Il 28 febbraio 2025 ha rappresentato una scadenza cruciale per numerose organizzazioni italiane. Entro questa data, le aziende soggette alla NIS2 dovevano completare la registrazione sulla piattaforma ACN (Agenzia per la Cybersicurezza Nazionale) e designare il proprio punto di contatto NIS2, una figura chiave per la gestione della sicurezza informatica.
La direttiva NIS2 (UE) 2022/2555 mira a rafforzare la sicurezza informatica nell’Unione Europea, coinvolgendo settori critici come energia, trasporti, finanza e telecomunicazioni. Il punto di contatto è un elemento centrale per garantire la conformità alla normativa, in quanto gestisce la comunicazione con l’ACN e supervisiona gli aspetti legati alla sicurezza informatica dell’organizzazione.
Chi è il punto di contatto NIS2
Definizione e requisiti del punto di contatto NIS2
Secondo la normativa NIS2, il punto di contatto è una figura designata dal soggetto NIS con il compito di curare l’attuazione delle disposizioni previste dal D.Lgs. 138/2024.
Come indicato nell’articolo 4 della Determinazione ACN 38565/2024, il punto di contatto è una persona fisica che funge da interlocutore ufficiale con l’ACN, occupandosi dell’accesso alla piattaforma digitale e della gestione delle comunicazioni con l’Autorità.
Questa figura deve riferire direttamente al vertice aziendale e agli organi di amministrazione, facilitando il flusso di informazioni e coordinando le attività di cybersecurity.
Chi può essere designato come punto di contatto?
La normativa consente di assegnare il ruolo a diverse figure all’interno dell’organizzazione:
- Il rappresentante legale dell’azienda
- Un procuratore generale con adeguati poteri
- Un dipendente delegato dal rappresentante legale
- Un dipendente di un’altra società del gruppo, nel caso di gruppi aziendali
Sebbene la normativa non richieda espressamente che il punto di contatto sia un esperto di cybersecurity, il Chief Information Security Officer (CISO) o un altro responsabile della sicurezza informatica può rappresentare un candidato ideale in aziende che adottano un modello di sicurezza integrato.
Inoltre, la designazione del punto di contatto può coincidere con la nomina del referente per la cybersicurezza prevista dall’articolo 8, comma 2, della legge 90/2024, evitando così duplicazioni nei ruoli di responsabilità.
Responsabilità operative e adempimenti
Il punto di contatto non è responsabile in prima persona dell’adempimento degli obblighi previsti dalla NIS2, ma ha il compito di curarne l’attuazione e garantire un costante scambio informativo tra l’organizzazione e l’ACN.
Le principali responsabilità includono:
- Gestione della registrazione e aggiornamento dati sulla piattaforma ACN
- Monitoraggio delle misure di sicurezza informatica adottate dall’azienda
- Coordinamento delle notifiche di incidente e delle comunicazioni con l’Autorità
In particolare, la normativa prevede tempistiche precise per la notifica degli incidenti di sicurezza:
- Entro 24 ore: pre-notifica all’ACN con informazioni preliminari
- Entro 72 ore: notifica dettagliata con valutazione dell’impatto
- Entro un mese: relazione finale con approfondimenti sulle misure adottate
Oltre a questi adempimenti, il punto di contatto deve riferire periodicamente al vertice aziendale sulla conformità ai requisiti NIS2, facilitando la supervisione da parte degli organi amministrativi. La responsabilità finale della conformità rimane in capo agli organi di amministrazione, come indicato nell’articolo 23 del D.Lgs. 138/2024, che impone loro di:
- Approvare le strategie di gestione dei rischi cyber
- Supervisionare l’attuazione delle misure di sicurezza
- Seguire una formazione specifica in materia di cybersecurity
- Promuovere la formazione dei dipendenti sulla sicurezza informatica
Processo di designazione e registrazione
La designazione del punto di contatto NIS2 è stata un passaggio obbligatorio per la registrazione sulla piattaforma digitale dell’ACN, da completare tra il 1° dicembre 2024 e il 28 febbraio 2025. La procedura di registrazione ha seguito tre fasi principali, delineate nei prossimi paragrafi.
1. Censimento del punto di contatto: il designato ha effettuato l’accesso al portale ACN (https://portale.acn.gov.it/login) tramite SPID o CIE personali, completando la propria scheda anagrafica.
2. Associazione con l’organizzazione: il punto di contatto ha associato la propria utenza all’azienda, inserendo codice fiscale (per soggetti privati) o codice IPA (per le PA). Se dipendente, ha dovuto caricare una delega formale del rappresentante legale.
3. Compilazione della dichiarazione: la dichiarazione, suddivisa in quattro sezioni, ha richiesto informazioni dettagliate su:
- Struttura aziendale e codici ATECO
- Applicabilità delle normative europee
- Dimensioni e classificazione del soggetto (essenziale o importante)
Verifica e notifiche ACN
Dopo la registrazione, il sistema ha fornito una valutazione preliminare sulla necessità di adeguarsi alla NIS2. L’ACN e le Autorità di settore hanno iniziato il processo di verifica entro marzo 2025, con la notifica formale alle aziende attese entro aprile 2025.
Sanzioni per la mancata registrazione
Il mancato completamento della registrazione entro il 28 febbraio 2025 costituisce una violazione sanzionabile, con una multa fino allo 0,1% del fatturato annuo globale dell’azienda inadempiente.
Per supportare le organizzazioni, l’ACN ha fornito materiali informativi, inclusi:
- Video tutorial sul processo di registrazione
- Documentazione tecnica sulle procedure di conformità
- FAQ aggiornate disponibili sul portale ufficiale
L’importanza del punto di contatto NIS2
Il punto di contatto NIS2 è una figura essenziale per la conformità NIS2, in quanto garantisce il collegamento tra le aziende soggette alla direttiva e l’Agenzia per la Cybersicurezza Nazionale.
La sua nomina ha rappresentato un passaggio fondamentale per l’adeguamento agli obblighi di sicurezza, assicurando comunicazione efficace, monitoraggio delle misure di protezione e gestione degli incidenti.
Con l’attuale fase di verifica da parte dell’ACN in corso, le aziende devono garantire il rispetto degli adempimenti normativi, evitando sanzioni e rischi operativi derivanti da una mancata conformità.
LEGGI ANCHE: CSIRT: cos’è e qual è il suo ruolo nella direttiva NIS2
