NIS2: il calendario definitivo. Registrazione a gennaio e misure obbligatorie entro il 2026

Il recepimento italiano della Direttiva impone ritmi serrati. Ecco la roadmap operativa per non farsi trovare impreparati tra obblighi di notifica e adeguamento degli assetti di sicurezza.

La corsa alla compliance NIS2 è ufficialmente iniziata. Con il recepimento in Italia (D.Lgs. 138/2024), le aziende rientranti nei perimetri dei soggetti “Essenziali” e “Importanti” devono segnare sul calendario alcune date critiche. Non si tratta più solo di teoria: l’Agenzia per la Cybersicurezza Nazionale (ACN) ha delineato un percorso a tappe forzate che parte già dalle prime settimane del nuovo anno.

Ecco tutto quello che devi sapere per pianificare la strategia di difesa e adeguamento della tua organizzazione.

1. Il primo step: la registrazione (Gennaio-Febbraio 2025)

La prima scadenza riguardava l’accreditamento sul portale dell’ACN:

• Entro il 17 gennaio 2025: Era la deadline per i fornitori di infrastrutture digitali critiche, operanti in ambiti come cloud computing, data center, DNS, TLD o fornitori di servizi gestiti (MSP/MSSP).

• Entro il 28 febbraio 2025: Era la scadenza per tutti gli altri soggetti (sia “Essenziali” che “Importanti”) che rientrano nell’ambito di applicazione del decreto.

2. La conferma dell’ACN (Aprile 2025)

Entro il mese di aprile 2025 l’ACN ha notificato ufficialmente alle aziende il loro inserimento negli elenchi NIS2. In questa fase sono stati resi noti i dettagli sugli obblighi di base specifici per la notifica degli incidenti e le misure di sicurezza minime da adottare.

3. Le scadenze operative del 2026

Se il 2025 è stato l’anno dell’identificazione e dell’assessment, il 2026 sarà l’anno dell’operatività e della enforcement.

• Gennaio 2026: Obbligo di notifica incidenti Da questo momento scatta il regime di trasparenza obbligatoria. Le aziende dovranno essere pronte a segnalare gli incidenti significativi con tempistiche molto strette (spesso entro 24 ore per la “early warning”). Questo implica avere già attivi SOC, procedure di Incident Response e canali di comunicazione testati con il CSIRT Italia.

• Ottobre 2026: Misure di sicurezza “live” È il termine ultimo per l’implementazione tecnica. Entro ottobre, tutte le misure di sicurezza di base (crittografia, gestione delle vulnerabilità, autenticazione a più fattori, backup sicuri, ecc.) dovranno essere non solo scritte su carta, ma pienamente operative ed efficaci.

Perché agire ora?

Molte aziende commettono l’errore di guardare alla data del 2026 come a un traguardo lontano. In realtà, adeguare processi, tecnologie e formare il personale (compreso il board, che ora ha responsabilità dirette) richiede mesi, se non anni, di lavoro.

La NIS2 non è una semplice checklist burocratica, ma un cambio di paradigma verso la resilienza operativa. Iniziare dal censimento di gennaio è l’unico modo per non dover rincorrere l’adeguamento con l’affanno, rischiando sanzioni che, ricordiamo, possono arrivare fino al 2% del fatturato globale.