In breve. Gli obblighi sono sei: registrazione, aggiornamento delle informazioni, categorizzazione, responsabilità degli organi, misure di sicurezza, notifica degli incidenti. I primi tre tornano ogni anno.
I sei obblighi
| Obbligo | Cosa significa | Base |
|---|---|---|
| Registrazione | Dichiararsi ad ACN | Art. 7 |
| Aggiornamento informazioni | Tenere aggiornati dati, ruoli, IP, domini, fornitori | Art. 7 c. 4, 5, 7 |
| Categorizzazione | Classificare attività e servizi per impatto | Art. 30 |
| Governo | Approvare, sovrintendere, formarsi | Art. 23 |
| Misure di sicurezza | Attuare le misure di base | Art. 24 |
| Notifica incidenti | Segnalare gli incidenti significativi | Art. 25 |
Il calendario annuale
| Quando | Cosa | Chi |
|---|---|---|
| 1 gennaio - 28 febbraio | Registrazione o aggiornamento | Soggetti in ambito |
| Entro 31 marzo | Redazione dell'elenco | ACN |
| Entro 14 aprile | Comunicazione di inserimento, permanenza o espunzione | ACN |
| 15 aprile - 31 maggio | Aggiornamento annuale delle informazioni | Soggetti in elenco |
| 1 maggio - 30 giugno | Elencazione e categorizzazione | Soggetti in elenco |
| Entro 14 giorni da ogni modifica | Comunicazione della variazione | Soggetti in elenco |
| In ogni momento | Notifica degli incidenti significativi | Soggetti in elenco |
Novità dal 2027. Chi è già in elenco e non ha modifiche rispetto a quanto dichiarato non presenta una nuova dichiarazione (Det. 314287/2026, art. 11 c. 1). Chi ha modifiche la presenta partendo da una bozza precompilata.
I termini per coorte
| Inserimento in elenco | Notifica incidenti | Misure di base |
|---|---|---|
| 2025 | 9 mesi dalla comunicazione individuale, in pratica da gennaio 2026 | 18 mesi dalla comunicazione individuale, in pratica entro ottobre 2026 |
| 2026 | Dal 1° gennaio 2027 | Entro il 31 luglio 2027 |
Non usare una data unica per la coorte 2025. Il termine decorre dalla ricezione della comunicazione, quindi cambia da soggetto a soggetto. Molti articoli citano il 31 ottobre 2026, ma il riferimento corretto è il singolo giorno calcolato sulla propria comunicazione.
Registrazioni tardive
Le dichiarazioni inviate dopo il 28 febbraio sono tardive, salvo criticità tecnico-operative documentate e non imputabili al soggetto. Quelle inviate entro il 1° settembre sono trattate per l'annualità di riferimento. Per adeguare il portale, ACN ha annunciato che dal 31 ottobre 2026 non è più possibile inviarle per il 2026. Chi fosse rimasto fuori deve rivolgersi al Service Desk e prepararsi alla finestra del 1° gennaio 2027. La mancata o tardiva registrazione comporta il rischio previsto dall'art. 38 c. 13.
Cadenze interne suggerite dalle misure
| Cadenza | Attività | Riferimento |
|---|---|---|
| Periodica | Relazioni agli organi | ID.IM-01 |
| Periodica | Verifica di utenze e autorizzazioni | PR.AA-01 |
| Periodica | Verifica delle forniture | GV.SC-07 |
| Annuale | Riesame delle politiche | GV.PO-02 |
| Almeno biennale | Organizzazione, valutazione del rischio, piani di continuità, incidenti | GV.RR-02, ID.RA-05, ID.IM-04, RS.MA-01 |
| A ogni evento | Riesame dopo incidenti significativi o variazioni | Più misure |
Approfondisci
Fonti
Orientamento informativo, non consulenza legale. Verifica sempre le fonti ufficiali ACN.