Con l'approssimarsi delle scadenze operative della NIS2 in Italia, molte aziende si trovano ancora in una fase di incertezza. Questo articolo raccoglie in modo chiaro tutte le date chiave del 2026 che ogni soggetto NIS2 deve conoscere.
Il calendario completo
L'ACN ha pubblicato le Determinazioni 379907/2025, 127434/2026 e 127437/2026 che definiscono il percorso di adeguamento:
Gennaio 2026 — Obbligo di notifica incidenti
Dal 1° gennaio 2026 è operativo l'obbligo di notifica degli incidenti significativi al CSIRT Italia. Le aziende devono inviare una prenotifica entro 24 ore dalla rilevazione e una notifica completa entro 72 ore. Chi non è ancora registrato sul portale ACN deve farlo immediatamente.
Febbraio 2026 — Aggiornamento dati ACN
Entro il 28 febbraio 2026 i soggetti già registrati devono aggiornare i propri dati sul portale ACN: referente NIS, servizi erogati, eventuali cambiamenti organizzativi avvenuti nell'anno precedente.
Marzo-Aprile 2026 — Elenco soggetti NIS 2026
L'ACN pubblica l'elenco aggiornato dei soggetti NIS per il 2026. Le nuove aziende che entrano nel perimetro vengono notificate direttamente e hanno 3 mesi per completare la registrazione.
Giugno 2026 — Categorizzazione attività
Entro il 30 giugno 2026, i soggetti devono completare sul portale ACN la categorizzazione delle attività e dei servizi erogati, che determina il livello di obblighi applicabili.
Ottobre 2026 — Misure di sicurezza di base
La scadenza più critica: entro il 1° ottobre 2026 tutte le misure di sicurezza previste dall'Art. 21 devono essere implementate. Questo include MFA, cifratura, backup, gestione degli incidenti, sicurezza della supply chain.
Dicembre 2026 — Referente CSIRT soggetti 2026
I soggetti NIS entrati nell'elenco nel 2026 devono designare il proprio referente CSIRT entro il 31 dicembre 2026.
Cosa fare adesso
Con ottobre 2026 come deadline, il tempo utile per un adeguamento completo si riduce drasticamente se si considera che i processi di procurement, formazione del personale e implementazione tecnica richiedono mesi. L'approccio corretto è iniziare dall'assessment, identificare i gap prioritari e procedere per fasi.