I prossimi sessanta giorni concentrano alcune delle scadenze più rilevanti del 2026 in materia di sicurezza informatica e compliance. Per chi siede dall’altra parte del tavolo — Responsabili IT, CISO, Punti di Contatto NIS, DPO — è il periodo in cui si accumulano gli adempimenti che hanno effetto cristallizzante per dodici mesi.
Vediamoli in ordine temporale, con riferimento normativo, audience interessata e cosa serve fare concretamente prima della scadenza.
31 maggio 2026 — Elenco fornitori rilevanti NIS2 (prima scadenza)
Riferimento: Determinazione ACN n. 127437/2026, art. 19.
Audience: tutti i soggetti registrati nell’elenco NIS (essenziali e importanti).
Cosa fare: caricare sulla piattaforma ACN l’elenco dei fornitori rilevanti, ossia i soggetti della supply chain che, in base al servizio reso al soggetto NIS, dovrebbero a loro volta essere classificati come essenziali o importanti.
Il punto delicato: non si tratta di “fornitori importanti per noi”, ma di “fornitori che la nostra organizzazione ritiene debbano essere assoggettati alla NIS”. Il criterio è oggettivo (servizi essenziali nella catena), non di rilievo commerciale. Una decisione errata qui ha un doppio effetto: espone il soggetto NIS a contestazioni in caso di incidente lungo la supply chain, e segnala ad ACN potenziali soggetti da inserire nella lista.
30 giugno 2026 — Categorizzazione attività e servizi (la grande scadenza)
Riferimento: Determinazione ACN n. 127437/2026, art. 20-21 + Determinazione ACN n. 155238 del 20 aprile 2026.
Audience: tutti i soggetti NIS.
Cosa fare: caricare sulla piattaforma ACN l’elenco categorizzato di tutte le attività e servizi erogati, organizzati nelle 10 macro-aree del modello ACN e con assegnazione di una delle 4 categorie di rilevanza (impatto minimo, basso, medio, alto).
L’art. 20 c. 4 è esplicito: alla scadenza del 30 giugno la lista è definitivamente acquisita e non modificabile. Significa che eventuali correzioni o riclassificazioni dovranno aspettare il successivo ciclo annuale del maggio dell’anno dopo.
Per chi non ha ancora cominciato, il ritardo è ormai significativo. La piattaforma è aperta dal 1° maggio e una compilazione fatta last-minute il 29 giugno produrrà inevitabilmente errori. Guida operativa alla categorizzazione →
17 luglio 2026 — Reporting incidenti DORA per soggetti finanziari
Riferimento: Reg. (UE) 2022/2554 (DORA), art. 19; Regolamento di esecuzione UE 2024/2956.
Audience: enti finanziari e ICT third-party provider critici.
Cosa fare: prima finestra effettiva del nuovo schema reporting incidenti ICT major a Banca d’Italia/CONSOB/IVASS, secondo template e timing armonizzati DORA. La rilevanza di luglio sta nel fatto che dopo i primi sei mesi (gennaio-giugno) le autorità inizieranno i controlli a campione sulla qualità della classificazione “major / significant”.
Pratico: chi non ha automatizzato la classificazione interna (DORA ha 7 criteri quantitativi distinti) si troverà a fare classificazioni manuali ogni volta, con rischio di errore. Vale la pena strutturare un piccolo workflow di triage prima di luglio.
2 agosto 2026 — AI Act, obblighi GPAI (modelli per finalità generali)
Riferimento: Reg. (UE) 2024/1689 (AI Act), art. 50-55.
Audience: fornitori di modelli GPAI (Large Language Model e altri foundation model) e — indirettamente — deployer che li integrano.
Cosa fare: dal 2 agosto 2026 entrano in vigore gli obblighi sui modelli GPAI, in particolare per quelli classificati a “rischio sistemico”. Per i deployer (utilizzatori) l’impatto è soprattutto contrattuale: i fornitori dovrebbero aggiornare le condizioni di servizio includendo le informazioni richieste dall’AI Act (training data summary, watermarking, ecc.).
Per chi integra ChatGPT, Claude, Gemini, Mistral o altri nei propri prodotti: verificare nei prossimi 60 giorni che i fornitori abbiano comunicato l’aggiornamento. È un esercizio di due diligence, non un obbligo proprio del deployer, ma essere in grado di documentare di aver verificato è parte della compliance.
La checklist consolidata
| Scadenza | Riferimento | Cosa fare |
|---|---|---|
| 31 maggio | Det. ACN 127437 art. 19 | Elenco fornitori rilevanti su Portale ACN |
| 30 giugno | Det. ACN 127437 art. 20-21 + 155238 | Categorizzazione attività e servizi (cristallizza) |
| 17 luglio | DORA + Reg. UE 2024/2956 | Reporting incidenti major su nuovo schema |
| 2 agosto | AI Act art. 50-55 | Obblighi GPAI in vigore (verifica fornitori) |
Tre regole per arrivarci preparati
1. Non aggregare categorie all’interno di adempimenti diversi. Categorizzazione NIS2 ≠ classificazione DORA ≠ classificazione AI Act. Strutturare un unico foglio “servizi e categorie” che combini i tre rischia di confondere. Tenerli separati, anche se i nomi tecnici si assomigliano.
2. Documentare il ragionamento, non solo il risultato. ACN, in sede di controllo, chiede di vedere come si è arrivati alla classificazione, non solo quale è. Lo stesso vale per la classificazione DORA “major” e per la verifica AI Act. Un documento interno di 2-3 pagine per ciascun adempimento basta, ma deve esistere.
3. Tenere traccia di chi decide cosa. Compliance NIS2 / DORA / AI Act sta diventando un’attività trasversale: IT, sicurezza, legale, risk management, business unit. Avere un Responsabile referente per ciascun adempimento (anche la stessa persona, ma esplicitato per nome) facilita le verifiche e — in caso di incidente — riduce drasticamente il tempo di risposta.
Riferimenti normativi
- D.Lgs. 4 settembre 2024, n. 138 (NIS2)
- Det. ACN n. 127437/2026
- Det. ACN n. 155238 del 20 aprile 2026
- Reg. (UE) 2022/2554 (DORA)
- Reg. di esecuzione UE 2024/2956
- Reg. (UE) 2024/1689 (AI Act)
Le determinazioni ACN sono consultabili sul portale ACN sezione NIS (acn.gov.it/portale/nis).