Nel 2026 la NIS2 italiana (D.Lgs. 138/2024) smette di essere un adempimento «sulla carta» e diventa operativa: dal 15 gennaio 2026 è scattato l'obbligo di notifica degli incidenti significativi al CSIRT Italia, e entro il 31 ottobre 2026 i soggetti NIS2 devono attuare le misure di sicurezza di base definite dall'ACN. Questa pagina riepiloga le due scadenze, cosa comportano in pratica e in che ordine conviene lavorare.
| Data | Obbligo | Riferimento |
|---|---|---|
| 15 gennaio 2026 | Obbligo di notifica degli incidenti significativi al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro 1 mese | D.Lgs. 138/2024, art. 25 |
| 31 ottobre 2026 | Termine per l'attuazione delle misure di sicurezza di base (soggetti essenziali e importanti) | Determinazione ACN n. 379907/2025 |
| Gennaio–febbraio (ogni anno) | Finestra di registrazione/aggiornamento sul portale ACN per i soggetti che rientrano nei criteri | D.Lgs. 138/2024, art. 7 |
Un'azienda NIS2 che subisce un incidente significativo deve rispettare tre passaggi con tempi stretti, che partono dal momento in cui viene a conoscenza dell'incidente:
Il punto critico organizzativo non è il modulo di invio: è avere già deciso prima chi rileva l'incidente, chi decide se è «significativo» (la tassonomia degli impatti va da IS-1 a IS-4), chi scrive e chi invia, soprattutto se l'azienda si appoggia a un consulente esterno. Le 24 ore passano in fretta se il flusso non esiste.
La Determinazione ACN n. 379907/2025 fissa il termine del 31 ottobre 2026 per l'adozione delle misure di sicurezza di base. Le misure sono organizzate secondo il Framework Nazionale (FNCDP) in 6 funzioni (Governo, Identificazione, Protezione, Rilevamento, Risposta, Ripristino) e in sottocategorie con codici ufficiali, come GV.PO-01 o PR.AA-03. Per i dettagli su come è fatto il quadro: la nostra guida alle misure ACN.
Attenzione a un malinteso comune: «entro ottobre» non significa «si comincia a settembre». Un percorso serio richiede censimento di sistemi e ruoli, gap assessment sulle misure, piano di adeguamento con priorità, attuazione e, passaggio spesso dimenticato, evidenze documentali di quanto fatto: dopo il termine l'ACN passa a verifiche e ispezioni.
La Determinazione ACN n. 127437/2026 disciplina i fornitori rilevanti (art. 18): i soggetti NIS2 devono censire i fornitori critici per i propri servizi, valutarne il rischio e rivalutarli periodicamente. In pratica: elenco dei fornitori rilevanti, questionari o evidenze di valutazione, scadenze di rivalutazione. È una delle aree in cui le aziende arrivano più impreparate, perché coinvolge soggetti terzi con i loro tempi.
Fonti normative: D.Lgs. 4 settembre 2024, n. 138 (recepimento NIS2) · Determinazione ACN n. 379907/2025 (misure di sicurezza di base e termini) · Determinazione ACN n. 127437/2026 (fornitori rilevanti, art. 18) · acn.gov.it. Questa pagina è un riepilogo operativo e non sostituisce i testi ufficiali né la consulenza legale.