Applicabilità: organizzazioni che hanno effettuato una registrazione tardiva o chiesto una revisione, soggetti già inclusi nell'elenco NIS e soggetti tenuti a registrarsi o aggiornare i dati nel 2027.
Il 18 settembre 2026 l'Agenzia per la cybersicurezza nazionale (ACN) ha annunciato l'aggiornamento dell'elenco dei soggetti NIS, dopo l'analisi di oltre 2.000 registrazioni tardive e circa 2.000 istruttorie di revisione, e ha confermato la prossima finestra di registrazione o aggiornamento, dal 1° gennaio al 28 febbraio 2027 (notizia ACN). La stessa notizia avvia anche la consultazione sulle misure di sicurezza rafforzate, trattata in un articolo dedicato.
In breve
- L'aggiornamento dell'elenco riguarda oltre 2.000 registrazioni tardive e circa 2.000 istruttorie di revisione analizzate da ACN tra maggio e luglio 2026.
- Questi dati aggregati non significano che circa 4.000 organizzazioni siano state automaticamente aggiunte all'elenco: ACN non comunica questo esito nella notizia.
- La prossima finestra annuale di registrazione o aggiornamento va dal 1° gennaio al 28 febbraio 2027.
- La finestra 2027 non rinvia gli obblighi precedenti: la notizia ACN sul Vademecum indica ottobre 2026 come scadenza per le misure di base dei soggetti inseriti nell'elenco NIS nel 2025.
- Le organizzazioni dovrebbero preparare evidenze, ruoli di piattaforma, dati societari e decisioni di governance prima dell'apertura della finestra, senza ridurre l'adempimento a un caricamento dell'ultimo minuto.
L'elenco dei soggetti NIS viene aggiornato
La notizia segue la riunione plenaria del Tavolo di attuazione della NIS di ACN con le Autorità di settore e i rappresentanti regionali. ACN precisa che l'aggiornamento riguarda oltre 2.000 registrazioni tardive e circa 2.000 istruttorie di revisione analizzate tra maggio e luglio 2026. Il dato segnala un'attività amministrativa rilevante dopo il ciclo ordinario di registrazione, ma la notizia non distingue tra casi accolti, respinti o ancora in lavorazione (notizia ACN).
Che cosa non dimostrano i numeri
I due volumi non devono essere sommati e presentati come numero certo di nuovi soggetti NIS. La comunicazione ufficiale non afferma:
- che ogni registrazione tardiva abbia prodotto l'inclusione;
- che ogni revisione abbia modificato la classificazione precedente;
- che non vi siano sovrapposizioni tra i casi;
- quale sia la distribuzione tra soggetti essenziali e importanti;
- quale sia l'esito settore per settore.
Per la singola organizzazione, l'evidenza autorevole resta il proprio stato formale e quanto reso disponibile nel processo ACN. I numeri della notizia aiutano a comprendere la scala dell'attività, non a determinare se uno specifico soggetto rientri nel perimetro.
Controlli pratici per i soggetti interessati
Chi ha effettuato una registrazione tardiva o richiesto una revisione dovrebbe conservare un fascicolo tracciabile con:
- domanda trasmessa e ricevuta di registrazione o revisione;
- comunicazioni ACN e notifiche di piattaforma;
- dati societari e settoriali usati per la valutazione;
- motivazione interna a supporto della posizione di classificazione;
- percorso decisionale degli organi di amministrazione e direttivi.
Questo fascicolo crea una base difendibile se lo stato cambia o se occorre riallineare rapidamente dati, contatti e attività di compliance.
La finestra di registrazione e aggiornamento 2027
ACN conferma che la prossima finestra di registrazione o aggiornamento si apre il 1° gennaio 2027 e termina il 28 febbraio 2027 per i soggetti pubblici e privati ai quali si applica la disciplina NIS. La notizia sul Vademecum NIS di settembre 2026 presenta lo stesso periodo come ciclo annuale ricorrente attraverso il portale dei servizi ACN (notizia ACN, notizia ACN sul Vademecum NIS).
L'attività cambia in base alla posizione del soggetto:
| Profilo dell'organizzazione | Preparazione attesa |
|---|---|
| Potenzialmente nel perimetro e non ancora registrata | Rivalutare soggetto giuridico, settore, dimensione e perimetro dei servizi; predisporre le evidenze per la registrazione. |
| Già inclusa nell'elenco NIS | Riconciliare i dati da aggiornare o confermare per il ciclo 2027. |
| Registrazione tardiva o istanza di revisione | Confermare l'esito del processo ACN prima di fare affidamento sulla classificazione precedente. |
| Gruppo con più soggetti giuridici | Valutare separatamente ogni entità e mantenere un modello documentato di coordinamento a livello di gruppo. |
La registrazione non è soltanto una scadenza di calendario. I dati trasmessi ad ACN devono essere coerenti con registri societari, servizi operativi, fornitori rilevanti, asset digitali pubblici, contatti designati ed effettiva struttura di governance.
Non confondere la registrazione con la timeline delle misure
La finestra di piattaforma 2027 è distinta dal calendario di attuazione delle misure di sicurezza. Nella notizia sul Vademecum dell'11 settembre 2026, ACN indica ottobre 2026 come prima scadenza per l'attuazione delle misure di sicurezza di base da parte dei soggetti inseriti nell'elenco NIS nel 2025. Ogni organizzazione deve quindi verificare il calendario associato alla propria coorte di inclusione, senza considerare il 28 febbraio 2027 come una proroga generale (notizia ACN sul Vademecum NIS).
Governance: che cosa devono controllare gli organi di amministrazione
Nell'aggiornamento del 14 luglio 2026, ACN precisa che l'approvazione dei documenti previsti dall'articolo 23 del decreto NIS è una competenza esclusiva dell'organo collegiale o, dove previsto, monocratico e non può essere delegata. L'attuazione operativa può invece essere affidata alle funzioni competenti (aggiornamento ACN sulle FAQ per gli organi di amministrazione).
Prima della finestra 2027, il management dovrebbe saper rispondere a quattro domande:
- Lo stato NIS del soggetto è confermato e supportato da evidenze aggiornate?
- Punto di contatto, sostituto e referenti CSIRT sono attuali e formalmente designati?
- Dati di piattaforma, registri societari e perimetro effettivo dei servizi coincidono?
- Le misure di base avanzano rispetto alla scadenza applicabile alla coorte del soggetto?
Piano pratico di preparazione al ciclo 2027
Fase 1: confermare stato e responsabilità
- Verificare l'esito di eventuali registrazioni tardive o istruttorie di revisione.
- Identificare il soggetto giuridico responsabile e lo sponsor esecutivo.
- Confermare utenti di piattaforma e percorsi di escalation.
Fase 2: riconciliare dati e perimetro
- Confrontare i dati societari con le informazioni già presenti nel processo ACN.
- Ricontrollare attività, servizi, domini pubblici e risorse IP.
- Validare fornitori rilevanti e data owner interni.
Fase 3: approvare e trasmettere
- Portare le decisioni strategiche all'organo competente.
- Eseguire una verifica di coerenza fattuale e documentale prima della trasmissione.
- Conservare approvazioni, evidenze e ricevute del portale dopo l'adempimento.
Questo workflow riduce un rischio ricorrente: trasmettere dati formalmente corretti ma non coerenti con la realtà operativa.
Domande frequenti
Circa 4.000 organizzazioni sono state aggiunte all'elenco NIS?
ACN cita oltre 2.000 registrazioni tardive e circa 2.000 istruttorie di revisione, ma non afferma che tutti i casi abbiano prodotto un'inclusione né che le due popolazioni possano essere sommate senza sovrapposizioni.
Quando si apre la prossima finestra di registrazione o aggiornamento NIS?
La finestra va dal 1° gennaio al 28 febbraio 2027, secondo la notizia ACN.
Un soggetto NIS già presente deve attendere gennaio per prepararsi?
No. Stato, ruoli di piattaforma, dati societari, perimetro dei servizi, fornitori rilevanti e approvazioni di governance possono essere riconciliati prima dell'apertura della finestra.
L'organo di amministrazione può delegare l'approvazione dei documenti strategici NIS?
Le FAQ ACN precisano che l'approvazione dei documenti previsti dall'articolo 23 non può essere delegata. Le attività di attuazione operativa possono invece essere affidate alle funzioni organizzative competenti (aggiornamento FAQ ACN).
Conclusione
L'aggiornamento dell'elenco chiude una fase amministrativa rilevante, ma per il singolo soggetto conta soltanto il proprio stato formale. La priorità è confermarlo, rispettare la scadenza delle misure di base applicabile alla propria coorte e arrivare alla finestra 1° gennaio-28 febbraio 2027 con dati ed evidenze di governance già riconciliati.
Possiamo affiancarvi nel preparare il ciclo 2027: verifica del perimetro, revisione documentale, mappatura delle responsabilità e gestione delle evidenze prima delle trasmissioni ACN, con la consulenza NIS 2 e l'audit documentale NIS 2.
Approfondimenti correlati
- Misure di sicurezza rafforzate NIS: ACN avvia la consultazione
- Vademecum NIS 2026: calendario degli adempimenti e checklist operativa
- Piattaforma ACN NIS: registrazione, aggiornamento annuale e aggiornamento continuo
- NIS: ACN pubblica il modello 2026 per categorizzare attività e servizi
