Aprile 2026
Il 9 aprile 2026, durante l’ottava riunione del Tavolo NIS, l’Agenzia per la Cybersicurezza Nazionale ha pubblicato due nuove Determinazioni: la n. 127434/2026, che stabilisce i termini per i soggetti iscritti per la prima volta nel 2026, e la n. 127437/2026, che aggiorna le modalità di utilizzo e accesso alla piattaforma digitale ACN. Entrambi i provvedimenti completano il quadro operativo dhttps://www.acn.gov.it/portale/w/nis-online-le-determine-sugli-adempimenti-per-i-nuovi-soggetti-e-sulle-modalita-di-accesso-alla-piattaforma-acnel recepimento italiano della NIS2. La Determinazione sui termini è in vigore dal 30 aprile 2026; quella sulla piattaforma dal 15 aprile 2026.
La NIS2, Direttiva (UE) 2022/2555, è stata recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138. L’ACN è l’Autorità Nazionale Competente: gestisce il portale di registrazione, emette le determinazioni attuative e vigila sul rispetto degli obblighi con poteri sanzionatori significativi. Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni o all’1,4%.
Gli organi di gestione possono essere ritenuti responsabili in solido ai sensi dell’art. 23 D.Lgs. 138/2024.
Il ciclo annuale
Il regime NIS2 è organizzato in un ciclo annuale ricorrente articolato in quattro momenti principali, ai quali si aggiunge un obbligo di aggiornamento continuo entro 14 giorni da ogni modifica rilevante (art. 19 D.Lgs. 138/2024).
La finestra di categorizzazione, introdotta dalla Det. 127437/2026 (artt. 20-21), è la novità operativa più rilevante del ciclo 2026. Serve a classificare le attività e i servizi dell’organizzazione secondo i criteri dell’art. 30 D.Lgs. 138/2024, determinando il livello di misure di sicurezza applicabili.
ACN ha annunciato la pubblicazione del modello di categorizzazione, accompagnato da materiale a supporto per la Business Impact Analysis, nelle prossime settimane, prima dell’apertura della finestra operativa del 1° maggio. (Maggio e giugno sono i mesi in cui si svolge la categorizzazione).
Articolo 21: misure minime e responsabilità degli organi di gestione
L’art. 21 del D.Lgs. 138/2024 definisce le misure minime obbligatorie di gestione del rischio di cybersicurezza. Devono essere adottate, documentate e dimostrabili in sede di ispezione. La norma attribuisce la responsabilità direttamente agli organi di gestione, consiglio di amministrazione, direzione generale, che devono approvare le misure, monitorarne l’implementazione e seguire la formazione obbligatoria in materia di cybersicurezza.
Le dieci categorie di misure obbligatorie sono:
- Analisi dei rischi e politiche di sicurezza dei sistemi informativi
- Gestione degli incidenti: rilevazione, risposta, ripristino
- Continuità operativa, backup, disaster recovery e gestione delle crisi
- Sicurezza della catena di approvvigionamento
- Sicurezza nell’acquisizione, sviluppo e manutenzione di reti e sistemi
- Gestione e divulgazione delle vulnerabilità
- Valutazione dell’efficacia delle misure adottate
- Igiene informatica di base e formazione in cybersicurezza
- Politiche sull’uso della crittografia e della cifratura
- Sicurezza delle risorse umane, controllo degli accessi, gestione degli asset e MFA
Notifiche degli incidenti: tempistiche e distinzione tra soggetti
Il regime di notifica si applica agli incidenti significativi: quelli che causano o sono idonei a causare una grave perturbazione operativa, perdite finanziarie per il soggetto, o danni a persone fisiche o giuridiche terze (artt. 25-26 D.Lgs. 138/2024).
Soggetti iscritti per la prima volta nel 2026, Det. 127434/2026
Per questi soggetti le scadenze operative sono differenziate rispetto a chi era già in elenco nel 2025:
Soggetti già iscritti nel 2025 e confermati nel 2026
Restano fermi i termini stabiliti dalla Det. ACN n. 379907/2025. Le scadenze 2027 indicate sopra non si applicano. Non è prevista alcuna proroga.
Supply chain: elenco dei fornitori rilevanti
L’art. 21, comma 2, lettera d) del D.Lgs. 138/2024 impone di presidiare la sicurezza della catena di approvvigionamento, incluse le relazioni con i fornitori diretti. La Det. 127437/2026 introduce all’art. 18 della piattaforma ACN l’elenco dei fornitori rilevanti, finalizzato all’individuazione dei fornitori critici ai sensi dell’art. 3, comma 9, lettera f del D.Lgs. 138/2024.
L’elenco è parte integrante dell’aggiornamento annuale (finestra 15 aprile–31 maggio) e costituisce una dichiarazione verificabile da parte di ACN. L’adempimento richiede che le organizzazioni abbiano censito e classificato i propri fornitori critici, definito requisiti contrattuali minimi di sicurezza e predisposto procedure di gestione in caso di incidente lato terze parti.
Ruoli chiave sul portale ACN
Adempimenti prioritari
- Verificare lo stato di iscrizione sul portale ACN e completare l’aggiornamento annuale entro il 31 maggio 2026.
- Avviare la raccolta delle informazioni necessarie per la categorizzazione in vista della finestra 1 maggio–30 giugno 2026.
- Designare il sostituto del punto di contatto entro il 31 maggio 2026 (soggetti nuovi iscritti 2026).
- Designare il referente CSIRT entro il 31 dicembre 2026 (soggetti nuovi iscritti 2026).
- Censire i fornitori rilevanti e aggiornare il relativo elenco sul portale entro il 31 maggio 2026.
- Sottoporre le misure art. 21 all’approvazione degli organi di gestione con delibera formale.
Riferimenti normativi: Direttiva (UE) 2022/2555 · D.Lgs. 4 settembre 2024, n. 138 · Det. ACN n. 379907/2025 · Det. ACN n. 127434/2026 · Det. ACN n. 127437/2026. Det. piattaforma NIS in vigore dal 15 aprile 2026 · Det. termini 2026 in vigore dal 30 aprile 2026.
Fonte ufficiale: ACN, Determinazioni NIS aprile 2026
