In data 19 settembre 2025, il Direttore generale dell’Agenzia per la cybersicurezza nazionale ha adottato la Determinazione n. 333017, a sostituzione ed integrazione della precedente determinazione n. 283727 del 22 luglio 2025, recante termini, modalità e procedimenti di utilizzo e accesso al Portale ACN, nonché ulteriori informazioni che i soggetti NIS devono fornire all’Autorità nazionale competente NIS per lo svolgimento delle funzioni attribuite e termini, modalità e procedimento di designazione dei rappresentanti NIS nell’Unione.
Sebbene le modifiche risultino complessivamente non sostanziali rispetto alla precedente disciplina del Portale ACN, la determinazione introduce comunque importanti novità:
- L’eccezione all’obbligo di designazione del sostituto punto di contatto.
A seguito dell’intervenuto inserimento di un quarto comma all’articolo 5, l’Autorità ha ora previsto un’eccezione all’obbligo di designazione del sostituto punto di contatto per i soggetti NIS che risultino nell’assoluta impossibilitò materiale di effettuare tale adempimento. Tale circostanza, secondo quanto espressamente previsto dal nuovo testo normativo, verrebbe a realizzarsi nel solo caso in cui il punto di contatto sia l’unica persona fisica operante nell’organizzazione.
- L’istituzione del Referente CSIRT.
La principale novità introdotta dalla determinazione di cui in commento riguarda l’istituzione di una nuova figura, il Referente CSIRT.
Ai sensi del neo introdotto articolo 7, il Referente CSIRT svolgerà il ruolo di interlocutore con lo CSIRT Italia e si occuperà, altresì, degli oneri di notifica in caso di incidente di cui all’articolo 25 del D.lgs. n. 138/2024 e delle ulteriori notifiche volontarie di cui all’articolo 26 del medesimo decreto.
La designazione a Referente CSIRT dovrà essere effettuata, come espressamente sancito, nei confronti di una persona fisica che possieda “almeno competenze di base in materia di sicurezza informativa e di gestione di incidenti informatici, nonché una conoscenza approfondita dei sistemi informativi e di rete del soggetto per conto del quale” sarà chiamato ad operare.
La norma introduce, inoltre, la possibilità di nominare uno o più sostituti al Referente CSIRT, al fine di assicurare il tempestivo svolgimento dei compiti a questo assegnati, tra i quali, peraltro, rientra anche l’obbligo di notifica degli incidenti che, come noto, ai sensi del citato articolo 25, stabilisce l’obbligo di trasmissione della prenotifica “senza ingiustificato ritardo, e comunque entro 24 ore” da quando si sia venuti a conoscenza dell’incidente.
I sostituti, qualora nominati, avranno il compito di supportare il Referente CSIRT nell’esercizio delle proprie funzioni e potranno svolgerle direttamente per suo conto.
I soggetti NIS sono chiamati a provvedere alla nomina del Referente CSIRT a partire dal 20 novembre 2025 ed entro, e non oltre, il giorno 31 dicembre 2025.
La procedura di designazione sarà effettuata dal Punto di Contatto tramite la dedicata procedura telematica resa disponibile dal Portale ACN.