NIS2: obblighi e scadenze per il 2026 e il 2027

1. 11° gennaio–28 febbraio: registrazione. Registrazione o conferma sulla piattaforma ACN (art. 7, comma 1). Chi è già in elenco riceve una bozza precompilata.
2. 2Entro il 31 marzo: l'elenco ACN. ACN redige l'elenco dei soggetti essenziali e importanti e comunica tramite la piattaforma l'inserimento, la permanenza o l'esclusione (art. 7, commi 2-3).
3. 315 aprile–31 maggio: aggiornamento annuale. Spazio di indirizzamento IP, nomi di dominio, Stati membri in cui si opera, responsabili ex art. 38, comma 5, sostituto del punto di contatto e, dal 2026, l'elenco dei fornitori rilevanti (art. 7, comma 4; det. 314287/2026).
4. 4Entro il 31 maggio dell'anno di inserimento: sostituto del punto di contatto.
5. 51° maggio–30 giugno: categorizzazione. Elencazione e categorizzazione di attività e servizi (art. 30). Esclusi i soggetti finanziari DORA.
6. 61° settembre–30 novembre: rappresentanti extra UE. I soggetti stabiliti fuori dall'UE trasmettono la documentazione del proprio rappresentante NIS.
7. 731 dicembre dell'anno di inserimento: referente CSIRT. Il punto di contatto designa sulla piattaforma il referente CSIRT e i sostituti.
8. 8Entro 14 giorni da ogni variazione: aggiornare i dati già comunicati.

Per la prima tornata i termini decorrono dalla comunicazione di inserimento ricevuta da ciascun soggetto, inviata da ACN nella primavera 2025 (determinazione ACN 379907/2025, art. 3):

• Gennaio 2026: notifica degli incidenti. Nove mesi dopo la comunicazione scatta l'obbligo di notificare gli incidenti significativi al CSIRT Italia.
• Ottobre 2026: misure di sicurezza di base. Diciotto mesi dopo la comunicazione devono essere in essere le misure dell'Allegato 1 (importanti) o dell'Allegato 2 (essenziali). ACN stessa scrive "entro 18 mesi (ottobre 2026)"; diverse fonti secondarie indicano il 31 ottobre, ma il giorno esatto dipende da quando hai ricevuto la tua comunicazione.

La determinazione 127434/2026 ha confermato che i soggetti inseriti nel 2025 mantengono questi termini anche se restano nell'elenco 2026. Se sei in questa tornata le misure sono già dovute: ora conta poterle dimostrare.

La determinazione ACN 127434 del 13 aprile 2026 ha fissato un calendario separato per i soggetti inseriti per la prima volta nel 2026:

• 31 dicembre 2026: designazione del referente CSIRT.
• 1° gennaio 2027: decorre l'obbligo di notifica degli incidenti.
• 31 luglio 2027: misure di sicurezza di base in essere (Allegato 1 o 2). Registri dei nomi di dominio di primo livello e registrar hanno entro la stessa data anche gli obblighi dell'art. 29.

Le finestre annuali valgono comunque: nuova registrazione tra il 1° gennaio e il 28 febbraio 2027, aggiornamento dal 15 aprile al 31 maggio 2027, categorizzazione dal 1° maggio al 30 giugno 2027.

Le misure di sicurezza di base sono nella determinazione ACN 379907 del 19 dicembre 2025, che ha sostituito la determinazione 164179 del 14 aprile 2025 e si applica dal 15 gennaio 2026. Seguono la struttura del Framework Nazionale per la Cybersecurity e la Data Protection, edizione 2025: funzioni GV, ID, PR, DE, RS e RC, le stesse del NIST CSF 2.0, articolate in categorie, sottocategorie e requisiti numerati.

• Allegato 1, soggetti importanti: 37 misure, 87 requisiti.
• Allegato 2, soggetti essenziali: 43 misure, 116 requisiti. Le sei misure in più sono ID.AM-03, PR.AT-02, PR.IR-03, PR.PS-01, PR.PS-03 e RC.CO-03.

Tra le misure su cui arrivano più domande:

• GV.PO-01: politiche di sicurezza, tra cui una sulla gestione delle vulnerabilità.
• GV.RR-02: ruoli e responsabilità, che ora includono il referente CSIRT.
• ID.RA-06: un piano di trattamento dei rischi.
• ID.RA-01 e ID.RA-08: identificazione delle vulnerabilità e un piano di gestione delle vulnerabilità approvato dagli organi di amministrazione.
• PR.PS-02: aggiornamenti di sicurezza installati senza ingiustificato ritardo.
• DE.CM-01: monitoraggio e rilevamento, con i livelli di servizio che definiscono l'incidente di tipo IS-3.
• PR.DS-11: backup, con test di ripristino per i soggetti essenziali.
• ID.IM-01: per i soggetti essenziali, un piano di valutazione dell'efficacia delle misure, con report periodici agli organi di amministrazione.

Gli organi di amministrazione approvano le misure e rispondono della loro attuazione (art. 23). Vedi la guida al d.lgs. 138/2024.

È qui che i due allegati differiscono di più.

• Soggetti essenziali, ID.RA-01 punti 2 e 3: per almeno i sistemi informativi e di rete rilevanti, in accordo al piano di gestione delle vulnerabilità, sono eseguite "periodicamente e comunque prima della loro messa in esercizio, attività per l'identificazione delle vulnerabilità che comprendano almeno vulnerability assessment e/o penetration test". Le attività sono documentate in report con la descrizione di quanto svolto e dei risultati, le vulnerabilità individuate e il loro livello di impatto.
• Soggetti importanti, ID.RA-01 punto 1: le vulnerabilità sono identificate usando le informazioni monitorate ai sensi di ID.RA-08 (CSIRT Italia, CERT e ISAC di settore). VA e PT non sono nominati, ma il piano di gestione delle vulnerabilità deve dire come si identificano, e ID.RA-08 chiede di risolverle prontamente oppure di accettare e documentare il rischio.
• Per tutti: PR.PS-02 chiede di installare senza ingiustificato ritardo gli ultimi aggiornamenti di sicurezza, in linea con il piano.

Per un soggetto essenziale la domanda pratica è frequenza ed evidenza: ogni quanto si testano i sistemi rilevanti e se ogni report mostra cosa è stato testato e cosa è emerso. Il dettaglio, con il testo di ogni requisito, è in VA/PT e NIS2: d.lgs. 138/2024 e misure ACN.

L'articolo 25 del d.lgs. 138/2024 fissa i passaggi per un incidente significativo, da notificare al CSIRT Italia:

• Pre-notifica entro 24 ore da quando se ne è venuti a conoscenza.
• Notifica entro 72 ore, con una valutazione iniziale e gli indicatori di compromissione se disponibili.
• Relazione intermedia se il CSIRT Italia la richiede.
• Relazione finale entro un mese dalla notifica; se l'incidente è ancora in corso, relazioni mensili sui progressi e relazione finale entro un mese dalla sua conclusione.

Cosa è significativo lo definiscono gli Allegati 3 e 4 della determinazione 379907/2025: IS-1 perdita di riservatezza verso l'esterno dei dati digitali del soggetto, IS-2 perdita di integrità con impatto esterno, IS-3 violazione dei livelli di servizio definiti ai sensi di DE.CM-01 e, solo per i soggetti essenziali, IS-4 accesso non autorizzato o abuso dei privilegi sui dati digitali del soggetto. Vedi la timeline di notifica dell'articolo 23 NIS2.

Due obblighi sono diventati operativi nel 2026.

• Fornitori rilevanti. Dal ciclo 2026 l'aggiornamento annuale tra il 15 aprile e il 31 maggio comprende l'elenco dei fornitori rilevanti (art. 18). Le regole sono ora nella determinazione 314287 del 20 ottobre 2026, applicabile dal 25 ottobre 2026, che ha sostituito la determinazione 127437/2026.
• Categorizzazione. Tra il 1° maggio e il 30 giugno di ogni anno i soggetti elencano e categorizzano le proprie attività e servizi (art. 30). La determinazione 155238 del 20 aprile 2026 definisce il modello: dieci macro-aree e quattro categorie di impatto (minimo, basso, medio, alto). ACN descrive la categorizzazione come presupposto delle future misure a lungo termine.

Le misure di base sono il primo passo. Il d.lgs. 138/2024 prevede misure rafforzate, a lungo termine, che le integreranno e sostituiranno, graduate in base alla categoria di ciascuna attività e servizio. A settembre 2026 ACN ha avviato una consultazione con i tavoli settoriali. Non sono ancora pubblici un testo, il numero di misure o una data di adozione: qualunque data tu legga per queste misure è una supposizione.

Cosa puoi fare ora: tenere accurata la categorizzazione, perché deciderà quali misure si applicano a quale servizio, e costruire le evidenze per le misure di base in una forma che si possa estendere.

Con l'art. 38, comma 9, la mancata adozione delle misure di sicurezza o la mancata notifica degli incidenti può costare ai soggetti essenziali fino a 10 milioni di euro o il 2% del fatturato annuo mondiale, se superiore, e ai soggetti importanti fino a 7 milioni di euro o l'1,4%. Le pubbliche amministrazioni hanno invece importi fissi. La procedura, dalle conclusioni preliminari alla diffida, è nel playbook sulle sanzioni NIS2.

Quali sono gli obblighi di base NIS2? Le misure di sicurezza di base dell'Allegato 1 (soggetti importanti) o dell'Allegato 2 (soggetti essenziali) della determinazione ACN 379907/2025, la notifica degli incidenti significativi al CSIRT Italia e la registrazione, l'aggiornamento e la categorizzazione annuali sulla piattaforma ACN.

Cosa è cambiato a gennaio 2026? Per i soggetti inseriti nel 2025 è scattato l'obbligo di notifica degli incidenti significativi, nove mesi dopo la comunicazione di inserimento, e ha iniziato ad applicarsi la determinazione 379907/2025. Il 1° gennaio si è aperta anche la finestra annuale di registrazione.

Cos'è la scadenza di ottobre 2026? Il termine entro cui i soggetti inseriti nel 2025 dovevano avere in essere le misure di sicurezza di base: 18 mesi dalla comunicazione di inserimento.

Sono stato inserito nel 2026: quando scadono le mie misure? Entro il 31 luglio 2027, con la notifica degli incidenti dal 1° gennaio 2027 e il referente CSIRT entro il 31 dicembre 2026.

Il penetration test è obbligatorio con la NIS2 in Italia? Per i soggetti essenziali sì: vulnerability assessment e/o penetration test periodici sui sistemi rilevanti, e prima della messa in esercizio, con report (ID.RA-01). Per i soggetti importanti non sono nominati, ma sono obbligatori un piano di gestione delle vulnerabilità e la loro risoluzione tempestiva.

Quando partono gli obblighi a lungo termine? Non c'è una data. ACN sta consultando i tavoli settoriali; le misure dipenderanno dalla categorizzazione.

Come può aiutare Zero Hunt? Zero Hunt è un red team AI autonomo che gira su un'appliance on-premise con modelli propri, in modalità black box e gray box, quindi dati di test ed evidenze restano dentro il tuo perimetro. Può testare i sistemi rilevanti a calendario e prima della messa in esercizio, ogni risultato ha evidenze firmate e i risultati sono mappati sulla NIS2 tra 34 framework di compliance. Non si occupa di registrazione, categorizzazione o notifica degli incidenti e non sostituisce le misure di governance e le politiche.