La Scadenza NIS2 non coincide con una sola data. Infatti, il calendario cambia in base all'anno di prima inclusione del soggetto. Inoltre, distingue le misure di sicurezza dagli obblighi di notifica degli incidenti.
Per questo, un calendario generico può essere fuorviante. Di conseguenza, prima di pianificare le attività occorre verificare la comunicazione ACN ricevuta dall'organizzazione.
In questa guida trovi la Scadenza NIS2 applicabile nei principali casi 2026-2027. Inoltre, trovi le finestre annuali, i termini per gli incidenti e alcuni esempi pratici.
Per il quadro generale su applicabilità, obblighi e requisiti puoi consultare la
pagina NIS2 di Arcadia. Invece, qui il focus resta sul calendario operativo.
Aggiornato al
Scadenza NIS2 in breve
Prima di entrare nei singoli casi, ecco i quattro riferimenti temporali più utili. In questo modo puoi individuare subito il percorso da approfondire.
Soggetti 20259 mesi
per la notifica degli incidenti significativi di base.
Soggetti 202518 mesi
per adottare le misure di sicurezza di base.
Nuovi soggetti 20261° gennaio 2027
decorrenza dell'obbligo di notifica.
Nuovi soggetti 202631 luglio 2027
termine per le misure di sicurezza.
Scadenza NIS2 2026-2027: il calendario principale
Prima di tutto, controlla se il soggetto è stato inserito nel 2025 oppure nel 2026. Infatti, la prima inclusione e la permanenza nell'elenco producono effetti diversi sui termini.
Calendario principale della Scadenza NIS2 per i soggetti inseriti nel 2025 e nel 2026.
Situazione del soggetto
Obbligo di notifica degli incidenti significativi di base
Misure di sicurezza di base
Inclusione nel 2025 e permanenza nel 2026
Termine di 9 mesi dalla ricezione della comunicazione di inserimento
Entro 18 mesi dalla ricezione della stessa comunicazione
Prima inclusione nel 2026
Dal
Entro il
Per i soggetti inseriti nel 2025 restano validi i termini già previsti. Quindi, la permanenza nell'elenco 2026 non fa ripartire il conteggio.
Per i nuovi soggetti 2026, invece, valgono i termini specifici fissati per quell'anno. Di conseguenza, le due situazioni non vanno trattate nello stesso modo.
Scadenza NIS2 per i soggetti inseriti nel 2025
Il riferimento è la data di ricezione della comunicazione di inserimento. Infatti, non conta il giorno in cui è iniziato il progetto interno.
Inoltre, non conta la data in cui è stato incaricato un consulente. Per questo, la prova della ricezione della comunicazione è un documento essenziale.
Quali documenti conservare
Per rendere il calcolo verificabile, conserva la comunicazione ACN e la prova della ricezione. Inoltre, registra la regola usata per calcolare il termine.
Infine, collega la data a un responsabile interno. In questo modo, il calendario resta tracciabile e non dipende dalla memoria delle persone.
Scadenza NIS2 per i nuovi soggetti 2026
In primo luogo, per chi entra nell'elenco nel 2026 i due traguardi devono essere gestiti separatamente. Infatti, la notifica degli incidenti decorre dal 1° gennaio 2027.
Le misure di sicurezza, invece, devono essere adottate entro il 31 luglio 2027. Quindi, non conviene concentrare tutto il lavoro a ridosso di luglio.
Referente CSIRT entro il 31 dicembre
Inoltre, il referente CSIRT va designato entro il 31 dicembre dell'anno di inserimento. Inoltre, il referente interloquisce con CSIRT Italia per conto del soggetto NIS.
Per questo, la designazione deve precedere la gestione operativa delle notifiche. È utile individuare anche eventuali sostituti, quando l'organizzazione lo ritiene opportuno.
Scadenza NIS2 e finestre annuali sulla piattaforma ACN
La Scadenza NIS2 non riguarda solo misure e incidenti. Inoltre, ogni anno esistono finestre dedicate a registrazione, aggiornamento e categorizzazione.
Per questo, il calendario interno dovrebbe includere anche queste attività. In particolare, è utile assegnare un referente a ogni finestra.
Calendario annuale della Scadenza NIS2
In sintesi, le finestre ricorrenti sono tre. Prima viene la registrazione; successivamente si aggiornano le informazioni e, infine, si categorizzano attività e servizi.
Finestre annuali collegate alla Scadenza NIS2 per registrazione, aggiornamento e categorizzazione.
Periodo
Attività
Destinatari
1° gennaio – 28 febbraio
Registrazione o aggiornamento della registrazione
Soggetti tenuti all'adempimento ai sensi dell'articolo 7
15 aprile – 31 maggio
Aggiornamento annuale delle informazioni
Soggetti che hanno ricevuto comunicazione di inclusione o permanenza
1° maggio – 30 giugno
Elencazione e categorizzazione di attività e servizi
Soggetti NIS tenuti all'adempimento, ferme le esenzioni previste
Registrazione: 1° gennaio - 28 febbraio
Dal 1° gennaio al 28 febbraio si svolge la registrazione o il suo aggiornamento. Inoltre, le informazioni devono essere corrette e aggiornate.
Aggiornamento annuale: 15 aprile - 31 maggio
Dal 15 aprile al 31 maggio si aggiornano le informazioni previste. Perciò, conviene raccogliere i dati prima dell'apertura della finestra.
Categorizzazione: 1° maggio - 30 giugno
Dal 1° maggio al 30 giugno si comunica l'elenco categorizzato di attività e servizi. In particolare, la descrizione deve riflettere le attività effettivamente svolte.
Variazioni durante l'anno: attenzione ai 14 giorni
Le modifiche alle informazioni già trasmesse non aspettano la finestra annuale successiva. Infatti, vanno comunicate tempestivamente e comunque entro quattordici giorni dalla modifica.
Scadenza NIS2 per la notifica degli incidenti
In particolare, una volta applicabile l'obbligo, il conteggio parte dalla conoscenza dell'incidente significativo. Quindi, non parte dalla conclusione dell'analisi tecnica.
Quindi, la procedura interna deve funzionare anche quando l'indagine è ancora in corso. Inoltre, i ruoli devono essere chiari prima dell'emergenza.
Termini principali per la notifica
In particolare, il regime ordinario prevede tre passaggi temporali. Per questo è utile configurarli nel piano di risposta agli incidenti prima che si verifichi un evento.
Termini ordinari per le notifiche degli incidenti significativi nell'ambito della Scadenza NIS2.
Comunicazione al CSIRT Italia
Termine ordinario
Pre-notifica
Senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza
Notifica
Senza ingiustificato ritardo e comunque entro 72 ore dalla stessa conoscenza
Relazione finale
Entro un mese dalla trasmissione della notifica
Le 24 e le 72 ore non si sommano
Le due finestre decorrono dallo stesso momento. Per esempio, un incidente conosciuto venerdì alle 10:00 fa partire subito entrambi i conteggi.
Di conseguenza, le 72 ore non iniziano dopo le prime 24. Inoltre, resta sempre il principio del mancato ritardo ingiustificato.
Come prepararsi alla Scadenza NIS2
Un promemoria il giorno prima non è sufficiente. Per questo, conviene lavorare con controlli intermedi e responsabilità visibili.
1. Verifica la data corretta
Parti dalla comunicazione ACN e ricostruisci il criterio di calcolo. Inoltre, annota la fonte del termine accanto alla data.
2. Assegna un responsabile
Inoltre, ogni adempimento dovrebbe avere una persona responsabile. In questo modo, è più semplice distinguere attività aperte, completate e bloccate.
3. Controlla le evidenze
Infatti, una bozza non equivale a un'attività conclusa. Quindi, verifica che esistano documenti, registrazioni o risultati coerenti con il lavoro dichiarato.
Scadenza verificata sulla base della comunicazione ricevuta.
Responsabile interno assegnato a ogni adempimento.
Attività mancanti separate da quelle già concluse.
Evidenze archiviate in una cartella facilmente accessibile.
Criticità aperte collegate a un'azione e a una data interna.
Infine, fai una domanda semplice: l'organizzazione riuscirebbe a ricostruire il lavoro svolto senza cercare informazioni per giorni?
Cosa fare se la Scadenza NIS2 è già passata
Prima di agire, identifica quale adempimento è rimasto incompleto. Infatti, una registrazione tardiva non è uguale a una misura di sicurezza mancante.
Inoltre, ricostruisci date, invii e comunicazioni ricevute. Di conseguenza, solo dopo puoi definire le azioni correttive più adatte.
Registrazione tardiva
In caso di registrazione tardiva, la determinazione ACN prevede un termine specifico per completare l'aggiornamento annuale. Il termine è di 30 giorni dalla comunicazione di inserimento.
Tuttavia, questa regola non è una proroga generale degli obblighi NIS2. Per questo, va applicata solo al caso previsto dal provvedimento.
Altri adempimenti non completati
Negli altri casi serve una verifica puntuale. Inoltre, è importante documentare le attività realmente svolte e le correzioni avviate.
Infine, evita retrodatazioni o dichiarazioni non coerenti con lo stato reale. La tracciabilità deve descrivere ciò che è stato effettivamente fatto.
Dalla Scadenza NIS2 al piano di lavoro
Arcadia Srl può affiancare l'impresa nell'organizzazione del percorso NIS2. In particolare, il lavoro parte dalla situazione concreta e dagli adempimenti già svolti.
Quindi, il calendario viene collegato a responsabilità, attività ed evidenze. Inoltre, il percorso può valorizzare processi e sistemi di gestione già presenti.
FAQ sulla Scadenza NIS2
La permanenza nell'elenco 2026 fa ripartire i termini?
No. Infatti, per i soggetti inseriti nel 2025 restano fermi i termini già previsti. La permanenza non equivale a una nuova prima inclusione.
Il 31 luglio 2027 vale per tutti i soggetti NIS?
No. In particolare, il termine riguarda i soggetti inseriti per la prima volta nell'elenco durante il 2026. Per altri casi vanno verificati i provvedimenti applicabili.
Le 72 ore iniziano dopo le prime 24?
No. Infatti, entrambi i termini decorrono dalla conoscenza dell'incidente significativo. Quindi, le due finestre non si sommano.
Le informazioni vanno aggiornate solo una volta all'anno?
No. Inoltre, le variazioni rilevanti vanno comunicate anche durante l'anno. Inoltre, l'articolo 7 prevede il termine massimo di quattordici giorni dalla modifica.
Un piano futuro dimostra che l'adempimento è concluso?
No. Infatti, un piano descrive ciò che si intende fare. Invece, un'attività conclusa richiede evidenze coerenti con il lavoro svolto.
Scadenza NIS2: calendario degli adempimenti
La Scadenza NIS2 non coincide con una sola data. Infatti, il calendario cambia in base all'anno di prima inclusione del soggetto. Inoltre, distingue le misure di sicurezza dagli obblighi di notifica degli incidenti.
Per questo, un calendario generico può essere fuorviante. Di conseguenza, prima di pianificare le attività occorre verificare la comunicazione ACN ricevuta dall'organizzazione.
In questa guida trovi la Scadenza NIS2 applicabile nei principali casi 2026-2027. Inoltre, trovi le finestre annuali, i termini per gli incidenti e alcuni esempi pratici.
Per il quadro generale su applicabilità, obblighi e requisiti puoi consultare la pagina NIS2 di Arcadia. Invece, qui il focus resta sul calendario operativo.
Aggiornato al
Scadenza NIS2 in breve
Prima di entrare nei singoli casi, ecco i quattro riferimenti temporali più utili. In questo modo puoi individuare subito il percorso da approfondire.
per la notifica degli incidenti significativi di base.
per adottare le misure di sicurezza di base.
decorrenza dell'obbligo di notifica.
termine per le misure di sicurezza.
Scadenza NIS2 2026-2027: il calendario principale
Prima di tutto, controlla se il soggetto è stato inserito nel 2025 oppure nel 2026. Infatti, la prima inclusione e la permanenza nell'elenco producono effetti diversi sui termini.
Per i soggetti inseriti nel 2025 restano validi i termini già previsti. Quindi, la permanenza nell'elenco 2026 non fa ripartire il conteggio.
Per i nuovi soggetti 2026, invece, valgono i termini specifici fissati per quell'anno. Di conseguenza, le due situazioni non vanno trattate nello stesso modo.
Scadenza NIS2 per i soggetti inseriti nel 2025
Il riferimento è la data di ricezione della comunicazione di inserimento. Infatti, non conta il giorno in cui è iniziato il progetto interno.
Inoltre, non conta la data in cui è stato incaricato un consulente. Per questo, la prova della ricezione della comunicazione è un documento essenziale.
Quali documenti conservare
Per rendere il calcolo verificabile, conserva la comunicazione ACN e la prova della ricezione. Inoltre, registra la regola usata per calcolare il termine.
Infine, collega la data a un responsabile interno. In questo modo, il calendario resta tracciabile e non dipende dalla memoria delle persone.
Scadenza NIS2 per i nuovi soggetti 2026
In primo luogo, per chi entra nell'elenco nel 2026 i due traguardi devono essere gestiti separatamente. Infatti, la notifica degli incidenti decorre dal 1° gennaio 2027.
Le misure di sicurezza, invece, devono essere adottate entro il 31 luglio 2027. Quindi, non conviene concentrare tutto il lavoro a ridosso di luglio.
Referente CSIRT entro il 31 dicembre
Inoltre, il referente CSIRT va designato entro il 31 dicembre dell'anno di inserimento. Inoltre, il referente interloquisce con CSIRT Italia per conto del soggetto NIS.
Per questo, la designazione deve precedere la gestione operativa delle notifiche. È utile individuare anche eventuali sostituti, quando l'organizzazione lo ritiene opportuno.
Scadenza NIS2 e finestre annuali sulla piattaforma ACN
La Scadenza NIS2 non riguarda solo misure e incidenti. Inoltre, ogni anno esistono finestre dedicate a registrazione, aggiornamento e categorizzazione.
Per questo, il calendario interno dovrebbe includere anche queste attività. In particolare, è utile assegnare un referente a ogni finestra.
Calendario annuale della Scadenza NIS2
In sintesi, le finestre ricorrenti sono tre. Prima viene la registrazione; successivamente si aggiornano le informazioni e, infine, si categorizzano attività e servizi.
Registrazione: 1° gennaio - 28 febbraio
Dal 1° gennaio al 28 febbraio si svolge la registrazione o il suo aggiornamento. Inoltre, le informazioni devono essere corrette e aggiornate.
Aggiornamento annuale: 15 aprile - 31 maggio
Dal 15 aprile al 31 maggio si aggiornano le informazioni previste. Perciò, conviene raccogliere i dati prima dell'apertura della finestra.
Categorizzazione: 1° maggio - 30 giugno
Dal 1° maggio al 30 giugno si comunica l'elenco categorizzato di attività e servizi. In particolare, la descrizione deve riflettere le attività effettivamente svolte.
Variazioni durante l'anno: attenzione ai 14 giorni
Le modifiche alle informazioni già trasmesse non aspettano la finestra annuale successiva. Infatti, vanno comunicate tempestivamente e comunque entro quattordici giorni dalla modifica.
Scadenza NIS2 per la notifica degli incidenti
In particolare, una volta applicabile l'obbligo, il conteggio parte dalla conoscenza dell'incidente significativo. Quindi, non parte dalla conclusione dell'analisi tecnica.
Quindi, la procedura interna deve funzionare anche quando l'indagine è ancora in corso. Inoltre, i ruoli devono essere chiari prima dell'emergenza.
Termini principali per la notifica
In particolare, il regime ordinario prevede tre passaggi temporali. Per questo è utile configurarli nel piano di risposta agli incidenti prima che si verifichi un evento.
Le 24 e le 72 ore non si sommano
Le due finestre decorrono dallo stesso momento. Per esempio, un incidente conosciuto venerdì alle 10:00 fa partire subito entrambi i conteggi.
Di conseguenza, le 72 ore non iniziano dopo le prime 24. Inoltre, resta sempre il principio del mancato ritardo ingiustificato.
Come prepararsi alla Scadenza NIS2
Un promemoria il giorno prima non è sufficiente. Per questo, conviene lavorare con controlli intermedi e responsabilità visibili.
1. Verifica la data corretta
Parti dalla comunicazione ACN e ricostruisci il criterio di calcolo. Inoltre, annota la fonte del termine accanto alla data.
2. Assegna un responsabile
Inoltre, ogni adempimento dovrebbe avere una persona responsabile. In questo modo, è più semplice distinguere attività aperte, completate e bloccate.
3. Controlla le evidenze
Infatti, una bozza non equivale a un'attività conclusa. Quindi, verifica che esistano documenti, registrazioni o risultati coerenti con il lavoro dichiarato.
Infine, fai una domanda semplice: l'organizzazione riuscirebbe a ricostruire il lavoro svolto senza cercare informazioni per giorni?
Cosa fare se la Scadenza NIS2 è già passata
Prima di agire, identifica quale adempimento è rimasto incompleto. Infatti, una registrazione tardiva non è uguale a una misura di sicurezza mancante.
Inoltre, ricostruisci date, invii e comunicazioni ricevute. Di conseguenza, solo dopo puoi definire le azioni correttive più adatte.
Registrazione tardiva
In caso di registrazione tardiva, la determinazione ACN prevede un termine specifico per completare l'aggiornamento annuale. Il termine è di 30 giorni dalla comunicazione di inserimento.
Tuttavia, questa regola non è una proroga generale degli obblighi NIS2. Per questo, va applicata solo al caso previsto dal provvedimento.
Altri adempimenti non completati
Negli altri casi serve una verifica puntuale. Inoltre, è importante documentare le attività realmente svolte e le correzioni avviate.
Infine, evita retrodatazioni o dichiarazioni non coerenti con lo stato reale. La tracciabilità deve descrivere ciò che è stato effettivamente fatto.
Dalla Scadenza NIS2 al piano di lavoro
Arcadia Srl può affiancare l'impresa nell'organizzazione del percorso NIS2. In particolare, il lavoro parte dalla situazione concreta e dagli adempimenti già svolti.
Quindi, il calendario viene collegato a responsabilità, attività ed evidenze. Inoltre, il percorso può valorizzare processi e sistemi di gestione già presenti.
FAQ sulla Scadenza NIS2
La permanenza nell'elenco 2026 fa ripartire i termini?
No. Infatti, per i soggetti inseriti nel 2025 restano fermi i termini già previsti. La permanenza non equivale a una nuova prima inclusione.
Il 31 luglio 2027 vale per tutti i soggetti NIS?
No. In particolare, il termine riguarda i soggetti inseriti per la prima volta nell'elenco durante il 2026. Per altri casi vanno verificati i provvedimenti applicabili.
Le 72 ore iniziano dopo le prime 24?
No. Infatti, entrambi i termini decorrono dalla conoscenza dell'incidente significativo. Quindi, le due finestre non si sommano.
Le informazioni vanno aggiornate solo una volta all'anno?
No. Inoltre, le variazioni rilevanti vanno comunicate anche durante l'anno. Inoltre, l'articolo 7 prevede il termine massimo di quattordici giorni dalla modifica.
Un piano futuro dimostra che l'adempimento è concluso?
No. Infatti, un piano descrive ciò che si intende fare. Invece, un'attività conclusa richiede evidenze coerenti con il lavoro svolto.
Fonti normative e riferimenti
Contenuto informativo aggiornato al . Prima di applicare una data, verifica eventuali aggiornamenti e disposizioni settoriali specifiche.
Post Recenti
Categorie