Tra gli obblighi più concreti che la NIS2 ha portato in azienda c’è la nomina del Punto di Contatto verso l’Agenzia per la Cybersicurezza Nazionale. Non è una figura simbolica: è la persona che riceve le comunicazioni dell’ACN, firma le notifiche di incidente nei tempi previsti e tiene aggiornati i dati del soggetto sul portale. In questa guida vediamo chi lo nomina, cosa fa, come si registra e quali sono gli errori più comuni che vediamo in fase di adeguamento.
Chi deve nominare il Punto di Contatto
L’obbligo riguarda i soggetti rientranti nell’ambito del D.Lgs. 138/2024, che recepisce in Italia la Direttiva (UE) 2022/2555 (NIS2). Sono i cosiddetti soggetti essenziali e soggetti importanti, identificati su base dimensionale e settoriale dagli allegati al decreto. Tra i settori coinvolti ci sono energia, trasporti, sanità, infrastrutture digitali, fornitori di servizi gestiti, pubblica amministrazione, gestione rifiuti, produzione di alimenti e dispositivi medici, oltre a soggetti critici già individuati dalla disciplina precedente.
Il Punto di Contatto è un’unica persona, dipendente del soggetto o comunque ad esso strutturalmente legata. Non coincide necessariamente con il responsabile della sicurezza informatica o con il DPO previsto dal GDPR, ma in molte realtà queste figure si sovrappongono ed è prassi indicare la stessa persona se ha effettivo presidio operativo sui processi cyber.
Cosa fa
I compiti operativi del Punto di Contatto si concentrano su quattro fronti:
- Tiene aggiornata l’anagrafica del soggetto sul portale ACN: ragione sociale, sede, settore, dimensioni, perimetro NIS2.
- Gestisce le notifiche di incidente significativo nei tre tempi previsti dalla disciplina: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro 30 giorni.
- Riceve e gestisce le comunicazioni in ingresso da ACN: richieste informative, segnalazioni, eventuali ispezioni.
- Coordina internamente con l’organo amministrativo, che resta responsabile dell’adeguamento e risponde sul piano gestionale.
Come si accede al Portale ACN
L’accesso avviene sul portale dedicato ai servizi ACN, con autenticazione tramite SPID di livello 2 o Carta d’Identità Elettronica. Il rappresentante legale del soggetto effettua il primo ingresso e abilita gli altri profili previsti, tra cui appunto il Punto di Contatto. La buona prassi è separare i ruoli sin dall’inizio, anche se il primo accesso passa per il legale rappresentante.
Durante la registrazione vengono richiesti i dati identificativi del soggetto (codice fiscale, partita IVA, indirizzo PEC, sede legale), la classificazione settoriale e dimensionale e i dati del Punto di Contatto: nome, cognome, codice fiscale, ruolo aziendale, recapiti diretti, indirizzo email istituzionale. È importante che l’email sia presidiata in modo continuativo, non una casella personale.
Tempi di notifica degli incidenti
La parte operativa più delicata è la gestione delle notifiche di incidente. La normativa prevede tre scadenze cumulative:
- Entro 24 ore dalla scoperta dell’incidente significativo: pre-notifica con descrizione iniziale, ipotesi di causa e indicazione delle prime contromisure.
- Entro 72 ore: notifica con valutazione iniziale, gravità, impatti, indicatori di compromissione disponibili.
- Entro 30 giorni: relazione finale dettagliata con cause, impatti effettivi, misure correttive adottate, lezioni apprese.
Per rispettare questi tempi serve un processo interno collaudato. Conviene definire un’istruzione operativa che spieghi chi rileva l’incidente, chi lo classifica come significativo, chi avvisa il Punto di Contatto e quale canale si usa fuori orario.
Errori comuni nella nomina
Tre situazioni si vedono spesso e creano problemi a distanza di mesi.
Il primo errore è nominare una figura senza autonomia operativa, ad esempio un membro del consiglio non coinvolto nei processi tecnici. Le notifiche di incidente richiedono di sapere cosa è successo dentro l’infrastruttura: serve qualcuno con accesso reale ai sistemi e al team che gestisce gli incidenti.
Il secondo errore è non aggiornare la nomina quando la persona cambia ruolo o esce dall’azienda. Sul portale ACN il riferimento resta valido fino a sostituzione esplicita. Una nomina obsoleta significa comunicazioni che arrivano a un destinatario non più operativo.
Il terzo errore è usare un indirizzo email generico non monitorato fuori orario. Le pre-notifiche a 24 ore non aspettano il lunedì mattina.
Categorizzazione fornitori e altre scadenze
La nomina del Punto di Contatto è solo uno dei pezzi dell’adeguamento. Sul portale ACN sono attive in parallelo altre attività, tra cui la categorizzazione dei fornitori rilevanti, prevista come step distinto e con propria scadenza. Una volta che il Punto di Contatto è operativo, conviene mappare subito i prossimi adempimenti calendarizzati per il soggetto: governance interna, formazione dell’organo amministrativo, mappatura asset e rischi, piano di gestione incidenti, piano di continuità operativa.
Domande frequenti
Il Punto di Contatto può essere un consulente esterno?
La disciplina richiede che la figura sia strutturalmente legata al soggetto. Un consulente esterno può supportare la funzione, ma il riferimento ufficiale verso ACN deve essere interno e in grado di rappresentare il soggetto verso l’autorità.
Si può nominare più di un Punto di Contatto?
Il portale prevede un’unica figura ufficiale. È prassi affiancare un sostituto operativo nelle procedure interne, ma la responsabilità formale verso ACN è in capo a una persona individuata.
Cosa succede se non si nomina?
L’omessa o tardiva nomina rientra tra le condotte sanzionabili nel quadro NIS2. Più che l’aspetto sanzionatorio, l’assenza di un Punto di Contatto significa non avere un canale formale verso l’ACN nel momento in cui serve, cioè durante un incidente.
Per chi sta affrontando ora questi adempimenti, l’ordine pratico è chiaro: prima si nomina e si registra il Punto di Contatto, poi si costruisce il processo interno di notifica, poi si chiudono gli altri pezzi del piano di adeguamento. Avere un riferimento attivo sul portale è la condizione minima per gestire tutto il resto.