Отдельной регистрации сайта в Роскомнадзоре не существует - регистрируют не сайт, а оператора: компанию или ИП, которая через сайт (форму обратной связи, корзину, личный кабинет) обрабатывает персональные данные посетителей. Делается это подачей уведомления об обработке персональных данных, один раз при начале обработки, а не отдельно под каждый новый сайт компании.
Если сайт работает два года с формой обратной связи и уведомление никогда не подавалось, формально это уже нарушение - обработка персональных данных без уведомления Роскомнадзора. На практике до реальной проверки дело чаще всего доходит по жалобе посетителя сайта или в рамках плановой проверки, но само по себе отсутствие уведомления - самостоятельное основание для штрафа по статье 13.11 КоАП, отдельно от других нарушений вроде отсутствия политики конфиденциальности.
Первое, что стоит сделать - проверить открытый реестр операторов на сайте Роскомнадзора: возможно, уведомление кто-то подавал раньше, просто не зафиксировано в документах компании. Если записи нет, лучше подать уведомление сейчас самостоятельно, чем ждать, пока это обнаружит проверяющий. Мы в ФЗ152.ПРО делаем это вместе с аудитом сайта и остальными документами по 152-ФЗ - обычно укладываемся в два-три рабочих дня.