Chi cerca “scadenza NIS2” trova quasi sempre una data sola, e se la annota. È un modo di leggere la normativa che porta fuori strada, perché il decreto NIS — il d.lgs. 138/2024, pubblicato in Gazzetta Ufficiale Serie Generale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024 — non produce una scadenza. Produce un calendario, che si ripete ogni anno, e accanto al calendario una serie di termini che non stanno nel calendario di nessuno.
Le FAQ NIS pubblicate dall’Agenzia per la Cybersicurezza Nazionale sono il posto in cui questa doppia struttura si vede in chiaro, e vale la pena ricostruirla: per nostra esperienza diretta con le PMI, la maggior parte delle domande nasce dal confonderne i due pezzi.
Due orologi che girano insieme
Il primo orologio è quello del calendario. Fissa finestre e termini ripetuti “di ogni anno”: la registrazione sulla piattaforma, la formazione dell’elenco da parte di ACN, la notifica dell’esito, l’aggiornamento annuale delle informazioni. Sono date di sistema, che non cambiano da azienda ad azienda — con le eccezioni che la fonte scrive, come il termine del 17 gennaio 2025 previsto per un gruppo di fornitori digitali. Anche l’elencazione e categorizzazione delle attività e dei servizi è una finestra di calendario, ma il suo avvio dipende dal singolo soggetto: ci torniamo più avanti.
Il secondo orologio è quello della coorte di ingresso. I termini per gli obblighi sostanziali — notificare gli incidenti significativi, adottare le misure di sicurezza di base — non dipendono da una data unica, ma dall’anno solare in cui il soggetto è stato inserito per la prima volta nell’elenco. Per chi è entrato nel 2025 si contano nove e diciotto mesi dalla ricezione della comunicazione di inserimento; per chi è entrato per la prima volta nel 2026 la fonte indica invece due date fisse, il 1° gennaio 2027 e il 31 luglio 2027. Per gli anni successivi al 2026 la fonte tace.
Va detto subito che la decorrenza “individuale” della coorte 2025 è in pratica omogenea: le FAQ collocano l’invio delle comunicazioni a cavallo del 12 e 13 aprile 2025. Più che due orologi che segnano ore diverse, sono due modi di fissare un termine: uno per data di calendario, l’altro per coorte. Il termine esatto, però, resta quello che ciascuno legge sulla propria comunicazione: la fonte non pubblica una data derivata, e ricavarla per somma non è un esercizio che conviene fare qui.
L’errore più comune consiste nel prendere una data del primo orologio e trattarla come se fosse del secondo: leggere una scadenza generica, verificare di essere dentro, e concludere di essere in regola. Oppure il contrario: sentirsi in ritardo su un termine che, per quel soggetto, non ha ancora iniziato a decorrere.
Le finestre che tornano ogni anno
Le date di base di questo quadro sono già nella guida operativa citata in apertura. Qui le rimettiamo in fila per aggiungere i due passaggi che lì mancano — il 31 marzo e il mese di aprile, che sono adempimenti di ACN e non vostri — e per distinguere il 15 aprile dal 31 maggio.
| Periodo | Adempimento | Riferimento nelle FAQ |
|---|---|---|
| 1° gennaio – 28 febbraio | Registrazione sulla piattaforma ACN | articolo 7, comma 1, del decreto NIS |
| entro il 31 marzo di ogni anno | ACN redige l’elenco dei soggetti essenziali o importanti | FAQ Registrazione ed FAQ Profili generali |
| mese di aprile | ACN notifica al domicilio digitale di tutti i soggetti registrati se rientrano, o meno, nell’elenco | FAQ Registrazione |
| 15 aprile – 31 maggio | Aggiornamento annuale delle informazioni (termine: 31 maggio) | articolo 16 della Determinazione ACN 379887/2025 |
| 1° maggio – 30 giugno | Elencazione e categorizzazione di attività e servizi, a partire dalla ricezione della prima comunicazione di cui all’articolo 7, comma 3, lettera a) | articolo 30 del decreto NIS; Determina 155238/2026 |
Registrazione: dal 1° gennaio al 28 febbraio
Le FAQ sulla registrazione sono esplicite: i soggetti che si riconoscono in uno dei settori, sottosettori o tipologie previsti dal decreto NIS devono registrarsi sulla piattaforma di ACN dal 1° gennaio al 28 febbraio di ogni anno successivo alla data di entrata in vigore del decreto. Le FAQ di carattere generale citano lo stesso obbligo nella forma “entro il 28 febbraio di ogni anno”. La finestra si riapre quindi ogni anno, ma per chi si riconosce nell’ambito di applicazione e non si è ancora registrato: chi è già nell’elenco dei soggetti NIS non ripete la registrazione, e ha un adempimento annuale diverso — l’aggiornamento delle informazioni, dal 15 aprile al 31 maggio, di cui più avanti.
Per un gruppo di fornitori digitali — dai servizi DNS al cloud computing, dai data center ai servizi gestiti, fino ai mercati online e alle piattaforme di social network — la fonte indica un obbligo di registrazione entro il 17 gennaio 2025.
31 marzo e mese di aprile: l’elenco e la sua notifica
La registrazione è sottoposta a una fase di analisi. Entro il 31 marzo di ogni anno ACN, come Autorità nazionale competente NIS, redige l’elenco dei soggetti essenziali o importanti.
Il passaggio operativamente più importante è quello successivo: nel mese di aprile l’Autorità notifica al domicilio digitale di tutti i soggetti registrati se rientrano, o meno, nell’elenco. La notifica arriva anche a chi non rientra. Chi si registra e poi non riceve nulla non deve dedurre di essere fuori ambito: deve cercare la PEC.
15 aprile – 31 maggio: l’aggiornamento annuale
Qui la fonte ha due formulazioni. La FAQ intitolata proprio ai termini indica che l’aggiornamento annuale delle informazioni di cui all’articolo 7, commi 4 e 5, del decreto NIS deve essere effettuato entro il 31 maggio di ogni anno. Un’altra FAQ della stessa pagina precisa che l’articolo 16 della Determinazione ACN 379887/2025 disciplina le modalità con le quali i soggetti NIS svolgono l’aggiornamento dal 15 aprile al 31 maggio di ogni anno. Il termine che conta per il calendario aziendale è il 31 maggio; il 15 aprile è il riferimento con cui la determinazione delimita il periodo.
L’aggiornamento non è una formalità anagrafica. Le FAQ elencano i passaggi previsti: invitare il sostituto punto di contatto, verificare i dati anagrafici e di contatto del soggetto, elencare i componenti degli organi di amministrazione e direttivi, invitare se ritenuto opportuno la segreteria, elencare i servizi in ambito NIS offerti nell’UE e gli Stati membri in cui sono erogati, elencare gli indirizzi IP statici pubblici e i nomi di dominio in uso, elencare gli accordi di condivisione delle informazioni. Il terzo punto merita attenzione: i componenti degli organi di amministrazione e direttivi vanno elencati quali persone fisiche responsabili ai sensi dell’articolo 38, comma 5, del decreto NIS.
Il contenuto della campagna, inoltre, non è stato identico ogni anno. Sugli accordi di condivisione le FAQ — che restano scritte al presente su campagne ormai concluse — prevedevano per l’aggiornamento annuale 2025 la sola notifica degli accordi vigenti e sottoscritti successivamente all’entrata in vigore del decreto, e rinviavano gli accordi previgenti all’aggiornamento annuale 2026, per consentire ai soggetti NIS una completa analisi ed eventuale adeguamento alla nuova disciplina. Al 27 agosto 2026 la finestra 2026 si è chiusa da tre mesi, il 31 maggio: chi non ha conferito in quella sede gli accordi previgenti non trova nelle FAQ una regola di recupero, e le pagine non espongono una data di ultimo aggiornamento che permetta di capire a quando risalga il testo.
1° maggio – 30 giugno: elencazione e categorizzazione
L’articolo 30 del decreto NIS impone l’elencazione e categorizzazione di tutte le attività svolte e dei servizi erogati. Le FAQ dedicate collocano l’attività dal 1° maggio al 30 giugno di ogni anno, a partire dalla ricezione della prima comunicazione di cui all’articolo 7, comma 3, lettera a): la finestra è di calendario, la sua prima esecuzione è agganciata all’orologio individuale. È questo, ai fini del calendario, il punto che conta — e le FAQ non indicano un anno di prima applicazione uniforme, che non è corretto ricavare per deduzione.
La regola dei quattordici giorni
Accanto alle finestre esiste un termine che non ha stagione. Dopo l’aggiornamento annuale, le organizzazioni sono tenute a notificare qualsiasi modifica alle informazioni trasmesse tempestivamente e, in ogni caso, entro quattordici giorni dalla data di modifica, ai sensi dell’articolo 7, comma 7, del decreto NIS. Un cambio di punto di contatto a settembre non aspetta il 31 maggio successivo.
È il tipo di obbligo che si perde nelle riorganizzazioni: il punto di contatto lascia l’azienda, nessuno collega l’evento a un adempimento, e la piattaforma resta con un nominativo che non risponde più. Vale la pena inserire la verifica nella procedura di uscita del personale, insieme alla disattivazione delle utenze.
I termini individuali: nove mesi e diciotto mesi
Qui l’orologio cambia. Le FAQ costruiscono due binari a seconda dell’anno solare di primo inserimento nell’elenco.
| Obbligo | Inseriti nel corso dell’anno solare 2025 | Inseriti per la prima volta nel corso dell’anno solare 2026 |
|---|---|---|
| Notifica degli incidenti significativi di base (art. 25) | il termine è fissato in nove mesi dalla ricezione della comunicazione di inserimento | il termine decorre dal 1° gennaio 2027 |
| Adozione delle misure di sicurezza di base (artt. 23 e 24) | il termine è fissato in diciotto mesi dalla ricezione della comunicazione di inserimento | il termine scade il 31 luglio 2027 |
Le due formulazioni per i soggetti 2026 non sono simmetriche, e non vanno trattate come se lo fossero: per le misure la fonte indica una scadenza, per la notifica una decorrenza e nessuna data finale. E per chi venisse inserito nell’elenco in anni successivi al 2026 il doppio binario non si pronuncia: la regola dei nove e diciotto mesi è formulata per l’anno solare 2025.
Il perché di questa costruzione sta nella fase di prima applicazione disciplinata dall’articolo 42 del decreto NIS, conclusa il 31 dicembre 2025: da lì la necessità di dare attuazione al principio di proporzionalità definendo termini e tempi graduali di implementazione, e quindi termini diversi a seconda dell’anno di primo inserimento. Le misure che i soggetti adottano in quella fase sono le cosiddette “misure di sicurezza di base”, definite dalla Determinazione ACN 379907 del 19 dicembre 2025: allegato 1 per i soggetti importanti, allegato 2 per i soggetti essenziali. Le misure a lungo termine — il passaggio sta nelle FAQ sulla categorizzazione, non in quelle sulle misure di sicurezza — saranno stabilite con successive determinazioni entro la fine del 2026, e in quella sede verrà stabilito anche l’arco temporale entro il quale l’attività dovrà essere completata. Fine 2026 è quindi un termine per emanare, non per adeguarsi: l’arco temporale di realizzazione non esiste ancora. Alle FAQ consultate il 27 agosto 2026 quelle determinazioni non risultano adottate.
Quanto alla notifica in sé, le FAQ fissano una pre-notifica al CSIRT Italia senza ingiustificato ritardo e comunque non oltre 24 ore da quando si è venuti a conoscenza dell’incidente, seguita dalla notifica completa non oltre 72 ore a seguito della pre-notifica — non dalla conoscenza dell’incidente. Abbiamo dedicato a questo passaggio un runbook operativo, perché è la parte che va provata prima di servire.
Il documento da recuperare
Per la coorte 2025 tutto il conteggio dipende da un documento e, nella nostra esperienza, in molte aziende quel documento non è nelle mani di nessuno. È la comunicazione prevista dall’articolo 7, comma 3: le FAQ collocano l’invio delle comunicazioni a cavallo del 12 e 13 aprile 2025, ai domicili digitali di tutte le organizzazioni che avevano svolto la procedura di registrazione completando il censimento del punto di contatto e trasmettendo la dichiarazione.
Da quella data dipendono, in cascata: i nove mesi per la notifica e i diciotto per le misure; l’appartenenza alla platea che deve adottare le misure di sicurezza di base, che le FAQ identificano in tutti i soggetti che hanno ricevuto la comunicazione di inserimento nell’elenco nazionale dei soggetti NIS; la visibilità del servizio di aggiornamento annuale sul Portale dei Servizi ACN, riservato agli utenti associati alle organizzazioni che hanno ricevuto quella comunicazione; l’avvio della prima finestra di elencazione e categorizzazione. Persino la regola sui contratti di fornitura ci si aggancia: le FAQ chiariscono che non è obbligatorio adeguare i contratti già in essere, e che l’inserimento dei requisiti di sicurezza è obbligatorio — salve motivate e documentate ragioni normative o tecniche — per i contratti stipulati, rinnovati o prorogati a partire dal termine per l’adozione delle misure di sicurezza.
La data di quella PEC è il perno del conteggio per chi è entrato nell’elenco nel 2025: finché resta ignota, i due termini non sono calcolabili e ogni scadenza pubblica resta un dato di qualcun altro. Chi è entrato per la prima volta nel 2026 non ha questo problema: per lui la fonte indica due date fisse. Una volta recuperata, l’elenco delle finestre diventa il piano di una singola azienda.
Se non la trovate, l’ordine delle operazioni è indicato dalle FAQ: prima una verifica approfondita delle mail ricevute al domicilio digitale, poi la segnalazione tramite Service Desk. I soggetti per i quali non è stato possibile accertare la ricezione telematica della PEC sono stati contattati direttamente dall’Autorità. E se il problema è a monte, cioè la registrazione non è mai stata fatta, dal 14 aprile 2025 è stato ri-attivato il servizio ACN/Registrazione sul portale dei servizi per consentire la cosiddetta registrazione tardiva.
Un’ultima osservazione, che tolga l’alibi più diffuso. Le FAQ affermano che le amministrazioni e i soggetti pubblici o privati che rientrano nell’ambito di applicazione del d.lgs. 138/2024 sono soggetti NIS a prescindere dalla registrazione. E sull’aggiornamento annuale il punto è scritto senza margini: ai sensi dell’articolo 38, commi 10 e 13, la mancata registrazione non solleva dall’obbligo di aggiornamento annuale. Non registrarsi non ferma il calendario: lo rende soltanto invisibile a chi dovrebbe seguirlo.
Cosa mettere a calendario
Tre voci ricorrenti sono adempimenti vostri: la registrazione, per chi deve ancora farla, dal 1° gennaio al 28 febbraio; l’aggiornamento annuale delle informazioni, entro il 31 maggio; l’elencazione e categorizzazione di attività e servizi, dal 1° maggio al 30 giugno. Due sono date da attendere, non da rispettare: il 31 marzo, quando ACN redige l’elenco, e il mese di aprile, quando ne notifica l’esito a tutti i registrati. Una sesta voce non ha stagione ed è legata al ciclo di vita del personale: la regola dei quattordici giorni. Ognuna vuole un responsabile nominato, non una casella funzionale. Se il perimetro non è ancora chiaro — chi rientra, come essenziale o come importante — la nostra guida operativa al decreto e l’articolo sulle misure di base coprono i due passaggi a monte.
Domande frequenti
Quando si apre la finestra di registrazione sulla piattaforma ACN?
Le FAQ NIS di ACN indicano che i soggetti che si riconoscono in uno dei settori, sottosettori o tipologie previsti dal decreto NIS devono registrarsi sulla piattaforma di ACN dal 1° gennaio al 28 febbraio di ogni anno successivo alla data di entrata in vigore del decreto. Le FAQ di carattere generale citano lo stesso adempimento come registrazione entro il 28 febbraio di ogni anno, con base normativa nell’articolo 7, comma 1, del decreto NIS.
Entro quando va fatto l’aggiornamento annuale delle informazioni?
La FAQ sui termini indica che l’aggiornamento annuale deve essere effettuato entro il 31 maggio di ogni anno, tramite l’apposito servizio del Portale dei Servizi ACN. Una seconda FAQ della stessa pagina precisa che l’articolo 16 della Determinazione ACN 379887/2025 disciplina lo svolgimento dell’aggiornamento dal 15 aprile al 31 maggio di ogni anno. Il termine da mettere a calendario resta il 31 maggio.
Che cos’è la regola dei quattordici giorni?
Chiuso l’aggiornamento annuale, le organizzazioni sono tenute a notificare qualsiasi modifica alle informazioni trasmesse tramite il servizio di aggiornamento continuo, tempestivamente e in ogni caso entro quattordici giorni dalla data di modifica (articolo 7, comma 7, del decreto NIS). Le FAQ non elencano una casistica: a titolo di esempio nostro, un cambio di punto di contatto, di recapiti o di ragione sociale è una variazione con un termine proprio, indipendente dalla finestra annuale.
Da quando decorrono i nove e i diciotto mesi?
Dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti NIS, per i soggetti inseriti nel corso dell’anno solare 2025: nove mesi per l’obbligo di notifica degli incidenti significativi di base, diciotto mesi per l’adozione delle misure di sicurezza di base. Per i soggetti inseriti per la prima volta nel corso dell’anno solare 2026 le FAQ indicano invece due date: la notifica decorre dal 1° gennaio 2027 e il termine per le misure scade il 31 luglio 2027.
Non riusciamo a trovare la comunicazione di inserimento: che cosa prevede ACN?
Le FAQ collocano l’invio delle comunicazioni previste dall’articolo 7, comma 3 a cavallo del 12 e 13 aprile 2025, ai domicili digitali delle organizzazioni che avevano completato il censimento del punto di contatto e trasmesso la dichiarazione. Prima di segnalare la mancata ricezione tramite Service Desk, ACN chiede di effettuare una verifica approfondita delle mail ricevute al domicilio digitale; i soggetti per i quali non è stato possibile accertare la ricezione telematica della PEC sono stati contattati direttamente dall’Autorità.
Non ci siamo registrati: gli altri obblighi restano sospesi?
No. Le FAQ affermano che i soggetti che rientrano nell’ambito di applicazione del d.lgs. 138/2024 sono soggetti NIS a prescindere dalla registrazione. Sull’aggiornamento annuale il punto è scritto in modo esplicito: ai sensi dell’articolo 38, commi 10 e 13, la mancata registrazione non solleva dall’obbligo di aggiornamento annuale. Per chi non si era registrato nei termini, dal 14 aprile 2025 è stato ri-attivato il servizio di registrazione tardiva.
Fonte: Agenzia per la Cybersicurezza Nazionale, FAQ NIS — profili generali, registrazione, ruoli e procedure, aggiornamento delle informazioni, categorizzazione, misure di sicurezza e notifica di incidenti, consultate il 27 agosto 2026. Questo articolo ne descrive il contenuto e non costituisce interpretazione autentica.