Qual è la scadenza NIS2 per chi è stato inserito in elenco nel 2025?

Non è una data unica: il termine per le misure di sicurezza è di diciotto mesi dalla ricezione della comunicazione di inserimento, e la notifica degli incidenti significativi di base decorre da nove mesi dalla stessa ricezione. Dipende quindi da quando la lettera e arrivata (Determinazione ACN n. 379907 del 19 dicembre 2025, art. 3 commi 1 e 2).

E per chi è stato inserito in elenco nel 2026?

Per la coorte 2026 le date sono fisse e collettive, non relative alla ricezione: il termine per le misure è il 31 luglio 2027 e la notifica degli incidenti decorre dal 1° gennaio 2027 (Determinazione ACN n. 127434/2026, art. 1 commi 1 e 2).

Entro quanto va notificato un incidente significativo?

Pre-notifica entro 24 ore e notifica entro 72 ore, e i due termini decorrono dall'acquisizione dell'evidenza dell'incidente, non dal suo verificarsi.

Strumento · Determinazioni ACN 379907/2025 e 127434/2026

Qual è la vostra scadenza NIS? Non è quella che avete letto.

Non è una data sola. Per chi è stato inserito nell'elenco nel 2025 il termine decorre da quando la vostra azienda ha ricevuto la comunicazione: diciotto mesi per le misure, nove per la notifica. Per chi entra per la prima volta nel 2026 le date sono fisse: 31 luglio 2027 per le misure, 1° gennaio 2027 per la notifica.

E chi era nel 2025 e c'è ancora nel 2026 non passa alle date fisse: tiene il proprio termine mobile. Lo dice l'articolo 1 comma 3 della determinazione ACN 127434/2026, ed è il punto che quasi tutte le sintesi saltano.[5]

Permanere nell'elenco è la norma, non l'eccezione. Chi si considera «anche del 2026» e si prende il 31 luglio 2027 sbaglia di nove mesi, e sbaglia in ritardo.

Tutto il calcolo avviene nel vostro browser. Nessuna risposta viene inviata, registrata o trasmessa a nessuno.

Blocco A — Siete un soggetto NIS?

A1. Avete ricevuto da ACN una comunicazione di inserimento nell'elenco dei soggetti NIS?

Sì
No
Non lo so

Blocco B — Gli undici documenti

Undici documenti devono essere approvati dai vostri organi di amministrazione e direttivi. Quanti ne avete?[2]

Teniamo separato «approvato» da «esiste, non approvato» perché l'Appendice C richiede l'approvazione. È una nostra lettura: dire che un documento non approvato «non assolve l'obbligo» sarebbe un verdetto giuridico che non ci compete.

Documento	Requisito	Approvato	Esiste, non approvato	Non esiste
Organizzazione per la sicurezza informatica	GV.RR-02 punto 1	Approvato: Organizzazione per la sicurezza informatica	Esiste ma non approvato: Organizzazione per la sicurezza informatica	Non esiste: Organizzazione per la sicurezza informatica
Politiche di sicurezza informatica	GV.PO-01 punto 3	Approvato: Politiche di sicurezza informatica	Esiste ma non approvato: Politiche di sicurezza informatica	Non esiste: Politiche di sicurezza informatica
Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete	ID.RA-05 punto 3	Approvato: Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete	Esiste ma non approvato: Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete	Non esiste: Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete
Piano di trattamento del rischio	ID.RA-06 punto 3	Approvato: Piano di trattamento del rischio	Esiste ma non approvato: Piano di trattamento del rischio	Non esiste: Piano di trattamento del rischio
Piano di gestione delle vulnerabilità	ID.RA-08 punto 4	Approvato: Piano di gestione delle vulnerabilità	Esiste ma non approvato: Piano di gestione delle vulnerabilità	Non esiste: Piano di gestione delle vulnerabilità
Piano di adeguamento	ID.IM-01 punto 1	Approvato: Piano di adeguamento	Esiste ma non approvato: Piano di adeguamento	Non esiste: Piano di adeguamento
Piano di continuità operativa	ID.IM-04 punto 4	Approvato: Piano di continuità operativa	Esiste ma non approvato: Piano di continuità operativa	Non esiste: Piano di continuità operativa
Piano di ripristino in caso di disastro	ID.IM-04 punto 4	Approvato: Piano di ripristino in caso di disastro	Esiste ma non approvato: Piano di ripristino in caso di disastro	Non esiste: Piano di ripristino in caso di disastro
Piano di gestione delle crisi	ID.IM-04 punto 4	Approvato: Piano di gestione delle crisi	Esiste ma non approvato: Piano di gestione delle crisi	Non esiste: Piano di gestione delle crisi
Piano di formazione	PR.AT-01 punto 2	Approvato: Piano di formazione	Esiste ma non approvato: Piano di formazione	Non esiste: Piano di formazione
Piano per la gestione degli incidenti di sicurezza informatica	RS.MA-01 punto 2	Approvato: Piano per la gestione degli incidenti di sicurezza informatica	Esiste ma non approvato: Piano per la gestione degli incidenti di sicurezza informatica	Non esiste: Piano per la gestione degli incidenti di sicurezza informatica

Blocco C — Sapreste notificare in 24 ore?

«L'acquisizione dell'evidenza è tipicamente successiva al verificarsi dell'incidente e definisce il momento dal quale decorre il termine per la trasmissione della pre-notifica (24 ore) e della notifica (72 ore)».[2] Il termine decorre dall'evidenza, non dall'incidente. Cambia completamente il conto.

C1. Esiste una procedura scritta che dica chi fa cosa nelle prime 24 ore?

Sì
No
C'è ma non è stata provata

C2. Avete designato il Referente CSIRT e i suoi sostituti?

Sì
No
Non so cosa sia

Da designare entro il 31 dicembre dell'anno di inserimento. E la notifica materiale è «una delega operativa e non una delega di responsabilità».

C3. Avete definito voi i livelli di servizio attesi che fanno scattare la terza tipologia di incidente?

Sì, scritti
No
Pensavamo li definisse ACN

C4. Ad agosto, di notte, chi apre la pre-notifica?

C'è un reperibile
Il titolare
Non ci abbiamo pensato

Le soglie le definite voi, ed è scritto. «I livelli di servizio attesi (indicati con l'acronimo SL) sono stabiliti in autonomia dal soggetto […] e non necessariamente coincidono con i livelli di servizio definiti nei contratti (denominati generalmente SLA o Service Level Agreement)».

I numeri che circolano — trenta minuti di sito irraggiungibile, il 5% degli utenti — sono esempi, e il documento stesso li dichiara tali. Uno strumento che ve li propone come soglie sta spacciando un esempio per norma. La soglia è una decisione che dovete prendere e documentare: quello è il lavoro.

La vostra scheda

Rispondete alle domande qui sopra: la scheda si compila da sola.

Verifica su fonte primaria · 1° settembre 2026

Il «31 ottobre» che gira non esiste

Non compare in nessuna determinazione, FAQ o comunicato dell'Agenzia per la Cybersicurezza Nazionale. È l'arrotondamento a fine mese di un termine che è mobile: ACN ha iniziato a spedire le comunicazioni di inserimento il 12 aprile 2025, e diciotto mesi dopo cadono in giorni diversi fra il 12 e il 30 ottobre 2026 — uno per ciascun soggetto.

Non è un allarme esagerato: è una rassicurazione sbagliata. Per la maggior parte dei soggetti del 2025 la scadenza vera cade prima del 31 ottobre. Chi usa quella data come riferimento arriva in ritardo.

L'unica risposta corretta è la vostra data di ricezione. Contate diciotto mesi da lì.

Verifica del 1° settembre 2026 sul testo integrale delle determinazioni ACN 379907/2025 e 127434/2026 e sulle FAQ NIS. Una fonte spesso citata per quella data è l'art. 4 della 379907/2025: quell'articolo si intitola «Sicurezza, stabilità e resilienza dei sistemi di nomi di dominio» e non contiene alcuna data.

Blocco D — Il calendario che nessuno vi ha dato

Le finestre che tornano ogni anno

Finestra	Adempimento	Fonte
1 gennaio – 28 febbraio	Dichiarazione annuale sulla piattaforma	art. 11 c. 1
15 aprile – 31 maggio	Aggiornamento annuale: punto di contatto, organi di amministrazione, servizi UE, spazio IP pubblico e domini, referente CSIRT, elenco dei fornitori rilevanti	art. 16 c. 1
1 maggio – 30 giugno	Elencazione e categorizzazione di attività e servizi	art. 20 c. 1
fino al 14 aprile	Finestra dell’aggiornamento continuo negli anni successivi	art. 19 c. 2
1 settembre – 30 novembre	Rappresentante NIS in Italia, per i soggetti esteri	art. 6 c. 1

I termini una tantum, e le regole di decorrenza

Questi non entrano nel conto della «prossima scadenza»: due di loro valgono solo per chi è stato inserito nel 2026.

Quando	Adempimento	Fonte
entro il 31 maggio dell’anno di inserimento	Sostituto del punto di contatto	art. 5 c. 3
entro il 31 dicembre dell’anno di inserimento	Referente CSIRT e sostituti	art. 7 c. 1
entro 14 giorni dalla modifica	Aggiornamento di qualsiasi informazione trasmessa	art. 1 c. 1 lett. hh)
10 giorni dalla sottomissione	La dichiarazione diventa definitiva e non modificabile	art. 11 c. 9
31 luglio 2027	Misure di sicurezza — solo per chi è stato inserito nel 2026	Det. 127434/2026, art. 1 c. 1
1° gennaio 2027	Notifica incidenti — solo per chi è stato inserito nel 2026	Det. 127434/2026, art. 1 c. 2

Quanto aspetterete l'Agenzia: 30 giorni sulla verifica di coerenza della dichiarazione, prorogabili di 20; 90 giorni sulla verifica di conformità della categorizzazione, prorogabili di 60. E vale il silenzio-assenso: in assenza di comunicazione l'elenco categorizzato «si intende convalidato».

La categorizzazione prevede quattro categorie — «a) impatto alto; b) impatto medio; c) impatto basso; d) impatto minimo» — distribuite su dieci macro-aree. Si può derogare alla categoria pre-assegnata sulla base di una propria valutazione, ma «conservano la documentazione recante tale valutazione».

Esenzione DORA: le entità finanziarie soggette al Reg. (UE) 2022/2554 sono esentate da referente CSIRT, organi di amministrazione e categorizzazione, e «è fatta salva l'adesione a tali previsioni su base volontaria».

Trenta minuti, senza impegno

Fonti

Determinazione ACN n. 379907 del 19 dicembre 2025, che si applica dal 15 gennaio 2026 e aggiorna e sostituisce la determinazione ACN n. 164179 del 14 aprile 2025. Art. 3 comma 1: il termine per le misure è di «diciotto mesi dalla ricezione, da parte del soggetto NIS della comunicazione di inserimento nell'elenco dei soggetti NIS»; comma 2: nove mesi dalla stessa ricezione per la notifica degli incidenti significativi di base. Per chi è stato inserito nel 2026 valgono invece le date fisse della Determinazione ACN n. 127434/2026, art. 1 commi 1 e 2.
Guida alla lettura delle Specifiche di base, v2.1, aprile 2026. Conteggi delle misure e dei requisiti; Appendice C per gli undici documenti da approvare e i requisiti che ne impongono l'approvazione; termini di pre-notifica e notifica dall'acquisizione dell'evidenza; livelli di servizio stabiliti in autonomia dal soggetto.
Determinazione ACN in materia di piattaforma digitale NIS, firmata digitalmente il 13 aprile 2026: finestre e adempimenti del calendario, responsabilità degli organi di amministrazione (art. 2 commi 3 e 4), esenzione DORA.
Determinazione ACN n. 127434/2026, art. 1 comma 3 — «Per i soggetti inseriti nell'elenco […] nel corso dell'anno solare 2025, che permangono nell'elenco 2026 […] rimangono fermi i termini di cui all'articolo 3 della Determinazione ACN n. 379907.» È il comma che tiene la coorte 2025 sul termine mobile anche dopo essere entrata nell'elenco dell'anno successivo. Verifica del 1° settembre 2026 sul testo integrale dei PDF: det. 379907/2025 e det. 127434/2026.