Le principali scadenze NIS2 2026 sono sostanzialmente due. Da gennaio 2026 i soggetti inseriti nell'elenco ACN nel 2025 notificano gli incidenti significativi; a ottobre 2026 è scaduto il termine per le misure di sicurezza di base. Per chi è entrato nell'elenco nel 2026 la notifica parte dal 1° gennaio 2027 e le misure scadono il 31 luglio 2027.
La NIS2 è in vigore in Italia con il D.Lgs. 138/2024 e l'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità competente, ma le scadenze NIS2 non sono uguali per tutti: i termini dipendono dall'anno in cui l'azienda è stata inserita nell'elenco dei soggetti NIS.
Per chi è stato inserito nel 2025, ad esempio, la determinazione ACN 379907/2025 prevede 9 mesi per la notifica degli incidenti e 18 mesi per le misure di base dalla comunicazione di inserimento, per cui la data esatta dipende da quando è arrivata la propria comunicazione.
Per chi è stato inserito nel 2026 valgono invece date fisse, stabilite dalla determinazione 127434/2026. Vediamo il calendario completo, quale scadenza vale per ogni caso e che cosa preparare prima della prossima.
Il D.Lgs. 138/2024 è in vigore dal 16 ottobre 2024 e ha attribuito all'ACN il ruolo di autorità nazionale competente. I soggetti coinvolti sono definiti essenziali o importanti, a seconda del settore e delle dimensioni, e per ciascun gruppo cambiano misure e controlli, mentre il calendario delle scadenze NIS2 2026 dipende solo dall'anno di inserimento nell'elenco.
Per capire se la norma riguarda l'azienda, il punto di partenza è sapere cosa prevede la direttiva NIS2.
Le prime scadenze, quelle del 2025, sono ormai alle spalle: tra il 17 gennaio e il 28 febbraio 2025 i soggetti si sono registrati sulla piattaforma ACN (il 17 gennaio solo alcune categorie di fornitori, come cloud, data center e DNS) e a partire dal 12 aprile l'ACN ha comunicato a ciascuno l'inserimento nell'elenco.
Timeline delle scadenze NIS2 2026 e 2027 per i soggetti inseriti nell'elenco nel 2025 e nel 2026
Da quella comunicazione partono i termini del 2025, mentre per chi è stato inserito nel 2026 le date sono fisse. La tabella riassume le scadenze NIS2 2026 e 2027.
|
Quando |
Cosa |
Chi |
|
17 gen e 28 feb 2025 |
Prima registrazione sulla piattaforma ACN |
Soggetti potenzialmente NIS (il 17 gennaio solo alcune categorie di fornitori) |
|
Dal 12 aprile 2025 |
Comunicazione ACN di inserimento nell'elenco |
Soggetti registrati |
|
Gennaio 2026 (9 mesi dalla comunicazione) |
Obbligo di notifica degli incidenti significativi |
Soggetti inseriti nel 2025 |
|
1 gen - 28 feb 2026 |
Registrazione e aggiornamento annuale |
Tutti |
|
13 aprile 2026 |
Determinazioni ACN 127434 e 127437 |
Riferimento normativo |
|
15 apr - 31 mag 2026 |
Aggiornamento delle informazioni sulla piattaforma |
Soggetti NIS |
|
Giugno 2026 |
Categorizzazione di attività e servizi |
Soggetti NIS |
|
Ottobre 2026 (18 mesi dalla comunicazione) |
Adozione delle misure di sicurezza di base |
Soggetti inseriti nel 2025 |
|
1 gen - 28 feb 2027 |
Registrazione e aggiornamento annuale |
Tutti |
|
1° gennaio 2027 |
Obbligo di notifica degli incidenti |
Soggetti inseriti nel 2026 |
|
31 luglio 2027 |
Adozione delle misure di sicurezza di base |
Soggetti inseriti nel 2026 |
Per i soggetti inseriti nell'elenco nel 2025 l'obbligo di notificare gli incidenti significativi al CSIRT Italia scatta 9 mesi dopo la comunicazione di inserimento, cioè a gennaio 2026, come indica l'articolo 3 della determinazione 379907/2025, che si applica dal 15 gennaio 2026.
Serve una procedura già pronta: l'articolo 25 del decreto prevede pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese, secondo i tempi di notifica degli incidenti previsti dalla norma.
Ogni anno, dal 15 aprile al 31 maggio, i soggetti NIS aggiornano sulla piattaforma ACN le informazioni richieste dall'articolo 7, comma 4: spazio di indirizzamento IP pubblico, nomi di dominio, responsabili e sostituto del punto di contatto.
Chi non ha aggiornato la scheda deve farlo ora, perché ogni modifica va comunicata entro quattordici giorni (articolo 7, comma 7). Nel 2026 la determinazione 127437/2026 ha aggiunto l'indicazione dei fornitori rilevanti.
L'articolo 30 del decreto prevede che ogni soggetto NIS elenchi le proprie attività e i propri servizi e li categorizzi in base alla rilevanza, un principio di proporzionalità che si applica dal 2026 (articolo 42, comma 2).
L'ACN ha poi definito il modello con la determinazione 155238 del 20 aprile 2026, con un'analisi di impatto semplificata da svolgere sulla piattaforma nei mesi di maggio e giugno. Il passaggio incide sulle misure richieste in futuro, per questo conviene averlo documentato.
Per i soggetti inseriti nell'elenco nel 2025 è scaduto a ottobre 2026 il termine per adottare le misure di sicurezza di base, la più impegnativa tra le scadenze NIS2 2026: il termine giuridico è di 18 mesi dalla ricezione della comunicazione di inserimento, e per le comunicazioni del 12 e 13 aprile 2025 l'ACN indica ottobre 2026.
Conviene quindi recuperare la data in cui la comunicazione è arrivata al proprio domicilio digitale. Le misure sono quelle degli allegati 1 e 2 della determinazione 379907/2025, 37 per i soggetti importanti e 43 per gli essenziali, organizzate secondo il Framework nazionale per la cybersecurity e la data protection.
Traducono i dieci ambiti dell'articolo 24 del decreto (articolo 21 della direttiva), come gestione degli incidenti, continuità operativa e sicurezza della catena di fornitura, e richiedono politiche approvate dagli organi di amministrazione, ruoli definiti ed evidenze di attuazione, come indicano le misure di sicurezza previste dalla NIS2.
Per i soggetti inseriti nell'elenco nel corso del 2026 l'obbligo di notifica degli incidenti significativi decorre dal 1° gennaio 2027, secondo l'articolo 1 della determinazione 127434/2026, in vigore dal 30 aprile 2026.
Entro fine 2026 va designato il referente CSIRT, come ricorda l'ACN, e conviene avere già pronta la procedura di pre-notifica, notifica e relazione finale. Rientra in questo gruppo chiunque sia entrato nell'elenco durante il 2026, anche con gli aggiornamenti successivi.
Dal 1° gennaio al 28 febbraio di ogni anno tutti i soggetti NIS si registrano o aggiornano la registrazione sulla piattaforma ACN (articolo 7, comma 1), e il Tavolo NIS ha ricordato che la nuova finestra si apre il 1° gennaio 2027.
Servono ragione sociale, recapiti, punto di contatto, settori e sottosettori di appartenenza, e chi è entrato da poco nel perimetro NIS deve registrarsi in questa finestra per essere inserito nell'elenco.
Per i soggetti inseriti nell'elenco nel 2026 le misure di sicurezza di base vanno adottate entro il 31 luglio 2027 (articolo 1, comma 1, della determinazione 127434/2026), sempre secondo gli allegati 1 e 2 della 379907/2025.
Il tempo in più serve a mappare i sistemi rilevanti, far approvare le politiche dal consiglio di amministrazione e documentare le misure, non a rinviare l'avvio, perché questa scadenza richiede un lavoro che comincia mesi prima.
Per l’azienda valgono i termini della determinazione 379907/2025: 9 mesi per la notifica degli incidenti, già scaduti a gennaio 2026, e 18 mesi per le misure di base, scaduti a ottobre 2026, sempre dalla data di ricezione della tua comunicazione.
Se l’impresa è nell'elenco 2026, i termini non cambiano (articolo 1, comma 3, della determinazione 127434/2026). Dopo le misure di base arriveranno quelle rafforzate: il 18 settembre 2026 l'ACN ha avviato la consultazione per integrare e sostituire le misure di base.
Per l’azienda le date sono fisse: notifica degli incidenti dal 1° gennaio 2027 e misure di sicurezza di base entro il 31 luglio 2027. Le regole valgono dopo la chiusura della fase di prima applicazione dell'articolo 42, avvenuta a fine 2025, e restano le scadenze annuali, a cominciare dalla registrazione dal 1° gennaio al 28 febbraio 2027.
Se non sai ancora se la tua impresa rientra nella NIS2, parti dall'autovalutazione per verificare se la tua azienda è soggetta alla NIS2.
Se invece l’azienda è un fornitore di un soggetto NIS non c’è una scadenza diretta, ma il cliente può chiederti garanzie nel contratto, per cui conviene rivedere le clausole di sicurezza nei contratti con i fornitori e, più in generale, la compliance aziendale.
Queste azioni seguono le prossime scadenze NIS2 e non un percorso di adeguamento completo, e ogni voce indica la scadenza di riferimento. Vediamo nel dettaglio:
Superare un termine non comporta una sanzione automatica: l'ACN passa prima da monitoraggio, verifiche e diffida, e solo dopo la contestazione può arrivare la sanzione, che per le violazioni più gravi può raggiungere 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, secondo l'articolo 38 e le sanzioni previste dalla NIS2.
Chi è in ritardo deve agire subito e lasciare traccia: definire le priorità tra le misure mancanti, scrivere un piano con responsabili e tempi, approvarlo in consiglio e conservare le prove di ciò che si fa. Se l'ACN chiede informazioni, rispondere nei termini e collaborare pesa nella valutazione, mentre la responsabilità degli organi di amministrazione resta quella dell'articolo 23.
La consulenza NIS2 di Digital360 parte da una gap analysis rispetto alla scadenza che vale per la tua azienda, per sapere quali requisiti mancano e in che ordine colmarli.
Se in azienda non c'è una figura dedicata alla sicurezza, un servizio di CISO as a Service si rivela in questo caso ideale e e si inserisce nel quadro più ampio della consulenza in cybersecurity.
Le prossime scadenze NIS2 sono tre: dal 1° gennaio al 28 febbraio 2027 la registrazione o l'aggiornamento annuale sulla piattaforma ACN, dal 1° gennaio 2027 la notifica degli incidenti per chi è entrato nell'elenco nel 2026, e il 31 luglio 2027 le misure di sicurezza di base per chi è entrato nel 2026.
A ottobre 2026 è scaduto il termine per adottare le misure di sicurezza di base per i soggetti inseriti nell'elenco nel 2025: 37 misure per gli importanti e 43 per gli essenziali, entro 18 mesi dalla comunicazione di inserimento. La data esatta dipende da quando è arrivata la comunicazione, per molti il 12 o 13 aprile 2025.
Sì. Per chi è stato inserito nel 2026 le date sono fisse: notifica degli incidenti dal 1° gennaio 2027 e misure di sicurezza di base entro il 31 luglio 2027, secondo la determinazione ACN 127434/2026. Per chi è stato inserito nel 2025 i termini sono invece di 9 e 18 mesi dalla ricezione della comunicazione.
Per i soggetti inseriti nel 2025 l'obbligo è scattato a gennaio 2026, nove mesi dopo la comunicazione di inserimento; per quelli inseriti nel 2026 scatta il 1° gennaio 2027. Una volta attivo vale il percorso di pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.
Non scatta una sanzione automatica: l'ACN può chiedere informazioni, verificare, ispezionare e diffidare, e solo se la violazione persiste contestarla, con una sanzione che arriva al termine del procedimento. Conviene documentare subito un piano con priorità e responsabili, approvarlo in consiglio e rispondere nei termini alle richieste dell'ACN.