Scadenze normative

Rappresentante NIS in Italia dei fornitori digitali extra UE

I fornitori di servizi digitali non stabiliti nell’UE che designano il proprio rappresentante NIS in Italia inviano o aggiornano all’ACN, via PEC, la documentazione indicata sul sito dell’Agenzia.

A chi si applica: Fornitori non stabiliti nell’UE di DNS, registri di nomi di dominio di primo livello, registrar, cloud, data center, reti per la distribuzione dei contenuti, servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca e social network, che designano il rappresentante in Italia.

AI Act: marcatura dei contenuti sintetici per i sistemi già sul mercato

I fornitori di sistemi che generano testo, immagini, audio o video, immessi sul mercato prima del 2 agosto 2026, hanno tempo fino al 2 dicembre 2026 per marcare gli output come generati artificialmente (art. 50, par. 2). I sistemi immessi dal 2 agosto 2026 devono marcarli da subito.

A chi si applica: Fornitori di sistemi di IA generativa, compresi quelli per finalità generali.

AI Act: nuovi divieti su immagini intime e materiale pedopornografico

Diventa vietato immettere sul mercato, mettere in servizio o usare sistemi di IA che generano o manipolano immagini, video o audio intimi realistici di persone riconoscibili senza consenso, o materiale pedopornografico (art. 5, par. 1, lett. b bis e b ter). Per i fornitori il divieto vale se questa è la finalità prevista o se il risultato è ragionevolmente prevedibile e mancano misure tecniche adeguate per impedirlo; per i deployer, se usano il sistema per generare quel materiale (art. 5, par. 1 bis).

A chi si applica: Fornitori e deployer di sistemi di IA che generano immagini, video o audio.

Fornitori ICT critici: fatturato certificato all’autorità capofila

Ogni fornitore ICT designato critico invia all’autorità europea capofila il fatturato, verificato da un revisore, realizzato nell’UE con le entità finanziarie: serve a calcolare la commissione di sorveglianza. Il termine del 31 dicembre 2026 riguarda il fatturato 2025.

A chi si applica: Fornitori terzi di servizi ICT designati critici dalle autorità europee di vigilanza.

Referente CSIRT, soggetti inseriti nel 2026

Il punto di contatto indica sulla piattaforma ACN la persona che parlerà con lo CSIRT Italia e farà le notifiche di incidente. Serve prima che parta l’obbligo di notifica, il 1° gennaio 2027.

A chi si applica: Soggetti essenziali e importanti inseriti nell’elenco NIS nel 2026. Esentate le entità finanziarie soggette al DORA.

Intermediari ex art. 106 TUB: si applicano parti del DORA, in regime semplificato

Agli intermediari finanziari iscritti all’albo dell’art. 106 TUB si applicano, in regime semplificato, le norme DORA elencate dal D.Lgs. 23/2025, art. 6: gestione del rischio ICT, segnalazione degli incidenti gravi, test, registro e contratti con i fornitori ICT.

A chi si applica: Intermediari finanziari ex art. 106 TUB (autorità competente: Banca d’Italia).

Parte l’obbligo di notifica degli incidenti significativi, soggetti inseriti nel 2026

Dal 1° gennaio 2027 i soggetti inseriti nel 2026 notificano allo CSIRT Italia gli incidenti significativi: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.

A chi si applica: Soggetti essenziali e importanti inseriti nell’elenco NIS nel 2026. Non le entità finanziarie soggette al DORA.

Registrazione o aggiornamento della registrazione 2027

Chi rientra nella NIS si registra, o aggiorna la registrazione, sulla piattaforma ACN. Novità del 2027: chi è già nell’elenco e non ha modifiche da comunicare non ripresenta la dichiarazione.

A chi si applica: Tutti i soggetti pubblici e privati a cui si applica la NIS, anche quelli non ancora nell’elenco.

Banca d’Italia: invio annuale del registro delle informazioni sui fornitori ICT

Entro il 15 marzo si invia a Banca d’Italia, via INFOSTAT, il registro di tutti gli accordi con fornitori ICT, con i dati al 31 dicembre 2026. Banca d’Italia controlla la qualità dei dati e può chiedere un nuovo invio.

A chi si applica: Entità finanziarie che trasmettono il registro a Banca d’Italia. La comunicazione non elenca i destinatari.

L’ACN redige l’elenco NIS 2027

Entro il 31 marzo l’ACN redige l’elenco dei soggetti essenziali e importanti; l’elenco è adottato dopo la prima riunione utile del Tavolo NIS, e di norma la comunicazione ai soggetti arriva ad aprile. Da quella comunicazione partono gli obblighi; chi non è d’accordo può chiedere la revisione entro 60 giorni dalla PEC.

A chi si applica: È un termine dell’ACN. Riguarda tutti i soggetti registrati; la richiesta di revisione è facoltativa.

Consigli nazionali di ordini e collegi: regolamenti di formazione con percorsi sull’IA

I consigli nazionali di ordini e collegi adeguano i regolamenti sulla formazione continua con percorsi sull’IA. L’obbligo per gli iscritti segue i nuovi regolamenti.

Il decreto dà sei mesi dalla sua entrata in vigore (23 ottobre 2026): la data è calcolata.

A chi si applica: Consigli nazionali di ordini e collegi; poi i professionisti iscritti.

Fornitori ICT critici: commissione annuale di sorveglianza

I fornitori ICT critici già sorvegliati al 1° gennaio 2027 pagano in un’unica rata, entro il 30 aprile, la commissione annuale all’autorità europea capofila.

A chi si applica: Fornitori terzi di servizi ICT critici sotto sorveglianza al 1° gennaio 2027.

Banca d’Italia: stima annuale di costi e perdite da incidenti ICT gravi

Entro il 31 maggio si invia a Banca d’Italia, tramite INFOSTAT, la stima dei costi e delle perdite dell’anno precedente causati da incidenti ICT gravi.

A chi si applica: Intermediari vigilati direttamente da Banca d’Italia.

Aggiornamento annuale delle informazioni 2027

Come ogni anno, il soggetto NIS conferma o corregge sulla piattaforma ACN contatti, organi di amministrazione, indirizzi IP pubblici, nomi di dominio, accordi di condivisione e fornitori rilevanti. Fino al 14 aprile le modifiche si comunicano con l’aggiornamento continuo.

A chi si applica: Soggetti essenziali e importanti che hanno ricevuto la comunicazione di inserimento o di permanenza nell’elenco NIS. Le entità finanziarie soggette al DORA non aggiornano l’elenco degli organi di amministrazione.

Sostituto punto di contatto, soggetti inseriti nel 2027

Chi entra nell’elenco NIS nel 2027 designa entro il 31 maggio una seconda persona, oltre al punto di contatto, che possa operare sulla piattaforma ACN.

A chi si applica: Soggetti NIS inseriti nell’elenco nel 2027. Non si applica se il punto di contatto è l’unica persona dell’organizzazione.

Elencazione e categorizzazione di attività e servizi 2027

Si aggiorna l’elenco categorizzato delle attività e dei servizi; chi è entrato nell’elenco NIS nel 2027 lo compila per la prima volta. Dopo il 30 giugno l’elenco non si può più modificare.

A chi si applica: Soggetti essenziali e importanti. Esentate le entità finanziarie soggette al DORA.

Banca dati dei nomi di dominio (art. 29), registri e registrar inseriti nel 2026

Registri e registrar inseriti nel 2026 devono tenere dati di registrazione dei domini accurati e completi e pubblicare le politiche e le procedure di verifica, approvate dagli organi di amministrazione.

A chi si applica: Gestori di registri di nomi di dominio di primo livello e registrar inseriti nell’elenco NIS nel 2026.

Misure di sicurezza di base, soggetti inseriti nel 2026

Entro il 31 luglio 2027 i soggetti inseriti nel 2026 devono aver adottato le misure di sicurezza di base degli allegati 1 e 2 della determinazione ACN 379907/2025, compresi gli obblighi degli organi di amministrazione.

A chi si applica: Soggetti essenziali e importanti inseriti nell’elenco NIS nel corso dell’anno solare 2026. Non le entità finanziarie soggette al DORA.

AI Act: modelli per finalità generali già sul mercato prima del 2 agosto 2025

I modelli di IA per finalità generali già sul mercato prima del 2 agosto 2025 devono essere in regola con gli obblighi del capo V (documentazione tecnica, informazioni per chi integra il modello, politica sul diritto d’autore, sintesi dei contenuti di addestramento) entro il 2 agosto 2027.

A chi si applica: Fornitori di modelli di IA per finalità generali.

Ultimo giorno perché una dichiarazione tardiva valga per il 2027

Chi non si è registrato entro il 28 febbraio, o modifica la dichiarazione dopo quella data, può ancora farlo: se la dichiarazione arriva entro il 1° settembre viene esaminata per l’anno in corso. Resta comunque tardiva, e sanzionabile, salvo ritardi dovuti a documentate criticità tecnico-operative non imputabili al soggetto.

A chi si applica: Soggetti NIS che non si sono registrati nella finestra ordinaria o che modificano la dichiarazione dopo il 28 febbraio.

AI Act: sistemi ad alto rischio dell’allegato III

Per i sistemi ad alto rischio dell’allegato III si applicano le regole di classificazione, i requisiti (gestione dei rischi, dati, documentazione tecnica, registri, trasparenza, sorveglianza umana, accuratezza, robustezza e cibersicurezza) e gli obblighi di fornitori, importatori, distributori e deployer. I sistemi già sul mercato o in servizio restano fuori finché la loro progettazione non subisce modifiche significative. Conta il tipo e modello, non il singolo esemplare: se una prima unità era già sul mercato, le unità successive identiche seguono la stessa regola (art. 111, par. 2). Per quelli destinati alle autorità pubbliche il termine ultimo è il 2 agosto 2030.

Rinviata dal reg. (UE) 2026/1744: prima era il 2 agosto 2026.

A chi si applica: Fornitori, rappresentanti autorizzati, importatori, distributori e deployer di sistemi dell’allegato III, enti pubblici compresi.

Ultimo giorno dei requisiti di cibersicurezza della direttiva RED

Fino al 10 dicembre 2027 le apparecchiature radio interessate dal regolamento delegato 2022/30 devono rispettare i requisiti di cibersicurezza della direttiva RED; dall’11 dicembre 2027 li sostituisce il CRA. Le unità immesse sul mercato tra il 1° agosto 2025 e il 10 dicembre 2027 restano controllabili secondo la RED anche dopo.

A chi si applica: Fabbricanti, importatori e distributori di apparecchiature radio rientranti nel regolamento delegato 2022/30.

CRA: applicazione generale

Si applica tutto il regolamento: requisiti essenziali di cibersicurezza, gestione delle vulnerabilità, documentazione tecnica, valutazione della conformità, dichiarazione di conformità UE e marcatura CE, obblighi di importatori e distributori, vigilanza del mercato e sanzioni. Gli esemplari immessi sul mercato prima restano fuori, salvo modifica sostanziale, ma l’art. 14 vale comunque. Conta il singolo esemplare, non il modello: le unità immesse dall’11 dicembre 2027 devono essere conformi anche se il modello era già in vendita.

A chi si applica: Fabbricanti, rappresentanti autorizzati, importatori e distributori di prodotti con elementi digitali.

CRA: obblighi dei gestori di software open source (art. 24)

Le persone giuridiche che sostengono in modo sistematico e duraturo lo sviluppo di software open source destinato ad attività commerciali devono avere una politica di cibersicurezza documentata, collaborare su richiesta con le autorità di vigilanza del mercato e segnalare tramite la piattaforma ENISA le vulnerabilità attivamente sfruttate nei prodotti al cui sviluppo partecipano e gli incidenti gravi che colpiscono i sistemi che mettono a disposizione per lo sviluppo.

A chi si applica: Gestori di software open source (per esempio le fondazioni).

CRA: validità massima dei certificati e delle decisioni di approvazione rilasciati con altre norme UE

I certificati di esame UE del tipo e le decisioni di approvazione sulla cibersicurezza rilasciati con altre norme UE di prodotto (per esempio la RED, con il regolamento delegato 2022/30) restano validi al più tardi fino a questa data.

A chi si applica: Fabbricanti che hanno questi certificati o decisioni di approvazione.

AI Act: sistemi ad alto rischio dell’allegato I (prodotti regolati)

Per i sistemi di IA che sono prodotti, o componenti di sicurezza di prodotti, regolati dalla normativa dell’allegato I (per esempio giocattoli, ascensori, apparecchiature radio, dispositivi medici) si applicano i requisiti e gli obblighi dell’alto rischio. La data è stata rinviata dal reg. 2026/1744: prima era il 2 agosto 2027. I sistemi già sul mercato o in servizio restano fuori finché la loro progettazione non subisce modifiche significative. Conta il tipo e modello, non il singolo esemplare: se una prima unità era già sul mercato, le unità successive identiche seguono la stessa regola (art. 111, par. 2).

Proposta COM(2025) 1023 in corso: sposterebbe dispositivi medici e diagnostici in vitro nella sezione B dell’allegato I, togliendoli da questa scadenza. Finché non è adottata, valgono la data e il perimetro attuali. La procedura

A chi si applica: Fabbricanti e fornitori di prodotti dell’allegato I, sezione A; deployer.

Macchine con IA: requisiti nel regolamento macchine

Con l’uscita delle macchine dalla sezione A dell’allegato I dell’AI Act, i requisiti per l’IA ad alto rischio nelle macchine arriveranno come nuovi requisiti essenziali del regolamento macchine (UE) 2023/1230, tramite atti delegati da applicare al più tardi il 2 agosto 2028.

Dipende da atti delegati della Commissione non ancora adottati: la data effettiva sarà quella che fisseranno.

A chi si applica: Fabbricanti di macchine con sistemi di IA ad alto rischio come componenti di sicurezza.

AI Act: sistemi ad alto rischio già sul mercato destinati alle autorità pubbliche

I sistemi ad alto rischio già sul mercato o in servizio e destinati alle autorità pubbliche devono essere messi in regola entro questa data, anche senza modifiche. Quelli nuovi seguono il 2 dicembre 2027 o il 2 agosto 2028.

A chi si applica: Fornitori e deployer di sistemi ad alto rischio destinati alle autorità pubbliche.