La fine del 2026 rappresenta un passaggio rilevante per le organizzazioni soggette alla NIS2. Per chi ha ricevuto nell’aprile 2025 la comunicazione di inserimento nell’elenco NIS, il termine per adottare le misure di sicurezza di base è maturato nell’ottobre 2026. Per i nuovi soggetti del 2026, si avvicina invece l’avvio degli obblighi di notifica degli incidenti significativi di base, previsto dal 1° gennaio 2027.
A queste scadenze si aggiunge la Determinazione ACN n. 314287/2026, applicabile dal 25 ottobre 2026, che aggiorna le procedure sul Portale ACN e semplifica la dichiarazione annuale per i soggetti già presenti nell’elenco che non hanno variazioni da comunicare. Per pianificare le prossime attività occorre distinguere le scadenze di adeguamento dagli adempimenti periodici, partendo dalla posizione della singola organizzazione.
Scadenze NIS2: cosa cambia tra soggetti del 2025 e del 2026
Per i soggetti inseriti nel 2025, la Determinazione ACN n. 379907/2025 prevede diciotto mesi dalla ricezione della comunicazione di inserimento per adottare le misure di sicurezza di base e nove mesi per adempiere agli obblighi di notifica degli incidenti significativi di base.
Chi ha ricevuto la comunicazione nell’aprile 2025 ha quindi raggiunto il termine per le misure nell’ottobre 2026. La data esatta dipende dalla ricezione individuale: non esiste una giornata unica valida per tutti. Per comunicazioni successive, il termine si calcola applicando lo stesso periodo di diciotto mesi.
Per i soggetti entrati per la prima volta nel 2026, la Determinazione n. 127434/2026 stabilisce invece la decorrenza delle notifiche dal 1° gennaio 2027 e il termine per le misure di sicurezza di base al 31 luglio 2027. Per quelli già inseriti nel 2025 e confermati nel 2026 restano validi i termini precedenti.
Il termine di luglio non rinvia gli obblighi di notifica: il relativo processo deve essere operativo già dal 1° gennaio 2027.
Referente CSIRT e notifiche: prepararsi entro fine anno
La Determinazione n. 314287/2026 prevede la designazione del referente CSIRT entro il 31 dicembre dell’anno di inserimento nell’elenco, attraverso il Portale ACN. Per i nuovi soggetti del 2026, l’adempimento deve quindi essere completato entro fine anno, ferme restando le esenzioni applicabili.
Il referente interloquisce con CSIRT Italia ed effettua le notifiche per conto dell’organizzazione. Possono essere designati uno o più sostituti per assicurare continuità.
La preparazione deve comprendere anche il processo interno. Nel procedimento ordinario, l’articolo 25 del decreto prevede una pre-notifica entro 24 ore dalla conoscenza dell’incidente significativo, una notifica entro 72 ore dalla stessa conoscenza e una relazione finale entro un mese dalla notifica. Sono previste disposizioni specifiche, tra cui quelle per incidenti ancora in corso e prestatori di servizi fiduciari.
Occorre quindi definire chi valuta la significatività dell’evento, raccoglie le informazioni e attiva le comunicazioni, anche in assenza dei referenti principali.
Misure di sicurezza: verificare l’attuazione dei requisiti
L’articolo 24 del D.lgs. 138/2024 – con cui l’Italia recepisce la Direttiva NIS2 – richiede misure tecniche, operative e organizzative adeguate e proporzionate al rischio. Gli ambiti comprendono gestione degli incidenti, continuità operativa e sicurezza della supply chain. Sono inclusi anche gestione delle vulnerabilità, controllo degli accessi, formazione e valutazione dell’efficacia delle misure.
Le specifiche ACN declinano gli obblighi attraverso allegati distinti per soggetti importanti ed essenziali. La verifica aziendale deve collegare i requisiti applicabili alle misure effettivamente adottate e alle relative evidenze.
Per le organizzazioni il cui termine per adottare le misure di sicurezza di base è già scaduto, la priorità è verificarne l’effettiva attuazione e la disponibilità delle relative evidenze. Per i nuovi soggetti del 2026, un assessment può aiutare a individuare le lacune e programmare gli interventi entro luglio 2027, considerando i tempi necessari per implementarli e verificarli.
Registrazione 2027: chi può evitare una nuova dichiarazione
La principale semplificazione della Determinazione n. 314287/2026 riguarda il servizio NIS/Dichiarazione, la cui finestra ordinaria resta dal 1° gennaio al 28 febbraio.
I soggetti già presenti nell’elenco sono esonerati dalla nuova dichiarazione esclusivamente se non sono intervenute modifiche rispetto alle informazioni dichiarate nell’annualità precedente, comprese le successive dichiarazioni integrative trasmesse nello stesso anno nell’ambito del consolidamento dell’elenco.
In questo caso, il soggetto permane nell’elenco con lo status precedentemente attribuito. L’esonero richiede quindi un confronto tra la situazione attuale e quanto già comunicato; non riguarda chi deve registrarsi per la prima volta.
In presenza di variazioni, occorre presentare la dichiarazione aggiornata, descrivendo le modifiche. Se viene rimossa una tipologia di soggetto precedentemente dichiarata, devono essere forniti i motivi giustificativi.
La procedura semplifica anche i dati dimensionali: viene richiesta la categoria dimensionale dell’impresa. Se la piattaforma rileva automaticamente incongruenze, devono essere indicati anche fatturato, bilancio e numero dei dipendenti. Restano applicabili i criteri di calcolo previsti per le imprese non autonome.
Aggiornamento delle informazioni e categorizzazione: gli obblighi restano
L’esonero dalla dichiarazione non elimina l’aggiornamento annuale, previsto dal 15 aprile al 31 maggio attraverso il servizio dedicato.
Secondo le disposizioni applicabili, la verifica riguarda i dati dell’organizzazione e dei referenti, gli organi di amministrazione e direttivi, i servizi offerti nell’Unione europea, gli indirizzi IP pubblici e i domini. Comprende inoltre gli accordi di condivisione, i riferimenti CSIRT e i fornitori rilevanti.
Resta distinto l’aggiornamento continuo: le modifiche alle informazioni previste dall’articolo 7, commi 4 e 5, del decreto devono essere comunicate tempestivamente e comunque entro quattordici giorni dalla variazione, attraverso le procedure previste. Dal 1° maggio al 30 giugno si svolge invece l’elencazione e categorizzazione delle attività e dei servizi tramite NIS/Categorizzazione, secondo il modello e i criteri ACN.
Fornitori rilevanti e operazioni societarie
Il primo criterio di rilevanza riguarda le forniture riconducibili alle infrastrutture digitali e alla gestione dei servizi ICT tra imprese, indicate nell’allegato I, punti 8 e 9, del decreto. Tra queste rientrano cloud computing, data center, servizi gestiti e servizi di sicurezza gestiti.
Il secondo riguarda le forniture la cui interruzione o compromissione incide significativamente sulla capacità di erogare le attività o i servizi soggetti alla disciplina, anche per l’indisponibilità di alternative. È sufficiente soddisfare uno dei due criteri.
Per ciascun fornitore rilevante devono essere comunicati dati identificativi, codici CPV delle forniture e criterio di rilevanza. L’inserimento nell’elenco non comporta automaticamente l’assoggettamento del fornitore alla NIS2.
Sono disciplinate anche fusioni e cessioni. I soggetti NIS risultanti da fusioni, anche per incorporazione, che coinvolgono almeno un soggetto riconducibile al perimetro devono registrarsi; i soggetti NIS partecipanti comunicano i dati del soggetto risultante. In caso di cessione di rami relativi alle attività che avevano determinato l’assoggettamento, il cedente comunica i dati del cessionario.
Verifiche ACN e revisione dell’inquadramento
ACN può effettuare verifiche di coerenza d’ufficio, a campione e con strumenti automatizzati. Se richiede informazioni aggiuntive, modifiche o integrazioni, il soggetto deve rispondere entro dieci giorni. Un riscontro tardivo può comportare una valutazione sulla base degli atti disponibili, con possibili conseguenze sullo status. È possibile presentare un’istanza di revisione entro sessanta giorni dalle comunicazioni indicate all’articolo 15, comma 3, a pena di decadenza.
Per i soggetti individuati direttamente dall’Autorità su proposta delle Autorità di settore, non già nell’elenco, la registrazione deve avvenire entro trenta giorni dalla notifica. Se questa arriva dopo il 31 luglio, si procede nella finestra gennaio-febbraio dell’anno successivo.
Eccezioni e transizione della piattaforma
Per le entità finanziarie soggette a DORA che rientrano anche nell’ambito NIS sono previste esenzioni specifiche relative al referente CSIRT, all’elencazione degli organi di amministrazione e direttivi e alla categorizzazione, con possibilità di adesione volontaria. ACN ha inoltre comunicato lo stop alle dichiarazioni tardive dal 31 ottobre 2026, per introdurre le modifiche alla piattaforma. Questa indicazione riguarda la transizione del Portale e non costituisce una scadenza generale degli obblighi NIS2.
Governance NIS2: organizzare il presidio per il 2027
La NIS2 attribuisce agli organi di amministrazione e direttivi un ruolo diretto nella gestione della sicurezza informatica. L’articolo 23 del decreto richiede che approvino le modalità di implementazione delle misure di gestione del rischio e ne sovrintendano l’attuazione, insieme agli obblighi di registrazione e aggiornamento delle informazioni. Prevede inoltre la loro responsabilità per le violazioni secondo quanto stabilito dal decreto.
I vertici devono seguire una formazione in materia di sicurezza informatica e promuovere iniziative periodiche per i dipendenti, favorendo le competenze necessarie a riconoscere i rischi e comprenderne l’impatto sulle attività aziendali. Devono inoltre essere informati periodicamente e, quando opportuno, tempestivamente degli incidenti e delle notifiche effettuate.
Sul piano operativo, è quindi utile predisporre un flusso di reporting che permetta alla direzione di conoscere lo stato dell’adeguamento, valutare le criticità ancora aperte e decidere sulle risorse necessarie. Le informazioni tecniche devono rendere comprensibili le conseguenze per l’azienda: quali servizi potrebbero essere interrotti, quali interventi hanno priorità e quali rischi richiedono una decisione.
Il punto di contatto deve poter ricevere dalle funzioni aziendali le variazioni rilevanti per gli adempimenti ACN. Il referente CSIRT deve essere collegato al processo di gestione degli incidenti, con responsabilità e modalità di escalation definite. Il supporto di fornitori esterni va inserito in questa organizzazione, mantenendo chiare le responsabilità attribuite dal decreto ai vertici.
La semplificazione della dichiarazione annuale si inserisce in questo presidio continuativo: per applicare correttamente l’esonero, l’organizzazione deve poter verificare che le informazioni già trasmesse siano ancora attuali e riconoscere tempestivamente i cambiamenti da comunicare.
