I ruoli NIS2: punto di contatto, Referente CSIRT e organi di amministrazione

Nell’organizzare un adempimento NIS2 le PMI partono dalle misure tecniche. I ruoli vengono dopo, e vengono improvvisati: si nomina “il responsabile NIS2”, spesso il consulente informatico che segue l’azienda, e si considera chiusa la partita. La disciplina distingue invece figure diverse, con poteri diversi sul Portale dei Servizi di ACN, e su due di esse pone un vincolo che non ammette eccezioni. E prevede una figura distinta, quella preposta a notificare gli incidenti: il Referente CSIRT, che si designa da una funzionalità diversa del portale.

Le regole stanno nella Determinazione ACN 379887/2025 sulla piattaforma NIS e nelle FAQ NIS dell’Agenzia. Le ricostruiamo figura per figura; per il quadro generale degli obblighi resta la nostra guida operativa al d.lgs. 138/2024.

Chi può essere punto di contatto

La regola generale sta nell’articolo 4, comma 2, della Determinazione ACN 379887/2025: le funzioni di punto di contatto possono essere svolte dal rappresentante legale, da un suo procuratore generale censito sul registro delle imprese oppure da un dipendente delegato del soggetto.

La stessa Determinazione prevede però alcune estensioni, e vale la pena conoscerle prima di concludere che in azienda non c’è nessuno che possa farlo. I soggetti che fanno parte di un gruppo di imprese possono designare il dipendente di un’altra impresa del medesimo gruppo che rientri nell’ambito di applicazione del decreto NIS (comma 3); le pubbliche amministrazioni possono designare il dipendente di un’altra PA nella stessa condizione (comma 4). E chi ha designato il proprio rappresentante nell’Unione in Italia può affidare a lui la funzione: al rappresentante stesso se è una persona fisica, oppure — se è una persona giuridica — al suo rappresentante legale, a uno dei suoi procuratori generali o a un suo dipendente (articolo 6, comma 4).

Sulle competenze la fonte è deliberatamente silente: «la disciplina NIS non enuncia ulteriori specifiche in termini di competenze e caratteristiche». Non serve un profilo tecnico né un titolo, ma un collocamento organizzativo preciso: il comma 5 stabilisce che il punto di contatto riferisce direttamente al vertice gerarchico del soggetto NIS e agli organi di amministrazione e direttivi.

Quando il punto di contatto è un dipendente delegato, la delega va formalizzata e caricata. La FAQ REG.4 — che sta nella sezione Registrazione delle FAQ NIS, non in quella sui ruoli — precisa che «è sufficiente una delega del rappresentante legale che può essere ad-hoc o anche una delega pre-esistente più ampia», e ACN mette a disposizione un modello suggerito. Una procura già esistente, se abbastanza ampia, basta: non è obbligatorio produrre un atto nuovo. Va poi tenuta aggiornata nella sezione «Documenti» dell’area «Il mio profilo» del portale.

Perché questo ruolo non può essere affidato a un fornitore

È il punto su cui le PMI si sbagliano più spesso, ed è anche quello su cui la fonte è più esplicita. Alla domanda se sia possibile attribuire ruoli e responsabilità a soggetti esterni, la FAQ RR.3 risponde che, ai sensi degli articoli 4 e 5 della Determinazione, «le uniche figure che non possono essere esternalizzate sono il punto di contatto e il suo sostituto». La contrapposizione ritorna nella FAQ RCS.3, che ammette l’esternalizzazione del Referente CSIRT «contrariamente al Punto di contatto».

Ne discende — lettura nostra dell’elenco dell’articolo 4 e delle sue estensioni, non una frase dell’Agenzia — che un consulente o l’MSP che gestisce l’infrastruttura non possono ricoprire il ruolo, per quanto siano loro a conoscere i sistemi: tutte le figure ammesse presuppongono un rapporto interno o rappresentativo con il soggetto NIS.

Non significa che debba fare tutto da solo: l’ultimo periodo dello stesso comma gli riconosce la facoltà «di avvalersi, senza delegare la propria funzione, del supporto di competenze esterne». La distinzione fra supporto e delega è l’intera questione.

C’è poi un equivoco simmetrico, sul lato della responsabilità. La FAQ PDC.3 spiega che il punto di contatto «non ha la “responsabilità” degli adempimenti di cui al decreto NIS, ma ne “cura” l’attuazione»: in prima battuta la responsabilità delle violazioni è posta dall’articolo 23 in capo ai vertici aziendali, richiamati dall’articolo 38 sulle sanzioni. E quelle responsabilità, avverte la FAQ PDC.1, «non vengono meno con la designazione del Punto di contatto». Designare qualcuno non trasferisce nulla verso il basso.

Il sostituto, la segreteria, gli operatori

Il sostituto punto di contatto è designato con le medesime modalità del punto di contatto (articolo 5), ne supporta l’esercizio delle funzioni, può interloquire direttamente con l’Autorità nazionale competente NIS e — dice la FAQ PDC.4 — può effettuare le medesime azioni del punto di contatto sul Portale NIS/Aggiornamento annuale. Lo invita il punto di contatto indicando codice fiscale ed email; l’associazione è validata da una PEC al domicilio digitale dell’organizzazione e la designazione va confermata dalla pagina «Lista inviti».

Sotto queste due figure ne stanno altre due, facoltative e con poteri limitati. La segreteria è una persona fisica di supporto a punto di contatto e sostituto: può visualizzare e aggiornare le informazioni sui Servizi NIS, ma non compiere «le azioni che determinano la trasmissione di comunicazioni inerenti il perfezionamento degli adempimenti» verso il domicilio digitale del soggetto o verso l’Autorità. Lo stesso perimetro vale per gli operatori, che punto di contatto e sostituto hanno facoltà di invitare ai sensi dell’articolo 10, comma 1.

Qui sta il dettaglio insidioso. Per la segreteria ACN scrive che «la designazione non è obbligatoria ma la volontà di non nominarla deve essere manifestata esplicitamente»: non nominarla non basta, la rinuncia è un atto positivo. La FAQ non indica dove o come vada manifestata, e non è il caso di dedurlo. Per gli operatori quella previsione non c’è: la FAQ RR.2 dice soltanto che la designazione non è obbligatoria, e la regola della segreteria non va estesa per analogia.

Il Referente CSIRT: chi lo designa e da dove

È la figura meno conosciuta del sistema, e quella che serve nel momento peggiore. L’articolo 7 della Determinazione ammette come Referente CSIRT «qualsiasi persona fisica designata dal Punto di contatto per conto del soggetto NIS», purché possieda almeno competenze di base in materia di sicurezza informatica e di gestione di incidenti informatici e una conoscenza approfondita dei sistemi informativi e di rete del soggetto. Nelle organizzazioni complesse quelle conoscenze può averle anche indirettamente, attivando caso per caso il personale preposto.

Due cose vanno notate. La prima è chi designa: il punto di contatto, non il rappresentante legale e non il CdA. La seconda è dove: la FAQ RCS.5 colloca la designazione nella funzionalità di Aggiornamento dati dei Servizi NIS, senza documentazione da caricare, e prevede che referente e sostituti completino poi il censimento della propria utenza. La FAQ REG.5 descrive invece la registrazione come composta di tre fasi — censimento del punto di contatto, associazione al soggetto NIS, dichiarazione — e il Referente CSIRT non compare in nessuna delle tre. Chi cerca il campo durante la registrazione non lo trova.

Sull’esternalizzazione la regola si rovescia rispetto al punto di contatto: la Determinazione non la vieta, e ACN indica come esempio «un responsabile del SOC/CERT o della gestione dell’infrastruttura IT esternalizzato», pur ritenendo auspicabile che la figura sia interna. Non sono previste limitazioni di cittadinanza e con lo CSIRT Italia si può interloquire anche in inglese, benché l’italiano resti la lingua delle comunicazioni ufficiali.

Sul cumulo dei ruoli: ACN ritiene auspicabile che punto di contatto e Referente CSIRT siano persone distinte, ma nelle organizzazioni di dimensioni contenute la sovrapposizione non è vietata, e in quel caso la persona «deve necessariamente essere interna all’organizzazione». Il vincolo di internità scatta perché uno dei due ruoli cumulati non è esternalizzabile — ricostruzione nostra, la fonte non lo spiega.

Quanto ai compiti, l’articolo 7, comma 2, gli assegna l’interlocuzione con lo CSIRT Italia e le notifiche obbligatorie degli incidenti significativi (articolo 25 del decreto NIS) oltre a quelle volontarie (articolo 26). La designazione, avverte ACN, «è una delega “operativa” e non costituisce una delega di responsabilità». La FAQ RCS.6 allarga poi la platea abilitata: la notifica può essere effettuata anche dal punto di contatto e dal suo sostituto. Su tempi e contenuti rimandiamo al runbook per la notifica di incidente ad ACN.

Organi di amministrazione e direttivi: chi si elenca

Con «organi di amministrazione» e «organi direttivi» si intendono gli organi che detengono il potere di direzione dell’organizzazione, compreso, ove presente, il Consiglio di amministrazione (articolo 1, comma 1, lettera e), della Determinazione).

L’elencazione è un adempimento a sé, previsto dall’articolo 7, comma 4, lettera c), del decreto NIS, e riguarda tutti i soggetti NIS, essenziali e importanti. Le persone da elencare sono quelle responsabili ai sensi dell’articolo 38, comma 5: i componenti del CdA o dell’organo che ne svolge le analoghe funzioni. Nei CdA monocratici si indica la persona che ricopre il ruolo; dove il CdA non esiste, o non svolge funzioni di direzione e coordinamento, l’organo equivalente si individua analizzando anche la legge istitutiva e lo statuto. Il rappresentante legale è in ogni caso incluso.

Il perimetro è più stretto di quanto si tenda a fare. ACN scrive che non è attesa l’elencazione di punto di contatto e sostituto, del CISO o del responsabile della sicurezza aziendale, né di altre figure apicali subordinate al CdA, salvo che ne siano anche componenti; e che i dirigenti fuori dal Consiglio di amministrazione non sono considerati componenti degli organi. Un direttore generale che non siede in CdA resta fuori. Sui recapiti l’Agenzia è meno esigente di quanto si tema: la PEC individuale non è richiesta, «per quanto auspicabile», e basta una PEC funzionale dell’organizzazione o un indirizzo PEO aziendale.

L’elencazione si rinnova con l’aggiornamento annuale, che la FAQ AGA.1 fissa entro il 31 maggio di ogni anno; la FAQ AGA.3 aggiunge che l’articolo 16 della Determinazione lo disciplina dal 15 aprile al 31 maggio. Fra i passaggi dell’aggiornamento elencati dalla FAQ AGA.2 c’è l’elencazione dei componenti degli organi. Fuori da quella finestra vale l’articolo 7, comma 7, richiamato dalla FAQ AGA.1: «qualsiasi modifica alle informazioni trasmesse» va notificata tempestivamente e, in ogni caso, entro quattordici giorni — e un cambio di CdA vi ricade.

Cosa dell’articolo 23 si delega e cosa no

Gli obblighi che l’articolo 23 pone in capo agli organi li abbiamo scomposti a parte, in come documentare l’obbligo dell’articolo 23. Qui conta come ACN li qualifica: sono «obblighi di indirizzo e pianificazione strategica che, in quanto tali, non sono delegabili». Da notare che nell’elenco della FAQ ODA.9 l’approvazione delle modalità di implementazione delle misure di gestione dei rischi è ancorata all’articolo 24 del decreto NIS. Resta possibile la delega «per lo svolgimento delle attività finalizzate all’attuazione» degli stessi obblighi dell’articolo 23, commi 1 e 2: le attività si delegano, l’obbligo no.

Il divieto più stringente riguarda l’approvazione dei documenti. La delega, dice la FAQ ODA.8, non può riguardarla: resta «in capo unicamente ed esclusivamente agli organi di amministrazione e direttivi del soggetto NIS […] nella loro collegialità, ovvero all’organo monocratico, ove applicabile», e non è trasferibile «né a membri specifici, né a distinti organi e funzioni», qualunque sia il modello di governance. Delegare al comitato rischi, o al singolo amministratore con delega all’IT, non soddisfa l’obbligo.

Per le società ACN richiama gli articoli 2381 e 2392 del codice civile, precisando subito che il rinvio non consente di trasferire l’adempimento a singoli membri o ad altre funzioni. Gli elenchi degli obblighi rilevanti nelle FAQ ODA.8 e ODA.9 non coincidono; il perimetro non delegabile, però, è descritto in modo convergente.

Gli undici documenti che l’organo deve approvare

La FAQ ODA.10 pubblica l’elenco dei documenti da sottoporre all’approvazione degli organi ai sensi dell’articolo 23, comma 1, lettera a), del decreto NIS, con il requisito della misura che ne impone l’approvazione. Le voci sono undici.

Tre documenti distinti — continuità operativa, ripristino in caso di disastro e gestione delle crisi — poggiano sullo stesso requisito ID.IM-04 punto 4: i codici richiamati sono meno degli undici documenti. L’appendice C della guida alla lettura delle specifiche di base riporta lo stesso elenco in forma tabellare. ACN scrive che i documenti «sono indicati nell’elenco a seguire», senza qualificare l’elenco né come esemplificativo né come tassativo: le voci pubblicate sono undici.

Sul contenuto, il livello richiesto è quello proprio degli organi: i documenti devono riflettere i requisiti delle misure «almeno a livello di indirizzo e pianificazione strategica», mentre il dettaglio tecnico e operativo può stare in presidi diversi — procedure, istruzioni operative, manuali — che gli organi non devono approvare. Il soggetto è libero di raggruppare i contenuti in un unico documento o distribuirli: per il piano di gestione degli incidenti basta che riporti l’elenco delle procedure con i riferimenti. E se un presidio di secondo livello viene aggiornato, non serve una nuova approvazione dei documenti di primo livello.

L’ordine in cui conviene muoversi

Tutto questo presuppone di essere nel perimetro: se il punto è ancora da chiarire, il nostro self-assessment NIS2 serve a inquadrarlo prima di distribuire i ruoli.

Si individua chi, fra rappresentante legale, procuratore generale e dipendenti, può fare il punto di contatto; si formalizza la delega, con un atto ad-hoc o verificando che una procura esistente sia abbastanza ampia; si nomina il sostituto, l’unica altra figura che può effettuare le stesse azioni del punto di contatto su quella funzionalità del portale, dato che segreteria e operatori non possono trasmettere comunicazioni; si decide sulla segreteria, ricordando che il “no” va dichiarato. Solo a quel punto, dall’Aggiornamento dati, il punto di contatto designa il Referente CSIRT e i suoi sostituti, che possono essere esterni.

In parallelo corre l’altro binario, quello degli organi: l’elencazione dei componenti del CdA nell’aggiornamento annuale e l’approvazione collegiale dei documenti, che nessuna delega interna può spostare. Chi tiene distinti i due binari arriva preparato al momento in cui serve davvero: quando un incidente richiede una notifica e occorre sapere, senza discutere, chi la firma.

Domande frequenti

Il punto di contatto NIS2 può essere un consulente esterno o l’MSP che gestisce l’IT?

No. La FAQ RR.3 di ACN è netta: ai sensi degli articoli 4 e 5 della Determinazione ACN 379887/2025, le uniche figure che non possono essere esternalizzate sono il punto di contatto e il suo sostituto. La regola generale dell’articolo 4, comma 2, indica il rappresentante legale, un suo procuratore generale censito sul registro delle imprese oppure un dipendente delegato del soggetto; la stessa Determinazione prevede poi alcune estensioni — il dipendente di un’altra impresa del medesimo gruppo (comma 3), quello di un’altra pubblica amministrazione (comma 4) e il rappresentante nell’Unione in Italia (articolo 6, comma 4). Nessuna di queste ipotesi contempla il consulente o il fornitore. Resta la facoltà, prevista dallo stesso comma 2, di avvalersi del supporto di competenze esterne senza delegare la propria funzione: il consulente può assistere il punto di contatto, non sostituirlo.

Chi designa il Referente CSIRT e in quale momento?

Lo designa il punto di contatto, non il rappresentante legale e non l’organo amministrativo. Secondo la FAQ RCS.5, il Referente CSIRT e i suoi sostituti sono designati dal punto di contatto tramite la funzionalità di Aggiornamento dati disponibile tra i Servizi NIS del Portale dei Servizi ACN, e non è necessario caricare alcuna documentazione. ACN non scrive che la designazione sia esclusa dalla registrazione: scrive dove si fa. È la lettura combinata di RCS.5 con la FAQ REG.5, che descrive le tre fasi della registrazione, a collocarla fuori da quelle fasi — una lettura nostra, non una frase dell’Agenzia.

Il Referente CSIRT può essere una persona esterna all’azienda?

Sì. La FAQ RCS.3 chiarisce che, contrariamente al punto di contatto, la Determinazione non vieta l’esternalizzazione di questa figura: può essere designato personale esterno, come il responsabile di un SOC/CERT o della gestione dell’infrastruttura IT esternalizzata. ACN aggiunge che è comunque auspicabile che sia interno, che non sono previste limitazioni di cittadinanza e che, ferma restando la lingua italiana per le comunicazioni ufficiali, si può interloquire con lo CSIRT Italia anche in inglese.

Un gruppo di imprese può designare un solo punto di contatto per più società?

Sì, la stessa persona fisica può operare per più organizzazioni del gruppo, ma non si tratta di una designazione unica. La FAQ PDC.2 parte dalla regola generale — una persona fisica svolge tale funzione per una sola organizzazione — e indica come eccezione l’articolo 4, comma 3, della Determinazione ACN 379887/2025: i soggetti che fanno parte di un gruppo di imprese possono designare quale punto di contatto il dipendente di un’altra impresa del medesimo gruppo che rientri nell’ambito di applicazione del decreto NIS. Chi si trova in questa situazione deve ripetere la procedura di associazione per ciascuna organizzazione, in forza di un opportuno titolo giuridico.

Chi va elencato come componente degli organi di amministrazione e direttivi?

Solo i componenti del Consiglio di amministrazione, o dell’organo che ne svolge le analoghe funzioni. La FAQ ODA.2 precisa che non è attesa l’elencazione delle persone fisiche che svolgono le funzioni di punto di contatto e sostituto, di CISO o di responsabile della sicurezza aziendale, né di altre figure apicali subordinate al CdA, salvo che siano anche componenti del CdA. La FAQ ODA.3 aggiunge che i dirigenti che non fanno parte del CdA non sono considerati componenti degli organi di amministrazione e direttivi. Il rappresentante legale è in ogni caso incluso.

La designazione della segreteria è obbligatoria?

No, ma attenzione al dettaglio. La FAQ RR.1 scrive che la designazione della segreteria non è obbligatoria, ma la volontà di non nominarla deve essere manifestata esplicitamente: non nominarla non equivale a rinunciarvi, la rinuncia è un atto. Il testo pubblicato da ACN non indica dove o come vada manifestata. La stessa previsione non compare invece per gli operatori, per i quali la FAQ RR.2 si limita a dire che la designazione non è obbligatoria.

Quali documenti deve approvare l’organo di amministrazione?

La FAQ ODA.10 pubblica un elenco di undici documenti da sottoporre all’approvazione degli organi di amministrazione e direttivi ai sensi dell’articolo 23, comma 1, lettera a), del decreto NIS, ciascuno con il codice della misura che ne impone l’approvazione: l’elenco completo, con i requisiti, è nella tabella di questo articolo. ACN non qualifica l’elenco né come esemplificativo né come tassativo.

Fonte: Agenzia per la Cybersicurezza Nazionale, FAQ NIS — acn.gov.it, con le sezioni Registrazione e Aggiornamento delle informazioni, consultate il 27 agosto 2026. Questo articolo ne descrive il contenuto e non costituisce interpretazione autentica.