Scadenze normative

Misure di sicurezza di base, soggetti inseriti nel 2025

Entro questo termine i soggetti inseriti nel 2025 devono aver adottato le misure di sicurezza di base degli allegati 1 e 2 della determinazione ACN, compresi gli obblighi degli organi di amministrazione.

Il termine è di 18 mesi dalla PEC di inserimento nell’elenco, arrivata ai più il 12 o il 13 aprile 2025: la data esatta dipende dal giorno in cui l’avete ricevuta. L’ACN scrive «ottobre 2026».

A chi si applica: Soggetti essenziali e importanti inseriti nell’elenco NIS nel 2025. Non le entità finanziarie soggette al DORA.

Banca dati dei nomi di dominio (art. 29), registri e registrar inseriti nel 2025

Registri e registrar devono tenere dati di registrazione dei domini accurati e completi e pubblicare le politiche e le procedure di verifica, approvate dagli organi di amministrazione.

Come per le misure di base: 18 mesi dalla PEC di inserimento nell’elenco, arrivata ai più il 12 o il 13 aprile 2025: la data esatta dipende dal giorno in cui l’avete ricevuta.

A chi si applica: Gestori di registri di nomi di dominio di primo livello e registrar inseriti nell’elenco NIS nel 2025.

Adeguamento degli accordi di condivisione delle informazioni, soggetti inseriti nel 2025

Gli scambi di informazioni sulla sicurezza informatica tra soggetti NIS, e con i loro fornitori, vanno regolati da accordi di condivisione. Per l’ACN il termine per adeguarsi coincide con quello delle misure di base.

La data viene solo da una FAQ dell’ACN, che la allinea al termine delle misure di base («ottobre 2026»).

A chi si applica: Soggetti essenziali e importanti inseriti nel 2025 che scambiano informazioni sulla sicurezza informatica. Non le banche e le infrastrutture dei mercati finanziari.

Si applica la determinazione ACN 314287/2026 sulla piattaforma NIS

La nuova determinazione sostituisce la 127437/2026. Novità principali: chi è già nell’elenco e non ha modifiche non ripresenta la dichiarazione per il 2027; le dichiarazioni tardive inviate entro il 1° settembre valgono per l’anno in corso.

A chi si applica: Tutti i soggetti NIS e chi deve registrarsi.

Prima elencazione e categorizzazione di attività e servizi

Il soggetto NIS elenca sulla piattaforma ACN («Servizio NIS/Categorizzazione») le proprie attività e i propri servizi e assegna a ciascuno una categoria di impatto secondo il modello ACN.

A chi si applica: Soggetti essenziali e importanti. Esentate le entità finanziarie soggette al DORA.

Sostituto punto di contatto, soggetti inseriti nel 2026

Chi è entrato nell’elenco NIS nel 2026 designa entro il 31 maggio una seconda persona, oltre al punto di contatto, che possa operare sulla piattaforma ACN.

A chi si applica: Soggetti NIS inseriti nell’elenco nel 2026. Non si applica se il punto di contatto è l’unica persona dell’organizzazione.

Aggiornamento annuale delle informazioni 2026

Ogni anno il soggetto NIS conferma o corregge sulla piattaforma ACN contatti, componenti degli organi di amministrazione, indirizzi IP pubblici, nomi di dominio e accordi di condivisione delle informazioni. Nel 2026, per la prima volta, anche l’elenco dei fornitori rilevanti.

A chi si applica: Soggetti essenziali e importanti che hanno ricevuto la comunicazione di inserimento o di permanenza nell’elenco NIS. Le entità finanziarie soggette al DORA non aggiornano l’elenco degli organi di amministrazione.

Notifica degli accordi di condivisione firmati prima del decreto NIS

Gli accordi per scambiarsi informazioni sulla sicurezza informatica firmati prima dell’entrata in vigore del decreto NIS (16 ottobre 2024) e ancora in atto vanno notificati all’ACN entro il 31 maggio 2026.

A chi si applica: Soggetti essenziali e importanti che partecipano ad accordi di condivisione delle informazioni.