La disciplina NIS 2 in Italia si regge sul D.Lgs. 138/2024, che ha recepito la Direttiva UE 2022/2555. Dopo la fase di registrazione del 2024-2025, il 2026 è l’anno in cui gli adempimenti diventano concreti: aggiornamento dei dati sul portale dell’Agenzia per la Cybersicurezza Nazionale (ACN), categorizzazione delle attività e dei servizi, avvio degli obblighi di notifica e implementazione delle misure di sicurezza. Questa pagina raccoglie le date verificate sulle fonti primarie e viene aggiornata quando ACN pubblica nuove Determinazioni.
A chi si applica NIS 2: soggetti essenziali e importanti
Il decreto distingue due categorie di destinatari. I soggetti essenziali operano nei settori ad alta criticità (tra gli altri energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, pubbliche amministrazioni rientranti nei parametri) e in genere superano determinate soglie dimensionali. I soggetti importanti appartengono agli stessi settori o a settori ulteriori (ad esempio servizi postali, gestione dei rifiuti, produzione, fornitori di servizi digitali) senza raggiungere la soglia dei soggetti essenziali.
La differenza non è formale: incide sul regime di vigilanza (per gli essenziali è anche ex ante, per gli importanti prevalentemente ex post) e sull’entità delle sanzioni. In entrambi i casi è il soggetto, non ACN, a doversi identificare e registrare. La conferma dell’inserimento nell’elenco dei soggetti NIS arriva poi da ACN, che stabilisce anche la decorrenza dei termini per gli adempimenti successivi.
Le date del 2026 in tabella
Le scadenze del 2026 dipendono da due elementi: le finestre annuali fissate dal decreto e dalle Determinazioni ACN, e il momento in cui il singolo soggetto ha ricevuto la comunicazione di inserimento nell’elenco. Per i soggetti già consolidati nel 2025 i termini «a scorrimento» (9 e 18 mesi) maturano nel corso del 2026; per i soggetti registrati per la prima volta nel 2026 gli stessi termini slittano al 2027.
Registrazione e aggiornamento sul portale ACN
La registrazione sulla piattaforma ACN avviene in una finestra annuale dal 1° gennaio al 28 febbraio. Chi si è già registrato negli anni precedenti deve, entro la stessa finestra, confermare o aggiornare i dati. A questo si aggiunge la finestra di aggiornamento delle informazioni (spazi di indirizzamento IP, nomi di dominio, punti di contatto e loro sostituti) prevista dal 15 aprile al 31 maggio di ogni anno.
Categorizzazione di attività e servizi: 30 giugno 2026
È l’adempimento più rilevante dell’anno. Ai sensi dell’art. 30 del decreto, i soggetti essenziali e importanti devono elencare e categorizzare le proprie attività e servizi sulla piattaforma dal 1° maggio al 30 giugno di ogni anno: la prima scadenza cade quindi il 30 giugno 2026. Il quadro operativo è definito dalla Determinazione ACN n. 155238/2026 (modello di categorizzazione, Allegati 1 e 2) e dalla Determinazione ACN n. 127437/2026 sulle modalità di accesso e utilizzo della piattaforma. Il modello organizza le attività in dieci macro-aree, a ciascuna delle quali va assegnata una tra quattro categorie di rilevanza in base all’impatto di una possibile compromissione: impatto minimo, basso, medio, alto. La valutazione poggia su una Business Impact Analysis semplificata, senza una metodologia obbligatoria imposta dall’Agenzia.
Notifica degli incidenti e tempistiche
L’obbligo di notifica degli incidenti significativi (art. 25 del decreto, in linea con l’art. 23 della Direttiva 2022/2555) segue una procedura a tre passaggi:
- Pre-notifica (preallarme): entro 24 ore dal momento in cui si è a conoscenza dell’incidente significativo;
- Notifica: entro 72 ore, con aggiornamento delle informazioni e una prima valutazione;
- Relazione finale: entro un mese dalla notifica. Se l’incidente è ancora in corso si trasmette una relazione sullo stato di avanzamento e la relazione finale entro un mese dalla chiusura; il CSIRT Italia può richiedere relazioni intermedie.
Per i soggetti già in elenco nel 2025, gli obblighi di notifica «di base» decorrono a 9 mesi dalla comunicazione di inserimento. Per i soggetti registrati nel 2026, la Determinazione ACN n. 127434/2026 colloca l’avvio della notifica secondo le specifiche di base a partire dal 1° gennaio 2027.
Misure di sicurezza e termini
Le misure di sicurezza «di base» (governance, gestione del rischio, obblighi degli organi di amministrazione) vanno adottate entro 18 mesi dalla comunicazione di inserimento nell’elenco. Per la platea consolidata nel 2025 il termine matura nel corso del 2026; per i nuovi soggetti 2026 l’orizzonte si sposta al 2027. Le misure sono proporzionate alla categoria di rilevanza attribuita in fase di categorizzazione: più alto l’impatto, più stringenti gli obblighi.
| Adempimento | Finestra / termine | Riferimento |
|---|---|---|
| Registrazione e aggiornamento anagrafico sul portale ACN | 1° gennaio – 28 febbraio 2026 | D.Lgs. 138/2024, art. 7 |
| Aggiornamento informazioni (IP, domini, contatti) | 15 aprile – 31 maggio 2026 | Piattaforma ACN |
| Categorizzazione attività e servizi | 1° maggio – 30 giugno 2026 | Art. 30; Det. ACN 155238/2026 e 127437/2026 |
| Obbligo di notifica incidenti (specifiche di base) | Soggetti 2025: entro 9 mesi dall’inserimento; nuovi soggetti 2026: dal 1° gennaio 2027 | Art. 25; Det. ACN 127434/2026 |
| Misure di sicurezza di base | Entro 18 mesi dall’inserimento (2026 per la platea 2025) | Art. 24 |
| Tempistiche notifica di un incidente | Preallarme 24h · notifica 72h · relazione finale 1 mese | Art. 25; Dir. UE 2022/2555, art. 23 |
Cosa rischia chi non rispetta le scadenze
L’art. 38 del D.Lgs. 138/2024 gradua le sanzioni amministrative pecuniarie in base alla classificazione del soggetto. Per la violazione degli obblighi di gestione del rischio e di notifica degli incidenti:
- Soggetti essenziali (escluse le pubbliche amministrazioni): fino a 10.000.000 di euro o, se superiore, il 2% del fatturato mondiale annuo dell’esercizio precedente;
- Soggetti importanti (escluse le pubbliche amministrazioni): fino a 7.000.000 di euro o, se superiore, l’1,4% del fatturato mondiale annuo.
Il decreto prevede anche misure ulteriori rispetto alla sanzione pecuniaria, tra cui la possibile interdizione temporanea dall’esercizio di funzioni dirigenziali per le persone fisiche responsabili. La responsabilità degli organi di amministrazione è un tratto qualificante della NIS 2: l’adeguamento non è delegabile solo alla funzione IT.
Domande frequenti
Devo registrarmi anche se mi sono già iscritto nel 2025?
Sì. La finestra 1° gennaio – 28 febbraio è annuale e serve a confermare o aggiornare i dati già comunicati. La registrazione non è un adempimento una tantum.
La scadenza del 30 giugno 2026 riguarda tutti?
Riguarda i soggetti essenziali e importanti tenuti a elencare e categorizzare attività e servizi ai sensi dell’art. 30. La finestra 1° maggio – 30 giugno è ricorrente ogni anno.
Da quando decorrono i 9 e i 18 mesi?
Dalla comunicazione con cui ACN conferma l’inserimento nell’elenco dei soggetti NIS. Per questo i soggetti consolidati nel 2025 e quelli registrati nel 2026 hanno scadenze diverse per notifica e misure di sicurezza.
Entro quanto va notificato un incidente?
Preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese dalla notifica. I termini decorrono da quando si ha conoscenza dell’incidente significativo.
Le pubbliche amministrazioni pagano le stesse sanzioni?
No. I massimali in euro e in percentuale del fatturato dell’art. 38 sono riferiti ai soggetti privati; per le pubbliche amministrazioni il decreto disciplina un regime distinto.
Le date riportate riflettono le fonti ACN e il D.Lgs. 138/2024 disponibili alla data di pubblicazione. Trattandosi di adempimenti soggetti a Determinazioni ACN e a comunicazioni individuali, si raccomanda di verificare sempre i termini specifici notificati al proprio ente sulla piattaforma dell’Agenzia.