzione conta perché cambia l'intensità della vigilanza: i soggetti essenziali sono sottoposti a controllo proattivo da parte dell'ACN, mentre i soggetti importanti sono generalmente controllati ex post, a seguito di un incidente o di un'evidenza di non conformità. In entrambi i casi restano validi gli stessi obblighi minimi di sicurezza e di notifica.
Per un percorso guidato che aiuta a capire se un'azienda rientra nell'ambito NIS2 in base a settore, dimensione e classificazione, si veda come verificare se la tua azienda rientra nell'ambito NIS2.
Cosa fa l'ACN nella NIS2: le funzioni previste dal D.Lgs. 138/2024
Il D.Lgs. 138/2024 designa l'ACN come autorità nazionale competente NIS e punto di contatto unico verso la Commissione Europea e il gruppo di cooperazione NIS; l'Agenzia opera anche come CSIRT Italia per la gestione operativa degli incidenti. Le sue funzioni si articolano in sei aree principali.
1. Tenuta del registro dei soggetti NIS
L'ACN gestisce il registro nazionale dei soggetti essenziali e importanti, alimentato dall'autoclassificazione che ogni organizzazione effettua al momento della registrazione sul portale dedicato.
2. Ricezione delle notifiche di incidente
Ogni incidente significativo va notificato all'ACN, in qualità di CSIRT Italia, seguendo la sequenza prevista dalla direttiva: preallarme entro 24 ore dalla scoperta, notifica strutturata entro 72 ore, rapporto finale entro un mese dalla notifica.
3. Vigilanza e attività ispettiva
L'ACN può condurre ispezioni, richiedere evidenze documentali e disporre audit di sicurezza, con intensità maggiore per i soggetti essenziali rispetto agli importanti, coerentemente con l'impianto della direttiva a livello UE.
4. Determinazioni sulle misure minime di sicurezza
L'Agenzia pubblica determinazioni che traducono gli obblighi generali dell'Art. 21 della direttiva NIS2 in misure tecniche e organizzative concrete, aggiornate periodicamente.
5. Gestione della finestra di registrazione annuale
La registrazione dei soggetti avviene attraverso una finestra temporale che si ripete ogni anno, tipicamente tra il 1° gennaio e il 28 febbraio, durante la quale i soggetti già censiti devono confermare o aggiornare i propri dati.
6. Irrogazione delle sanzioni amministrative
In caso di violazione degli obblighi di sicurezza o di notifica, l'ACN può irrogare sanzioni amministrative pecuniarie, entro i massimali previsti dalla direttiva e recepiti dal decreto italiano.
Come funziona la registrazione sul portale ACN
Il primo passo per ogni soggetto NIS è la registrazione sul portale dell'ACN, dove l'organizzazione dichiara la propria classificazione (essenziale o importante), i settori di attività e i punti di contatto per la gestione degli incidenti. La prima finestra di registrazione si è chiusa il 28 febbraio 2025; da allora la finestra si ripete ogni anno.
Una volta registrata, l'organizzazione deve mantenere i propri dati aggiornati e conservare evidenza delle misure di sicurezza adottate: chi ha accesso a quali sistemi, quali strumenti — inclusi quelli di intelligenza artificiale — trattano dati rilevanti, e con quale tracciabilità. È qui che gli obblighi NIS2 si intrecciano spesso con quelli dell'AI Act per le aziende italiane, perché entrambe le normative chiedono di sapere, in ogni momento, chi fa cosa con quali dati.
ACN e le altre autorità italiane ed europee
L'ACN non è l'unica autorità con cui un'azienda italiana deve fare i conti quando adotta strumenti digitali e AI. Le competenze sono distinte e complementari, non sovrapposte.
| Autorità | Normativa di riferimento | Competenza principale |
|---|---|---|
| ACN | NIS2 (D.Lgs. 138/2024) | Registrazione soggetti, vigilanza, notifiche di incidente, sanzioni sulla cybersicurezza |
| Garante per la protezione dei dati personali | GDPR (Regolamento UE 2016/679) | Protezione dei dati personali, reclami, sanzioni privacy |
| ENISA | NIS2 a livello UE | Supporto tecnico, coordinamento tra i CSIRT nazionali, quadro europeo di certificazione |
| Commissione Europea | AI Act (Regolamento UE 2024/1689) | Quadro normativo sull'intelligenza artificiale, classificazione del rischio |
Secondo quanto pubblicato da ACN, l'Agenzia agisce come punto di riferimento operativo per la cybersicurezza nazionale, mentre il Garante per la protezione dei dati personali resta competente in modo autonomo sulla disciplina della privacy, anche quando un incidente coinvolge dati personali. A livello europeo, ENISA supporta il coordinamento tra le autorità nazionali NIS, mentre la Commissione Europea sovrintende all'attuazione dell'AI Act.
Per un'azienda che usa più strumenti AI in team diversi, la difficoltà pratica è tenere insieme queste evidenze in un unico posto: chi ha usato quale modello, su quali dati, con quale autorizzazione. Un ambiente di lavoro con governance e audit trail integrati riduce questo lavoro a un'attività di configurazione iniziale, invece che a una ricostruzione manuale ogni volta che un'autorità la richiede.
Domande frequenti
Cos'è la NIS2?
La NIS2 è la Direttiva (UE) 2022/2555 sulla cybersicurezza, che impone a soggetti pubblici e privati considerati critici misure minime di sicurezza, obblighi di notifica degli incidenti e responsabilità dirette per gli organi di gestione. È stata recepita in Italia con il D.Lgs. 138/2024.
Quali aziende sono soggette alla NIS2?
Sono soggette le organizzazioni classificate come essenziali o importanti in base al settore di attività e alla dimensione, secondo gli allegati della direttiva. Include tipicamente energia, trasporti, sanità, infrastrutture digitali, pubblica amministrazione, manifattura e servizi postali, con soglie dimensionali specifiche.
Chi è l'ACN?
L'ACN, Agenzia per la Cybersicurezza Nazionale, è l'ente pubblico italiano istituito nel 2021 e designato dal D.Lgs. 138/2024 come autorità nazionale competente per la NIS2 e come CSIRT Italia per la gestione operativa degli incidenti informatici.
Come ci si registra sul portale ACN?
L'organizzazione compila l'autoclassificazione — essenziale o importante — sul portale dedicato dell'ACN durante la finestra di registrazione annuale, indicando settore di attività, dati identificativi e punti di contatto per la gestione degli incidenti.
Cosa succede se un'azienda non si registra entro i termini?
La mancata registrazione espone l'organizzazione a sanzioni amministrative da parte dell'ACN e la lascia priva di un canale ufficiale per adempiere agli obblighi di notifica, aggravando le conseguenze in caso di incidente.
Qual è la differenza tra soggetti essenziali e importanti?
I soggetti essenziali operano in settori ad alta criticità e sono sottoposti a vigilanza proattiva dell'ACN; i soggetti importanti operano in settori critici e sono generalmente controllati ex post. Gli obblighi minimi di sicurezza e notifica restano comuni a entrambe le categorie.
L'ACN si occupa anche di AI Act?
No: l'attuazione dell'AI Act (Regolamento UE 2024/1689) è affidata a strutture di governance nazionali distinte e alla Commissione Europea, non all'ACN. Le due normative si intrecciano però nella pratica, perché entrambe richiedono tracciabilità su strumenti, dati e accessi.
Prossimi passi
Capire cosa fa l'ACN è il primo passo; il secondo è avere, internamente, gli stessi dati che l'ACN potrebbe chiedere in un controllo: chi ha accesso a quali sistemi, quali strumenti AI vengono usati e da chi, con quale evidenza. Prenota una demo di DevKira per vedere come un ambiente di lavoro governato mantiene questa evidenza pronta senza lavoro manuale aggiuntivo, oppure approfondisci il quadro normativo completo nella guida alla NIS2.
