Per le aziende che rientrano nella NIS2 il 2026 è l’anno in cui la normativa diventa pienamente operativa. Dopo l’entrata in vigore del decreto 138/2024 e le registrazioni del 2025, dal 15 gennaio 2026 scatta l’obbligo di notificare gli incidenti significativi al CSIRT Italia, secondo le determinazioni dell’Agenzia per la Cybersicurezza Nazionale.
I tempi della notifica
- Entro 24 ore da quando si viene a conoscenza dell’incidente: una pre-notifica;
- entro 72 ore: la notifica completa, con una prima valutazione di gravità e impatto;
- entro un mese: la relazione finale.
Tempi così stretti si rispettano solo con una procedura già pronta: chi se ne accorge, chi decide, chi comunica, con quali informazioni.
Le altre scadenze del 2026
- dal 1° gennaio al 28 febbraio: la finestra annuale per la registrazione e l’aggiornamento sulla piattaforma ACN;
- in primavera: l’aggiornamento dei dati, del punto di contatto e del suo sostituto;
- entro ottobre 2026: l’adozione delle misure di sicurezza di base per i soggetti inseriti nell’elenco nel 2025.
Le date esatte dipendono dall’anno di inserimento nell’elenco: vanno sempre verificate sulle comunicazioni ufficiali dell’ACN.
Cosa serve in concreto
- Un piano di risposta agli incidenti scritto e provato.
- Monitoraggio di sistemi e accessi, per accorgersi in tempo dei problemi.
- Backup protetti e procedure di ripristino testate.
- Controllo della catena di fornitura: anche i fornitori IT devono garantire sicurezza.
- Coinvolgimento e formazione degli amministratori, che rispondono direttamente.
Vuoi preparare la tua azienda agli obblighi NIS2? Contattaci: ti aiutiamo a scegliere la soluzione giusta per la tua attività.