A un certo punto, dopo il terzo cliente che ci ha chiamato in ansia a fine febbraio chiedendo “ma la registrazione scadeva oggi o ieri?”, abbiamo stampato un calendario e l’abbiamo appeso vicino alla scrivania. Ve lo riportiamo qui, con tutte le date che contano davvero per il 2026.
Le tre finestre che si ripetono ogni anno
La prima cosa da capire è che la NIS2, almeno sul fronte adempimenti, non è un evento una tantum: è un ciclo che si ripete ogni anno, con tre finestre fisse.
Gennaio-febbraio è il mese della registrazione (o del suo aggiornamento): dal 1° gennaio al 28 febbraio ci si presenta — o ci si ripresenta — sul portale ACN. L’esito, cioè se resti dentro l’elenco dei soggetti NIS o ne esci, arriva via PEC entro il 14 aprile.
Aprile-maggio, dal 15 aprile al 31 maggio, tocca all’aggiornamento delle informazioni: dati anagrafici, referenti, indirizzi IP, e da quest’anno anche l’elenco dei fornitori rilevanti — quelli il cui stop potrebbe mettere in crisi te. Se qualcosa cambia fuori da questa finestra, hai comunque 14 giorni di tempo per aggiornarlo, non puoi aspettare l’anno dopo.
Maggio-giugno, dal 1° maggio al 30 giugno, è il turno della categorizzazione di attività e servizi: un’analisi di impatto in formato semplificato che serve ad ACN per calibrare gli obblighi in modo proporzionato.
Tutt’e tre le finestre valgono uguali per soggetti essenziali e importanti — quello che cambia dopo sono le sanzioni e alcuni dettagli delle misure tecniche, non le scadenze.
Poi ci sono le scadenze “una tantum” — e qui si confondono tutti
Qui il calendario si sdoppia, e la causa è semplice: i termini per adottare le misure di sicurezza e per iniziare a notificare gli incidenti non partono da una data fissa, ma dal giorno in cui sei stato inserito nell’elenco dei soggetti NIS.
Chi è entrato nell’elenco nel 2025 ha già l’obbligo di notifica attivo dal gennaio 2026, e deve completare le misure di sicurezza entro ottobre 2026 — nove e diciotto mesi dalla comunicazione di inserimento, per chi si era registrato entro il 28 febbraio 2025.
Chi invece è entrato nell’elenco nel 2026 ha più tempo: la notifica incidenti parte da gennaio 2027, le misure di sicurezza vanno completate entro il 31 luglio 2027 — termini fissati dalla Determinazione ACN n. 127434/2026 del 13 aprile 2026.
Il motivo per cui lo scriviamo due volte, in modo quasi identico, è che è proprio qui che la gente si confonde: guarda una scadenza trovata online, non si accorge che si riferisce alla coorte 2025 e non alla propria, e arriva impreparata.
Il calendario, riassunto in una riga per ogni mese
- Gennaio-febbraio: registrazione o aggiornamento registrazione
- Entro il 14 aprile: arriva l’esito via PEC
- Aprile-maggio: aggiornamento informazioni e fornitori rilevanti
- Maggio-giugno: categorizzazione attività e servizi
- Sempre: ogni modifica ai dati già trasmessi va comunicata entro 14 giorni
Cosa succede se una scadenza ti scappa
La risposta corta: niente si azzera, e l’obbligo resta. Saltare la finestra di registrazione non ti mette fuori dalla NIS2, ti mette solo in ritardo — e in ritardo, secondo il decreto, si è sanzionabili. La cosa peggiore che si possa fare è aspettare l’anno successivo pensando di “recuperare al prossimo giro”: va regolarizzato appena possibile.
Se vuoi sapere in dettaglio cosa rischia un’azienda — e chi, dentro l’azienda, rischia in prima persona — lo trovi nella nostra guida operativa alla NIS2. E se hai bisogno di aiuto per rispettare le scadenze della NIS 2, contattaci!