Nel 2026 la NIS2 italiana (D.Lgs. 138/2024) smette di essere un adempimento «sulla carta» e diventa operativa: dal 15 gennaio 2026 è scattato l'obbligo di notifica degli incidenti significativi al CSIRT Italia, e entro il 31 ottobre 2026 i soggetti NIS2 devono attuare le misure di sicurezza di base definite dall'ACN. Questa pagina riepiloga le due scadenze, cosa comportano in pratica e in che ordine conviene lavorare.
| Data | Obbligo | Riferimento |
|---|---|---|
| 15 gennaio 2026 | Obbligo di notifica degli incidenti significativi al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro 1 mese | D.Lgs. 138/2024, art. 25 |
| 15 aprile – 31 maggio 2026 | Comunicazione dell'elenco dei fornitori rilevanti sulla piattaforma ACN | Determinazione ACN n. 127437/2026 |
| 1° maggio – 30 giugno (ogni anno) | Elencazione e categorizzazione di attività e servizi: ogni attività va assegnata a una delle 10 macro-aree ACN e a una categoria di rilevanza (impatto minimo, basso, medio, alto). Dopo la chiusura della finestra i dati non sono più modificabili | Determinazione ACN n. 155238/2026 (art. 30) |
| 31 ottobre 2026 | Termine per l'attuazione delle misure di sicurezza di base (soggetti essenziali e importanti) | Determinazione ACN n. 379907/2025 |
| Gennaio–febbraio (ogni anno) | Finestra di registrazione/aggiornamento sul portale ACN per i soggetti che rientrano nei criteri | D.Lgs. 138/2024, art. 7 |
Un'azienda NIS2 che subisce un incidente significativo deve rispettare tre passaggi con tempi stretti, che partono dal momento in cui viene a conoscenza dell'incidente:
Il punto critico organizzativo non è il modulo di invio: è avere già deciso prima chi rileva l'incidente, chi decide se è «significativo» (la tassonomia degli impatti va da IS-1 a IS-4), chi scrive e chi invia, soprattutto se l'azienda si appoggia a un consulente esterno. Le 24 ore passano in fretta se il flusso non esiste.
La Determinazione ACN n. 379907/2025 fissa il termine del 31 ottobre 2026 per l'adozione delle misure di sicurezza di base. Le misure sono organizzate secondo il Framework Nazionale (FNCDP) in 6 funzioni (Governo, Identificazione, Protezione, Rilevamento, Risposta, Ripristino) e in sottocategorie con codici ufficiali, come GV.PO-01 o PR.AA-03. Per i dettagli su come è fatto il quadro: la nostra guida alle misure ACN.
Attenzione a un malinteso comune: «entro ottobre» non significa «si comincia a settembre». Un percorso serio richiede censimento di sistemi e ruoli, gap assessment sulle misure, piano di adeguamento con priorità, attuazione e, passaggio spesso dimenticato, evidenze documentali di quanto fatto: dopo il termine l'ACN passa a verifiche e ispezioni.
La Determinazione ACN n. 127437/2026 disciplina i fornitori rilevanti (art. 18): i soggetti NIS2 devono censire i fornitori critici per i propri servizi, valutarne il rischio e rivalutarli periodicamente. In pratica: elenco dei fornitori rilevanti, questionari o evidenze di valutazione, scadenze di rivalutazione. È una delle aree in cui le aziende arrivano più impreparate, perché coinvolge soggetti terzi con i loro tempi.
Con la Determinazione ACN n. 155238 del 20 aprile 2026, attuativa dell'art. 30 del decreto NIS, i soggetti essenziali e importanti devono comunicare e aggiornare sulla piattaforma ACN l'elenco delle proprie attività e dei propri servizi. Ogni voce va collocata in una delle 10 macro-aree del modello ACN (monitoraggio e controllo; produzione di beni e servizi; ricerca, sviluppo e progettazione; gestione finanziaria; gestione dei clienti; gestione delle risorse umane; logistica; comunicazione e marketing; gestione amministrativa; altri servizi e attività) e le va assegnata una delle 4 categorie di rilevanza: impatto minimo, basso, medio o alto.
La categoria misura quanto pesa una compromissione di quella attività sulla capacità dell'organizzazione di continuare a erogare i servizi per cui è finita in perimetro NIS2. La finestra di comunicazione è annuale e ricorrente: dal 1° maggio al 30 giugno di ogni anno, e alla chiusura i dati comunicati non sono più modificabili fino all'anno successivo. Conviene quindi tenere l'elenco aggiornato durante l'anno, invece di ricostruirlo di corsa a maggio.
Fonti normative: D.Lgs. 4 settembre 2024, n. 138 (recepimento NIS2) · Determinazione ACN n. 379907/2025 (misure di sicurezza di base e termini) · Determinazione ACN n. 127437/2026 (fornitori rilevanti, art. 18) · Determinazione ACN n. 155238/2026 (elencazione e categorizzazione di attività e servizi, art. 30) · acn.gov.it. Questa pagina è un riepilogo operativo e non sostituisce i testi ufficiali né la consulenza legale.