Scadenze NIS2: il calendario degli adempimenti ACN

La NIS2 non ha una sola scadenza, ha un calendario. Il recepimento italiano (D.Lgs. 138/2024) fissa la cornice, ma le date operative che contano per la tua azienda seguono il calendario dell'ACN, l'Agenzia per la Cybersicurezza Nazionale, e si distribuiscono nel tempo: prima ci si registra, poi l'Agenzia comunica chi rientra, infine scattano gli obblighi, in fasi. Questa pagina mette in fila cosa scade e quando, con un avvertimento onesto in apertura: le date puntuali vanno sempre verificate sul sito dell'ACN, perché sono definite e aggiornate dalle sue determinazioni.

Da dove parte il calendario: la NIS2 in Italia

La NIS2 è la direttiva europea sulla cybersicurezza, recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Da quella data la norma esiste nell'ordinamento, ma non tutti gli obblighi sono scattati insieme, nello stesso giorno. È un punto che genera parecchia confusione: essere "in vigore" non significa che tutto sia immediatamente esigibile.

La direttiva ha assegnato all'ACN il ruolo di autorità nazionale competente, e con esso il compito di scandire le tappe attuative attraverso proprie determinazioni. Per questo il calendario NIS2 non è scolpito una volta per tutte in un articolo di legge, ma vive nei provvedimenti dell'Agenzia, che ne fissano termini e modalità. Se ti serve prima capire il perimetro e chi rientra, resta utile la guida su a chi si applica la NIS2; qui ci concentriamo sul tempo.

La logica del calendario: registrazione, elenco, obblighi

Prima di guardare le singole date conviene fissare la sequenza, perché è quella a dare senso a tutto il resto. Il calendario NIS2 segue tre passaggi in ordine:

1. Registrazione: i soggetti che rientrano si iscrivono sulla piattaforma dell'ACN e dichiarano i propri dati.
2. Elenco: l'ACN elabora e comunica l'elenco dei soggetti essenziali e importanti, cioè conferma ufficialmente chi è dentro e in quale categoria.
3. Obblighi: dopo la registrazione e la comunicazione, gli adempimenti veri e propri entrano in vigore in modo scaglionato, non tutti nello stesso momento.

Questa progressione spiega perché non ha senso cercare "la" data della NIS2: ci sono più scadenze, legate fra loro, che si attivano in cascata. Chi salta il primo passaggio non fa nemmeno in tempo a preoccuparsi dei successivi, perché resta fuori dal meccanismo che li fa partire.

Primo passaggio: la finestra di registrazione sulla piattaforma ACN

Il punto di partenza per chi rientra è la registrazione sulla piattaforma dell'ACN. Secondo il calendario ACN, per il primo anno di applicazione la finestra si è collocata tra dicembre 2024 e la fine di febbraio 2025; a regime, la registrazione si rinnova entro una scadenza annuale ricorrente, con l'obbligo di tenere aggiornati i dati dichiarati.

Due indicazioni pratiche. La prima: la registrazione non è un adempimento che si fa una volta e si dimentica, perché l'aggiornamento periodico dei dati è esso stesso parte dell'obbligo. La seconda: le date precise della finestra e le modalità sono quelle pubblicate dall'ACN, quindi vanno verificate direttamente sul sito dell'Agenzia prima di ogni scadenza. Sul significato della registrazione e sul ruolo dell'Agenzia abbiamo un approfondimento dedicato: NIS2 e ACN, ruolo e obblighi.

Secondo passaggio: l'elenco dei soggetti essenziali e importanti

Sulla base delle registrazioni, l'ACN redige e comunica l'elenco dei soggetti essenziali e importanti. È un momento che conta più di quanto sembri, per due ragioni. La categoria in cui si viene inseriti determina l'intensità degli obblighi e della vigilanza: i soggetti essenziali hanno un regime più stringente rispetto ai soggetti importanti. E la comunicazione dell'inserimento in elenco fa da riferimento per il conteggio dei termini successivi.

In pratica, il momento in cui l'Agenzia conferma "dentro, categoria X" è anche il momento in cui l'orologio degli adempimenti inizia a correre sul serio. Da lì in avanti conviene lavorare a ritroso, partendo dalle scadenze e contando indietro i mesi necessari.

Terzo passaggio: gli obblighi scaglionati

Gli obblighi NIS2 non scattano in blocco. Secondo i termini fissati dalle determinazioni dell'ACN, si applicano in modo scaglionato dopo la registrazione e la comunicazione dell'elenco, con una priorità precisa:

• Prima gli obblighi di notifica degli incidenti, indicativamente entro 9 mesi dalla comunicazione di inserimento nell'elenco: la capacità di segnalare tempestivamente un incidente significativo è tra i primi adempimenti a diventare esigibile.
• Poi le misure di sicurezza di base, indicativamente entro 18 mesi dalla stessa comunicazione: le misure tecniche e organizzative di gestione del rischio seguono, con un termine successivo.

La logica è ragionevole: prima si chiede di saper riconoscere e comunicare un problema, poi di aver messo a terra l'intero impianto di gestione del rischio. Per l'azienda, però, c'è una conseguenza operativa da non sottovalutare: le due cose vanno preparate in parallelo, perché la prima scadenza arriva mentre la seconda è ancora in lavorazione.

Qualche riferimento concreto aiuta a inquadrare l'ordine di grandezza. Per la prima coorte di soggetti, inseriti in elenco nel 2025, la Determinazione ACN 379907/2025 colloca l'operatività degli obblighi di notifica intorno a metà gennaio 2026 e il termine per le misure di sicurezza di base al 31 ottobre 2026. Sono le date della prima ondata: per le coorti successive i termini decorrono dalla rispettiva comunicazione di inserimento, quindi vanno verificati caso per caso sul sito dell'ACN.

Le finestre di notifica, il dettaglio che stringe i tempi

Quando gli obblighi di notifica diventano esigibili, i tempi sono stretti. La normativa prevede, verso il CSIRT Italia presso l'ACN, un preallarme entro 24 ore, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese. Sono finestre che si reggono solo su processi di rilevamento e risposta già pronti prima dell'incidente: non si notifica in 24 ore ciò di cui ci si accorge dopo settimane. Il tema, con tempi, criteri e referente, è trattato per esteso in notifica degli incidenti NIS2.

Come non arrivare impreparati

Il calendario NIS2 premia chi parte presto, per un motivo strutturale: tra la decisione di adottare una misura e la sua messa a terra documentata passano mesi, non giorni. Alcuni criteri pratici per governare il tempo:

• Registrati e resta iscritto. Verifica la finestra sul sito dell'ACN, iscriviti e metti in agenda l'aggiornamento periodico dei dati. È il prerequisito di tutto il resto.
• Pianifica a ritroso. Dalla data in cui gli obblighi diventano esigibili, conta indietro i mesi necessari per rendere operative e documentate le misure.
• Tratta notifica e misure in parallelo. La capacità di accorgersi e segnalare un incidente va costruita subito, senza aspettare che sia pronto tutto l'impianto di gestione del rischio.
• Documenta man mano. Ogni misura adottata va accompagnata da evidenze: sono ciò che rende dimostrabile la conformità davanti all'Agenzia.

Per trasformare questi principi in un percorso ordinato, dalla misurazione dei gap all'esecuzione, la roadmap di adeguamento NIS2 mette in sequenza le fasi. E per il quadro d'insieme su norma, perimetro e sanzioni resta il riferimento la guida completa alla NIS2.

Il calendario visto dall'azienda: la sequenza in concreto

Messa in fila, la logica temporale della NIS2 assume la forma di un percorso abbastanza lineare, utile da tenere a mente come mappa. Prima l'azienda verifica di rientrare nel perimetro e in quale categoria. Poi, nella finestra indicata dal calendario ACN, si registra sulla piattaforma dell'Agenzia e carica i propri dati. L'ACN elabora le registrazioni e comunica l'inserimento nell'elenco dei soggetti essenziali o importanti. Da quella comunicazione decorrono i termini: prima diventa esigibile la capacità di notificare gli incidenti, poi il termine per le misure di sicurezza di base.

Il punto delicato è tutto qui: molte aziende leggono questa sequenza come una fila di eventi lontani, e rimandano. In realtà i mesi tra un passaggio e l'altro servono per lavorare, non per aspettare. Chi usa la finestra di registrazione anche per avviare il gap assessment arriva alla scadenza delle misure con il grosso del lavoro già fatto; chi si registra e basta si ritrova a rincorrere quando i termini stringono, con la differenza che a quel punto le settimane a disposizione sono contate.

Tre malintesi frequenti sul calendario NIS2

Nel lavoro con le aziende tornano sempre gli stessi equivoci sul tempo della NIS2. Vale la pena smontarli:

• "È tutto rimandato, non c'è fretta." Lo scaglionamento non è un rinvio: alcuni obblighi maturano prima di altri. Trattare l'intero pacchetto come lontano nel tempo è il modo più comune per farsi trovare scoperti sul primo termine.
• "Basta registrarsi e sono a posto." La registrazione è la condizione d'ingresso, non l'adempimento finale: apre il conteggio degli obblighi, non lo chiude.
• "Le date le trovo una volta e valgono per sempre." I termini puntuali derivano dalle determinazioni dell'ACN e possono essere aggiornati: vanno verificati alla fonte, non dati per acquisiti da un articolo letto mesi prima, questo compreso.

La sintesi è semplice: la NIS2 non è una scadenza unica ma una sequenza, registrazione, elenco e obblighi scaglionati, i cui termini puntuali sono definiti dalle determinazioni dell'ACN e vanno verificati alla fonte. Chi tiene d'occhio il calendario e lavora a ritroso arriva pronto; chi aspetta "la data" si accorge tardi che le date erano più d'una.

AmagisTech affianca le aziende mid-market italiane nel mettere a terra gli adempimenti NIS2 nei tempi giusti: dalla lettura del perimetro al presidio di rilevamento e risposta continuo, fino alla documentazione pronta per il vertice. Puoi vedere come lavoriamo nella pagina dei servizi NIS2.