Scadenze NIS2 2026: calendario completo degli adempimenti
I soggetti NIS in Italia hanno tre finestre annuali ricorrenti fissate dalle determinazioni ACN — registrazione (gennaio-febbraio), aggiornamento informazioni (aprile-maggio), categorizzazione di attività e servizi (maggio-giugno) — più due scadenze “una tantum” per misure di sicurezza e notifica incidenti, che dipendono dall’anno in cui l’organizzazione è stata inserita nell’elenco dei soggetti NIS. Questa pagina riporta tutte le date, con la determinazione ACN che le disciplina. .
Richiedi una consulenza gratuita
Quali sono le tre finestre annuali ricorrenti della NIS2
Ogni soggetto NIS, essenziale o importante, deve rispettare ogni anno tre finestre temporali fissate dal decreto legislativo 138/2024 e dalle determinazioni ACN attuative: la registrazione o il suo aggiornamento dal 1° gennaio al 28 febbraio, la trasmissione o l’aggiornamento delle informazioni (incluso l’elenco dei fornitori rilevanti) dal 15 aprile al 31 maggio, e l’elencazione e categorizzazione di attività e servizi dal 1° maggio al 30 giugno. Le prime due sono disciplinate dalla Determinazione ACN n. 127437/2026 del 13 aprile 2026, la terza dalla Determinazione ACN n. 155238/2026 del 20 aprile 2026.
| Adempimento | Finestra | Riferimento decreto | Determinazione ACN |
|---|---|---|---|
| Registrazione o aggiornamento registrazione | 1 gennaio – 28 febbraio | Art. 7, c. 1 | n. 127437/2026 del 13 aprile 2026 |
| Trasmissione o aggiornamento informazioni | 15 aprile – 31 maggio | Art. 7, c. 4-5 | n. 127437/2026 del 13 aprile 2026 |
| Elencazione e categorizzazione attività/servizi | 1 maggio – 30 giugno | Art. 30 | n. 155238/2026 del 20 aprile 2026 |
La comunicazione di inserimento, permanenza o espunzione dall’elenco dei soggetti NIS, a seguito della registrazione, arriva via PEC entro il 14 aprile di ogni anno. Le modifiche sopravvenute ai dati già trasmessi vanno comunicate entro 14 giorni, indipendentemente dalla finestra annuale.
Timeline degli obblighi per i soggetti inseriti nell'elenco NIS nel 2025
Per le organizzazioni inserite nell’elenco dei soggetti NIS nel 2025, l’obbligo di notifica degli incidenti significativi di base allo CSIRT Italia decorre da gennaio 2026, e l’adozione delle misure di sicurezza di base va completata entro ottobre 2026. Per chi si è registrato entro il 28 febbraio 2025, l’art. 42 del decreto NIS fissa questi termini rispettivamente in 9 e 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco; le specifiche tecniche sono definite dalla Determinazione ACN n. 379907/2025, applicabile dal 15 gennaio 2026.
| Adempimento | Termine | Base normativa |
|---|---|---|
| Notifica incidenti significativi di base | Da gennaio 2026 (9 mesi dalla comunicazione di inserimento, per chi registrato entro 28/2/2025) | Art. 42 decreto NIS; Det. ACN n. 379907/2025 |
| Adozione misure di sicurezza di base | Entro ottobre 2026 (18 mesi dalla comunicazione di inserimento, per chi registrato entro 28/2/2025) | Art. 42 decreto NIS; Det. ACN n. 379907/2025 |
Timeline degli obblighi per i soggetti inseriti nell'elenco NIS nel 2026
Conclusa la fase di prima applicazione del decreto NIS a fine 2025, per le organizzazioni inserite nell’elenco dei soggetti NIS per la prima volta nel 2026 i termini sono fissati dalla Determinazione ACN n. 127434/2026 del 13 aprile 2026, applicabile dal 30 aprile 2026: l’obbligo di notifica degli incidenti significativi di base decorre dal 1° gennaio 2027, e le misure di sicurezza di base — previste dagli Allegati 1 e 2 della Determinazione ACN n. 379907/2025 — vanno adottate entro il 31 luglio 2027.
| Adempimento | Termine | Base normativa |
|---|---|---|
| Notifica incidenti significativi di base | Dal 1° gennaio 2027 | Det. ACN n. 127434/2026 del 13 aprile 2026 |
| Adozione misure di sicurezza di base | Entro il 31 luglio 2027 | Det. ACN n. 127434/2026 del 13 aprile 2026, rinvio agli Allegati 1-2 della Det. n. 379907/2025 |
| Designazione referente CSIRT e sostituti | Entro il 31 dicembre 2026 (facoltà di rinvio) | Det. ACN n. 127437/2026 del 13 aprile 2026 |
Calendario riassuntivo per mese — cosa fare e quando
Riordinando tutte le scadenze per mese, un soggetto NIS già inserito nell’elenco affronta in un anno solare: gennaio-febbraio per la registrazione, aprile per attendere l’esito della registrazione e aprire la finestra di aggiornamento informazioni, aprile-maggio per l’aggiornamento vero e proprio, maggio-giugno per la categorizzazione. A queste si sommano, se applicabili, le scadenze una tantum di notifica incidenti e misure di sicurezza legate al proprio anno di inserimento.
| Periodo | Cosa fare |
|---|---|
| 1 gennaio – 28 febbraio | Registrazione o aggiornamento registrazione sul portale ACN |
| Entro il 14 aprile | Ricezione via PEC dell’esito: inserimento, permanenza o espunzione dall’elenco |
| 15 aprile – 31 maggio | Aggiornamento annuale delle informazioni, incluso l’elenco dei fornitori rilevanti |
| 1 maggio – 30 giugno | Elencazione e categorizzazione di attività e servizi |
| Continuativo, entro 14 giorni da ogni modifica | Aggiornamento tempestivo dei dati già trasmessi in caso di variazioni |
Cosa succede se salti una scadenza NIS2
Saltare una finestra non ti esonera dall’obbligo sottostante, e la mancata registrazione o il mancato aggiornamento nei termini sono sanzionabili secondo il regime dell’art. 39 del decreto NIS. La cosa da fare, se una finestra è già chiusa, è regolarizzare la posizione il prima possibile tramite il servizio corrispondente sul portale ACN, non aspettare l’anno successivo.
Per il dettaglio di cosa rischia in concreto un’azienda — e chi, all’interno dell’organizzazione — vedi la pagina guida operativa alla NIS2 o le FAQ NIS2. Se non sei sicuro di quali scadenze si applichino alla tua azienda, verifichiamo la tua posizione con una GAP analysis dedicata.
Non esitate a contattarci per verificare quali scadenze NIS2 si applicano alla vostra azienda e per prenotare una consulenza gratuita sul vostro calendario di adempimenti