Guide · Aggiornata luglio 2026
Le scadenze che chiedono documenti, non dichiarazioni.
Dieci date, dal giugno 2026 al dicembre 2027, più le due dell’AI Act che poggiano sugli stessi documenti. Per ciascuna: la norma, cosa serve avere in mano quando qualcuno bussa, la nota che la racconta e la soluzione che la copre.
C’è una differenza che decide l’esito di un’ispezione: fra ciò che un’organizzazione fa e ciò che può mostrare di aver fatto. Le scadenze raccolte qui appartengono tutte al secondo tipo — chiedono un documento datato, non una dichiarazione di intenti.
Molte chiedono lo stesso materiale a soggetti diversi. Il Cyber Resilience Act impone una documentazione tecnica unica per i prodotti soggetti anche ad altri atti dell’Unione (art. 31, § 3): chi sta riscrivendo i manuali per il gennaio 2027 lavora già sul raccoglitore che servirà a dicembre.
-
Cloud ACN: la tolleranza transitoria è finita
- Norma
- Regolamento per le infrastrutture digitali e i servizi cloud per la pubblica amministrazione (ACN), art. 11, comma 10
- Chi riguarda
- Amministrazioni ed enti pubblici che trattano dati critici o strategici.
Cosa serve avere
- La classificazione di dati e servizi digitali in ordinari, critici e strategici, con la motivazione scritta accanto (art. 3). Dove i dati ricadono nel Perimetro di sicurezza nazionale cibernetica o negli obblighi NIS la classe è stabilita per legge.
- La verifica del livello di qualificazione del fornitore sul catalogo ACN, non sulla brochure: almeno QC2 per i dati critici, QC3 o QC4 per gli strategici (art. 17).
- Il piano di rientro per ciò che è fuori posto: cosa si sposta, dove, entro quando, chi firma.
Per i dati strategici l’Allegato 2 aggiunge un vincolo giurisdizionale: ogni richiesta di accesso da parte di un’entità extra-UE va segnalata all’ACN e concessa solo dopo autorizzazione esplicita dell’amministrazione.
-
Cyber Resilience Act: obbligo di segnalazione
- Norma
- Regolamento (UE) 2024/2847, art. 14
- Chi riguarda
- Fabbricanti di prodotti con elementi digitali — hardware e software connessi o connettibili — compresi i prodotti già sul mercato.
Cosa serve avere
- Un canale di ricezione delle vulnerabilità e una policy di divulgazione coordinata, con un responsabile nominato e un triage che funziona.
- La distinta base del software dei prodotti: senza sapere cosa c’è dentro, nessuna segnalazione nei tempi è possibile.
- Il percorso di notifica provato almeno una volta: preallarme entro 24 ore, notifica completa entro 72, relazione finale entro 14 giorni dalla misura correttiva per le vulnerabilità o entro un mese per gli incidenti gravi.
Il cronometro parte da quando il fabbricante «viene a conoscenza» del problema: il vincolo reale è la capacità di accorgersene, non la notifica in sé. Il 27 luglio 2026 la Commissione ha pubblicato i propri orientamenti sull’applicazione del regolamento (comunicazione C(2026) 5252 e allegato): chiariscono l’ambito — soluzioni di trattamento dati a distanza e software libero e open source compresi —, che cosa sia una modifica sostanziale, come si determina il periodo di assistenza e come si adempiono gli obblighi di segnalazione e di valutazione dei rischi. Non sono vincolanti e non spostano l’11 settembre: servono a motivare per iscritto le scelte che avete già fatto. Due precisazioni dell’allegato cambiano il perimetro di lavoro. La prima: l’obbligo copre anche i prodotti immessi sul mercato prima dell’11 dicembre 2027 (art. 69, paragrafo 3) e resta in piedi dopo la fine del periodo di assistenza, mentre gli obblighi di gestione delle vulnerabilità dell’Allegato I, parte II, in quei casi non si applicano. La seconda: non c’è segnalazione retroattiva — una vulnerabilità di cui conoscevate già lo sfruttamento attivo prima dell’11 settembre 2026 non va notificata, ma se lo sfruttamento si verifica, o ne venite a conoscenza, dopo quella data l’obbligo scatta.
-
Censimento ICT: la PA dichiara cosa ha in sala macchine
- Norma
- Art. 33-septies, comma 1-ter, del decreto-legge 179/2012; rilevazione AgID avviata il 22 luglio 2026
- Chi riguarda
- Pubbliche amministrazioni chiamate a rispondere al questionario sul patrimonio ICT.
Cosa serve avere
- L’inventario reale di sistemi, applicativi e servizi in esercizio, con l’indicazione di dove girano e chi li gestisce: è la base su cui si risponde, e quasi nessuno ce l’ha già pronta.
- La classificazione di dati e servizi secondo il regolamento cloud dell’ACN, che usa lo stesso impianto e le stesse categorie.
- La dichiarazione finale di completezza e correttezza, firmata dal rappresentante legale o dal responsabile per la transizione al digitale: si firma su dati che devono essere verificabili.
Chi non ha mai fatto l’inventario firma su numeri che non conosce. E quell’inventario è la stessa mappa che serve per la sicurezza: la superficie esposta è quella che si riesce a elencare.
-
NIS2: le misure di sicurezza di base, dimostrate
- Norma
- D.lgs. 4 settembre 2024, n. 138, artt. 23, 24 e 29, con il termine fissato dall’art. 42, comma 1, lettera c) e dalla determinazione ACN n. 379907/2025
- Chi riguarda
- Soggetti essenziali e importanti della prima ondata: registrati fra dicembre 2024 e febbraio 2025, hanno ricevuto la comunicazione di inserimento in elenco a partire dal 12 aprile 2025.
Cosa serve avere
- Verbali degli organi di amministrazione: approvazione delle misure di gestione del rischio, sorveglianza sull’attuazione, evidenza della formazione ricevuta dai vertici (art. 23).
- Analisi dei rischi aggiornata sui sistemi reali dell’organizzazione, e inventari di sistemi, configurazioni, vulnerabilità note e personale con accesso.
- Registro dei fornitori critici e contratti con clausole di sicurezza: i contratti in corso non vanno modificati subito, ma i nuovi contratti, i rinnovi e le estensioni le incorporano. Le FAQ ACN aggiornate il 24 luglio 2026 (MSB.13-MSB.19) precisano che i requisiti vanno definiti solo per le forniture con potenziale impatto sulla sicurezza e che non tutte le misure di base vanno ribaltate sul fornitore — ma la modulazione va motivata per iscritto, e la motivazione è essa stessa un documento da avere.
- Piani di continuità operativa e disaster recovery testati, non solo scritti, e registro della formazione del personale.
- Procedure di notifica degli incidenti effettivamente esercitate: preallarme al CSIRT Italia entro 24 ore, notifica completa entro 72, relazione finale entro un mese. Per la prima ondata l’obbligo di notifica dell’art. 25 è in vigore già dal gennaio 2026: a ottobre si aggiungono le misure, non la notifica.
- Evidenza che controllo degli accessi, cifratura e segmentazione di rete sono attivi — non la policy che li prescrive.
Il termine non è uguale per tutti: sono diciotto mesi dalla ricezione della singola comunicazione di inserimento in elenco (determinazione ACN n. 379907/2025, art. 3), e le comunicazioni sono partite il 12 aprile 2025 — la scadenza va calcolata soggetto per soggetto, dentro l’ottobre 2026 indicato dall’ACN. Per chi è stato inserito in elenco per la prima volta nel 2026 il termine è il 31 luglio 2027, con l’obbligo di notifica che decorre dal 1º gennaio 2027 (determinazione ACN n. 127434/2026, art. 1).
-
Tracking pixel nelle email: consenso e informativa, per iscritto
- Norma
- Garante per la protezione dei dati personali, provvedimento n. 284 del 17 aprile 2026 — linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, pubblicate nella Gazzetta Ufficiale n. 98 del 29 aprile 2026
- Chi riguarda
- Chi inserisce pixel di tracciamento nelle comunicazioni di posta elettronica: titolari che inviano marketing e newsletter, fornitori di servizi di posta elettronica, gestori di piattaforme per l’inoltro massivo di messaggi.
Cosa serve avere
- L’informativa che dica che nel messaggio c’è un pixel, che cosa rileva e a quale fine: l’informativa generica sul sito non copre il tracciamento dell’email.
- Il consenso raccolto prima dell’invio, ai sensi dell’art. 122 del Codice e degli artt. 4, punto 11), e 7 del GDPR: può essere ricompreso in quello alla ricezione delle comunicazioni promozionali, ma solo se la richiesta è «formulata in modo neutro e privo di forzature» e l’informativa nomina il pixel.
- La revoca resa possibile anche in forma granulare (art. 7, paragrafo 3, GDPR): chi vuole la newsletter deve poter rifiutare il tracciamento senza rinunciare alla newsletter.
- Le misure di protezione dei dati fin dalla progettazione e per impostazione predefinita richieste dall’art. 25 del GDPR, identificatori non sequenziali e separazione dei livelli di dati compresi.
- La mappa di chi tratta questi dati per vostro conto: il pixel è della piattaforma di invio, ma i ruoli vanno definiti caso per caso in base al principio di accountability (art. 5, par. 2, GDPR), valutando anche l’art. 26 sulla contitolarità — il contratto va letto prima della scadenza, non dopo.
Il termine non decorre dalla data del provvedimento. Le linee guida individuano «un termine pari a 6 mesi dal momento della loro pubblicazione in Gazzetta Ufficiale entro il quale i soggetti tenuti dovranno conformarvisi»: la pubblicazione è del 29 aprile 2026, quindi la data è il 29 ottobre 2026. Il lavoro che serve non è tecnico ma di scelta: stabilire quali metriche vi servono davvero e togliere le altre, perché ogni apertura rilevata senza consenso è un trattamento senza base giuridica.
-
Responsabilità da prodotto: la documentazione come difesa
- Norma
- Direttiva (UE) 2024/2853
- Chi riguarda
- Chi immette sul mercato o integra software e sistemi di IA in un prodotto o servizio con il proprio marchio.
Cosa serve avere
- Documentazione tecnica del prodotto esibibile su ordine del giudice: chi non la produce, o la produce incompleta, espone sé stesso alla presunzione di difettosità.
- Log delle decisioni e traccia del controllo umano sulle azioni critiche: è ciò che permette di dimostrare cosa ha deciso il sistema e perché.
- Contratti con i fornitori di modelli e piattaforme che dicano chi fornisce le prove in un eventuale giudizio, e con quali tempi.
La delega italiana è nella legge 17 marzo 2026, n. 36, Allegato A, punto 4; il decreto legislativo di dettaglio non è stato pubblicato e al 28 luglio 2026 nessuno schema risulta trasmesso alle Camere. Ai sensi dell’art. 31, comma 1, della legge 234/2012 il Governo ha tempo fino al 9 agosto 2026 — quattro mesi prima del termine europeo — con una proroga di tre mesi se il parere parlamentare arriva a ridosso della scadenza. Il termine europeo non si sposta in nessuno dei due casi.
-
Regolamento Macchine: il manuale decide la marcatura CE
- Norma
- Regolamento (UE) 2023/1230, che dalla stessa data abroga la Direttiva Macchine 2006/42/CE
- Chi riguarda
- Fabbricanti di macchine e quasi-macchine, importatori e distributori che immettono sul mercato dell’Unione.
Cosa serve avere
- Istruzioni per l’uso conformi all’Allegato III, punto 1.7.4: identificazione del fabbricante, descrizione, uso previsto e usi impropri ragionevolmente prevedibili, montaggio, messa in servizio, uso, manutenzione, rischi residui.
- La lingua stabilita dallo Stato membro d’uso, facilmente comprensibile dagli utilizzatori finali; copia cartacea gratuita entro un mese se l’acquirente la chiede al momento dell’acquisto; informazioni di sicurezza sempre su carta per gli utilizzatori non professionali.
- Se le istruzioni sono solo digitali: disponibilità online per l’intera vita utile prevista della macchina e comunque per almeno dieci anni dall’immissione sul mercato, anche se nel frattempo il fabbricante cessa l’attività.
- I requisiti di protezione dalla corruzione e di sicurezza dei sistemi di comando (Allegato III, punti 1.1.9 e 1.2.1), con requisiti aggiuntivi per le macchine dotate di comportamento o logica auto-evolutivi.
Senza istruzioni conformi non c’è dichiarazione di conformità valida; senza dichiarazione non c’è marcatura CE. Non è una sanzione che arriva dopo un controllo: è un blocco il giorno stesso dell’immissione sul mercato.
-
Centri dati: la rendicontazione annuale di sostenibilità
- Norma
- Direttiva (UE) 2023/1791, art. 12, e regolamento delegato (UE) 2024/1364, art. 3, paragrafo 1
- Chi riguarda
- Titolari e gestori di centri dati nell’Unione con una domanda di potenza delle tecnologie dell’informazione installate pari ad almeno 500 kW: aziendali, in coubicazione e in co-hosting.
Cosa serve avere
- I dati dell’anno civile 2026, misurati e non stimati: consumo energetico totale e consumo delle sole apparecchiature informatiche, apporto di acqua e di acqua potabile, calore di scarto riutilizzato e sua temperatura, energia rinnovabile distinta fra garanzie di origine, accordi di compravendita e generazione in loco (Allegato II, punto 1).
- Il registro dei punti e dei dispositivi di misurazione, che l’Allegato II impone di conservare per almeno dieci anni: è ciò che dimostra da dove vengono i numeri comunicati.
- La capacità informatica di server e apparecchiature di archiviazione alla fine dell’anno di comunicazione (Allegato II, punto 2). Per i centri dati in coubicazione la tolleranza dell’art. 3, paragrafo 3, valeva solo per i primi due periodi di comunicazione: qui non c’è più.
- La parte destinata al pubblico: l’art. 12 della direttiva chiede di rendere pubbliche le informazioni dell’Allegato VII, escluse quelle coperte da segreto commerciale — e quali lo siano va deciso e messo per iscritto prima, non davanti a un controllo.
L’obbligo è annuale e la comunicazione passa dal sistema nazionale se lo Stato in cui si trova il centro dati ne ha istituito uno, altrimenti va direttamente alla banca dati europea. La soglia si misura sulla potenza informatica installata, non sulla superficie: un solo locale tecnico può superarla. Chi tiene i propri sistemi presso un fornitore non è il soggetto obbligato, ma quegli stessi numeri conviene farseli dare per contratto.
-
Parità retributiva: la prima relazione sul divario
- Norma
- D.lgs. 7 maggio 2026, n. 96, artt. 9, 10 e 11
- Chi riguarda
- Aziende con almeno 250 dipendenti, con relazione annuale, e aziende fra 150 e 249, con la stessa prima scadenza e poi cadenza triennale. Fra 100 e 149 si parte il 7 giugno 2031.
Cosa serve avere
- Le categorie di lavoratori che svolgono lavoro uguale o di pari valore, definite dall’azienda con criteri messi per iscritto.
- Il calcolo di retribuzione media e mediana, composizione per quartile e componente variabile, per ciascuna categoria.
- I criteri oggettivi e neutri di inquadramento e progressione, scritti prima che un divario vada giustificato: sopra il 5% in una categoria, se il divario non è motivato con quei criteri e non è corretto entro sei mesi dalla comunicazione, scatta la valutazione congiunta con le rappresentanze (art. 10).
- Il registro delle elaborazioni e gli accessi ristretti alle sole finalità della parità retributiva (art. 11).
Un obbligo è già attivo dal 7 giugno 2026, senza soglia dimensionale: l’art. 7 dà a ogni lavoratore il diritto di chiedere per iscritto i livelli retributivi medi per genere, con risposta entro due mesi, e vieta le clausole che impediscono di rendere nota la propria retribuzione.
-
Cyber Resilience Act: fascicolo tecnico e distinta base del software
- Norma
- Regolamento (UE) 2024/2847, artt. 13, 28, 30, 31 e 32, Allegati I e VII
- Chi riguarda
- Fabbricanti di prodotti con elementi digitali immessi sul mercato dell’Unione.
Cosa serve avere
- La documentazione tecnica dell’art. 31 con il contenuto minimo dell’Allegato VII, per famiglia di prodotto e aggiornata versione per versione: descrizione generale, architettura, gestione delle vulnerabilità, valutazione dei rischi, norme applicate, relazioni delle prove.
- La distinta base del software in un formato di uso comune e leggibile da un dispositivo automatico, con almeno le dipendenze di primo livello (Allegato I, parte II, punto 1).
- Il periodo di assistenza determinato e motivato: almeno cinque anni (art. 13, § 8), con le informazioni usate per stabilirlo dentro il fascicolo.
- Valutazione di conformità, dichiarazione di conformità UE e marcatura CE, in quest’ordine. Fascicolo e dichiarazione restano a disposizione delle autorità per almeno dieci anni dall’immissione sul mercato, o per il periodo di assistenza se più lungo.
- La distinta base classificata come documento riservato prima della prima richiesta motivata: chi la vede, con quale canale la trasmettete, dove è archiviata.
Per i prodotti «importanti» dell’Allegato III e «critici» dell’Allegato IV il fascicolo esce dall’azienda e finisce sul tavolo di un organismo notificato.
Due date che non chiedono documenti nuovi, ma li presuppongono.
Il 2 dicembre 2027 si applicano gli obblighi sui sistemi ad alto rischio dell’Allegato III dell’AI Act; il 2 agosto 2028 quelli sui sistemi integrati in prodotti già regolati, Regolamento Macchine compreso. Il calendario completo, con le date italiane collegate, è nell’altra guida.
AI Act: tutte le scadenze, in ordine
Il primo passo
Operativi dalla prima settimana.
Un caso d’uso reale, sui vostri dati, in produzione. Poi si cresce, settimana dopo settimana.
Si parte da una sessione con un nostro esperto di engagement. I dati restano vostri, sempre.