Online il Vademecum ACN per i soggetti NIS: cosa cambia per registrazione e misure di sicurezza
ACN ha pubblicato il Vademecum per i soggetti NIS: non una nota informativa, ma il documento con cui l'Autorità italiana leggerà da qui in avanti registrazione, misure di sicurezza e notifiche degli incidenti dei soggetti essenziali e importanti. Contiene due scadenze precise da segnare subito in calendario.
L'11 settembre 2026 l'Agenzia per la Cybersicurezza Nazionale ha reso disponibile online il Vademecum per i soggetti NIS (Network and Information Security) — il documento operativo con cui l'Autorità nazionale competente per gli obblighi NIS2 chiarisce come intende leggere registrazione, misure di sicurezza e notifiche degli incidenti dei soggetti essenziali e importanti in Italia.
Due scadenze da segnare subito
Il Vademecum non è un testo di principio: fissa scadenze operative.
Ottobre 2026.Entro questo mese, i soggetti inseriti nell'elenco NIS nel corso del 2025 devono aver implementato le misure di sicurezza di base richieste. Non è un termine soft: è la prima verifica concreta di conformità per la coorte di soggetti registrati l'anno scorso.
1 gennaio – 28 febbraio 2027.Finestra per la registrazione e l'aggiornamento annuale tramite il portale servizi ACN. Riguarda tutti i soggetti NIS, non solo i nuovi iscritti: è il momento in cui le informazioni già fornite vanno riviste e confermate.
Il meccanismo che vale la pena notare: proporzionalità via categorizzazione
Il punto più utile del Vademecum, dal punto di vista di chi fa compliance, non è la scadenza in sé ma il meccanismo che la accompagna: l'aggiornamento delle informazioni si lega alla categorizzazione delle attività e dei servizi del soggetto. In pratica, ACN usa questa classificazione per abilitare un'analisi d'impatto semplificatae per calibrare gli obblighi di sicurezza in modo proporzionato al profilo reale dell'organizzazione — non un pacchetto di requisiti identico per tutti i soggetti NIS, a prescindere da dimensione e criticità dei servizi erogati.
Per un'organizzazione già iscritta nel perimetro NIS2, questo significa che la descrizione delle proprie attività e servizi nel portale ACN non è un adempimento burocratico isolato: è l'input che determina quanto, in concreto, l'Autorità si aspetterà in termini di misure di sicurezza.
Perché conviene muoversi ora, non a febbraio 2027
Chi ha già in corso una gap analysis NIS2 — o una mappatura verso i controlli ISO/IEC 27001 già adottati — ha un motivo concreto per rileggerla alla luce di questo documento, prima che la finestra di registrazione 2027 si apra:
- La categorizzazione di attività e servizi comunicata ad ACN deve essere coerente con quanto emerso dalla gap analysis interna — un disallineamento qui si traduce in un obbligo di sicurezza mal calibrato, non solo in un problema formale.
- Chi è stato iscritto nel 2025 ha una scadenza a ottobre 2026 sulle misure di base: è un termine vicino, non un orizzonte 2027.
- I controlli ISO/IEC 27001 già presenti in azienda vanno ricondotti, uno per uno, ai profili di rischio che la nuova classificazione ACN implica — è il lavoro di allineamento che rende il documento un punto di partenza operativo e non solo una lettura.
Il Vademecum, in altre parole, è il riferimento da usare per parlare la stessa lingua dell'Autorità competente — non un documento da archiviare in attesa della scadenza.
Fonti
La tua categorizzazione NIS2 regge la lettura di ACN?
Affianchiamo i soggetti essenziali e importanti nella gap analysis NIS2 e nella mappatura verso i controlli ISO/IEC 27001, per arrivare alla finestra di registrazione con una classificazione coerente e misure di sicurezza già allineate.
Parla con noi →