"La scadenza per le misure di sicurezza di base è il 31 ottobre." Non per tutti.

Per le organizzazioni inserite nell'elenco dei soggetti NIS nel 2025, la Determinazione ACN 379907/2025 prevede l'adozione delle misure di sicurezza di base entro diciotto mesi dalla ricezione della comunicazione di inserimento. Per la maggior parte delle organizzazioni il termine cade nel corso di ottobre 2026, ma va calcolato sulla propria data di notifica, non su un calendario generico.

Un esempio: comunicazione ricevuta il 15 aprile 2025, termine il 15 ottobre 2026. Due settimane prima di quello che molti hanno segnato in agenda.

Per chi è entrato nell'elenco per la prima volta nel 2026 i termini sono diversi: la Determinazione ACN 127434/2026 fissa l'adozione delle misure di base entro il 31 luglio 2027 e l'obbligo di notifica degli incidenti significativi dal 1° gennaio 2027.

Cosa fare oggi

Recuperare la data esatta della propria comunicazione di inserimento da parte di ACN.
Calcolare il proprio termine reale a partire da quella data: qui lo fa il calcolatore.
Chiedersi non "abbiamo le policy?" ma "possiamo dimostrare che sono applicate?".

Scaduto il termine si passa dalla fase di accompagnamento alla fase di verifica. E la verifica guarda i sistemi, non soltanto i documenti.

Fonti: Determinazioni ACN 379907/2025 e 127434/2026; Vademecum NIS pubblicato da ACN a settembre 2026. Questo contenuto ha scopo informativo e non costituisce consulenza legale.

Verificate il vostro termine con noi