Il 2026 rappresenta l’anno in cui il Decreto NIS 2 diventa pienamente operativo. La cosa non deve sorprendere ed essa costituisce il naturale precipitato dell’applicabilità della Direttiva madre.
Ma cosa cambia in concreto?
Dopo l’obbligatoria fase di registrazione, durante il 2025, i soggetti di cui agli allegati I, II, III e IV del Decreto NIS 2 si trovano a dover fare I conti con un ginepraio di scadenze e ingorghi di compliance non proprio facili e di pronta risoluzione.
Vediamo più nel dettaglio.
Gli obblighi già operativi dal 1° gennaio 2026
Dal primo gennaio sono attivi gli obblighi di notifica degli incidenti. I soggetti essenziali e importanti devono essere in grado di rilevare tempestivamente un incidente significativo e attivare un flusso strutturato verso il CSIRT Italia: pre-notifica entro 24 ore, notifica completa entro 72 ore e relazione finale entro 30 giorni.
Sul cosa sia un incidente significativo ce lo ribadiscono le ultime determine di ACN, le quali contengono altresì l’elencazione minima del tipo di incidente da tenere obbligatoriamente in considerazione (IS-1, 2 e 3 per soggetti important a cui si aggiunge IS-4 per gli essenziali).
Chiaramente questo non basta, serve non solo un framework gestorio/organizzativo in punto di incidenti, serve anche che il personale sappia cosa fare (ruoli, responsabilità, autorità e matrice comunicativa), che gli strumenti tecnici e di monitoraggio siano in piedi (e su questo gli obblighi di base sono perentori) e che infine sia chiara l’ownership e l’accountability del soggetto NIS.
Una gestione inadeguata del processo e quindi della notifica può generare non solo sanzioni aggiuntive oltre a quelle legate all’incidente stesso ma anche disfunzioni organizzative non proprio irrisorie.
Le scadenze NIS 2 da febbraio a ottobre 2026
28 febbraio 2026: registrazione annuale sulla piattaforma ACN
La finestra per la registrazione annuale, aperta dal 1° gennaio, si chiude il 28 febbraio 2026. Tutti i soggetti NIS 2, anche quelli già registrati nel 2025, devono presentare una nuova dichiarazione per confermare o aggiornare i dati. L’obiettivo è verificare la presenza del Punto di Contatto e del Referente CSIRT, nonché dei loro sostituti, l’aggiornamento delle informazioni anagrafiche e la corretta classificazione dei servizi rientranti a perimetro.
Febbraio – settembre 2026: linee guida settoriali ACN
Tra febbraio e settembre, l’Agenzia per la Cybersicurezza Nazionale pubblicherà linee guida specifiche per settore (cd. Obblighi di lungo periodi). Questi documenti tradurranno i requisiti generali del decreto NIS 2 e degli obblighi di base in ulteriori e più approfondite misure, per rafforzare la postura di sicurezza dei soggetti.
31 ottobre 2026: implementazione completa delle misure di sicurezza
Questa è la scadenza più critica. Entro il 31 ottobre 2026, le organizzazioni inserite nel perimetro NIS 2 devono dimostrare l’effettiva implementazione delle misure tecniche e organizzative previste. Non si tratta di banale paper compliance, ma di avere sotto controllo tutta la propria organizzazione, dai processi alle procedure, dalla formazione alla cultura, dall’infrastruttura alla tecnologia, dal fornitore al subfornitore.
Ma cosa rischia chi si fa cogliere impreparato? Questo lo vediamo nel prossimo episodio.