Ruolo, compiti e responsabilità del PdC alla luce delle ultime Determinazioni ACN
Con l’entrata a regime della Direttiva NIS2 e il suo recepimento nel D.Lgs. 138/2024, il quadro della cybersicurezza nazionale è ufficialmente passato da una fase dichiarativa a una fase pienamente operativa e verificabile.
Le recenti Determinazioni dell’Agenzia per la Cybersicurezza Nazionale (ACN), 127437/2026 e 155238/2026 del 13 aprile 2026, segnano un ulteriore punto di svolta: la compliance non è più un insieme di obblighi formali, ma un processo continuo di governo, responsabilità e interlocuzione strutturata con l’Autorità.
In questo contesto, il Punto di Contatto (PdC) assume un ruolo centrale.
Non è una figura puramente amministrativa, né un responsabile “tecnico” in senso stretto, ma il baricentro operativo del rapporto tra organizzazione e ACN.
Chi è il Punto di Contatto NIS2
Il PdC è una persona fisica designata dal soggetto NIS per curare, per conto dell’organizzazione, l’attuazione degli obblighi informativi e procedurali previsti dalla normativa e dalle determinazioni attuative ACN. È l’interlocutore ufficiale con l’Autorità nazionale competente e l’unico titolato ad operare sul Portale digitale NIS di ACN per le attività di registrazione e di aggiornamento delle informazioni, in questo ultimo caso anche con il supporto del Sostituto PdC.
La normativa chiarisce un punto essenziale:
il PdC non è il soggetto responsabile in caso di violazioni, responsabilità che resta in capo agli organi amministrativi e direttivi dell’ente. Tuttavia, il PdC ha il compito di curare l’attuazione degli adempimenti e deve riferire direttamente ai vertici aziendali.
Dalla funzione “dichiarativa” alla funzione operativa
Nella prima fase di applicazione della NIS2, il PdC aveva prevalentemente il compito di:
- registrare l’organizzazione sul Portale ACN;
- mantenere aggiornati i dati anagrafici;
- garantire un canale di comunicazione ufficiale.
Le Determinazioni ACN 127437/2026 e 155238/2026 hanno radicalmente ampliato questo perimetro. Il PdC diventa oggi il gestore operativo di processi complessi, che richiedono valutazioni strutturate, coerenza interna e capacità di sostenere il contraddittorio con l’Autorità.
I compiti chiave del PdC secondo le ultime Determinazioni ACN
Gestione dell’aggiornamento annuale e continuo delle informazioni
Il PdC è responsabile della corretta esecuzione del processo di:
- aggiornamento annuale (15 aprile – 31 maggio);
- aggiornamento continuo in caso di variazioni rilevanti.
Le informazioni includono, tra l’altro:
- dati societari e organi di amministrazione;
- nominativi del PdC, del/la sostituto/a PdC, del Referente CSIRT e del/la relativo/a sostituto/a della segreteria e degli operatori (previsti, ma non ancora gestiti dalla piattaforma ACN);
- indirizzi IP pubblici e nomi di dominio;
- elenco dei Paesi UE in cui vengono erogati servizi.
Non si tratta di un mero caricamento dati: la piattaforma ACN effettua controlli automatici di coerenza, e le dichiarazioni diventano definitive dopo un periodo limitato, assumendo rilievo giuridico.
Elencazione dei fornitori rilevanti NIS
Una delle principali novità introdotte dalla Determinazione ACN 127437/2026 è l’obbligo di individuare e dichiarare i fornitori rilevanti NIS, ossia quei terzi la cui indisponibilità o compromissione potrebbe incidere in modo significativo sulla continuità dei servizi del soggetto NIS.
Il PdC deve:
- coordinare l’identificazione dei fornitori critici;
- indicare, per ciascun fornitore, CPV, Paese, criterio di rilevanza;
- assicurare che le valutazioni siano supportate da analisi strutturate (BIA, TPRM).
Questo segna il passaggio definitivo da una cybersecurity “perimetrale” a una governance della supply chain digitale.
Elencazione e categorizzazione di attività e servizi
Tra il 1° maggio e il 30 giugno, il PdC è tenuto a caricare sul Portale ACN:
- l’elenco delle attività e dei servizi rilevanti;
- la relativa categoria di rilevanza, secondo il modello ACN.
Questa categorizzazione non è neutra: da essa dipendono la proporzionalità delle misure di sicurezza, le aspettative di detection, resilienza e risposta agli incidenti.
La finestra temporale è rigida e, una volta chiusa, l’elenco si considera acquisito dall’Autorità.
Nel caricamento delle informazioni sul portale ACN, il PdC, o il/la sostituto/a PdC, confermano di non rilasciare informazioni mendaci, formazione di atti falso o, comunque, contenenti dati non più rispondenti a verità assumendosi quindi le eventuali conseguenze ai sensi dell’art. 76 del decreto n. 445 del 28/12/2000.
Coordinamento delle notifiche di incidente
Pur esistendo il ruolo specifico di referente CSIRT, il PdC garantisce la tenuta del flusso informativo verso ACN, assicurando che:
- i ruoli siano correttamente designati;
- le notifiche avvengano nei tempi e modi previsti;
- le informazioni trasmesse siano coerenti con quanto dichiarato in precedenza.
In caso di incidente significativo, la qualità e coerenza delle comunicazioni pesa tanto quanto l’evento tecnico in sé.
Questo compito, che non esime ma anzi integra l’obbligo di notifica, è parte delle attività attribuite al PdC dall’art. 4 della determinazione 379887/2025: “… compito di curare l’attuazione delle disposizioni del decreto NIS per conto del soggetto …”
Il sostituto del Punto di Contatto: continuità e presidio
Le determinazioni ACN hanno reso obbligatoria la designazione di un sostituto del PdC, con poteri operativi equivalenti sulla piattaforma, ad eccezione della sola registrazione dei soggetti NIS2. La misura risponde a una logica chiara: garantire continuità istituzionale, indipendentemente da assenze temporanee.
Una figura di governance, non un ruolo formale
La normativa NIS2 non richiede al PdC specifiche competenze tecniche in cybersecurity. Tuttavia, nella pratica, il PdC efficace è una figura:
- con visione trasversale dell’organizzazione;
- capace di dialogare con IT, legale, procurement e direzione;
- in grado di tradurre requisiti normativi in processi aziendali concreti.
Le Determinazioni ACN del 2026 hanno chiarito definitivamente un punto:
il PdC è l’architetto operativo della compliance NIS2, mentre la responsabilità resta al vertice.
Conclusione
Con l’evoluzione del quadro attuativo NIS2, il Punto di Contatto diventa il fulcro della nuova governance cyber italiana. Non è più sufficiente “avere” un PdC: è necessario che questa figura sia strutturata, consapevole e integrata nei processi decisionali.
Le informazioni richieste da ACN devono infatti adottare il linguaggio, le definizioni e i processi aziendali e devono essere mantenute aggiornate in coerenza con essi.
La NIS2 non chiede documenti perfetti, ma organizzazioni in grado di dimostrare controllo, coerenza e capacità di risposta. E oggi, più che mai, questo passa dal lavoro – spesso silenzioso – del Punto di Contatto.
