In breve
Per i soggetti inseriti nell’elenco nel 2026 le misure di sicurezza di base vanno adottate entro il 31 luglio 2027 e la notifica degli incidenti significativi è obbligatoria dal 1° gennaio 2027. Prima ancora, entro il 31 dicembre 2026, va designato il referente CSIRT. Le misure e gli incidenti sono quelli già definiti dalla Determinazione ACN 379907/2025, che resta il riferimento tecnico.
Le date
| Quando | Cosa | Fonte |
|---|---|---|
| Entro il 31 dicembre 2026 | Designazione del referente CSIRT sulla piattaforma ACN (entro il 31 dicembre dell’anno di inserimento) | Det. ACN 127437/2026 |
| Dal 1° gennaio 2027 | Notifica al CSIRT Italia degli incidenti significativi (Allegati 3 e 4 della Det. 379907/2025): pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese | Det. ACN 127434/2026, art. 1; D.Lgs. 138/2024, art. 25 |
| Entro il 31 luglio 2027 | Misure di sicurezza di base (Allegati 1 e 2 della Det. 379907/2025) | Det. ACN 127434/2026, art. 1 |
| Dal 1° maggio al 30 giugno di ogni anno | Elenco delle attività e dei servizi con la loro categoria di rilevanza, sulla piattaforma ACN | Det. ACN 127437/2026 |
Per chi era già nell’elenco nel 2025 i termini restano quelli della Det. 379907/2025: 9 mesi dalla comunicazione di inserimento per la notifica e 18 mesi per le misure, quindi in molti casi già trascorsi.
Le misure di sicurezza di base
Sono quelle degli Allegati 1 e 2 della Determinazione 379907/2025, il primo per i soggetti importanti e il secondo per gli essenziali. Coprono governance e ruoli, gestione del rischio, fornitori, gestione degli asset, vulnerabilità, continuità operativa, controllo degli accessi, formazione, gestione e notifica degli incidenti. Non basta scrivere le politiche: in verifica servono le evidenze che le misure sono applicate.
Gli organi di amministrazione approvano le modalità di attuazione delle misure, ne sovrintendono l’applicazione e rispondono delle violazioni; i loro componenti devono seguire una formazione in materia di sicurezza informatica (art. 23 del D.Lgs. 138/2024).
La notifica dal 1° gennaio 2027
È l’obbligo che arriva prima, ed è quello che non si improvvisa. Dal primo giorno serve sapere chi rileva un incidente, chi lo classifica secondo i criteri della Det. 379907/2025, chi decide la notifica e chi la invia al CSIRT Italia entro 24 ore. Il referente CSIRT designato entro fine anno è la persona che tiene i rapporti con il CSIRT Italia.
Cosa fare adesso, in ordine
- Novembre–dicembre 2026: designare il referente CSIRT, scrivere la procedura di gestione e notifica degli incidenti e provarla con un’esercitazione.
- Dicembre 2026: gap analysis rispetto alle misure di base dell’allegato che si applica (importanti o essenziali), con il censimento di asset, servizi e fornitori.
- Gennaio 2027: piano di adeguamento con priorità, responsabili e scadenze, approvato dagli organi di amministrazione, e formazione degli organi.
- Febbraio–giugno 2027: attuazione delle misure e raccolta delle evidenze; nella finestra maggio–giugno, la categorizzazione di attività e servizi sulla piattaforma ACN.
- Luglio 2027: verifica finale delle misure e delle evidenze prima del 31 luglio.
Come possiamo aiutarvi
Seguiamo l’adeguamento NIS2 con Prometeo: checklist delle misure ACN compilata dal cliente, censimento di asset, servizi e fornitori, gestione degli incidenti con i termini di notifica, deliberazioni degli organi e scadenziario. Per la notifica prepariamo la procedura e la proviamo con un’esercitazione War Room.
Il servizio NIS2 →Fonti
D.Lgs. 138/2024, artt. 23, 24 e 25; Determinazione ACN n. 379907 del 19/12/2025; Determinazione ACN n. 127434 del 13/04/2026 (testo firmato), applicabile dal 30/04/2026; Determinazione ACN n. 127437 del 13/04/2026, nella sintesi di CMS e Advant Nctm (aprile 2026). Fonti consultate il 3 novembre 2026. Questo articolo è informativo: le date valgono per i soggetti inseriti nell’elenco per la prima volta nel 2026 e vanno confrontate con la comunicazione ricevuta dall’ACN.