In breve:
- Ogni anno: registrazione dal 1° gennaio al 28 febbraio, comunicazione dell'ACN entro il 14 aprile, aggiornamento dei dati dal 15 aprile al 31 maggio, categorizzazione dal 1° maggio al 30 giugno.
- Soggetti nell'elenco dal 2025: notifica degli incidenti da gennaio 2026, misure di sicurezza di base entro ottobre 2026.
- Soggetti inseriti nel 2026: notifica degli incidenti dal 1° gennaio 2027, misure di base entro il 31 luglio 2027.
- Ogni modifica dei dati comunicati va aggiornata entro 14 giorni.
Il calendario di ogni anno
| Periodo | Adempimento | Chi |
|---|---|---|
| 1° gennaio - 28 febbraio | Registrazione o aggiornamento della registrazione sul portale ACN | soggetti che rientrano e non sono registrati, o con dati cambiati |
| entro il 31 marzo | l'ACN redige l'elenco dei soggetti essenziali e importanti | ACN |
| entro il 14 aprile | comunicazione di inserimento, permanenza o esclusione al domicilio digitale | ACN |
| 15 aprile - 31 maggio | aggiornamento delle informazioni: sostituto punto di contatto, referente CSIRT, organi di amministrazione, IP, domini, fornitori rilevanti | soggetti nell'elenco |
| 1° maggio - 30 giugno | elencazione e categorizzazione di attività e servizi (art. 30) | soggetti nell'elenco |
| entro il 31 dicembre | designazione del referente CSIRT, se rimandata | soggetti inseriti nell'anno |
| sempre | aggiornamento entro 14 giorni da ogni modifica | soggetti nell'elenco |
Misure di sicurezza e notifica degli incidenti
I termini dipendono dall'anno in cui il soggetto è entrato per la prima volta nell'elenco:
| Inserito nell'elenco | Notifica degli incidenti significativi | Misure di sicurezza di base |
|---|---|---|
| nel 2025 | 9 mesi dalla comunicazione di inserimento (comunicazioni del 12-13 aprile 2025, quindi da gennaio 2026) | 18 mesi dalla comunicazione (quindi da ottobre 2026) |
| nel 2026 | dal 1° gennaio 2027 | entro il 31 luglio 2027 |
I termini del 2025 vengono dall'articolo 42 del decreto (fase di prima applicazione, conclusa il 31 dicembre 2025). Quelli dei soggetti 2026 sono fissati dall'ACN (determinazione 127434/2026, FAQ MSB.3 e ISB.G.3). Le misure da adottare sono negli allegati 1 e 2 della determinazione ACN 379907/2025, in vigore dal 15 gennaio 2026.
La categorizzazione delle attività (art. 30) si applica dal 1° gennaio 2026. Per i contratti con i fornitori, i requisiti di sicurezza vanno inseriti in quelli stipulati, rinnovati o prorogati dopo il termine per le misure di base; i contratti in corso non vanno modificati.
Le scadenze già passate
- 16 ottobre 2024: entrata in vigore del D.Lgs. 138/2024.
- 17 gennaio 2025: registrazione anticipata per fornitori DNS, registri e registrar di domini, cloud, data center, CDN, servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca e social network (art. 42).
- 28 febbraio 2025: fine della prima finestra di registrazione per tutti gli altri.
- 12-13 aprile 2025: invio delle prime comunicazioni di inserimento nell'elenco.
- 15 gennaio 2026: si applica la determinazione 379907/2025 sugli obblighi di base e la disciplina generale della notifica.
Cosa fare prima della scadenza delle misure
Le misure di base chiedono documenti (inventari, piani, politiche, registri) approvati dagli organi di amministrazione e misure tecniche. Tra queste: autenticazione a più fattori, backup verificati, aggiornamenti di sicurezza, conservazione dei log e protezione dei servizi esposti su internet. Il riepilogo è nella pagina obblighi e misure di base. Per il sito web e i servizi online si può usare un servizio esterno che conservi i log e filtri gli attacchi:
Domande frequenti
Qual è la prossima scadenza NIS2?
Quando scadono le misure di sicurezza per chi è nell'elenco dal 2025?
E per chi è stato inserito nel 2026?
Cosa succede se perdo la finestra di registrazione?
Fonti: D.Lgs. 138/2024, articoli 7, 38 e 42 su Normattiva; pagina NIS dell'ACN e vademecum NIS (settembre 2026); FAQ misure di sicurezza e notifica.