Cosa è cambiato il 13 aprile 2026
Il 13 aprile 2026 l’Agenzia per la Cybersicurezza Nazionale ha pubblicato due nuove Determinazioni che incidono in modo diretto sul percorso di adeguamento NIS2.
Det. n. 127434/2026: termini per i nuovi soggetti NIS 2026
Questa Determinazione riguarda i soggetti entrati nel perimetro NIS per la prima volta nel 2026 e definisce le relative scadenze operative:
- designazione del referente CSIRT Italia: entro il 31 dicembre 2026;
- notifica degli incidenti significativi: a decorrere dal 1 gennaio 2027;
- adozione delle misure di sicurezza di base: entro il 31 luglio 2027.
Det. n. 127437/2026: aggiornamento della piattaforma ACN
La seconda Determinazione introduce due novità di particolare rilievo.
La prima è l’elenco dei fornitori rilevanti ai fini della sicurezza della supply chain. Questo punto amplia l’impatto operativo anche a imprese che non rientrano direttamente nel perimetro NIS, ma che possono essere coinvolte indirettamente in qualità di fornitori critici di clienti inseriti in elenco.
La seconda riguarda la definizione degli aspetti procedurali della categorizzazione di attività e servizi, ai sensi dell’art. 30 del D.Lgs. 138/2024.
Attenzione alla categorizzazione
La Determinazione ACN sul modello di categorizzazione, prevista entro aprile 2026 dall’art. 42 del D.Lgs. 138/2024, non risulta ancora pubblicata ufficialmente al 14 aprile 2026.
La categorizzazione è il meccanismo con cui ciascun soggetto NIS dovrà comunicare ad ACN le attività e i servizi svolti, ottenendo in esito l’assegnazione di una categoria di rilevanza, da impatto minimo ad alto.
Questa classificazione sarà determinante perché costituirà la base per identificare le misure di sicurezza aggiuntive richieste nella fase successiva, prevista da ottobre 2026.
In allegato è disponibile una scheda informativa che spiega nel dettaglio che cos’è la categorizzazione, come funziona e quali informazioni dovranno essere comunicate sulla piattaforma ACN.
Cosa fare ora
Per figure apicali e responsabili di settore, la fase attuale richiede un presidio immediato. Le azioni prioritarie cambiano a seconda dell’anno di inclusione nell’elenco NIS.
Per i soggetti in elenco dal 2025
Occorre:
- monitorare il sito ACN per la pubblicazione della Determina sulla categorizzazione, attesa a breve;
- avviare l’inventario delle attività e dei servizi svolti, mappandoli sui sistemi informativi di supporto;
- completare la gap analysis rispetto agli Allegati 1 e 2 della Det. 379907/2025, in vista della scadenza del 31 ottobre 2026;
- prepararsi alla comunicazione sulla piattaforma ACN nella finestra 1 maggio – 30 giugno 2026;
- verificare le clausole di sicurezza nei contratti con i fornitori critici.
Per i nuovi soggetti inseriti in elenco nel 2026
Per i soggetti entrati nel perimetro nel 2026 è opportuno avviare fin da ora le attività preparatorie principali:
- impostare il piano di adeguamento alle misure di sicurezza di base, con scadenza 31 luglio 2027;
- designare il referente CSIRT Italia entro il 31 dicembre 2026.
Riepilogo delle scadenze
- Entro aprile 2026: Determina ACN sulla categorizzazione, attesa ma non ancora pubblicata
- 1 maggio – 30 giugno 2026: comunicazione attività e servizi sulla piattaforma ACN per tutti i soggetti in elenco 2025
- 31 ottobre 2026: adozione delle misure di sicurezza di base per i soggetti in elenco 2025; successivamente ACN entrerà in fase ispettiva
- 31 dicembre 2026: designazione del referente CSIRT Italia per i nuovi soggetti 2026
- 31 luglio 2027: adozione delle misure di sicurezza di base per i nuovi soggetti 2026
Restiamo in attesa della prossima Determinazione, di imminente pubblicazione, per valutare l’impatto concreto delle categorizzazioni sulla gestione NIS2 e sugli adempimenti successivi.
Per le organizzazioni già in elenco, il punto centrale è non arrivare impreparate alla finestra 1 maggio – 30 giugno 2026: la raccolta delle informazioni su attività, servizi, sistemi di supporto e fornitori critici va impostata subito, con il coinvolgimento delle funzioni aziendali competenti.
