Le scadenze NIS2 in Italia, per coorte

I 18 mesi previsti dall'art. 42, comma 1, lettera c) del d.lgs. 138/2024 decorrono dalla comunicazione di inserimento nell'elenco che ogni soggetto riceve, non dall'entrata in vigore della norma.

Per la maggior parte dei soggetti iscritti nel 2025 quella comunicazione è arrivata fra aprile e maggio 2025: da qui il 31 ottobre 2026, che è la data più citata. Chi è stato inserito in elenco nel 2026 ha tempo fino al 31 luglio 2027(determinazione ACN 127434/2026).

Anche la notifica degli incidenti segue la coorte, e questo si legge meno spesso: per i soggetti in elenco dal 2025 l'obbligo è in vigore dal 1° gennaio 2026, mentre per quelli inseriti per la prima volta nel 2026 il termine per gli incidenti significativi di base è il 1° gennaio 2027 — sempre per la determinazione 127434/2026.

I due termini dell'art. 42, comma 1 del decreto non sono uguali: nove mesi dalla comunicazione per essere in grado di notificare gli incidenti, diciotto per le misure di sicurezza. Metà del tempo per la prima cosa.

E qui c'è una trappola di sequenza che il calendario da solo non mostra. Due delle quattro tipologie di incidente significativo di base — quella sulla violazione dei livelli di servizio e quella sull'accesso non autorizzato — non sono autoapplicative: rinviano ai livelli di servizio attesi e ai parametri che il soggetto deve definire ai sensi della misura DE.CM-01, che è una delle misure di sicurezza.

Le tipologie sono tre per i soggetti importanti (IS-1 perdita di riservatezza verso l'esterno, IS-2 perdita di integrità con impatto esterno, IS-3 violazione dei livelli di servizio) e quattro per gli essenziali, che aggiungono IS-4 sull'accesso non autorizzato o l'abuso di privilegi — l'unica che copre anche l'interno. Il fatto generatore è «avere evidenza»: non serve la certezza, né la fine di un'indagine.

Gli obblighi operativi non stanno nel decreto: li specifica l'ACN con tre determinazioni distinte, e ognuna copre un piano diverso. Chi guarda solo la scadenza delle misure ne perde due.

• Obblighi di base (art. 31, commi 1-2) — le misure di sicurezza e gli incidenti significativi di base, negli allegati 1-4. Adottata il 14 aprile 2025; la versione attualmente in vigore decorre dal 15 gennaio 2026.
• Categorizzazione (art. 30, comma 2) — il modello con cui elencare e categorizzare attività e servizi: dieci macro-aree, ognuna con una categoria di rilevanza pre-assegnata che il soggetto può disattendere motivatamente. Versione in vigore dal 1° maggio 2026. È l'obbligo che decide suquali sistemi le misure si applicano, quindi viene logicamente prima.
• Piattaforma NIS (art. 7, comma 6) — il portale ACN è il canale esclusivo: designazione del punto di contatto, censimento utenti, dichiarazione, categorizzazione e aggiornamento delle informazioni. Le comunicazioni fuori da lì non contano.

La distinzione fra soggetti essenziali e importanti cambia la severità della vigilanza e delle sanzioni, e il numero di misure di base da attuare (43 contro 37), non la sostanza degli obblighi tecnici.

Sulle sanzioni il d.lgs. 138/2024 prevede almeno 10 milioni di euro oppure il 2% del fatturato mondiale annuo per i soggetti essenziali, e almeno 7 milioni o l'1,4% per gli importanti — si applica l'importo maggiore. Gli organi di gestione approvano le misure e sovrintendono alla loro attuazione, e possono essere ritenuti responsabili; l'interdizione temporanea dalle funzioni dirigenziali, però, è prevista solo per i soggetti essenziali e solo quando le misure correttive imposte dall'ACN si rivelano inefficaci.

Una verifica esterna non produce conformità, e nessuno può produrla in due mesi: le misure di base includono governance, formazione, gestione degli incidenti e continuità operativa, che sono lavoro organizzativo interno. Quello che una verifica ricorrente dà, e che serve comunque, è l'evidenza tecnica datata sulla parte osservabile dall'esterno — più l'inventario da cui partire, che è il primo documento che manca a quasi tutti.