Scadenze ACN NIS2: 31 ottobre 2026 e 31 luglio 2027 — chi deve fare cosa e quando

Le scadenze ACN per la NIS2 sono i termini entro cui i soggetti inseriti nell’elenco dell’Agenzia per la Cybersicurezza Nazionale devono rendere pienamente operative le misure di sicurezza delle specifiche di base: il 31 ottobre 2026 per chi è in elenco dal 2025 (Determinazione ACN 379907/2025) e il 31 luglio 2027 per chi è entrato in elenco nel 2026 (Determinazione ACN 127434/2026). Due date, due platee diverse, un identico equivoco da sfatare: non sono scadenze per «avere i documenti», sono scadenze per avere le misure funzionanti.

Come siamo arrivati a queste date

La catena normativa è lineare. La Direttiva (UE) 2022/2555 — la NIS2 — fissa il quadro europeo. Il D.Lgs. 138/2024 la recepisce in Italia e affida l’attuazione all’ACN, che individua i soggetti obbligati inserendoli in un elenco e ne scandisce gli obblighi con proprie determinazioni. La Determinazione 379907/2025 definisce le specifiche di base — 16 ambiti, 43 misure — e fissa per i soggetti in elenco dal 2025 il termine del 31 ottobre 2026 per la piena operatività. La Determinazione 127434/2026 fa lo stesso per i soggetti entrati in elenco nel 2026, con termine al 31 luglio 2027.

La conseguenza pratica: la tua scadenza dipende da quando la tua organizzazione è stata inserita in elenco, non da quando ha iniziato a occuparsi del tema. La comunicazione di inserimento ricevuta dall’ACN è il documento da cui partire per collocarsi nella giusta ondata.

Chi deve rispettare il 31 ottobre 2026

I soggetti inseriti nell’elenco ACN dal 2025. Per loro, alla data del 31 ottobre 2026 le 43 misure delle specifiche di base devono essere pienamente operative. Tradotto in deliverable concreti:

• Censimento di servizi e fornitori completo e coerente con quanto già comunicato all’ACN, con l’analisi di impatto dei servizi critici (MTPD, RTO/RPO).
• Organigramma della sicurezza con i ruoli e i punti di contatto NIS2 designati.
• Autovalutazione sui 16 ambiti e le 43 misure, con stato di attuazione documentato.
• Registro dei rischi con valutazione impatto × probabilità, trattamento e misure mitiganti.
• Corpo documentale — le politiche, nella prassi 16 — approvato formalmente dagli organi di amministrazione.
• Registri di mantenimento avviati e già alimentati: la piena operatività si dimostra con evidenze che hanno una storia, non con file creati il giorno prima.

Chi deve rispettare il 31 luglio 2027

I soggetti entrati in elenco nel 2026, ai quali la Determinazione ACN 127434/2026 assegna il termine del 31 luglio 2027 per le stesse misure. La lista dei deliverable è identica; cambia solo il tempo disponibile. Attenzione però a due trappole tipiche di chi ha la scadenza «lontana»:

La falsa comodità dei mesi in più. Il percorso ha dipendenze interne che non si comprimono: i documenti si generano dopo i censimenti, le approvazioni degli organi di amministrazione hanno i tempi degli organi di amministrazione, i registri di mantenimento devono girare per mesi prima di costituire una prova credibile. Chi parte sei settimane prima non arriva.

Il quadro che evolve. Le determinazioni ACN si susseguono: chi entra in elenco nelle ondate successive riceverà i propri termini dai provvedimenti dell’Agenzia. Vale per tutti la stessa regola: fa fede la comunicazione ACN ricevuta dalla propria organizzazione, non il sentito dire.

Cosa significa davvero «pienamente operative»

È il punto su cui più aziende si giocano la conformità. Una misura è pienamente operativa quando esiste la decisione formale (la politica approvata), esiste la pratica (l’attività viene eseguita davvero, da persone designate) ed esiste la prova (il registro che documenta le esecuzioni nel tempo). Mancando uno dei tre pezzi, la misura non regge una verifica: la politica senza pratica è una dichiarazione d’intenti, la pratica senza politica è un’iniziativa personale, entrambe senza registro sono semplicemente indimostrabili.

Per questo le due date ACN vanno lette come il traguardo di un processo, non come la consegna di un compito. Il vero test non è «abbiamo il faldone?» ma: se domani arrivasse una richiesta dell’ACN, sapremmo produrre in poche ore un dossier ordinato — politiche approvate, registri aggiornati, evidenze per ambito — senza ricostruire nulla a mano?

Il piano a ritroso: come distribuire il lavoro

Prendendo la scadenza e sottraendo i tempi incomprimibili, un piano realistico si articola così:

• Subito: censimenti (servizi, fornitori, ruoli) e autovalutazione sulle 43 misure. È la fase che fa emergere i gap e dimensiona tutto il resto.
• Poi: registro dei rischi e piano di trattamento, con le misure mitiganti in priorità di livello. Le misure tecniche mancanti partono qui, perché sono quelle con i tempi di attuazione più lunghi.
• A seguire: redazione e approvazione delle politiche da parte degli organi di amministrazione, calcolando i tempi delle riunioni e delle firme.
• Almeno alcuni mesi prima della scadenza: avvio dei registri di mantenimento con scadenzario e responsabili, così che alla data fatidica esista già uno storico di evidenze.
• A ridosso della scadenza: prova generale — estrazione del dossier completo e verifica di coerenza tra politiche, registri ed evidenze.

In sintesi

Le scadenze ACN non premiano chi produce più carta, ma chi arriva alla data con un sistema che funziona: censimenti fatti, rischi valutati, politiche approvate ai vertici e registri che girano da mesi. La variabile decisiva è una sola, ed è il tempo: ogni settimana di anticipo sui censimenti e sui registri vale più di qualunque sprint finale.