Il nuovo documento riordina gli adempimenti ricorrenti e quelli legati all’anno di inserimento nell’elenco NIS. Letto insieme alle FAQ recenti su vertice, fornitori e vigilanza, conferma il passaggio alla fase pienamente operativa.
In breve
L’ACN – Agenzia per la cybersicurezza nazionale – ha pubblicato nel settembre 2026 un nuovo Vademecum NIS2 con le indicazioni generali sui principali adempimenti e il relativo calendario. Per i soggetti inseriti nell’elenco NIS nel 2025 il punto più urgente è verificare il termine individuale per il completamento delle misure di sicurezza di base. Per i soggetti entrati nel 2026 il calendario porta invece al 31 dicembre 2026 per la designazione del Referente CSIRT, al 1° gennaio 2027 per l’avvio delle notifiche degli incidenti significativi e al 31 luglio 2027 per le misure di sicurezza di base.
Un documento che arriva quando la NIS2 entra nella fase operativa
ACN ha pubblicato un Vademecum dedicato ai soggetti NIS per riunire in un unico quadro le indicazioni generali sui principali adempimenti e sulle relative scadenze.
Il documento arriva in un momento particolare.
Per molti soggetti inseriti nell’elenco nel 2025 si sta avvicinando il termine entro il quale completare l’adozione delle misure di sicurezza di base. Per i soggetti inseriti nel 2026, invece, è il momento di preparare la designazione del Referente CSIRT e il processo di gestione e notifica degli incidenti che diventerà operativo dal 1° gennaio 2027.
Il Vademecum non modifica il decreto NIS e non sostituisce le Determinazioni ACN. La sua utilità è diversa: mette in sequenza adempimenti che derivano da fonti diverse e rende più leggibile un sistema che, dopo la fase iniziale di registrazione e classificazione, è ormai entrato nella fase di attuazione concreta.
Le tre finestre che si ripetono ogni anno
Il primo elemento da tenere fermo è il calendario degli adempimenti ricorrenti.
Dal 1° gennaio al 28 febbraio tutti i soggetti NIS devono effettuare o aggiornare la registrazione attraverso il Portale dei servizi ACN.
Dal 15 aprile al 31 maggio devono verificare e aggiornare le informazioni trasmesse all’Autorità. Dal 2026 questa fase comprende anche l’elencazione dei fornitori rilevanti NIS. Le informazioni non rimangono però “congelate” fino all’anno successivo: quando interviene una modifica, l’aggiornamento deve avvenire tempestivamente e comunque entro 14 giorni nei casi previsti.
Dal 1° maggio al 30 giugno si svolge invece l’elencazione e la categorizzazione delle attività e dei servizi. Attraverso questo processo il soggetto effettua un’analisi di impatto semplificata secondo il modello definito da ACN e ne comunica gli esiti all’Autorità.
Soggetti inseriti nel 2025: il termine non è uguale per tutti
Per i soggetti del primo ciclo gli obblighi di notifica degli incidenti significativi sono già operativi.
Il passaggio che richiede ora maggiore attenzione è il completamento delle misure di sicurezza di base. Per chi ha effettuato la registrazione entro il 28 febbraio 2025, il termine previsto dalla fase di prima applicazione è di 18 mesi dalla ricezione della comunicazione individuale di inserimento nell’elenco NIS.
Ottobre 2026 rappresenta quindi l’orizzonte nel quale ricadono molti dei primi termini, ma non esiste una data unica valida per tutti. Ogni organizzazione deve verificare la propria comunicazione ACN e calcolare il termine applicabile.
Questo punto è importante anche sul piano organizzativo. A ridosso della scadenza non basta controllare l’esistenza di policy e procedure: occorre verificare che le misure applicabili siano effettivamente attuate e che l’organizzazione disponga delle evidenze necessarie per dimostrarlo.
Soggetti inseriti nel 2026: preparare ora il 2027
Per i soggetti inseriti per la prima volta nell’elenco NIS nel 2026 il calendario è diverso:
- la designazione del Referente CSIRT può essere effettuata entro il 31 dicembre 2026;
- l’obbligo di notifica degli incidenti significativi di base decorre dal 1° gennaio 2027;
- le misure di sicurezza di base devono essere adottate entro il 31 luglio 2027.
Questi termini non trasformano il 2026 in un periodo di attesa. La capacità di rispettare una pre-notifica entro 24 ore e una notifica entro 72 ore richiede che ruoli, escalation, raccolta delle informazioni e canali decisionali siano già stati definiti prima dell’avvio dell’obbligo.
Gli ultimi chiarimenti ACN completano il quadro
Il Vademecum si inserisce in una serie di chiarimenti pubblicati da ACN nel corso del 2026.
Le FAQ sugli organi di amministrazione e direttivi hanno chiarito la distinzione tra le decisioni che devono rimanere al vertice e le attività operative che possono essere affidate alle strutture competenti. Le FAQ sul monitoraggio, sulla vigilanza e sull’esecuzione hanno reso più concreto il modo in cui ACN può verificare la conformità dei soggetti NIS. I chiarimenti sulle misure di sicurezza della supply chain hanno inoltre precisato che i requisiti da trasferire ai fornitori devono derivare da una valutazione del rischio della specifica fornitura e non da una clausola standard applicata indistintamente.
Il filo comune è sempre più evidente: la conformità NIS non coincide con una raccolta di documenti. Deve essere possibile ricostruire come l’organizzazione ha valutato il rischio, quali decisioni ha assunto, quali misure ha attuato, come verifica i fornitori, come gestisce gli incidenti e quali evidenze conserva.
Cosa verificare adesso
Per i soggetti inseriti nel 2025 la priorità è controllare la data della comunicazione ACN e lo stato effettivo di attuazione delle misure di sicurezza di base.
Per i soggetti inseriti nel 2026 occorre invece verificare la designazione del Referente CSIRT, preparare il processo di notifica che diventerà operativo dal 1° gennaio 2027 e programmare il completamento delle misure entro il 31 luglio.
In entrambi i casi il Vademecum è utile come calendario operativo. La verifica degli obblighi deve però continuare a essere svolta sul d.lgs. 138/2024, sulle Determinazioni ACN applicabili e sulle FAQ pertinenti al singolo adempimento.
Enrico Capirone – Presidente iSimply srl, DPO
Hai bisogno di supporto?
Consulta i nostri servizi per l’adeguamento alla NIS2.
Fonti e riferimenti
- Agenzia per la cybersicurezza nazionale – Vademecum NIS, settembre 2026;
- d.lgs. 4 settembre 2024, n. 138;
- Determinazione ACN n. 379907/2025;
- Determinazione ACN n. 127434/2026;
- Determinazione ACN n. 127437/2026;
- FAQ ACN NIS – Organi di amministrazione e direttivi;
- FAQ ACN NIS – Monitoraggio, vigilanza ed esecuzione;
- FAQ ACN NIS – Misure di sicurezza e notifica di incidenti.
Nota di trasparenza
Questo contenuto è stato predisposto con il supporto di strumenti di intelligenza artificiale ed è stato revisionato dalla redazione iSimply, che ne assume la responsabilità editoriale.