Le modifiche introdotte non si limitano ad aspetti tecnici, ma incidono sulle modalità di gestione del ciclo annuale di aggiornamento dell’elenco NIS. In particolare, per i soggetti già inclusi nell’elenco, la registrazione annuale diventa un adempimento necessario solo in presenza di determinate circostanze; vengono rafforzati i poteri di verifica dell’ACN, con maggiore flessibilità nell'esercizio dei relativi controlli, ed è introdotta una nuova procedura interna di riesame, attraverso la presentazione di un’istanza di revisione.
Di seguito analizziamo le principali novità introdotte dalla nuova determinazione e i relativi impatti operativi per le organizzazioni interessate.
1. Registrazione (art. 11): da adempimento annuale a dichiarazione “su eccezione”
1.1 Esonero dalla dichiarazione per i soggetti già iscritti in assenza di modifiche
Una delle modifiche più rilevanti introdotta dalla determinazione riguarda la dichiarazione annuale, per la quale viene previsto un meccanismo semplificato: i soggetti già inclusi nell’elenco NIS sono tenuti a presentarla soltanto qualora siano intervenute modifiche rispetto alle informazioni contenute nella dichiarazione relativa all’annualità precedente o nelle successive dichiarazioni integrative. In assenza di variazioni, il soggetto conserva lo status NIS già attribuito e riceve dall’ACN una comunicazione avente natura meramente ricognitiva (art. 11, commi 1 e 11; art. 15, comma 4).
La semplificazione procedurale stabilita dalla nuova determinazione comporta che ciascun soggetto sia chiamato a verificare autonomamente se, rispetto alle informazioni già comunicate, siano intervenute variazioni che rendano necessaria la presentazione di una nuova dichiarazione. Un’errata valutazione potrebbe infatti determinare l’omissione degli adempimenti previsti dall’art. 7 del D.Lgs. 138/2024 (il “Decreto NIS”), con conseguente esposizione alle sanzioni di cui all’art. 38. È quindi opportuno prevedere una verifica interna annuale, da svolgere prima dell’apertura della finestra di registrazione e della quale conservare adeguata evidenza documentale.
Rimane inoltre da chiarire il coordinamento con l’obbligo di aggiornamento continuo previsto dall’art. 19. La determinazione fa infatti riferimento alle sole «dichiarazioni integrative» presentate nell’ambito del procedimento di consolidamento dell’elenco, senza precisare se, ai fini dell’esenzione dalla dichiarazione annuale, rilevino anche le modifiche comunicate tramite la procedura di aggiornamento continuo.
1.2 Dimensione dell'impresa
La determinazione introduce, inoltre, un cambiamento significativo nelle modalità di dichiarazione della dimensione aziendale: spetta infatti direttamente al soggetto qualificarsi come micro, piccola, media o grande impresa, applicando i criteri previsti dalla Raccomandazione 2003/361/CE. I dati relativi al fatturato, al totale di bilancio e al numero di dipendenti non devono essere indicati in via ordinaria, ma soltanto qualora la piattaforma rilevi automaticamente eventuali incongruenze.
Questa semplificazione sul piano operativo si accompagna, tuttavia, a una maggiore responsabilizzazione dei soggetti, chiamati a garantire la correttezza della propria autovalutazione. La dichiarazione è resa ai sensi del d.P.R. n. 445/2000 e comporta, in caso di dichiarazioni mendaci, le conseguenze previste dalla legge, anche sul piano penale. Il profilo assume particolare rilievo per le imprese appartenenti a gruppi, poiché il calcolo della dimensione aziendale deve includere, secondo le regole della Raccomandazione 2003/361/CE, anche i dati delle imprese associate e collegate. Diventa quindi essenziale svolgere e documentare con attenzione tale valutazione, conservando i criteri adottati e i relativi calcoli, così da poter dimostrare la correttezza della dichiarazione in caso di incongruenze o verifiche da parte dell’ACN.
1.3 Dichiarazioni tardive
La determinazione disciplina in modo più puntuale anche il caso delle dichiarazioni tardive, prevedendo che quelle presentate entro il 1° settembre siano comunque prese in considerazione ai fini della registrazione nell’annualità di riferimento (art. 11, comma 8). Si tratta di una possibilità di regolarizzazione in corso d’anno che consente ai soggetti in ritardo di essere inclusi nel relativo ciclo annuale, senza dover attendere la successiva finestra di registrazione.
È tuttavia importante chiarire che tale previsione non equivale a una proroga del termine ordinario e non esclude le eventuali conseguenze sanzionatorie derivanti dal ritardo. Inoltre, alle dichiarazioni tardive non si applica il meccanismo di consolidamento previsto allo scadere del termine di dieci giorni (art. 11, comma 9). La possibilità di recuperare la registrazione nell’annualità in corso non deve quindi essere confusa con una sanatoria dell’inadempimento.
1.4 Operazioni straordinarie: fusioni e cessioni di rami d'azienda
La determinazione disciplina espressamente anche alcune operazioni straordinarie. In caso di fusione, anche per incorporazione ai sensi dell'art. 2501 c.c., dalla quale risulti un nuovo soggetto e alla quale partecipi almeno un soggetto NIS, il soggetto risultante dalla fusione è tenuto a registrarsi. I soggetti partecipanti devono inoltre comunicare, attraverso i Servizi NIS, i dati identificativi del soggetto risultante. In caso di cessione di rami d'azienda relativi ad attività che hanno determinato l'applicazione del Decreto NIS, il cedente è invece tenuto a comunicare i dati identificativi del cessionario (art. 11, commi 12 e 13).
La previsione conferma che la compliance NIS deve essere considerata anche nell'ambito delle operazioni di M&A. In particolare, è opportuno includere nelle attività di due diligence una verifica dello status NIS delle società coinvolte e dei rami d'azienda oggetto di trasferimento, nonché disciplinare negli accordi contrattuali gli obblighi di cooperazione tra le parti e la ripartizione delle responsabilità relative alle comunicazioni da effettuare all'ACN.
La determinazione non individua, tuttavia, un termine specifico entro cui il soggetto risultante dalla fusione debba procedere alla registrazione, né entro cui il cedente debba comunicare i dati del cessionario.
Restano invece prive di una disciplina espressa altre operazioni straordinarie, quali le scissioni e i conferimenti. Sarà quindi necessario valutare caso per caso gli effetti di tali operazioni sulla posizione NIS dei soggetti coinvolti, anche alla luce dei principi sottesi alle disposizioni in esame.
2. Individuazione da parte dell’ACN (art. 13): termini certi e stringenti
L’art. 13 della determinazione chiarisce poi che i soggetti individuati dall’ACN e non ancora inclusi nell’elenco sono tenuti a registrarsi entro 30 giorni dalla ricezione della relativa notifica. Qualora la notifica sia ricevuta successivamente al 31 luglio, la registrazione dovrà invece essere effettuata nel corso della finestra ordinaria prevista per l’anno successivo. Per i soggetti già presenti nell’elenco, la notifica specifica le modalità da seguire.
3. Verifiche di coerenza (art. 14): controlli più incisivi e assenza di termini per l’ACN
La determinazione rafforza altresì gli strumenti a disposizione dell’ACN per verificare la correttezza e la coerenza delle informazioni dichiarate dai soggetti NIS. In particolare, l’art. 14 prevede espressamente la possibilità per l’Autorità di avvalersi di strumenti automatizzati nell’ambito delle verifiche d’ufficio. Inoltre, nel corso di tali verifiche, l’ACN può richiedere, tramite i Servizi NIS, informazioni aggiuntive, modifiche o integrazioni, assegnando al soggetto un termine di dieci giorni per fornire riscontro. In caso di risposta tardiva, la valutazione viene effettuata «allo stato degli atti» e può condurre all’attribuzione di uno Status NIS diverso da quello precedentemente riconosciuto o risultante dalla valutazione preliminare automatizzata.
Parallelamente, la nuova disciplina elimina alcune garanzie procedurali previste dalla precedente determinazione n. 127437/2026. In particolare, non è più previsto il termine di 30 giorni, prorogabile di ulteriori 20, entro il quale l’ACN era tenuta a pronunciarsi sulla dichiarazione, né l'obbligo di comunicare al soggetto l'esito positivo o negativo della verifica.
Il nuovo assetto potrebbe determinare uno significativo squilibrio nella gestione del procedimento. Da un lato, il soggetto è tenuto a fornire eventuali chiarimenti o integrazioni entro un termine particolarmente breve, la cui inosservanza può incidere direttamente sulla sua qualificazione NIS (si pensi, ad esempio, al passaggio da soggetto importante a soggetto essenziale, che comporta l’assoggettamento a un regime di vigilanza più intenso), dall’altro, l’ACN non è più vincolata a un termine per concludere le verifiche e non è tenuta a comunicare specificamente il relativo esito, che trova riscontro formale soltanto nelle comunicazioni riguardanti l’elenco NIS, disciplinate dall’art. 15.
Merita attenzione anche il ricorso agli strumenti automatizzati, che potrebbe consentire all’ACN di incrociare le informazioni dichiarate con quelle disponibili in banche dati pubbliche, quali il Registro delle imprese e i bilanci depositati. Diventa pertanto ancora più importante assicurare la coerenza tra le informazioni trasmesse all’Autorità e quelle risultanti dalle fonti ufficiali.
Sul piano organizzativo, sarà quindi opportuno assicurare un monitoraggio costante del domicilio digitale e del Portale ACN, garantire la disponibilità del sostituto del punto di contatto e predisporre procedure interne che consentano di raccogliere e trasmettere tempestivamente le informazioni richieste. In assenza di indicazioni espresse sul computo del termine, appare inoltre prudente considerare i dieci giorni come giorni di calendario, organizzando di conseguenza la gestione delle eventuali richieste dell’Autorità.
4. Elenco dei soggetti NIS (art. 15): nuovo ciclo annuale e introduzione dell’istanza di revisione
L’art. 15 della determinazione è stato integralmente riscritto, con una revisione delle modalità di aggiornamento e consolidamento dell’elenco NIS e l’introduzione di una nuova procedura di revisione. Entro il 31 marzo di ogni anno, l’ACN aggiorna l’elenco relativo all’annualità precedente, dando conto dei nuovi inserimenti, della permanenza dei soggetti già iscritti – anche con eventuale modifica dello Status NIS – e delle relative espunzioni. Ai soggetti interessati viene quindi comunicato l’esito della procedura, che può consistere nell’inserimento, nella permanenza o nell’espunzione dall’elenco, ovvero nella rilevata carenza dei presupposti per l’inserimento. Il codice identificativo univoco viene invece attribuito esclusivamente ai soggetti inseriti per la prima volta.
La determinazione disciplina inoltre due distinti strumenti di verifica e revisione. Da un lato, entro 60 giorni dalla comunicazione, prorogabili una sola volta per ulteriori 30 giorni, l’ACN può effettuare d’ufficio ulteriori verifiche a campione. Dall’altro, il soggetto interessato può presentare un’istanza di revisione entro 60 giorni dalla ricezione della comunicazione, a pena di decadenza. L’ACN è tenuta a pronunciarsi entro 60 giorni, prorogabili di ulteriori 30, con sospensione dei termini in caso di richiesta di integrazioni, da fornire entro dieci giorni. Il procedimento si conclude con il consolidamento dell’elenco entro il 31 dicembre di ogni anno.
L’introduzione dell’istanza di revisione rappresenta una delle novità più rilevanti della determinazione, in quanto offre ai soggetti interessati uno strumento specifico per contestare la propria inclusione nell’elenco o lo Status NIS attribuito. La sua gestione richiede tuttavia particolare attenzione: il termine di 60 giorni è previsto a pena di decadenza e rende opportuno avviare tempestivamente la valutazione della posizione dell’organizzazione sin dalla ricezione della comunicazione dell’ACN, predisponendo gli eventuali elementi a sostegno della richiesta di revisione.
5. Accesso al Portale ACN: CNS ed eIDAS
La determinazione amplia le modalità di accesso al Portale ACN, ammettendo, oltre a CIE e SPID, anche CNS e strumenti di identificazione elettronica riconosciuti ai sensi del Regolamento eIDAS. Viene inoltre eliminato l’obbligo, per gli utenti che accedono con credenziali personali, di indicare un codice identificativo nazionale in alternativa al codice fiscale (artt. 1 e 8).
La novità agevola in particolare i gruppi multinazionali, consentendo anche a personale e rappresentanti stabiliti in altri Stati membri di accedere alla piattaforma. Resta opportuno verificare l’adeguatezza delle utenze associate all’organizzazione e assicurare che tutti i soggetti coinvolti dispongano di credenziali attive, così da garantire la continuità nella gestione degli adempimenti e delle richieste dell’ACN.
