NIS2 in Italia: misure di base entro ottobre 2026
Per i soggetti dell'elenco NIS 2025, i 18 mesi per adottare le misure di base ACN scadono a ottobre 2026. Per chi è inserito nel 2026: luglio 2027.
L'Italia ha recepito la NIS2 con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024. Per i primi soggetti dell'elenco NIS arriva ora la prima scadenza importante: nel Vademecum per i soggetti NIS dell'11 settembre 2026 l'Agenzia per la cybersicurezza nazionale (ACN) ricorda che la prima scadenza, a ottobre, riguarda il termine per l'attuazione delle misure di sicurezza di base per i soggetti inseriti nell'elenco NIS nel 2025.
Da dove nasce la scadenza
La Determinazione ACN n. 379907 del 19 dicembre 2025 stabilisce le specifiche di base per gli obblighi del decreto NIS. Si applica dal 15 gennaio 2026 e ha sostituito la Determinazione n. 164179 del 14 aprile 2025. L'articolo 3 fissa due termini, entrambi calcolati dalla ricezione, da parte del soggetto, della comunicazione di inserimento nell'elenco dei soggetti NIS:
- diciotto mesi per adottare le misure di sicurezza di base: allegato 1 per i soggetti importanti, allegato 2 per i soggetti essenziali;
- nove mesi per l'obbligo di notifica degli incidenti significativi di base, descritti negli allegati 3 e 4.
Poiché ogni termine decorre dalla comunicazione ricevuta dal singolo soggetto, la data esatta può variare da un'organizzazione all'altra. Il documento da controllare è proprio quella comunicazione.
I soggetti inseriti nel 2026
La Determinazione ACN n. 127434 del 13 aprile 2026, applicabile dal 30 aprile 2026, fissa date precise per i soggetti inseriti nell'elenco NIS nel corso del 2026:
- le misure di sicurezza di base vanno adottate entro il 31 luglio 2027;
- l'obbligo di notifica degli incidenti significativi decorre dal 1° gennaio 2027.
Per i soggetti dell'elenco 2025 che restano nell'elenco 2026 valgono i termini della Determinazione 379907.
Le date che tornano ogni anno
Sul portale NIS l'ACN ricorda che la registrazione sulla piattaforma si effettua o si aggiorna dal 1° gennaio al 28 febbraio di ogni anno e che l'aggiornamento delle informazioni si svolge dal 15 aprile al 31 maggio.
Cosa verificare adesso
- La data della Sua comunicazione. Conti diciotto mesi dal giorno in cui ha ricevuto la comunicazione di inserimento nell'elenco.
- L'allegato giusto. Soggetti importanti ed essenziali hanno insiemi di misure diversi.
- Le evidenze. Una volta attuata una misura, conservi la politica, l'approvazione degli organi di amministrazione e direttivi dove richiesta e le registrazioni che ne dimostrano il funzionamento.
- La notifica degli incidenti. Per i soggetti 2025 questo obbligo si applica già: si assicuri che il team sappia chi notifica al CSIRT Italia e quando.
Fonti
- ACN: Online il Vademecum per i soggetti NIS (11 settembre 2026)
- ACN: Determinazione n. 379907 del 19 dicembre 2025, specifiche di base
- ACN: Determinazione n. 127434 del 13 aprile 2026, termini per i soggetti inseriti nel 2026
- ACN: NIS, online le determine sugli adempimenti per i nuovi soggetti (13 aprile 2026)
- ACN: portale NIS (registrazione, obblighi)
- Normattiva: Decreto legislativo 4 settembre 2024, n. 138
A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 22 ottobre 2026.
Disponibile anche in: English