«Quando scade la NIS2?» è la domanda che arriva per prima. La risposta che circola — una data unica per tutti — è sbagliata, e costa cara a chi ci si affida.
Per le aziende inserite nell’elenco nel 2025 il termine è personale: si conta dal giorno in cui è arrivata la comunicazione di ACN. Solo per chi è entrato nel 2026 esistono date fisse uguali per tutti. Questo scadenzario mette in fila cosa scade, per chi e quando, con il testo che lo stabilisce.
In sintesi
- Le misure di base vanno attuate entro 18 mesi dalla comunicazione di inserimento, non a una data fissa nazionale.
- Le comunicazioni della prima tornata sono arrivate fra il 12 e il 13 aprile 2025: il termine è caduto a metà ottobre 2026.
- Gli obblighi di notifica per la stessa tornata sono già attivi da gennaio 2026 (9 mesi).
- Per chi è entrato in elenco nel 2026 le date sono fisse: notifiche dal 1° gennaio 2027, misure entro il 31 luglio 2027.
- Ogni anno tornano quattro finestre: registrazione, elenco, aggiornamento dati e categorizzazione dei servizi.
- Le sanzioni hanno anche un minimo, non solo un massimo: un ventesimo del massimo edittale per gli essenziali.
Quando scadono gli obblighi NIS2 per la tua azienda?
Dipende dall’anno in cui sei stato inserito nell’elenco dei soggetti NIS. Se ci sei dal 2025, i tuoi termini si contano dalla comunicazione che hai ricevuto: nove mesi per le notifiche, diciotto per le misure di sicurezza. Se ci sei entrato nel 2026, valgono invece due date uguali per tutti.
| Adempimento | Inseriti nel 2025 | Inseriti nel 2026 |
|---|---|---|
| Notifica degli incidenti | 9 mesi dalla comunicazione → da gennaio 2026 | dal 1° gennaio 2027 |
| Misure di sicurezza di base | 18 mesi dalla comunicazione → metà ottobre 2026 | entro il 31 luglio 2027 |
| Sostituto del punto di contatto | entro il 31 maggio 2025 | entro il 31 maggio 2026 |
| Aggiornamento annuale dei dati | 15 aprile – 31 maggio, ogni anno, per tutti | |
Termini fissati dalla Determinazione ACN 379907/2025, applicabile dal 15 gennaio 2026, e dalle FAQ ACN.
Perché la tua scadenza non è quella del tuo concorrente?
Perché la legge non fissa un giorno sul calendario: fissa una durata. Il conto parte dalla tua comunicazione di inserimento. Due aziende dello stesso settore, avvisate a distanza di settimane, hanno due scadenze diverse.
Il testo della Determinazione è netto: «Il termine per l’adozione delle misure di sicurezza di base di cui agli allegati 1 e 2 è fissato in diciotto mesi dalla ricezione, da parte del soggetto NIS, della comunicazione di inserimento nell’elenco dei soggetti NIS». Per le notifiche vale la stessa formula, con nove mesi al posto di diciotto.
Le comunicazioni della prima tornata sono partite fra il 12 e il 13 aprile 2025. Diciotto mesi dopo si arriva a metà ottobre 2026, ed è il motivo per cui ACN stessa indica «ottobre 2026» come orizzonte. Non è il 31 del mese: è il giorno che trovi sulla tua comunicazione, più diciotto mesi.
Cosa fare in pratica: recupera la PEC di aprile 2025 e segna quella data. È l’unico punto di partenza valido per calcolare i tuoi termini. Se non trovi la comunicazione, il punto di contatto designato la ritrova sul Portale dei Servizi ACN.
Cosa doveva essere pronto a ottobre 2026?
Le misure di sicurezza di base degli Allegati 1 e 2, con le prove che sono attuate. Sono 36 misure e 86 requisiti per i soggetti importanti, 41 misure e 113 requisiti per gli essenziali. Quasi ogni requisito chiede che le procedure siano «adottate e documentate».
Il punto che fa inciampare più spesso non è tecnico. Molte misure chiedono l’approvazione degli organi di amministrazione: servono riunioni, verbali e politiche firmate. Sono tempi di calendario, non di server. Abbiamo contato e ordinato tutti i requisiti nella checklist delle misure minime NIS2, funzione per funzione, con l’evidenza da conservare per ciascuna.
Se invece non sai ancora se rientri nel perimetro, parti dall’albero decisionale per capire se la tua azienda rientra nella NIS2: sbagliare la qualifica cambia il numero di adempimenti, non una sfumatura.
Test di autovalutazione
Quanto è esposta la tua azienda?
Dieci domande, una per ciascuno dei dieci ambiti dell’articolo 24: in tre minuti vedi quali hai già coperto e quali no. Nessun dato da lasciare, il risultato resta sul tuo schermo.
Quali scadenze NIS2 tornano ogni anno?
Quattro, e non dipendono dall’anno di ingresso. Valgono per tutti i soggetti NIS, ogni anno, sempre negli stessi mesi. Sono il ritmo ordinario della conformità: chi le tratta come adempimenti spot arriva in affanno ogni primavera.
Nel dettaglio, ecco cosa chiede ciascuna finestra:
- 1° gennaio – 28 febbraio: i soggetti a cui si applica la NIS si registrano sulla piattaforma ACN o aggiornano la registrazione esistente. La procedura passa per il punto di contatto, il codice fiscale o IPA e la dichiarazione NIS (ACN, art. 7 del decreto).
- Entro il 31 marzo: ACN redige l’elenco dei soggetti essenziali e importanti, poi comunica al singolo soggetto l’eventuale inserimento. È quella comunicazione a far partire i tuoi termini.
- Entro il 31 maggio dell’anno di inserimento: va designato il sostituto del punto di contatto. È un adempimento che molti dimenticano, perché arriva dopo l’euforia della registrazione.
- 15 aprile – 31 maggio: aggiornamento annuale delle informazioni, spazi di indirizzamento IP e nomi di dominio compresi (ACN).
Cosa cambia con la categorizzazione dei servizi?
È la finestra più recente e la meno conosciuta: dal 1° maggio al 30 giugno di ogni anno i soggetti essenziali e importanti trasmettono l’elenco delle proprie attività e dei propri servizi, assegnando a ciascun elemento una categoria di rilevanza.
Le categorie sono quattro: minimo, basso, medio, alto. La disciplina sta nell’articolo 30 comma 1 del decreto e nella Determinazione ACN 155238/2026, allegati 1 e 2; la piattaforma su cui si trasmette è regolata dalla Determinazione ACN 127437/2026 (ACN).
Perché conta: la categorizzazione serve a graduare gli obblighi futuri sull’esposizione reale. Un servizio dichiarato ad alta rilevanza porta con sé attenzioni maggiori. Vale la pena arrivarci con un inventario dei servizi già scritto, invece di improvvisarlo a maggio.
E se un incidente arriva prima della scadenza?
I termini di notifica non aspettano le misure. Per chi è in elenco dal 2025 l’obbligo è attivo da gennaio 2026: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
Sono ore, non giorni lavorativi. Vanno contate da quando vieni a conoscenza dell’incidente, e l’orologio non si ferma il venerdì sera. La sequenza completa, con i moduli, i ruoli e chi notifica quando l’incidente nasce da un fornitore, sta nel runbook della notifica a 24 e 72 ore.
Chi risponde di una scadenza mancata?
Gli organi di amministrazione e direttivi, per legge. L’articolo 23 del D.Lgs. 138/2024 dice che approvano le modalità di implementazione delle misure, sovrintendono alla loro attuazione e sono responsabili delle violazioni. Devono inoltre seguire una formazione in materia di sicurezza informatica e promuoverne una periodica per i dipendenti.
Sul lato sanzioni, l’articolo 38 fissa per i soggetti essenziali un massimo di 10 milioni di euro o il 2% del fatturato annuo mondiale, «se tale importo è superiore». Per gli importanti il tetto è 7 milioni o l’1,4%. Il dettaglio che quasi nessuno cita è il minimo edittale: un ventesimo del massimo per gli essenziali, un trentesimo per gli importanti. Tradotto: la forbice non parte da zero, e l’importo finale dipende da gravità, durata e recidiva.
Il quadro completo di perimetro, obblighi e qualifica sta nella guida completa alla NIS2 per PMI e studi professionali.
Da dove parti se sei in ritardo?
Dall’ordine che riduce più rischio in meno tempo, non dall’inizio dell’elenco. In pratica: prima sai cosa devi proteggere, poi metti in sicurezza, infine formalizzi. Cosa succede dopo la scadenza e come impostare il piano di rientro lo spieghiamo in NIS2 non in regola: cosa succede e come rientrare.
- Recupera la data della tua comunicazione e calcola il termine reale.
- Scrivi l’elenco dei sistemi rilevanti e i tre inventari: hardware, software, fornitori cloud compresi.
- Chiudi le misure che fermano più attacchi: autenticazione a più fattori, patch, backup verificati.
- Prepara le politiche e mettile all’ordine del giorno del primo consiglio utile: senza approvazione non valgono.
- Metti in agenda le quattro finestre annuali, così l’anno prossimo non le rincorri.
Cosa conviene fare già oggi
- Cerca la PEC di aprile 2025 e segna la data: da lì nascono tutti i tuoi termini.
- Verifica che punto di contatto e sostituto siano designati e raggiungibili davvero.
- Se l’obbligo di notifica è già attivo, controlla che qualcuno sappia cosa fare nelle prime 24 ore.
- Fissa ora le quattro date ricorrenti nel calendario aziendale, con un responsabile per ciascuna.
Vedi come affrontiamo la conformità NIS2 insieme alle aziende e agli studi che seguiamo a Roma.
Domande frequenti sulle scadenze NIS2
La scadenza delle misure NIS2 è il 31 ottobre 2026?
No. La Determinazione ACN 379907/2025 fissa diciotto mesi dalla ricezione della comunicazione di inserimento, quindi una data personale. Per chi è stato avvisato fra il 12 e il 13 aprile 2025 il termine è caduto a metà ottobre 2026. Una data uguale per tutti esiste solo per chi è entrato in elenco nel 2026: il 31 luglio 2027.
Da quando devo notificare gli incidenti?
Da nove mesi dopo la comunicazione di inserimento, cioè da gennaio 2026 per la tornata 2025. Chi è entrato nel 2026 notifica dal 1° gennaio 2027. I termini interni restano gli stessi: 24 ore per la pre-notifica, 72 ore per la notifica, un mese per la relazione finale.
Devo registrarmi di nuovo ogni anno?
Sì, la finestra fra il 1° gennaio e il 28 febbraio serve sia a registrarsi sia ad aggiornare una registrazione esistente. È diversa dall’aggiornamento annuale delle informazioni, che si fa fra il 15 aprile e il 31 maggio.
Cosa succede se non rispetto una scadenza?
L’articolo 38 prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale per gli essenziali, 7 milioni o l’1,4% per gli importanti, applicando l’importo più alto. Esiste anche un minimo edittale. La responsabilità è degli organi di amministrazione, ai sensi dell’articolo 23.
La categorizzazione dei servizi riguarda anche la mia azienda?
Riguarda tutti i soggetti essenziali e importanti. Ogni anno, fra il 1° maggio e il 30 giugno, va trasmesso l’elenco di attività e servizi con una categoria di rilevanza per ciascuno, secondo la Determinazione ACN 155238/2026.
Fonti: D.Lgs. 138/2024 (artt. 7, 23, 25, 30, 38) · ACN — Modalità e specifiche di base (Determinazione 379907/2025) · ACN — Registrazione · ACN — Obblighi · ACN — Categorizzazione · FAQ ACN.