NIS2: le scadenze del 2026 e del 2027, data per data
Ogni anno le stesse finestre sulla piattaforma ACN, più i termini di chi è appena entrato nell'elenco. Ecco cosa scade, per chi e quando.
La NIS2 italiana ha due tipi di scadenze. Ci sono le finestre annuali sulla piattaforma dell'ACN, uguali ogni anno per tutti. E ci sono i termini di prima applicazione, che dipendono dall'anno in cui siete entrati nell'elenco dei soggetti NIS.
Le date che seguono sono verificate sul d.lgs. 138/2024 e sulle determinazioni dell'ACN in vigore al 12 novembre 2026. L'ACN aggiorna spesso le sue regole: molte pagine in rete riportano ancora termini superati.
Il calendario che si ripete ogni anno
| Quando | Cosa | Fonte |
|---|---|---|
| 1° gennaio – 28 febbraio | Registrazione dei nuovi soggetti; chi è già nell'elenco ripresenta la dichiarazione solo se qualcosa è cambiato | art. 7, c. 1 |
| entro il 31 marzo | L'ACN redige l'elenco dei soggetti essenziali e importanti | art. 7, c. 2 |
| entro il 14 aprile | Chi si è registrato nei termini riceve via PEC l'esito: inserimento, permanenza o uscita dall'elenco. Da lì ci sono 60 giorni per chiedere la revisione | art. 7, c. 3; det. 314287/2026; Vademecum ACN |
| 15 aprile – 31 maggio | Aggiornamento annuale: indirizzi IP e domini, organi di amministrazione, sostituto del punto di contatto, referente CSIRT, accordi di condivisione, fornitori rilevanti | art. 7, c. 4-5 |
| 1° maggio – 30 giugno | Elenco e categorizzazione di attività e servizi con il modello dell'ACN | art. 30 |
| 1° settembre | Ultimo giorno perché una dichiarazione tardiva sia trattata nell'anno (il ritardo resta sanzionabile) | det. 314287/2026, art. 11 |
| 31 dicembre | Chi è entrato nell'elenco durante l'anno designa il referente CSIRT e i sostituti | det. 314287/2026, art. 7 |
| entro 14 giorni | Da ogni modifica dei dati comunicati (persone, recapiti, IP, domini, fornitori) | art. 7, c. 7 |
Il primo anno c'è un appuntamento in più: il sostituto del punto di contatto va nominato entro il 31 maggio dell'anno in cui si entra nell'elenco. Come funzionano registrazione e aggiornamenti lo spieghiamo in registrazione e punto di contatto.
I termini per chi è appena entrato
Misure di sicurezza e notifica degli incidenti non scattano il giorno della registrazione: l'ACN concede un periodo per prepararsi, che cambia secondo l'anno di ingresso nell'elenco.
| Entrati nell'elenco | Referente CSIRT | Notifica degli incidenti | Misure di sicurezza di base |
|---|---|---|---|
| nel 2025 (PEC del 12-13 aprile 2025) | 31 dicembre 2025 | dal 12-13 gennaio 2026 (9 mesi dalla comunicazione) | entro il 12-13 ottobre 2026 (18 mesi dalla comunicazione) |
| nel 2025, con comunicazione successiva | 31 dicembre 2025 | 9 mesi dalla propria comunicazione | 18 mesi dalla propria comunicazione |
| nel 2026, per la prima volta | 31 dicembre 2026 | dal 1° gennaio 2027 | entro il 31 luglio 2027 |
| dal 2027 | 31 dicembre dell'anno di ingresso | non ancora fissato | non ancora fissato |
Il termine delle misure vale anche per gli obblighi degli amministratori dell'articolo 23, cioè approvazione e formazione. Le fonti sono l'articolo 42 del decreto, la determinazione ACN 379907/2025 (art. 3) e la determinazione 127434/2026, che ha fissato le date per chi è entrato nel 2026.
I prossimi dodici mesi
Dal 12 novembre 2026, in ordine:
- 31 dicembre 2026. Chi è entrato nel 2026 designa sul Portale ACN il referente CSIRT e i sostituti.
- 1° gennaio 2027. Chi è entrato nel 2026 comincia a notificare gli incidenti significativi al CSIRT Italia. Si apre anche la finestra di registrazione.
- 28 febbraio 2027. Chiude la registrazione annuale.
- 31 marzo e 14 aprile 2027. L'ACN aggiorna l'elenco e comunica gli esiti.
- 15 aprile – 31 maggio 2027. Aggiornamento annuale, con l'elenco dei fornitori rilevanti.
- 1° maggio – 30 giugno 2027. Categorizzazione di attività e servizi.
- 31 luglio 2027. Chi è entrato nel 2026 deve avere adottato tutte le misure di sicurezza di base.
- 1° settembre 2027. Ultimo giorno utile per le dichiarazioni tardive dell'anno.
Cosa non ha ancora una data
- Le misure rafforzate. La tabella di marcia dell'ACN prevedeva gli obblighi «a lungo termine» entro aprile 2026, ma il termine non è stato rispettato. Il 18 settembre 2026 l'ACN ha avviato la consultazione sulle «misure di sicurezza rafforzate», che integreranno e sostituiranno quelle di base. Data di adozione e tempi per adeguarsi non sono noti.
- I termini per chi entra dal 2027, come detto sopra.
- La revisione europea della NIS2 (proposta COM(2026) 13): il voto del Parlamento europeo in plenaria è indicato, per ora, all'8 marzo 2027. Poi servono l'accordo con il Consiglio, 12 mesi per il recepimento e un atto italiano.
Un dettaglio sulla categorizzazione: la legge la chiede ogni anno «a partire dalla ricezione della prima comunicazione» (art. 30, c. 1). Chi entra nell'elenco dopo il 30 giugno, per esempio con una registrazione tardiva, logicamente la fa l'anno dopo, ma nessun atto lo dice in modo esplicito.
Come organizzarsi
Le scadenze di legge sono la parte facile: tornano uguali ogni anno. È più difficile ricordarsi dei documenti che scadono durante l'anno, come il riesame annuale delle politiche, la valutazione dei rischi ogni due anni o i report che deve mandarvi il fornitore IT. Ne parliamo in i documenti da tenere aggiornati. Per le 24 e le 72 ore, invece, leggete la notifica degli incidenti.
- Trovate la vostra riga nella tabella dei termini: dipende dalla data della PEC dell'ACN.
- Segnate in calendario le finestre annuali, con qualche settimana di anticipo.
- Lavorate a ritroso dalla scadenza delle misure: piano di adeguamento, documenti, approvazioni del consiglio.
In Pilot le scadenze di legge sono già caricate, e lo scadenzario dei documenti vi avvisa per email prima che qualcosa scada. Iniziate gratis e vedete subito le date che vi riguardano.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
