Adempimenti | DPIA | Vulnerability Assessment | Servizio DPO | Normativa | News | Consulenti | Prezzi | Contattaci
- Numero verde 800 62 89 74
Soggetti e ruoli NIS nella piattaforma iusprivacy
Il contesto e il problema
Il Decreto NIS richiede che l'organizzazione designi figure specifiche: il punto di contatto e il suo sostituto (art. 7, cc. 1 e 4), il Referente CSIRT e i suoi sostituti (determinazioni ACN — per i soggetti inseriti nel 2026, designato entro il 31 dicembre 2026), i componenti degli organi di amministrazione. Sono i nomi che la piattaforma ACN chiederà nell'aggiornamento annuale. Se queste anagrafiche non sono censite nel registro, ogni altro modulo che le richiama — servizi, asset, valutazioni, incidenti — resta incompleto.
La piattaforma di iusprivacy
Il modulo Soggetti (CMDB → Soggetti) è l'anagrafica unica di tutte le persone e organizzazioni che il registro nomina: l'organizzazione stessa, i suoi organi, i dipendenti con ruoli rilevanti, i fornitori, i destinatari dei servizi.
Tipi e categorie
L'elenco è diviso in linguette per tipo di soggetto: la prima, «Tutti», li mostra tutti; seguono Amministratori, Clienti (Imprese), Dipendenti, Collaboratori, Ente Pubblico, Fornitori (Imprese, Referenti, Persone fisiche) e Altro. Un soggetto con più categorie compare in più linguette.
La scheda del soggetto
La scheda ha tre linguette: Dati (anagrafica, categorie, perimetri normativi, ruoli operativi, rilevanza NIS con il criterio ACN, codici CPV delle forniture), Formazione (le attività formative a cui il soggetto ha partecipato) e Adempimenti (quelli che lo vedono responsabile). I ruoli operativi dicono cosa fa un soggetto sugli asset e sui servizi del modello — chi li amministra, chi li usa, chi ne risponde — e da essi discendono le matrici di responsabilità.
Le figure NIS obbligatorie
Le figure NIS si assegnano nella linguetta Governance della scheda del Modello Organizzativo, scegliendo il soggetto dalla tendina. Le figure da censire subito sono: punto di contatto e sostituto, Referente CSIRT e sostituti, componenti degli organi di amministrazione. Il punto di contatto non è una persona qualunque dell'anagrafica: l'art. 4 della Det. 127437/2026 lo riserva al rappresentante legale, a un procuratore generale censito o a un dipendente delegato; un consulente esterno lo assiste, non lo è. Un fornitore è anch'esso un soggetto: censirlo qui è il prerequisito del passo 5 del percorso di conformità, dove lo si indica come Fornitore dei servizi che eroga; la persona interna che segue la fornitura si censisce con il ruolo «Referente della fornitura».
Cosa ottieni
- Un'anagrafica unica di persone, organizzazioni e fornitori, condivisa da tutti i moduli del registro.
- I ruoli operativi assegnati e le figure NIS obbligatorie — nei limiti del regime applicabile al soggetto — tracciate e dimostrabili.
- La storia formativa e gli adempimenti di ogni soggetto in un unico punto.
- Il prerequisito per compilare servizi, asset, valutazioni e incidenti senza lasciare campi vuoti.
Il censimento dei soggetti è parte del passo 1 del percorso di conformità. Completata l'anagrafica, si passa ai servizi.
FAQ
D. Un fornitore va censito fra i soggetti?
R. Sì. Un fornitore è un soggetto: censirlo qui è il prerequisito per indicarlo come Fornitore di un servizio e per la derivazione automatica dei fornitori rilevanti NIS. Senza il soggetto, la piattaforma non può collegarlo ai servizi e ai contratti.
D. Come si assegna il ruolo di Referente CSIRT?
R. Dalla linguetta Governance della scheda del Modello Organizzativo: nella sezione «Governance NIS2» si trovano le funzioni Referente CSIRT e sostituti, con la tendina per scegliere il soggetto. Il soggetto deve essere già censito nell'anagrafica.
D. La colonna «Rilevante NIS» si compila manualmente?
R. Per i fornitori, la rilevanza NIS è derivata automaticamente dalla piattaforma quando il soggetto è indicato come Fornitore di un servizio in perimetro NIS, o di un servizio che ne sostiene uno lungo la catena delle dipendenze; la scheda del soggetto ne riporta le cause. Negli altri casi — anche quando la rilevanza discende da ragioni che le relazioni non mostrano, come la natura ICT o la non fungibilità della fornitura — la si imposta a mano sulla scheda, scrivendo la motivazione. In entrambi i casi l'elenco derivato è un candidato: il criterio di rilevanza nelle parole dell'ACN — fornitura ICT, impatto significativo, entrambi — lo dichiara l'organizzazione nel campo «Criterio di rilevanza (ACN)» della stessa sezione, ed è il dato che l'aggiornamento annuale chiede per ogni fornitore.