• Home
  • Scadenze NIS2 2026-2027: calendario degli adempimenti
mdr 2017 745
admin Settembre 18, 2026 0 Comments

La Scadenza NIS2 non coincide con una sola data. Infatti, il calendario cambia in base all'anno di prima inclusione del soggetto. Inoltre, distingue le misure di sicurezza dagli obblighi di notifica degli incidenti.

Per questo, un calendario generico può essere fuorviante. Di conseguenza, prima di pianificare le attività occorre verificare la comunicazione ACN ricevuta dall'organizzazione.

In questa guida trovi la Scadenza NIS2 applicabile nei principali casi 2026-2027. Inoltre, trovi le finestre annuali, i termini per gli incidenti e alcuni esempi pratici.

Per il quadro generale su applicabilità, obblighi e requisiti puoi consultare la pagina NIS2 di Arcadia. Invece, qui il focus resta sul calendario operativo.

Aggiornato al

Scadenza NIS2 in breve

Prima di entrare nei singoli casi, ecco i quattro riferimenti temporali più utili. In questo modo puoi individuare subito il percorso da approfondire.

  • Soggetti 2025 9 mesi

    per la notifica degli incidenti significativi di base.

  • Soggetti 2025 18 mesi

    per adottare le misure di sicurezza di base.

  • Nuovi soggetti 2026 1° gennaio 2027

    decorrenza dell'obbligo di notifica.

  • Nuovi soggetti 2026 31 luglio 2027

    termine per le misure di sicurezza.

Scadenza NIS2 2026-2027: il calendario principale

Prima di tutto, controlla se il soggetto è stato inserito nel 2025 oppure nel 2026. Infatti, la prima inclusione e la permanenza nell'elenco producono effetti diversi sui termini.

Calendario principale della Scadenza NIS2 per i soggetti inseriti nel 2025 e nel 2026.
Situazione del soggetto Obbligo di notifica degli incidenti significativi di base Misure di sicurezza di base
Inclusione nel 2025 e permanenza nel 2026 Termine di 9 mesi dalla ricezione della comunicazione di inserimento Entro 18 mesi dalla ricezione della stessa comunicazione
Prima inclusione nel 2026 Dal
Entro il

Per i soggetti inseriti nel 2025 restano validi i termini già previsti. Quindi, la permanenza nell'elenco 2026 non fa ripartire il conteggio.

Per i nuovi soggetti 2026, invece, valgono i termini specifici fissati per quell'anno. Di conseguenza, le due situazioni non vanno trattate nello stesso modo.

Scadenza NIS2 per i soggetti inseriti nel 2025

Il riferimento è la data di ricezione della comunicazione di inserimento. Infatti, non conta il giorno in cui è iniziato il progetto interno.

Inoltre, non conta la data in cui è stato incaricato un consulente. Per questo, la prova della ricezione della comunicazione è un documento essenziale.

Quali documenti conservare

Per rendere il calcolo verificabile, conserva la comunicazione ACN e la prova della ricezione. Inoltre, registra la regola usata per calcolare il termine.

Infine, collega la data a un responsabile interno. In questo modo, il calendario resta tracciabile e non dipende dalla memoria delle persone.

Scadenza NIS2 per i nuovi soggetti 2026

In primo luogo, per chi entra nell'elenco nel 2026 i due traguardi devono essere gestiti separatamente. Infatti, la notifica degli incidenti decorre dal 1° gennaio 2027.

Le misure di sicurezza, invece, devono essere adottate entro il 31 luglio 2027. Quindi, non conviene concentrare tutto il lavoro a ridosso di luglio.

Referente CSIRT entro il 31 dicembre

Inoltre, il referente CSIRT va designato entro il 31 dicembre dell'anno di inserimento. Inoltre, il referente interloquisce con CSIRT Italia per conto del soggetto NIS.

Per questo, la designazione deve precedere la gestione operativa delle notifiche. È utile individuare anche eventuali sostituti, quando l'organizzazione lo ritiene opportuno.

Scadenza NIS2 e finestre annuali sulla piattaforma ACN

La Scadenza NIS2 non riguarda solo misure e incidenti. Inoltre, ogni anno esistono finestre dedicate a registrazione, aggiornamento e categorizzazione.

Per questo, il calendario interno dovrebbe includere anche queste attività. In particolare, è utile assegnare un referente a ogni finestra.

Calendario annuale della Scadenza NIS2

In sintesi, le finestre ricorrenti sono tre. Prima viene la registrazione; successivamente si aggiornano le informazioni e, infine, si categorizzano attività e servizi.

Finestre annuali collegate alla Scadenza NIS2 per registrazione, aggiornamento e categorizzazione.
Periodo Attività Destinatari
1° gennaio – 28 febbraio Registrazione o aggiornamento della registrazione Soggetti tenuti all'adempimento ai sensi dell'articolo 7
15 aprile – 31 maggio Aggiornamento annuale delle informazioni Soggetti che hanno ricevuto comunicazione di inclusione o permanenza
1° maggio – 30 giugno Elencazione e categorizzazione di attività e servizi Soggetti NIS tenuti all'adempimento, ferme le esenzioni previste

Registrazione: 1° gennaio - 28 febbraio

Dal 1° gennaio al 28 febbraio si svolge la registrazione o il suo aggiornamento. Inoltre, le informazioni devono essere corrette e aggiornate.

Aggiornamento annuale: 15 aprile - 31 maggio

Dal 15 aprile al 31 maggio si aggiornano le informazioni previste. Perciò, conviene raccogliere i dati prima dell'apertura della finestra.

Categorizzazione: 1° maggio - 30 giugno

Dal 1° maggio al 30 giugno si comunica l'elenco categorizzato di attività e servizi. In particolare, la descrizione deve riflettere le attività effettivamente svolte.

Variazioni durante l'anno: attenzione ai 14 giorni

Le modifiche alle informazioni già trasmesse non aspettano la finestra annuale successiva. Infatti, vanno comunicate tempestivamente e comunque entro quattordici giorni dalla modifica.

Scadenza NIS2 per la notifica degli incidenti

In particolare, una volta applicabile l'obbligo, il conteggio parte dalla conoscenza dell'incidente significativo. Quindi, non parte dalla conclusione dell'analisi tecnica.

Quindi, la procedura interna deve funzionare anche quando l'indagine è ancora in corso. Inoltre, i ruoli devono essere chiari prima dell'emergenza.

Termini principali per la notifica

In particolare, il regime ordinario prevede tre passaggi temporali. Per questo è utile configurarli nel piano di risposta agli incidenti prima che si verifichi un evento.

Termini ordinari per le notifiche degli incidenti significativi nell'ambito della Scadenza NIS2.
Comunicazione al CSIRT Italia Termine ordinario
Pre-notifica Senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza
Notifica Senza ingiustificato ritardo e comunque entro 72 ore dalla stessa conoscenza
Relazione finale Entro un mese dalla trasmissione della notifica

Le 24 e le 72 ore non si sommano

Le due finestre decorrono dallo stesso momento. Per esempio, un incidente conosciuto venerdì alle 10:00 fa partire subito entrambi i conteggi.

Di conseguenza, le 72 ore non iniziano dopo le prime 24. Inoltre, resta sempre il principio del mancato ritardo ingiustificato.

Come prepararsi alla Scadenza NIS2

Un promemoria il giorno prima non è sufficiente. Per questo, conviene lavorare con controlli intermedi e responsabilità visibili.

1. Verifica la data corretta

Parti dalla comunicazione ACN e ricostruisci il criterio di calcolo. Inoltre, annota la fonte del termine accanto alla data.

2. Assegna un responsabile

Inoltre, ogni adempimento dovrebbe avere una persona responsabile. In questo modo, è più semplice distinguere attività aperte, completate e bloccate.

3. Controlla le evidenze

Infatti, una bozza non equivale a un'attività conclusa. Quindi, verifica che esistano documenti, registrazioni o risultati coerenti con il lavoro dichiarato.

  • Scadenza verificata sulla base della comunicazione ricevuta.
  • Responsabile interno assegnato a ogni adempimento.
  • Attività mancanti separate da quelle già concluse.
  • Evidenze archiviate in una cartella facilmente accessibile.
  • Criticità aperte collegate a un'azione e a una data interna.

Infine, fai una domanda semplice: l'organizzazione riuscirebbe a ricostruire il lavoro svolto senza cercare informazioni per giorni?

Cosa fare se la Scadenza NIS2 è già passata

Prima di agire, identifica quale adempimento è rimasto incompleto. Infatti, una registrazione tardiva non è uguale a una misura di sicurezza mancante.

Inoltre, ricostruisci date, invii e comunicazioni ricevute. Di conseguenza, solo dopo puoi definire le azioni correttive più adatte.

Registrazione tardiva

In caso di registrazione tardiva, la determinazione ACN prevede un termine specifico per completare l'aggiornamento annuale. Il termine è di 30 giorni dalla comunicazione di inserimento.

Tuttavia, questa regola non è una proroga generale degli obblighi NIS2. Per questo, va applicata solo al caso previsto dal provvedimento.

Altri adempimenti non completati

Negli altri casi serve una verifica puntuale. Inoltre, è importante documentare le attività realmente svolte e le correzioni avviate.

Infine, evita retrodatazioni o dichiarazioni non coerenti con lo stato reale. La tracciabilità deve descrivere ciò che è stato effettivamente fatto.

Dalla Scadenza NIS2 al piano di lavoro

Arcadia Srl può affiancare l'impresa nell'organizzazione del percorso NIS2. In particolare, il lavoro parte dalla situazione concreta e dagli adempimenti già svolti.

Quindi, il calendario viene collegato a responsabilità, attività ed evidenze. Inoltre, il percorso può valorizzare processi e sistemi di gestione già presenti.

FAQ sulla Scadenza NIS2

La permanenza nell'elenco 2026 fa ripartire i termini?

No. Infatti, per i soggetti inseriti nel 2025 restano fermi i termini già previsti. La permanenza non equivale a una nuova prima inclusione.

Il 31 luglio 2027 vale per tutti i soggetti NIS?

No. In particolare, il termine riguarda i soggetti inseriti per la prima volta nell'elenco durante il 2026. Per altri casi vanno verificati i provvedimenti applicabili.

Le 72 ore iniziano dopo le prime 24?

No. Infatti, entrambi i termini decorrono dalla conoscenza dell'incidente significativo. Quindi, le due finestre non si sommano.

Le informazioni vanno aggiornate solo una volta all'anno?

No. Inoltre, le variazioni rilevanti vanno comunicate anche durante l'anno. Inoltre, l'articolo 7 prevede il termine massimo di quattordici giorni dalla modifica.

Un piano futuro dimostra che l'adempimento è concluso?

No. Infatti, un piano descrive ciò che si intende fare. Invece, un'attività conclusa richiede evidenze coerenti con il lavoro svolto.

Fonti normative e riferimenti

Contenuto informativo aggiornato al . Prima di applicare una data, verifica eventuali aggiornamenti e disposizioni settoriali specifiche.

Certifica il tuo Dispositivo

Devi immettere sul mercato un nuovo dispositivo medico, passare dal precedente quadro normativo al MDR o verificare la conformità di un prodotto già esistente? Contattaci.

F . A . Q

Domande frequenti

  • Cos’è la UNI/PdR 125:2022?

    Il MDR 2017 745 è il Regolamento (UE) 2017/745 sui dispositivi medici. Disciplina l’immissione sul mercato, la messa a disposizione e la messa in servizio dei dispositivi medici nell’Unione europea e stabilisce requisiti relativi, tra gli altri aspetti, a classificazione, sicurezza, prestazioni, documentazione tecnica, valutazione clinica, marcatura CE, tracciabilità e sorveglianza post-commercializzazione.

  • Da quando si applica il MDR 2017 745?

    Il Regolamento MDR è applicabile in via generale dal 26 maggio 2021, fermo restando il regime transitorio previsto per determinate categorie di dispositivi legacy che soddisfano le condizioni stabilite dalla normativa.

  • Quali sono le classi dei dispositivi medici nel MDR?

    Il MDR prevede le classi I, IIa, IIb e III. La classe viene determinata applicando le regole dell’Allegato VIII e influenza il percorso di valutazione della conformità e il livello di coinvolgimento dell’Organismo Notificato.

  • Tutti i dispositivi hanno bisogno di un Organismo Notificato?

    No. I dispositivi di classe I che non rientrano nelle categorie per le quali è richiesto un intervento specifico possono generalmente seguire un percorso di dichiarazione della conformità sotto responsabilità del fabbricante. Per le classi IIa, IIb e III, e per determinati aspetti delle classi Is, Im e Ir, è invece previsto il coinvolgimento di un Organismo Notificato.

  • ISO 13485 e MDR sono la stessa cosa?

    No. La ISO 13485 riguarda il sistema di gestione della qualità specifico per il settore dei dispositivi medici. Il MDR 2017 745 disciplina invece la conformità regolatoria dei dispositivi e comprende molti altri requisiti. La certificazione ISO 13485, da sola, non equivale alla conformità MDR né alla marcatura CE.

  • Che cos’è il fascicolo tecnico MDR?

    È l’insieme strutturato della documentazione che descrive il dispositivo e dimostra il rispetto dei requisiti applicabili. Comprende, tra gli altri elementi, descrizione e destinazione d’uso, progettazione e fabbricazione, GSPR, gestione dei rischi, verifiche e validazioni, documentazione clinica, etichettatura e informazioni relative alla sorveglianza post-commercializzazione.

  • Quali sono le scadenze per i dispositivi legacy?

    Per i dispositivi che soddisfano tutte le condizioni del regime transitorio, le principali scadenze MDR arrivano al 31 dicembre 2027 o al 31 dicembre 2028 in funzione della categoria del dispositivo. Non si tratta di una proroga automatica: l’applicabilità deve essere verificata caso per caso.

  • Fonti normative e riferimenti principali

    Regolamento (UE) 2017/745 sui dispositivi medici; Regolamento (UE) 2023/607 sulle disposizioni transitorie MDR; Commissione europea – Medical Devices; Commissione europea – EUDAMED; documenti di orientamento del Medical Device Coordination Group (MDCG), compresi gli aggiornamenti sulla classificazione, sulla PRRC, sulla sorveglianza post-commercializzazione, sulla vigilanza e sulle disposizioni transitorie.