NIS2, la scadenza delle misure di base si conta dalla tua comunicazione ACN

Scadenza misure di base NIS2: ti hanno detto «ottobre 2026», ma prima di usarlo devi verificare un’altra data: quella in cui hai ricevuto la comunicazione con cui l’ACN ti ha inserito nell’elenco dei soggetti NIS, e il regime che ne deriva. Per chi l’ha ricevuta nella primavera del 2025 il termine è arrivato o sta arrivando in questi giorni; per chi l’ha ricevuta più tardi, no.

Una precisazione sul perimetro: questo articolo riguarda i soggetti che hanno ricevuto la comunicazione di inserimento nell’elenco, importanti o essenziali. Se non l’hai ricevuta, la NIS2 può comunque arrivare attraverso i contratti dei tuoi clienti, ma è un altro discorso e qui non lo tratto.

Scadenza misure di base NIS2: come si conta

Il D.Lgs. 138/2024, all’articolo 42, comma 1, lettera c), ha stabilito, per la fase di prima applicazione (fino al 31 dicembre 2025, che l’ACN legge come riferita a chi è iscritto nell’elenco entro quella data), termini che partono dalla comunicazione individuale dell’ACN e non da una data uguale per tutti:

• 18 mesi per gli obblighi degli articoli 23, 24 e 29, tra cui la governance degli organi di amministrazione e le misure di gestione del rischio;
• 9 mesi per la notifica degli incidenti significativi (articolo 25).

Le misure di base sono quelle della Determinazione ACN n. 379907/2025.

L’ACN ha cominciato a inviare le comunicazioni dal 12 aprile 2025. Per i primi destinatari, 18 mesi portano a metà ottobre 2026: è un mio conteggio dal 12 aprile 2025, non una data indicata dall’ACN: verifica la data di ricezione della tua comunicazione. Per questa stessa coorte la notifica degli incidenti, con i suoi 9 mesi, è operativa da gennaio 2026.

Chi viene inserito nell’elenco per la prima volta nel 2026 ha termini diversi: misure di base entro il 31 luglio 2027 e notifica degli incidenti dal 1° gennaio 2027 (Determinazione ACN n. 127434/2026). Per questo non esiste «la scadenza NIS2»: esiste la tua.

Scadenza misure di base NIS2: come trovi la tua data

La data che conta è quella in cui hai ricevuto la comunicazione di inserimento nell’elenco. Cercala nella PEC dell’organizzazione e tra i messaggi arrivati a chi è indicato come punto di contatto sulla piattaforma ACN. Capita che la comunicazione sia rimasta in una casella e non sia mai arrivata alla direzione: se è il tuo caso, è il momento di inoltrarla.

Per la tua scadenza misure di base NIS2, se rientri nella prima applicazione del 2025, conta 18 mesi da quel giorno e scrivi la data dove la direzione la vede. Se sei stato inserito per la prima volta nel 2026, valgono i termini specifici indicati sopra.

Un esempio illustrativo, non un caso reale: se la comunicazione fosse arrivata il 15 giugno 2025, il termine per la notifica degli incidenti sarebbe maturato il 15 marzo 2026 (9 mesi, per iniziare ad adempiere agli obblighi di notifica) e quello per le misure di base e per gli obblighi degli organi di amministrazione scade il 15 dicembre 2026 (18 mesi).

Con una comunicazione di settembre 2025 si arriverebbe a marzo 2027. Due aziende dello stesso settore, nello stesso distretto, possono quindi avere scadenze lontane mesi. Se non sei sicuro di quale data valga per te, non allungare il termine a tuo favore: chiedi conferma all’ACN prima di fare assegnamento su una scadenza più lontana.

Importante o essenziale: quale allegato ti riguarda

Le misure di base cambiano con la qualifica del soggetto. La Determinazione ACN n. 379907/2025 prevede 37 misure per i soggetti importanti (Allegato 1) e 43 per i soggetti essenziali (Allegato 2). Se non sai in quale categoria ricadi, chiedilo a chi ha seguito la registrazione sul portale: è la seconda cosa da scoprire, dopo la data.

Adottare le misure vuol dire poterlo dimostrare

La scadenza misure di base NIS2 dei 18 mesi, in sostanza, non chiede di avere «avviato un percorso»: chiede che le misure di base siano adottate. Le misure sono formulate come requisiti (87 per i soggetti importanti, 116 per gli essenziali) e per ciascuno raccogli le evidenze coerenti con ciò che richiede: per esempio un’approvazione, l’assegnazione di una responsabilità, la traccia delle attività svolte.

Una politica scritta e mai applicata non regge a questa domanda. Una politica applicata, con le tracce che lo dimostrano, sì. Pensa a quando un cliente capofiliera, un assicuratore o una banca ti chiederà di mostrare lo stato della tua sicurezza informatica: la risposta più solida è un fascicolo ordinato, con date e firme, non una dichiarazione a voce.

Cosa non si può delegare: i documenti che approva l’organo di amministrazione

Qui il lavoro non è solo dell’IT. Parlo di organi di amministrazione e direttivi, come li chiama l’articolo 23. Le FAQ dell’ACN (sezione «Ruoli e procedure», punti ODA.8–ODA.11) chiariscono che gli organi di amministrazione possono delegare lo svolgimento delle attività, ma non l’approvazione degli undici documenti che le misure di base richiedono espressamente (l’elenco è anche nell’appendice C della guida alla lettura delle specifiche di base):

1. l’organizzazione per la sicurezza informatica;
2. le politiche di sicurezza informatica;
3. la valutazione del rischio;
4. il piano di trattamento del rischio;
5. il piano di gestione delle vulnerabilità;
6. il piano di adeguamento;
7. il piano di continuità operativa;
8. il piano di ripristino in caso di disastro;
9. il piano di gestione delle crisi;
10. il piano di formazione;
11. il piano per la gestione degli incidenti di sicurezza informatica.

Ciò che l’organo approva deve riflettere i requisiti almeno a livello di indirizzo e di pianificazione strategica: il dettaglio tecnico sta nelle procedure e nelle istruzioni operative, e l’approvazione non sostituisce l’attuazione delle misure. La delega delle attività, inoltre, non esclude la responsabilità degli organi di amministrazione e direttivi; secondo le FAQ, per le società restano ferme le regole degli articoli 2381 e 2392 del codice civile, e questo obbligo non si trasferisce a singoli componenti né ad altre funzioni. Il quadro più ampio, per gli amministratori, è quello degli adeguati assetti organizzativi.

I fornitori: contano i prossimi rinnovi

Anche la scadenza misure di base NIS2 tocca i contratti con i fornitori. Le FAQ dell’ACN (MSB.12–MSB.16) chiariscono che i requisiti di sicurezza vanno inseriti, salvo motivate e documentate ragioni normative o tecniche, nei contratti stipulati, rinnovati o prorogati a partire dal termine per l’adozione delle misure di base: non c’è l’obbligo di adeguare tutti i contratti già in corso, né di inserire quei requisiti in ogni fornitura, né di riprodurli parola per parola.

Per decidere quali fornitori e quali requisiti, serve la valutazione del rischio che ti ho appena ricordato tra i documenti dell’organo di amministrazione: anche per questo non è un lavoro che si chiude con l’IT. Non dover modificare i contratti in corso, inoltre, non elimina la valutazione e la gestione del rischio delle forniture.

Tre verifiche da fare questa settimana

1. Trovo la comunicazione e leggo la data. Se non la trovo, so a chi chiederla.
2. So se sono soggetto importante o essenziale, quindi quale allegato mi riguarda.
3. Ho le prove di quello che dico di aver fatto: per esempio i documenti approvati con la data di approvazione, le responsabilità assegnate, le tracce delle attività svolte. Il registro delle azioni è un mio consiglio organizzativo, non un modello imposto dalla legge.

Se la tua scadenza misure di base NIS2 è già passata e mancano delle prove, un piano approvato non sana automaticamente la mancata adozione delle misure già dovute e deve rispettare le condizioni e le tempistiche consentite dalle specifiche applicabili; è comunque il documento da cui si vede che cosa manca e quando sarà fatto.

Il calendario annuale corre già durante l’adeguamento

Il termine per le misure di base non sospende gli altri adempimenti. Il decreto e le determinazioni dell’ACN prevedono finestre che tornano ogni anno:

• dal 1° gennaio al 28 febbraio: registrazione o aggiornamento della registrazione;
• dal 15 aprile al 31 maggio: aggiornamento annuale delle informazioni, compreso l’elenco dei fornitori rilevanti;
• dal 1° maggio al 30 giugno: elencazione e categorizzazione delle attività e dei servizi.

Meglio avere un calendario interno, distinto per ciascun soggetto quando hai più società, e con dei sostituti indicati per i ruoli operativi. Se ti interessa come la NIS2 si tiene insieme con gli altri presìdi, ne ho scritto in Modello 231, Cybersecurity e AI: una governance integrata.

Se la direzione ti chiedesse oggi la tua data e le tue prove, le avresti?

Se vuoi confrontare la tua data e le tue evidenze con una checklist di una pagina, scrivimi.

Testo e immagini realizzati con il supporto di strumenti di intelligenza artificiale, rivisti e approvati personalmente prima della pubblicazione.

Fonti e riferimenti: D.Lgs. 4 settembre 2024, n. 138, artt. 7, 23, 30 e 42, comma 1, lettera c); Determinazione ACN n. 379907/2025 (specifiche di base, Allegati 1 e 2); Determinazione ACN n. 127434/2026 (soggetti inseriti nel 2026); Determinazione ACN n. 127437/2026 (adempimenti sulla piattaforma); FAQ ACN sulla disciplina NIS, sezioni «Ruoli e procedure» (ODA.8–ODA.11) e «Misure di sicurezza e notifica di incidenti» (MSB.12–MSB.16). Gli obblighi derivano dal decreto e dagli atti attuativi; le FAQ dell’ACN ne chiariscono l’applicazione e le richiamo come indicazioni interpretative, non come disposizioni di legge.