Nuovi soggetti NIS del 2026: notifiche dal 1° gennaio 2027, misure entro il 31 luglio 2027

Il 13 aprile 2026 l'ACN ha pubblicato due determinazioni esaminate nell'ottava riunione del Tavolo NIS: la 127434/2026, con i termini per chi entra nell'elenco dei soggetti NIS per la prima volta nel 2026, e la 127437/2026, che aggiornava le regole della piattaforma introducendo l'elenco dei fornitori rilevanti. La seconda è stata poi sostituita dalla determinazione 314287/2026, che si applica dal 25 ottobre 2026 e ne riprende i contenuti in vista della registrazione 2027.

Cosa è cambiato

Finita la prima applicazione, nuovi termini per i nuovi soggetti

Per chi è entrato nell'elenco nel 2025 i termini erano fissati dall'art. 42 del d.lgs. 138/2024 e dalla determinazione 379907/2025: 9 mesi dalla comunicazione di inserimento per notificare gli incidenti e 18 mesi per adottare le misure di sicurezza di base. Con la fine del 2025 si è chiusa la fase di prima applicazione, e per chi entra nel 2026 servivano date nuove. La determinazione 127434/2026 le fissa così:

L'ACN lo ha detto in modo esplicito: poiché la notifica scatta dal 1° gennaio 2027, è «necessario designare il referente CSIRT entro fine 2026». Le misure da adottare non cambiano: sono quelle della determinazione 379907/2025, 37 per gli importanti e 43 per gli essenziali. Per chi entrerà dal 2027 l'ACN non ha ancora fissato i termini.

L'elenco dei fornitori rilevanti

La determinazione sulla piattaforma ha introdotto un nuovo dato da comunicare nell'aggiornamento annuale: i fornitori rilevanti NIS, cioè quelli che forniscono infrastrutture digitali o servizi informatici gestiti, oppure la cui interruzione avrebbe un impatto significativo perché non sostituibili. Per ciascuno si indicano denominazione, codice fiscale, Paese, codici CPV e criterio. Lo scopo, ha spiegato l'ACN, è individuare tra i fornitori gli elementi sistemici della filiera, che potranno diventare a loro volta soggetti NIS (art. 3, c. 9, lett. f, del decreto). La stessa determinazione ha regolato la procedura della categorizzazione di attività e servizi, il cui modello è arrivato con la determinazione 155238/2026 del 20 aprile 2026.

Chi riguarda

• Le organizzazioni che si sono registrate nel 2026 e hanno ricevuto la prima comunicazione di inserimento nell'elenco, comprese quelle registrate in ritardo entro il 1° settembre.
• Tutti i soggetti NIS per l'elenco dei fornitori rilevanti, da comunicare dal 15 aprile al 31 maggio di ogni anno.
• I fornitori, che potranno essere indicati dai clienti e, se sistemici, individuati dall'ACN.

Cosa fare entro fine anno

1. Designate il referente CSIRT e almeno un sostituto sul Portale ACN entro il 31 dicembre 2026, e verificate che abbiano completato l'accesso: tutto in referente CSIRT.
2. Preparate il piano di gestione degli incidenti prima del 1° gennaio 2027, con i tipi di incidente e i termini di 24 e 72 ore spiegati in notifica degli incidenti.
3. Pianificate le misure verso il 31 luglio 2027, partendo da inventario e valutazione del rischio: la panoramica è in le misure di sicurezza di base.
4. Segnate le altre date del 2027, dalla registrazione di gennaio alla categorizzazione di giugno, in scadenze 2026-2027.

Se non siete sicuri di essere nell'elenco, controllate la PEC del domicilio digitale o partite dalla verifica gratuita.

La fonte ufficiale

Questo articolo riassume e commenta un atto o una notizia pubblicati dall'Agenzia per la cybersicurezza nazionale. Il testo di riferimento è ACN, «NIS: online le determine sugli adempimenti per i nuovi soggetti e sulle modalità di accesso alla piattaforma ACN», 13 aprile 2026, su acn.gov.it. La data in testa alla pagina è quella della fonte; il nostro testo è aggiornato il 13 novembre 2026.