1. Ai fini della presente determinazione si intende per:

a) "decreto NIS", il decreto legislativo 4 settembre 2024, n. 138;

b) "Agenzia per la cybersicurezza nazionale", l'Agenzia per la cybersicurezza nazionale di cui all'articolo 5, comma 1, del decreto-legge 14 giugno 2021, n. 82;

c) "Autorità nazionale competente NIS", l'Autorità nazionale competente di cui all'articolo 10, comma 1, del decreto NIS;

d) "Autorità di settore NIS", le Amministrazioni di cui all'articolo 11, commi 1 e 2, del decreto NIS;

e) "sito web", il sito web istituzionale dell'Agenzia per la cybersicurezza nazionale (acn. gov.it);

f) "piattaforma digitale", la piattaforma digitale di cui all'articolo 7, comma 1, del decreto NIS, accessibile tramite il Portale ACN per l'erogazione dei Servizi NIS;

g) "Portale ACN", il Portale dei servizi tramite il quale sono accessibili i servizi che l'Agenzia per la cybersicurezza nazionale mette a disposizione dei suoi interlocutori e dei soggetti, pubblici e privati, che rientrano nell'ambito di applicazione della disciplina cyber o con i quali l'Agenzia deve interagire ai sensi della stessa;

h) "soggetto", una persona giuridica per conto della quale un utente accede al Portale ACN e, in particolare, ai Servizi NIS;

i) "soggetto NIS", un soggetto pubblico o privato che rientra nell'ambito di applicazione del decreto NIS;

j) "Servizi NIS", i servizi, accessibili tramite il Portale ACN, necessari per supportare l'espletamento degli adempimenti previsti dal decreto NIS e le interlocuzioni tra l'Autorità nazionale compente NIS e i soggetti;

k) "Servizio NIS/Registrazione", il Servizio NIS reso disponibile dall'Autorità nazionale competente NIS ai fini della registrazione di cui all'articolo 7, comma 1, del decreto NIS;

l) "punto di contatto", la persona fisica designata dal soggetto NIS ai sensi dell'articolo 7, comma 1, lettera c), del decreto NIS;

m) "utente", una persona fisica che accede al Portale ACN e, in particolare, accede ai Servizi NIS;

n) "rappresentante NIS", il rappresentante di cui all'articolo 5, comma 3, del decreto NIS;

o) "censimento", il processo di autenticazione, tracciamento e verifica di un utente finalizzato alla sua associazione a un soggetto per accedere al Portale ACN e, in particolare, ai Servizi NIS;

p) "associazione", il processo di tracciamento, verifica e convalida dell'associazione dell'utenza con un soggetto che consente all'utente stesso di accedere al Portale ACN e, in particolare, ai Servizi NIS;

q) "registrazione", il processo di cui all'articolo 7, comma 1, del decreto NIS;

r) "dichiarazione", la dichiarazione resa dal punto di contatto ai fini della registrazione;

s) "impresa collegata", un soggetto che soddisfa i criteri di cui all'articolo 3, paragrafi 2 e 3, dell'allegato alla raccomandazione 2003/361/CE, o che fa parte di un gruppo di imprese;

t) "impresa autonoma", una impresa non identificabile come impresa collegata;

u) "gruppo di imprese", ai sensi dell'articolo 2, comma 1, lettera h), del decreto legislativo 12 gennaio 2019, n. 14, l'insieme delle società, delle imprese e degli enti, esclusi lo Stato e gli enti territoriali, che esercitano o sono sottoposti, ai sensi degli articoli 2497 e 2545-septies del codice civile, alla direzione e coordinamento di una società, di un ente o di una persona fisica; a tal fine si presume, salvo prova contraria, che l'attività di direzione e coordinamento delle società del gruppo sia esercitata dalla società o ente tenuto al consolidamento dei loro bilanci oppure dalla società o ente che le controlla, direttamente o indirettamente, anche nei casi di controllo congiunto;

v) "gruppo europeo di interesse economico (GEIE)", un gruppo di imprese costituito sulla base delle condizioni, modalità ed effetti disciplinati dal Regolamento (CEE) n. 2137/85.

1. La presente determinazione stabilisce termini, modalità e procedimenti di utilizzo e accesso al Portale ACN e, in particolare, ai Servizi NIS nonché le ulteriori informazioni che i soggetti NIS devono fornire all'Autorità nazionale competente NIS ai fini dello svolgimento delle funzioni attribuite dal decreto NIS e i termini, le modalità e i procedimenti di designazione dei rappresentanti NIS nell'Unione.

2. Ai fini del comma 1, la presente determinazione definisce:

a) le modalità di designazione del punto di contatto:

b) il procedimento per il censimento del punto di contatto quale utente per accedere al Portale ACN;

c) il procedimento per l'associazione dell'utenza del punto di contatto al soggetto per conto del quale il punto di contatto accede ai Servizi NIS;

d) il procedimento per la registrazione, tramite il Servizio NIS/Registrazione.

3. Ai sensi dell'articolo 23, comma 1, lettera b), del decreto NIS, gli organi di amministrazione e gli organi direttivi dei soggetti NIS sovrintendono alla registrazione, comunicazione o aggiornamento delle informazioni di cui all'articolo 7, comma 1, del medesimo decreto e sono responsabili delle eventuali violazioni.

4. La mancata registrazione, comunicazione o aggiornamento delle informazioni di cui all'articolo 7, comma 1, del decreto NIS, con le modalità sopra indicate, è punita ai sensi dell'articolo 38 del medesimo decreto.

5. La presente determinazione è aggiornata entro il 31 marzo 2025.

1. I soggetti comunicano con l'Autorità nazionale competente NIS, anche ai fini del censimento, dell'associazione e della registrazione, esclusivamente tramite i Servizi NIS o tramite la sezione dedicata nell'area NIS del sito web, salvo in caso di diversa espressa specifica indicazione dell'Autorità nazionale competente o per cause di forza maggiore, fermo restando quanto previsto dal decreto NIS.

2. Le istruttorie dell'Autorità nazionale competente NIS e delle Autorità di settore NIS ai fini della presente determinazione sono svolte prioritariamente sulla base delle informazioni trasmesse dai soggetti tramite i Servizi NIS.

3. Gli utenti aggiornano le informazioni trasmesse tramite il Portale ACN o tramite i Servizi NIS tempestivamente, secondo eventuale specifica indicazione dell'Autorità nazionale competente NIS, nel rispetto dei termini indicati dal decreto NIS.

4. Gli utenti sono tenuti a verificare la correttezza delle informazioni visualizzate o ricevute tramite il Portale ACN e i Servizi NIS, e in caso di incongruenze effettuano la segnalazione di cui al comma 6.

5. Resta ferma la responsabilità penale, ai sensi dell'articolo 76 del decreto del Presidente della Repubblica del 28 dicembre 2000, n. 445, in caso di rilascio di dichiarazioni mendaci, formazione di atti falsi o, comunque, contenenti dati non più rispondenti a verità.

6. Gli utenti segnalano, tramite gli appositi canali di comunicazione del Portale ACN o tramite la sezione dedicata nell'area NIS del sito web, malfunzionamenti o comportamenti inattesi del Portale ACN stesso e dei Servizi NIS.

7. Le informazioni visualizzate o ricevute tramite il Portale ACN e i Servizi NIS sono condivise nel rispetto della politica di condivisione delle informazioni. Salvo diversa specifica indicazione, le informazioni visualizzate o ricevute tramite il Portale ACN e i Servizi NIS sono a divulgazione limitata e sono ristrette all'originatore e ai destinatari dell'informazione, nonché alle loro organizzazioni, alle loro terze parti e ai propri clienti. I destinatari non possono condividere le informazioni ricevute al di fuori della propria organizzazione, delle loro terze parti e dei propri clienti. La condivisione delle informazioni ricevute nella propria organizzazione con le terze parti e con i clienti è limitata ai dati strettamente necessari per lo svolgimento delle attività (principio del need-to-know).

1. Il punto di contatto è una persona fisica designata dal soggetto NIS con il compito di curare l'attuazione delle disposizioni del decreto NIS per conto del soggetto stesso. In particolare, il punto di contatto accede al Portale ACN e ai Servizi NIS, effettua, per conto del soggetto, la registrazione di cui all'articolo 7 del decreto NIS, e interloquisce, per conto del soggetto NIS, con l'Autorità nazionale competente NIS.

2. Le funzioni di punto di contatto possono essere svolte dal rappresentante legale del soggetto NIS, da uno dei procuratori generali del soggetto NIS o da un dipendente del soggetto NIS delegato dal rappresentante legale del soggetto medesimo. Laddove il punto di contatto, nell'espletamento delle proprie funzioni, si avvalga di personale esterno, restano comunque ferme le disposizioni di cui al comma 1.

3. Qualora il soggetto sia parte di un gruppo di imprese, le funzioni di punto di contatto possono essere svolte da un dipendente di un'altra impresa del gruppo che rientra nell'ambito di applicazione del decreto NIS, delegato dal rappresentante legale del soggetto stesso.

4. Qualora il soggetto NIS sia una pubblica amministrazione, le funzioni di punto di contatto possono essere svolte da un dipendente di un'altra pubblica amministrazione che rientra nell'ambito di applicazione del decreto NIS, delegato dal rappresentante legale del soggetto stesso.

5. Il punto di contatto riferisce direttamente al vertice gerarchico del soggetto NIS nonché agli organi di amministrazione e direttivi del soggetto medesimo ai fini di quanto previsto dal decreto NIS.

6. Resta ferma, in ogni caso, la responsabilità degli organi di amministrazione e direttivi del soggetto NIS ai sensi dell'articolo 23 del decreto NIS e delle persone fisiche ai sensi dell'articolo 38 del medesimo decreto.

7. La designazione del punto di contatto da parte dei soggetti di cui all'articolo 1, comma 1, della legge 28 giugno 2024, n. 90, che rientrano nell'ambito di applicazione del decreto NIS, può soddisfare l'obbligo di nomina e comunicazione del referente per la cybersicurezza di cui all'articolo 8, comma 2, della medesima legge.

1. Per designare il proprio rappresentante NIS in Italia, i soggetti NIS di cui all'articolo 5, comma 1, lettera b), del decreto NIS trasmettono, entro il 1° gennaio 2025, al domicilio digitale dell'Agenzia per la cybersicurezza nazionale la documentazione indicata nella sezione dedicata del sito web. Con le medesime modalità, tali soggetti comunicano il domicilio digitale per le conseguenti interlocuzioni con l'Autorità nazionale competente NIS.

2. L'Autorità nazionale competente NIS comunica al domicilio digitale del soggetto l'autorizzazione, o il diniego, a procedere al censimento e alla registrazione entro trenta giorni dalla ricezione della trasmissione di cui al comma 1.

3. Ove si renda necessario richiedere al soggetto integrazioni o informazioni, i termini di cui al comma 2 sono sospesi e ricominciano a decorrere dalla data di ricevimento delle integrazioni e delle informazioni che sono rese entro il termine di dieci giorni dalla richiesta. Il tardivo riscontro alle richieste di cui al presente comma può essere motivo di diniego di censimento e registrazione.

4. Fermo restando quanto previsto dall'articolo 4, comma 2, i soggetti di cui al comma 1 del presente articolo possono delegare le funzioni di punto di contatto:

a) al rappresentante NIS stesso, qualora sia una persona fisica;

b) al rappresentante legale, a uno dei procuratori generali o a un dipendente del rappresentante NIS stesso, qualora quest'ultimo sia una persona giuridica.

1. A partire dal 1° dicembre 2024 ed entro il 28 febbraio 2025, i punti di contatto si autenticano sul Portale ACN tramite le proprie credenziali personali del Sistema Pubblico di Identità Digitale (SPID).

2. Gli utenti completano la propria anagrafica fornendo le informazioni seguenti, se non già condivise tramite SPID:

a) nome e cognome;

b) luogo e data di nascita;

c) codice fiscale;

d) cittadinanza;

e) Paese di residenza e, ove richiesto, di domicilio;

f) indirizzo della sede prevalente di servizio, aziendale o professionale;

g) indirizzo di posta elettronica ordinaria, preferibilmente individuale, nonché di servizio, aziendale o professionale;

h) ove disponibile, un indirizzo di posta elettronica certificata, preferibilmente individuale, nonché di servizio, aziendale o professionale;

i) numero di telefono, preferibilmente individuale, nonché di servizio, aziendale o professionale;

j) ove disponibile, un numero alternativo di telefono, preferibilmente individuale di servizio, aziendale o professionale.

3. Qualora, ai sensi della normativa vigente, un utente non possa disporre di credenziali SPID, può autenticarsi con credenziali personali. La procedura per la richiesta delle credenziali personali è pubblicata nella sezione dedicata del sito web. Tali utenti forniscono un codice di identificazione nazionale in luogo del codice fiscale di cui al comma 2, lettera c).

1. Gli utenti censiti sul Portale ACN quali punti di contatto effettuano l'associazione della loro utenza con il soggetto che li ha designati attraverso la digitazione del suo codice fiscale o del codice dell'indice dei domicili digitali delle pubbliche amministrazioni e dei gestori di pubblici servizi (IPA). Solo le utenze dei punti di contatto possono essere associate ai soggetti.

2. Per ogni soggetto che intende accedere al Portale ACN e ai Servizi NIS, l'utente:

a) verifica la denominazione nonché l'indirizzo, il domicilio digitale e i recapiti della sede legale del soggetto visualizzati dal Portale ACN;

b) indica se è:

1) rappresentante legale del soggetto;

2) procuratore generale del soggetto;

3) delegato dal rappresentante legale del soggetto;

c) indica il codice fiscale del soggetto di cui è dipendente qualora diverso dal soggetto NIS;

d) indica il ruolo svolto presso il soggetto.

3. Nel caso di cui al comma 2, lettera b), numero 3, l'utente inserisce sul Portale ACN la delega rilasciata a suo nome dal soggetto NIS, dichiarando che la stessa lo autorizza ad accedere al Portale ACN stesso e ai Servizi NIS per conto del medesimo soggetto.

4. L'associazione dell'utenza del punto di contatto al soggetto è sottoposta a convalida, da parte del soggetto medesimo, della relativa richiesta trasmessa al domicilio digitale.

5. Al termine del processo di censimento e associazione, il soggetto riceve al suo domicilio digitale la comunicazione di conclusione del processo stesso.

1. Dal 1° dicembre al 28 febbraio 2025, gli utenti designati quali punti di contatto compilano, tramite il Servizio NIS/Registrazione, la dichiarazione per il soggetto designante ai fini della sua registrazione, assicurandosi che le informazioni fornite siano corrette e aggiornate.

2. In particolare, l'utente:

a) qualora il soggetto non sia un'impresa autonoma, indica se il soggetto è parte di un gruppo di imprese e, in tal caso, indica se il soggetto è la capo gruppo ovvero indica il codice fiscale della capo gruppo;

b) qualora il soggetto non sia un'impresa autonoma, elenca i soggetti NIS di cui è a conoscenza che sono imprese collegate nei confronti delle quali soddisfi almeno uno dei criteri di cui all'articolo 3, comma 10, del decreto NIS, indicando il codice fiscale di tali imprese e quale dei criteri è soddisfatto;

c) qualora il soggetto non sia un'impresa autonoma, elenca le imprese collegate che soddisfano nei suoi confronti almeno uno dei criteri di cui all'articolo 3, comma 10, del decreto NIS, indicando il codice fiscale di tali imprese e quale dei criteri è soddisfatto, ai fini della loro identificazione come soggetti NIS ai sensi del medesimo comma;

d) elenca i codici ATECO che descrivono l'attività del soggetto;

e) indica le normative settoriali dell'Unione europea citate negli allegati I e II del decreto NIS per definire le tipologie di soggetto che rientrano nell'ambito di applicazione del decreto NIS;

f) indica i valori del fatturato e del bilancio nonché del numero di dipendenti al fine di determinare l'appartenenza del soggetto NIS alla categoria delle medie o grandi imprese ai sensi della raccomandazione 2003/361/CE. Le pubbliche amministrazioni possono non indicare i valori del fatturato e del bilancio;

g) elenca le tipologie di soggetto di cui agli allegati I, II, III e IV del decreto NIS a cui il soggetto è riconducibile.

3. Fermo restando l'obbligo di registrazione per i soggetti di cui all'articolo 3, comma 10, del decreto NIS, l'Autorità nazionale competente NIS informa le imprese di cui al comma 2, lettera c), del presente articolo che nei loro confronti si sono verificati i presupposti di cui al citato articolo del decreto NIS.

4. Qualora il soggetto non sia una impresa autonoma, il calcolo del fatturato e del bilancio nonché del numero di dipendenti di cui al comma 2, lettera f), del presente articolo è effettuato ai sensi dell'articolo 6, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE.

5. Qualora in fase di compilazione della dichiarazione siano rilevate incongruenze, queste sono segnalate all'utente che deve procedere a:

a) modificare la dichiarazione correggendo le informazioni errate o incomplete;

b) fornire ulteriori elementi informativi per giustificare l'incongruenza rilevata.

6. Al termine della compilazione della dichiarazione, all'utente è rimessa la conferma della valutazione preliminare, svolta automaticamente sulla base delle informazioni fornite ai sensi del presente articolo. Copia della dichiarazione è inviata al domicilio digitale del soggetto con l'avvertenza che tale dichiarazione potrà essere sottoposta alle verifiche di coerenza di cui all'articolo 11.

1. Nel caso in cui l'utente ritenga che il calcolo effettuato ai sensi dell'articolo 8, comma 4, non sia proporzionato tenuto conto dei criteri di cui al decreto del Presidente del Consiglio dei ministri di cui all'articolo 40, comma 1, lettera a), del decreto NIS, nel corso della registrazione può chiedere l'applicazione della clausola di salvaguardia di cui all'articolo 3, comma 12, del decreto NIS.

2. Ai fini della richiesta di cui al comma 1, tramite il Servizio NIS/Registrazione, l'utente fornisce gli elementi di valutazione corrispondenti ai criteri di cui al decreto del Presidente del Consiglio dei ministri di cui all'articolo 40, comma 1, lettera a), del decreto NIS all'Autorità nazionale competente NIS, che li condivide con le Autorità di settore interessate ai fini delle valutazioni di cui all'articolo 11, comma 4, lettera c), del medesimo decreto.

3. Al soggetto NIS è fornito riscontro con la comunicazione dell'Autorità nazionale competente NIS ai sensi dell'articolo 7, comma 3, del decreto NIS.

1. I soggetti che ricevono una notifica di individuazione da parte dell'Autorità nazionale competente NIS, su proposta delle Autorità di settore, ai sensi dell'articolo 3, comma 13, del decreto NIS, procedono al censimento e alla registrazione alla stregua delle disposizioni del presente capo.

2. In fase di registrazione, tali soggetti prendono visione e confermano gli elementi presenti nella notifica di cui al comma 1.

1. Le verifiche di coerenza delle informazioni contenute nelle dichiarazioni sono svolte, a campione, dall'Autorità nazionale competente NIS d'intesa con le Autorità di settore e non sollevano il soggetto NIS dall'obbligo del rispetto dei termini d'uso di cui all'articolo 3 della presente determinazione e, in particolare, dalla responsabilità per le dichiarazioni mendaci di cui al comma 5 del medesimo articolo.

2. Nei casi di cui al comma 1, l'Autorità nazionale competente NIS fornisce riscontro al soggetto entro trenta giorni dalla presentazione della dichiarazione tramite il servizio NIS/Registrazione. Il predetto termine può essere prorogato dall'Autorità nazionale competente NIS, per una sola volta e fino ad un massimo di ulteriori venti giorni, qualora sia necessario svolgere approfondimenti complessi riguardanti la coerenza delle informazioni contenute nella dichiarazione.

3. Ove si renda necessario richiedere al soggetto integrazioni, informazioni aggiuntive o modifiche della dichiarazione, i termini di cui al comma 2 sono sospesi e ricominciano a decorrere dalla data di ricevimento delle integrazioni e delle informazioni che sono rese entro il termine di dieci giorni dalla richiesta. Il tardivo riscontro alle richieste di cui al presente comma può essere motivo di rigetto della dichiarazione.

4. Al termine delle verifiche di coerenza delle informazioni contenute nelle dichiarazioni, l'Autorità nazionale competente comunica, tramite i Servizi NIS al domicilio digitale del soggetto NIS:

a) l'esito positivo della verifica;

b) l'esito negativo della verifica.

5. La comunicazione di cui al comma 4, lettera b), non solleva il soggetto NIS dall'obbligo di registrazione di cui all'articolo 7, comma 1, del decreto NIS.

1. L'elenco dei soggetti NIS di cui all'articolo 7, comma 2, del decreto NIS è elaborato dall'Autorità nazionale competente NIS sulla base delle informazioni trasmesse dai soggetti NIS ai sensi del capo II della presente determinazione e delle verifiche svolte dalle Autorità di settore ai sensi dell'articolo 11, comma 4, lettera a), del medesimo decreto.

2. Ai sensi del comma 1, il processo di registrazione di cui alla presente determinazione costituisce la fase endoprocedimentale del procedimento di costituzione dell'elenco dei soggetti NIS.

3. Ai sensi dell'articolo 7, comma 3, l'Autorità nazionale competente NIS comunica ai soggetti registrati l'inserimento, o meno, nell'elenco dei soggetti NIS. Ai soggetti inseriti nell'elenco dei soggetti NIS e ai loro punti di contatto viene, altresì, comunicato un codice identificativo univoco, per il soggetto e per l'utente, al fine di facilitare le interlocuzioni con l'Autorità nazionale competente NIS.

1. Agli oneri derivanti dalla presente determinazione, a carico dell'Autorità nazionale competente NIS e delle Autorità di settore, si provvede, rispettivamente, con le risorse di cui agli articoli 10 e 11 del decreto NIS.

1. La presente determinazione è pubblicata sul sito web e sui siti web istituzionali delle Autorità di settore NIS e ne sarà data, altresì, comunicazione tramite pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.

1. Per quanto non previsto dalla presente determinazione, si applicano le disposizioni del decreto NIS.

2. La presente determinazione si applica a decorrere dal primo dicembre 2024.

Roma, data del protocollo

Il Direttore Generale

BRUNO FRATTASI