Guide · Aggiornata agosto 2026
Le scadenze che chiedono documenti, non dichiarazioni.
Quattordici date, dal giugno 2026 al dicembre 2027, più le due dell’AI Act che poggiano sugli stessi documenti. Per ciascuna: la norma, cosa serve avere in mano quando qualcuno bussa, la nota che la racconta e la soluzione che la copre.
C’è una differenza che decide l’esito di un’ispezione: fra ciò che un’organizzazione fa e ciò che può mostrare di aver fatto. Le scadenze raccolte qui appartengono tutte al secondo tipo — chiedono un documento datato, non una dichiarazione di intenti.
Molte chiedono lo stesso materiale a soggetti diversi. Il Cyber Resilience Act impone una documentazione tecnica unica, ma solo per i prodotti con elementi digitali che sono anche sistemi di IA ad alto rischio ai sensi dell’art. 12 e che sono soggetti ad altri atti dell’Unione che prevedono documentazione tecnica (art. 31, § 3). Per tutti gli altri la sovrapposizione non è un obbligo, è un’economia: chi sta riscrivendo i manuali per il gennaio 2027 lavora già sul raccoglitore che servirà a dicembre.
-
Cloud ACN: la tolleranza transitoria è finita
- Norma
- Regolamento per le infrastrutture digitali e per i servizi cloud per la pubblica amministrazione, decreto direttoriale ACN n. 21007/24 del 27 giugno 2024 (comunicato in Gazzetta Ufficiale n. 163 del 13 luglio 2024), art. 11, commi 4 e 10
- Chi riguarda
- Amministrazioni ed enti pubblici che trattano dati critici o strategici.
Cosa serve avere
- La classificazione di dati e servizi digitali in ordinari, critici e strategici, con la motivazione scritta accanto (art. 3). Dove i dati ricadono nel Perimetro di sicurezza nazionale cibernetica o negli obblighi NIS la classe è stabilita per legge.
- La verifica del livello di qualificazione del fornitore sul catalogo ACN, non sulla brochure: almeno QC2 per i dati critici, QC3 o QC4 per gli strategici (art. 17).
- Il piano di rientro per ciò che è fuori posto: cosa si sposta, dove, entro quando, chi firma.
Per i dati strategici l’Allegato 2 aggiunge un vincolo giurisdizionale: ogni richiesta di accesso da parte di un’entità extra-UE va segnalata all’ACN e concessa solo dopo autorizzazione esplicita dell’amministrazione.
-
Cyber Resilience Act: obbligo di segnalazione
- Norma
- Regolamento (UE) 2024/2847, art. 14
- Chi riguarda
- Fabbricanti di prodotti con elementi digitali — hardware e software connessi o connettibili — compresi i prodotti già sul mercato.
Cosa serve avere
- Un canale di ricezione delle vulnerabilità e una policy di divulgazione coordinata, con un responsabile nominato e un triage che funziona.
- La distinta base del software dei prodotti: senza sapere cosa c’è dentro, nessuna segnalazione nei tempi è possibile.
- Il percorso di notifica provato almeno una volta: preallarme entro 24 ore, notifica entro 72, relazione finale entro 14 giorni dalla messa a disposizione di una misura correttiva o di attenuazione per le vulnerabilità attivamente sfruttate ed entro un mese dalla notifica a 72 ore per gli incidenti gravi (art. 14, paragrafi 2 e 4). I due termini finali hanno decorrenze diverse, e la notifica a 72 ore chiede «informazioni generali, se disponibili», non un quadro completo.
Il cronometro parte da quando il fabbricante «viene a conoscenza» del problema: il vincolo reale è la capacità di accorgersene, non la notifica in sé. Il 27 luglio 2026 la Commissione ha approvato il contenuto del progetto di comunicazione con i propri orientamenti sull’applicazione del regolamento (C(2026) 5252 e allegato), per ora disponibile solo in inglese: l’adozione formale arriverà quando saranno pronte tutte le versioni linguistiche, e solo da quel momento gli orientamenti si applicheranno. Nel merito: chiariscono l’ambito — soluzioni di trattamento dati a distanza e software libero e open source compresi —, che cosa sia una modifica sostanziale, come si determina il periodo di assistenza e come si adempiono gli obblighi di segnalazione e di valutazione dei rischi. Non sono vincolanti e non spostano l’11 settembre: servono a motivare per iscritto le scelte che avete già fatto. Due precisazioni dell’allegato cambiano il perimetro di lavoro. La prima: l’obbligo copre anche i prodotti immessi sul mercato prima dell’11 dicembre 2027 (art. 69, paragrafo 3) e resta in piedi dopo la fine del periodo di assistenza, mentre gli obblighi di gestione delle vulnerabilità dell’Allegato I, parte II, in quei casi non si applicano. La seconda: non c’è segnalazione retroattiva — una vulnerabilità di cui conoscevate già lo sfruttamento attivo prima dell’11 settembre 2026 non va notificata, ma se lo sfruttamento si verifica, o ne venite a conoscenza, dopo quella data l’obbligo scatta.
-
Data Act: i dati del prodotto accessibili per progettazione
- Norma
- Regolamento (UE) 2023/2854 (regolamento sui dati), art. 3, paragrafo 1, applicabile ai sensi dell’art. 50, terzo comma
- Chi riguarda
- Fabbricanti di prodotti connessi e fornitori di servizi correlati che li immettono sul mercato dell’Unione dopo quella data; di riflesso, chi quei prodotti li compra e li mette in linea.
Cosa serve avere
- La progettazione messa per iscritto: i dati del prodotto e del servizio correlato, compresi i metadati necessari a interpretarli e usarli, accessibili all’utente per impostazione predefinita «in modo facile, sicuro, gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico e, ove pertinente e tecnicamente possibile, in modo diretto» (art. 3, paragrafo 1).
- Le informazioni precontrattuali dell’art. 3, paragrafo 2, lettere da a) a d): tipo, formato e volume stimato dei dati che il prodotto può generare; se li genera in continuo e in tempo reale; se li archivia sul dispositivo o su un server remoto, e per quanto; come l’utente vi accede, li reperisce o li cancella, con quali mezzi tecnici, a quali condizioni d’uso e con quale qualità del servizio.
- La linea fra dati accessibili e segreti commerciali, tracciata prima della prima richiesta: quali dati restano fuori, con quali misure di protezione e su quale base. La riservatezza è tutelata dal regolamento, ma non è una scorciatoia per negare l’accesso.
- La data di immissione sul mercato di ciascun modello a catalogo. L’obbligo non guarda al parco installato: guarda a ciò che viene immesso sul mercato dopo il 12 settembre 2026, prodotto per prodotto.
È l’unica scadenza del Data Act che si misura sul prodotto e non sul contratto. Il regolamento si applica dal 12 settembre 2025 (art. 50, secondo comma), ma non tutto insieme: il terzo comma sposta in avanti il solo obbligo dell’art. 3, paragrafo 1, e lo lega all’immissione sul mercato, mentre il sesto comma rinvia al 12 settembre 2027 l’applicazione del capo IV a certi contratti conclusi entro il 12 settembre 2025. Per chi compra è la leva: da quella data l’accesso ai dati non è una concessione da negoziare, è un requisito di progetto che il fornitore deve già aver soddisfatto.
-
RENTRI: scattano le sanzioni sui formulari non trasmessi
- Norma
- D.lgs. 3 aprile 2006, n. 152, art. 258, commi 10 e 10-bis
- Chi riguarda
- Enti e imprese già iscritti al RENTRI e obbligati alla trasmissione digitale dei formulari di identificazione dei rifiuti (FIR): le tre finestre di iscrizione dell’art. 13 del decreto ministeriale 4 aprile 2023, n. 59, sono ormai tutte scadute, l’ultima a metà febbraio 2026.
Cosa serve avere
- Per ogni carico trasmesso al RENTRI dall’iscrizione a oggi, la controprova che il formulario sia rientrato completo: la sanzione colpisce la mancata o incompleta trasmissione dei dati del formulario, non solo la sua assenza.
- Un elenco dei formulari ancora aperti, per stabilimento, con il nome di chi deve chiuderli prima che la tolleranza transitoria finisca.
- La prova che l’iscrizione stessa sia avvenuta nei tempi dell’art. 13: la sanzione sulla mancata o irregolare iscrizione (art. 258, comma 10, primo periodo) non ha la tolleranza del comma 10-bis ed è già pienamente in vigore.
Il comma 10-bis è una norma «di prima applicazione»: sospende, non cancella, la sanzione sui formulari mancanti o incompleti fino al 15 settembre 2026, mentre lascia già attiva quella sulla mancata o irregolare iscrizione. L’importo, fissato dal comma 10, va da cinquecento a duemila euro per i rifiuti non pericolosi e da mille a tremila per i pericolosi; si riduce a un terzo se l’iscrizione avviene entro sessanta giorni dalla scadenza del termine (comma 11).
-
NEWS-D: entra in vigore il regolamento sull’allerta rapida droghe
- Norma
- DPCM 7 luglio 2026, n. 156 (Gazzetta Ufficiale, Serie Generale n. 204 del 3 settembre 2026), in attuazione dell’art. 14-bis del d.P.R. 309/1990
- Chi riguarda
- Centri collaborativi del NEWS-D di primo e secondo livello: laboratori di tossicologia clinica e forense pubblici, privati e universitari, istituti di medicina legale, strutture di emergenza, centri antiveleni, laboratori delle Forze di polizia, e i soggetti privati che chiedono il riconoscimento con atto del capo del Dipartimento.
Cosa serve avere
- Il criterio che fa scattare la segnalazione, applicabile senza andarlo a cercare altrove. Quello quantitativo (art. 6, comma 4) si misura contro le medie «riportate nella più recente relazione al Parlamento sui dati relativi allo stato delle tossicodipendenze in Italia»; quello qualitativo comprende le sostanze «sequestrate con frequenza atipica rispetto a una specifica zona geografica o mai sequestrate a livello nazionale o unionale» (comma 3, lettera d). Nessuno dei due dati sta dentro il laboratorio.
- I due tempi tenuti separati: senza ritardo per il criterio qualitativo, «con cadenza almeno mensile, con dati aggregati» per il quantitativo (art. 7). Gli altri centri collaborativi segnalano comunque senza ritardo.
- I campi minimi della scheda dell’art. 8, che cambiano con il tipo di campione: data e provincia del sequestro per quello non biologico, data e regione dell’intossicazione o del decesso per quello biologico. Lo stesso evento cambia grana geografica a seconda di chi lo registra.
- Per i laboratori privati che chiedono il riconoscimento come centri di secondo livello: procedure standardizzate «per assicurare qualità, tracciabilità e confrontabilità delle analisi» e partecipazione a programmi di qualità esterna o inter-laboratorio (art. 21, comma 3), oltre ai requisiti minimi dell’allegato I al decreto direttoriale del Ministero della salute 23 giugno 2025 (art. 22), sui quali l’ISS può fare controlli a campione.
- Il nulla osta dell’autorità giudiziaria, ove ritenuto necessario, prima di segnalare dati che provengano da sequestri ex art. 73 del testo unico o da attività investigative (art. 19, comma 2).
Il regolamento non istituisce il NEWS-D: il sistema esiste dal 1° gennaio 2025 per effetto dell’art. 14-bis del testo unico stupefacenti, introdotto dall’art. 1, comma 243 della legge di bilancio 30 dicembre 2024, n. 207, il cui comma 6 dava novanta giorni per il decreto attuativo. Il termine scadeva il 1° aprile 2025 e il DPCM è del 7 luglio 2026: 462 giorni dopo. Due cose restano aperte anche dopo il 18 settembre. La prima: il gestore definitivo non è stato scelto — l’art. 23 fa gestire il sistema all’ISS «nelle more del perfezionamento della procedura di individuazione» prevista dall’art. 11. La seconda: la proprietà dei dati si spacca in due, perché l’art. 24 lascia al centro che segnala i dati della segnalazione ma rende quelli caricati nel dispositivo informatico, destinati ai documenti di output, comuni al Dipartimento. Chi segnala non perde il dato, ma non lo controlla più da solo.
-
Censimento ICT: la PA dichiara cosa ha in sala macchine
- Norma
- Art. 33-septies, comma 1-ter, del decreto-legge 179/2012; rilevazione AgID avviata il 22 luglio 2026
- Chi riguarda
- Pubbliche amministrazioni centrali e locali chiamate a rispondere al questionario sul patrimonio ICT. Per scuole e università AgID ha scritto che la data di scadenza sarà comunicata successivamente: il 30 settembre non è un termine universale.
Cosa serve avere
- L’inventario reale di sistemi, applicativi e servizi in esercizio, con l’indicazione di dove girano e chi li gestisce: è la base su cui si risponde, e quasi nessuno ce l’ha già pronta.
- La classificazione di dati e servizi secondo il regolamento cloud dell’ACN, che usa lo stesso impianto e le stesse categorie.
- La dichiarazione finale di completezza e correttezza, firmata dal rappresentante legale o dal responsabile per la transizione al digitale: si firma su dati che devono essere verificabili.
Chi non ha mai fatto l’inventario firma su numeri che non conosce. E quell’inventario è la stessa mappa che serve per la sicurezza: la superficie esposta è quella che si riesce a elencare.
-
NIS2: le misure di sicurezza di base, dimostrate
- Norma
- D.lgs. 4 settembre 2024, n. 138, artt. 23, 24 e 29, con il termine fissato dall’art. 42, comma 1, lettera c) e dalla determinazione ACN n. 379907/2025
- Chi riguarda
- Soggetti essenziali e importanti della prima ondata: registrati fra dicembre 2024 e febbraio 2025, hanno ricevuto la comunicazione di inserimento in elenco a partire dal 12 aprile 2025.
Cosa serve avere
- Verbali degli organi di amministrazione: approvazione delle misure di gestione del rischio, sorveglianza sull’attuazione, evidenza della formazione ricevuta dai vertici (art. 23).
- Analisi dei rischi aggiornata sui sistemi reali dell’organizzazione, e inventari di sistemi, configurazioni, vulnerabilità note e personale con accesso.
- Registro dei fornitori critici e contratti con clausole di sicurezza: i contratti in corso non vanno modificati subito, ma i nuovi contratti, i rinnovi e le estensioni le incorporano. Le FAQ ACN aggiornate il 24 luglio 2026 (MSB.13-MSB.19) precisano che i requisiti vanno definiti solo per le forniture con potenziale impatto sulla sicurezza e che non tutte le misure di base vanno ribaltate sul fornitore — ma la modulazione va motivata per iscritto, e la motivazione è essa stessa un documento da avere.
- Piani di continuità operativa e disaster recovery testati, non solo scritti, e registro della formazione del personale.
- Procedure di notifica degli incidenti effettivamente esercitate: preallarme al CSIRT Italia entro 24 ore, notifica completa entro 72, relazione finale entro un mese. Per la prima ondata l’obbligo di notifica dell’art. 25 è in vigore già dal gennaio 2026: a ottobre si aggiungono le misure, non la notifica.
- Evidenza che controllo degli accessi, cifratura e segmentazione di rete sono attivi — non la policy che li prescrive.
Il termine non è uguale per tutti: sono diciotto mesi dalla ricezione della singola comunicazione di inserimento in elenco (determinazione ACN n. 379907/2025, art. 3), e le comunicazioni sono partite il 12 aprile 2025 — la scadenza va calcolata soggetto per soggetto, dentro l’ottobre 2026 indicato dall’ACN. Per chi è stato inserito in elenco per la prima volta nel 2026 il termine è il 31 luglio 2027, con l’obbligo di notifica che decorre dal 1º gennaio 2027 (determinazione ACN n. 127434/2026, art. 1). L’11 agosto 2026 l’ACN ha pubblicato una sezione nuova delle FAQ, da MVE.1 a MVE.5, su monitoraggio, vigilanza ed esecuzione, con la MVE.3 dedicata alle verifiche e ispezioni dell’art. 36. La distinzione la fissa il decreto stesso: l’art. 36, comma 2, dispone che «nei confronti dei soggetti importanti, i poteri di verifica e ispettivi si applicano unicamente qualora l’Autorità nazionale competente NIS acquisisca o riceva elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni del presente decreto». Per i soggetti essenziali quel limite non c’è: il controllo può arrivare prima, e arriva sui documenti che a quel punto devono già esistere.
-
Garanzie annuali per le discariche: o il decreto è convertito, o cade a ritroso
- Norma
- Decreto-legge 28 agosto 2026, n. 154, art. 1, che sostituisce l’art. 208, comma 11, lettera g), del d.lgs. 3 aprile 2006, n. 152; termine di conversione dell’art. 77, terzo comma, della Costituzione
- Chi riguarda
- Società ammesse ad amministrazione straordinaria ai sensi del d.l. 23 dicembre 2003, n. 347 — che richiede almeno cinquecento lavoratori subordinati da un anno e debiti non inferiori a trecento milioni di euro — che gestiscono almeno un impianto dichiarato di interesse strategico nazionale ai sensi dell’art. 1 del d.l. 3 dicembre 2012, n. 207, status che si acquista con decreto del Presidente del Consiglio dei ministri e presuppone almeno duecento lavoratori subordinati da almeno un anno. Una platea stretta, delimitata da due rinvii e non da un elenco.
Cosa serve avere
- La garanzia finanziaria effettivamente in essere, con le sue date di decorrenza e di scadenza: dal 29 agosto 2026 può essere annuale anche se l’autorizzazione dura di più, ma resta fermo che nessuna attività di discarica può essere effettuata in mancanza della garanzia.
- Il raccordo, giorno per giorno, fra i periodi di copertura della garanzia e le giornate in cui si è effettivamente conferito in discarica: è questo il dato che nessun sistema aziendale tiene per intero, perché le date stanno da una parte — polizza, tesoreria — e i conferimenti dall’altra, nei registri e nei formulari.
- L’autorizzazione vigente e la sua durata, per misurare lo scarto fra il periodo autorizzato e il periodo coperto.
- Il decreto del Presidente del Consiglio che dichiara l’impianto di interesse strategico nazionale e i provvedimenti dell’amministrazione straordinaria: insieme reggono l’applicabilità stessa della norma.
- Il presidio della conversione: se entro il termine la legge non arriva, il regime annuale viene meno con effetto retroattivo, e le giornate coperte solo da esso vanno riesaminate.
La data non è scritta nel decreto: è un nostro calcolo. L’art. 77, terzo comma, della Costituzione dispone che «I decreti perdono efficacia sin dall’inizio, se non sono convertiti in legge entro sessanta giorni dalla loro pubblicazione»; il decreto è stato pubblicato nella Gazzetta Ufficiale n. 199 del 28 agosto 2026 ed è in vigore dal 29 agosto, e sessanta giorni dalla pubblicazione portano al 27 ottobre 2026. Il punto che rende la scadenza operativa e non accademica: l’art. 14 del d.lgs. 13 gennaio 2003, n. 36, che il decreto non tocca, impone di trattenere la garanzia post-chiusura per almeno trenta anni. Trent’anni di obbligo serviti da strumenti annuali, e la conformità smette di essere un atto una tantum per diventare una proprietà da dimostrare giorno per giorno.
-
Tracking pixel nelle email: consenso e informativa, per iscritto
- Norma
- Garante per la protezione dei dati personali, provvedimento n. 284 del 17 aprile 2026 — linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, pubblicate nella Gazzetta Ufficiale n. 98 del 29 aprile 2026
- Chi riguarda
- Chi inserisce pixel di tracciamento nelle comunicazioni di posta elettronica: titolari che inviano marketing e newsletter, fornitori di servizi di posta elettronica, gestori di piattaforme per l’inoltro massivo di messaggi.
Cosa serve avere
- L’informativa che dica che nel messaggio c’è un pixel, che cosa rileva e a quale fine: l’informativa generica sul sito non copre il tracciamento dell’email.
- Il consenso raccolto prima dell’invio, ai sensi dell’art. 122 del Codice e degli artt. 4, punto 11), e 7 del GDPR: può essere ricompreso in quello alla ricezione delle comunicazioni promozionali, ma solo se la richiesta è «formulata in modo neutro e privo di forzature» e l’informativa nomina il pixel.
- La revoca resa possibile anche in forma granulare (art. 7, paragrafo 3, GDPR): chi vuole la newsletter deve poter rifiutare il tracciamento senza rinunciare alla newsletter.
- Le misure di protezione dei dati fin dalla progettazione e per impostazione predefinita richieste dall’art. 25 del GDPR, identificatori non sequenziali e separazione dei livelli di dati compresi.
- La mappa di chi tratta questi dati per vostro conto: il pixel è della piattaforma di invio, ma i ruoli vanno definiti caso per caso in base al principio di accountability (art. 5, par. 2, GDPR), valutando anche l’art. 26 sulla contitolarità — il contratto va letto prima della scadenza, non dopo.
Il termine non decorre dalla data del provvedimento. Le linee guida individuano «un termine pari a sei mesi dal momento della loro pubblicazione nella Gazzetta Ufficiale della Repubblica italiana entro il quale i soggetti tenuti dovranno conformarvisi»: la pubblicazione è del 29 aprile 2026, quindi la data è il 29 ottobre 2026. Il lavoro che serve non è tecnico ma di scelta: stabilire quali metriche vi servono davvero e togliere le altre, perché ogni apertura rilevata senza consenso è un trattamento senza base giuridica.
-
Responsabilità da prodotto: la documentazione come difesa
- Norma
- Direttiva (UE) 2024/2853
- Chi riguarda
- Chi immette sul mercato o integra software e sistemi di IA in un prodotto o servizio con il proprio marchio.
Cosa serve avere
- Documentazione tecnica del prodotto esibibile su ordine del giudice: chi non la produce, o la produce incompleta, espone sé stesso alla presunzione di difettosità.
- Log delle decisioni e traccia del controllo umano sulle azioni critiche: è ciò che permette di dimostrare cosa ha deciso il sistema e perché.
- Contratti con i fornitori di modelli e piattaforme che dicano chi fornisce le prove in un eventuale giudizio, e con quali tempi.
La delega italiana è nella legge 17 marzo 2026, n. 36, Allegato A, punto 4; il decreto legislativo di dettaglio non è ancora pubblicato, ma lo schema c’è. Il Consiglio dei ministri del 4 agosto 2026 lo ha approvato in esame preliminare e il 7 agosto è stato trasmesso alle Camere come Atto del Governo n. 434, assegnato alla II Commissione Giustizia con termine per il parere al 16 settembre 2026. Ai sensi dell’art. 31, comma 1, della legge 234/2012 il termine era il 9 agosto 2026 — quattro mesi prima di quello europeo —; poiché il termine per il parere parlamentare scade dopo quella data, si è applicata la proroga di tre mesi dell’art. 31, comma 3, e la delega scade ora il 9 novembre 2026. Il termine europeo non si sposta in nessun caso.
-
Data Act: cadono le tariffe per cambiare fornitore cloud
- Norma
- Regolamento (UE) 2023/2854 (regolamento sui dati), art. 29, paragrafi 1 e 2, con la definizione dell’art. 2, punto 36
- Chi riguarda
- Fornitori di servizi di trattamento dei dati — cloud ed edge — e i loro clienti, imprese e amministrazioni.
Cosa serve avere
- Il listino riscritto: «a decorrere dal 12 gennaio 2027, i fornitori di servizi di trattamento dei dati non impongono al cliente tariffe di passaggio per il processo di passaggio ad altri fornitori» (art. 29, paragrafo 1). Fino a quel giorno restano ammesse le sole tariffe ridotte, non superiori ai costi direttamente connessi al passaggio sostenuti dal fornitore (paragrafi 2 e 3).
- Le informazioni precontrattuali dell’art. 29, paragrafo 4: spese standard di servizio, penali per risoluzione anticipata e tariffe ridotte applicabili nel periodo transitorio, date al potenziale cliente prima della firma e messe a disposizione in una sezione dedicata del sito (paragrafo 6).
- L’avviso dell’art. 29, paragrafo 5, dove serve: quali servizi comportano un passaggio altamente complesso o costoso, o impossibile senza interferenze significative sull’architettura dei dati.
- Per il cliente: la misura di quanto si paga oggi per uscire, servizio per servizio — le tariffe di uscita dei dati sono espressamente comprese —, e la voce di fattura che dal 12 gennaio 2027 non può più esserci.
Il perimetro del divieto sta nella definizione, non nell’articolo: «tariffe di passaggio» sono le tariffe diverse dalle spese standard di servizio o di risoluzione anticipata, imposte per le azioni prescritte dal regolamento in caso di passaggio ai sistemi di un diverso fornitore o all’infrastruttura locale, «comprese le tariffe di uscita dei dati» (art. 2, punto 36). Le spese ordinarie del servizio restano; il pedaggio per andarsene no. Un limite di perimetro va però letto prima di contarci: l’art. 31, paragrafo 1, esclude dall’art. 29 i servizi «le cui caratteristiche principali siano state per la maggior parte personalizzate al fine di soddisfare le esigenze specifiche di un singolo cliente», purché non siano «offerti su vasta scala commerciale tramite il catalogo di servizi del fornitore». Da qui a gennaio c’è il tempo per trasformare quel divieto in una clausola scritta, invece che in un contenzioso.
-
Regolamento Macchine: il manuale decide la marcatura CE
- Norma
- Regolamento (UE) 2023/1230, che dalla stessa data abroga la Direttiva Macchine 2006/42/CE
- Chi riguarda
- Fabbricanti di macchine e quasi-macchine, importatori e distributori che immettono sul mercato dell’Unione.
Cosa serve avere
- Istruzioni per l’uso conformi all’Allegato III, punto 1.7.4: identificazione del fabbricante, descrizione, uso previsto e usi impropri ragionevolmente prevedibili, montaggio, messa in servizio, uso, manutenzione, rischi residui.
- La lingua stabilita dallo Stato membro d’uso, facilmente comprensibile dagli utilizzatori finali; copia cartacea gratuita entro un mese se l’acquirente la chiede al momento dell’acquisto; informazioni di sicurezza sempre su carta per gli utilizzatori non professionali.
- Se le istruzioni sono solo digitali: disponibilità online per l’intera vita utile prevista della macchina e comunque per almeno dieci anni dall’immissione sul mercato, anche se nel frattempo il fabbricante cessa l’attività.
- I requisiti di protezione dalla corruzione e di sicurezza dei sistemi di comando (Allegato III, punti 1.1.9 e 1.2.1), con requisiti aggiuntivi per le macchine dotate di comportamento o logica auto-evolutivi.
Senza istruzioni conformi non c’è dichiarazione di conformità valida; senza dichiarazione non c’è marcatura CE. Non è una sanzione che arriva dopo un controllo: è un blocco il giorno stesso dell’immissione sul mercato.
-
Centri dati: la rendicontazione annuale di sostenibilità
- Norma
- Direttiva (UE) 2023/1791, art. 12, e regolamento delegato (UE) 2024/1364, art. 3, paragrafo 1
- Chi riguarda
- Titolari e gestori di centri dati nell’Unione con una domanda di potenza delle tecnologie dell’informazione installate pari ad almeno 500 kW: aziendali, in coubicazione e in co-hosting.
Cosa serve avere
- I dati dell’anno civile 2026, misurati e non stimati: consumo energetico totale e consumo delle sole apparecchiature informatiche, apporto di acqua e di acqua potabile, calore di scarto riutilizzato e sua temperatura, energia rinnovabile distinta fra garanzie di origine, accordi di compravendita e generazione in loco (Allegato II, punto 1).
- Il registro dei punti e dei dispositivi di misurazione, che l’Allegato II impone di conservare per almeno dieci anni: è ciò che dimostra da dove vengono i numeri comunicati.
- La capacità informatica di server e apparecchiature di archiviazione alla fine dell’anno di comunicazione (Allegato II, punto 2). Per i centri dati in coubicazione la tolleranza dell’art. 3, paragrafo 3, valeva solo per i primi due periodi di comunicazione: qui non c’è più.
- La parte destinata al pubblico: l’art. 12 della direttiva chiede di rendere pubbliche le informazioni dell’Allegato VII, escluse quelle coperte da segreto commerciale — e quali lo siano va deciso e messo per iscritto prima, non davanti a un controllo.
L’obbligo è annuale e la comunicazione passa dal sistema nazionale se lo Stato in cui si trova il centro dati ne ha istituito uno, altrimenti va direttamente alla banca dati europea. La soglia si misura sulla potenza informatica installata, non sulla superficie: un solo locale tecnico può superarla. Chi tiene i propri sistemi presso un fornitore non è il soggetto obbligato, ma quegli stessi numeri conviene farseli dare per contratto.
-
Parità retributiva: la prima relazione sul divario
- Norma
- D.lgs. 7 maggio 2026, n. 96, art. 9, comma 9 (termini e cadenze) e comma 8 (soglia dei cento dipendenti); artt. 10 e 11
- Chi riguarda
- Aziende con almeno 250 dipendenti, con relazione annuale, e aziende fra 150 e 249, con la stessa prima scadenza e poi cadenza triennale. Fra 100 e 149 si parte il 7 giugno 2031.
Cosa serve avere
- Le categorie di lavoratori che svolgono lavoro uguale o di pari valore, definite dall’azienda con criteri messi per iscritto.
- Il calcolo di retribuzione media e mediana, composizione per quartile e componente variabile, per ciascuna categoria.
- I criteri oggettivi e neutri di inquadramento e progressione, scritti prima che un divario vada giustificato: sopra il 5% in una categoria, se il divario non è motivato con quei criteri e non è corretto entro sei mesi dalla comunicazione, scatta la valutazione congiunta con le rappresentanze (art. 10).
- Il registro delle elaborazioni e gli accessi ristretti alle sole finalità della parità retributiva (art. 11).
Un obbligo è già attivo dal 7 giugno 2026, senza soglia dimensionale: l’art. 7 dà a ogni lavoratore il diritto di chiedere per iscritto i livelli retributivi medi per genere, con risposta entro due mesi, e vieta le clausole che impediscono di rendere nota la propria retribuzione.
-
NIS: l’elenco categorizzato delle attività e dei servizi
- Norma
- Decreto legislativo 4 settembre 2024, n. 138, art. 30, comma 1, con l’art. 42, comma 2, e la determinazione ACN n. 155238/2026
- Chi riguarda
- Soggetti essenziali e soggetti importanti iscritti nell’elenco NIS, pubblici e privati.
Cosa serve avere
- L’elenco di tutte le attività svolte e dei servizi erogati, internamente ed esternamente, suddivisi nelle dieci macro-aree del modello ACN, con denominazione, descrizione e categoria di rilevanza per ciascuno: impatto alto, medio, basso o minimo.
- La valutazione scritta dietro ogni scostamento. La categoria di rilevanza pre-assegnata alla macro-area si può cambiare, ma solo sulla base di una propria valutazione dell’impatto di una compromissione, e quella valutazione va conservata: è il documento che vi verrà chiesto, non la categoria in sé.
- Il raccordo con le classificazioni già fatte: chi ha classificato dati e servizi ai sensi dell’art. 3 del Regolamento cloud dell’ACN usa quel modello al posto di questo, e le due classificazioni devono restare coerenti nel tempo. Alle attività e ai servizi che ricadono nel Perimetro di sicurezza nazionale cibernetica è attribuita d’ufficio la categoria «impatto alto» e non si elencano qui.
- La trasmissione tramite la piattaforma digitale dell’Agenzia entro la finestra: si apre il 1º maggio e si chiude il 30 giugno, e non si riapre.
L’obbligo è annuale — dal 1º maggio al 30 giugno di ogni anno — e si applica a partire dall’anno solare 2026: la prima finestra si è chiusa il 30 giugno 2026, questa è la successiva. Non è un adempimento di facciata. La categoria di rilevanza misura l’impatto che la compromissione di un’attività o di un servizio avrebbe sulla capacità dell’organizzazione di erogare le attività e i servizi per cui rientra nel perimetro NIS, ed è dichiaratamente strumentale alle misure di sicurezza dell’art. 24, comma 1: è lì che si decide quanto profondamente andrà protetto ciascun pezzo. Chi arriva a maggio senza un inventario aggiornato compila a memoria un documento che poi vincola le proprie misure.
-
Data Act: le clausole abusive raggiungono i contratti vecchi
- Norma
- Regolamento (UE) 2023/2854 (regolamento sui dati), capo IV — art. 13 —, applicabile ai sensi dell’art. 50, sesto comma
- Chi riguarda
- Imprese che hanno imposto unilateralmente a un’altra impresa clausole su accesso e uso dei dati, e imprese che quelle clausole le hanno subite.
Cosa serve avere
- La selezione dei contratti interessati: quelli conclusi il 12 settembre 2025 o anteriormente, a condizione che siano a tempo indeterminato oppure che scadano almeno dieci anni dopo l’11 gennaio 2024, cioè non prima dell’11 gennaio 2034 (art. 50, sesto comma). Gli altri contratti anteriori restano fuori.
- La rilettura clausola per clausola con il test dell’art. 13: è abusiva la clausola imposta unilateralmente il cui uso «si discosta considerevolmente dalle buone prassi commerciali in materia di accesso ai dati e relativo utilizzo, in contrasto con il principio di buona fede e correttezza» (paragrafo 3). Il paragrafo 4 elenca le clausole abusive in ogni caso, il paragrafo 5 quelle che si presumono tali.
- La conseguenza scritta accanto a ciascuna: la clausola abusiva «non è vincolante» per l’impresa che l’ha subita (paragrafo 1). Serve sapere in anticipo quali pezzi del contratto cadono e cosa resta in piedi.
- La rinegoziazione avviata per tempo dove la clausola è vostra: dopo il 12 settembre 2027 non si difende, si perde.
È la scadenza che nessuno si segna, perché non chiede un adempimento: chiede di sapere che cosa c’è scritto nei contratti firmati anni fa. Il capo IV si applica già ai contratti conclusi dopo il 12 settembre 2025; il 12 settembre 2027 la stessa disciplina raggiunge lo stock, ma solo per i rapporti lunghi — a tempo indeterminato o con scadenza non anteriore all’11 gennaio 2034. Chi le clausole le ha imposte ha poco più di un anno per riscriverle; chi le ha subite, per sapere quali cadranno.
-
Registro delle informazioni DORA: trasmissione annuale alla Banca d’Italia entro il 15 marzo
- Norma
- Regolamento (UE) 2022/2554, art. 28, par. 3 e 9; regolamento di esecuzione (UE) 2024/2956; comunicazione della Banca d’Italia del 13 febbraio 2026
- Chi riguarda
- Entità finanziarie di cui all’art. 2 del regolamento (UE) 2022/2554 vigilate dalla Banca d’Italia
Cosa serve avere
- L’elenco completo degli accordi contrattuali per l’utilizzo di servizi TIC prestati da fornitori terzi, tenuto e aggiornato a livello di entità e su base subconsolidata e consolidata: lo impone l’art. 28, par. 3.
- La distinzione, accordo per accordo, fra i servizi TIC che sostengono funzioni essenziali o importanti e tutti gli altri: è una qualificazione di rischio, non una classificazione tecnica.
- La posizione di ciascun fornitore nella catena di approvvigionamento: l’art. 2 del regolamento di esecuzione assegna sempre «1» al fornitore diretto e un numero superiore a ogni subappaltatore più a valle.
- I soli subappaltatori che svolgono un ruolo effettivo nei servizi a supporto di funzioni essenziali o importanti: il filtro è nell’art. 3, par. 2, lett. b), e presuppone di sapere già quali funzioni siano essenziali.
- Un LEI valido e attivo, o l’EUID, per ogni subappaltatore incluso nel registro: l’art. 3, par. 6, ne fa carico all’entità finanziaria, che deve ottenerlo tramite il fornitore diretto.
La data non è nel regolamento europeo, che fissa solo la cadenza annuale: l’ha stabilita la Banca d’Italia con la comunicazione del 13 febbraio 2026 — invio entro il 15 marzo di ogni anno, con data di riferimento al 31 dicembre precedente, tramite la piattaforma INFOSTAT. La prima raccolta si è svolta ad aprile 2025.
-
CBAM: la prima dichiarazione annuale copre tutto il 2026, se la soglia è stata superata
- Norma
- Regolamento (UE) 2023/956, art. 6, par. 1, e art. 2 bis, come sostituiti dal regolamento (UE) 2025/2083; allegato VII, punto 1; decorrenze all’art. 36, par. 2
- Chi riguarda
- Importatori di cemento, ferro e acciaio, alluminio, concimi, energia elettrica e idrogeno da paesi terzi, e i rappresentanti doganali indiretti che agiscono per importatori non stabiliti nell’Unione
Cosa serve avere
- Il totale cumulato della massa netta importata nell’anno civile, sommata su tutti i codici NC e per singolo importatore: la soglia dell’allegato VII è di 50 tonnellate e non si misura per spedizione né per fornitore.
- Le emissioni incorporate specifiche di ciascuna merce, che nascono nell’impianto del produttore extra-UE: l’allegato IV, punto 2, le vuole come valore specifico per impianto, e in assenza restano solo i valori predefiniti, di norma più onerosi.
- Le dichiarazioni doganali di ogni spedizione, che spesso restano presso lo spedizioniere o il rappresentante doganale indiretto e non in azienda.
- La previsione di superamento fatta in anticipo: l’art. 5, par. 1 ter, chiede la domanda di autorizzazione a chi prevede di superare la soglia, non a chi l’ha già superata.
- La consapevolezza che il superamento retroagisce: chi supera la soglia risponde per tutte le emissioni di tutte le merci importate nell’anno civile, comprese quelle dei mesi già chiusi.
La data è scritta, non calcolata: l’art. 6, par. 1, dispone «entro il 30 settembre di ogni anno, e per la prima volta nel 2027 per l’anno 2026». Entro la stessa data l’art. 22, par. 1, chiede anche la restituzione dei certificati.
-
Cyber Resilience Act: fascicolo tecnico e distinta base del software
- Norma
- Regolamento (UE) 2024/2847, artt. 13, 28, 30, 31 e 32, Allegati I e VII
- Chi riguarda
- Fabbricanti di prodotti con elementi digitali immessi sul mercato dell’Unione.
Cosa serve avere
- La documentazione tecnica dell’art. 31 con il contenuto minimo dell’Allegato VII, per famiglia di prodotto e aggiornata versione per versione: descrizione generale, architettura, gestione delle vulnerabilità, valutazione dei rischi, norme applicate, relazioni delle prove.
- La distinta base del software in un formato di uso comune e leggibile da un dispositivo automatico, con almeno le dipendenze di primo livello (Allegato I, parte II, punto 1).
- Il periodo di assistenza determinato e motivato: almeno cinque anni (art. 13, § 8), con le informazioni usate per stabilirlo dentro il fascicolo.
- Valutazione di conformità, dichiarazione di conformità UE e marcatura CE, in quest’ordine. Fascicolo e dichiarazione restano a disposizione delle autorità per almeno dieci anni dall’immissione sul mercato, o per il periodo di assistenza se più lungo.
- La distinta base classificata come documento riservato prima della prima richiesta motivata: chi la vede, con quale canale la trasmettete, dove è archiviata.
Per i prodotti «importanti» dell’Allegato III e «critici» dell’Allegato IV il fascicolo esce dall’azienda e finisce sul tavolo di un organismo notificato.
-
Regolamento imballaggi (PPWR): gli obblighi generali sono applicabili
- Norma
- Regolamento (UE) 2025/40, artt. 15-20, 38-39, 44-45, 71
- Chi riguarda
- Fabbricanti, importatori, distributori e fornitori di servizi di logistica che immettono o mettono a disposizione imballaggi sul mercato UE; i produttori soggetti a responsabilità estesa in ciascuno Stato membro dove vendono per la prima volta.
Cosa serve avere
- La dichiarazione di conformità UE (art. 39) e la documentazione tecnica dell’allegato VII, redatte prima dell’immissione sul mercato (art. 15, § 2) e conservate cinque anni per gli imballaggi monouso, dieci per i riutilizzabili, dalla data di immissione (art. 15, § 3).
- La prova che sostiene ogni requisito di sostenibilità dichiarato: sostanze che destano preoccupazione e PFAS (art. 5), riciclabilità (art. 6), contenuto di riciclato (art. 7), minimizzazione (art. 10) — ciascuno «dimostrato nella documentazione tecnica» dell’allegato VII, articolo per articolo.
- La registrazione del produttore nel registro nazionale di ciascuno Stato membro dove immette per la prima volta imballaggi o prodotti imballati (art. 44), propedeutica alla responsabilità estesa (art. 45); i distributori devono verificarla prima di mettere a disposizione l’imballaggio (art. 19, § 2).
Il regolamento sostituisce la direttiva 94/62/CE dal 12 agosto 2026 (art. 70) e si applica da quella data (art. 71), salvo l’art. 67, § 5, che decorre dal 12 febbraio 2029. Molti requisiti di dettaglio hanno però date proprie e successive: l’etichettatura armonizzata dal 12 agosto 2028 (art. 12), le soglie di riciclabilità dal 1° gennaio 2030 e dal 1° gennaio 2038 (art. 6), il contenuto minimo di riciclato dal 1° gennaio 2030 e dal 1° gennaio 2040 (art. 7), la riduzione al minimo dal 1° gennaio 2030 (art. 10). Le sanzioni le fissano gli Stati membri entro il 12 febbraio 2027 (art. 68): il regolamento non ne indica gli importi.
-
DataMatrix sui farmaci: finisce la sostituibilità col bollino
- Norma
- Decreto legislativo 6 febbraio 2025, n. 10, art. 13, commi 4, 6 e 9 (attuazione del regolamento delegato (UE) 2016/161)
- Chi riguarda
- Fabbricanti, grossisti, farmacie e strutture sanitarie che trattano medicinali per uso umano soggetti alla disciplina dell’identificativo univoco.
Cosa serve avere
- La prova che l’identificativo univoco (DataMatrix) sia apposto e attivato su ogni confezione fin dalla linea di produzione, non più sostituibile dal bollino farmaceutico della Zecca dello Stato.
- Il registro delle verifiche di autenticità e delle disattivazioni lungo la filiera — fabbricante, grossista, farmacia — richiesto dagli articoli 7 e 10 del decreto.
- La riconciliazione fra i sistemi che oggi non si parlano fra loro: Archivio nazionale, banca dati centrale, Sistema Tessera Sanitaria e gestionali di farmacia.
Il periodo di stabilizzazione dura dal 9 febbraio 2025 all’8 febbraio 2027 (art. 13, comma 4): fino a quella data l’identificativo può essere sostituito dal bollino (comma 6). Dal 9 febbraio 2027 tornano pienamente applicabili le sanzioni dell’articolo 10, commi 1, 3, 5, 6, 7 e 8 (comma 9), da 10.000 a 140.000 euro per lotto secondo la violazione. Un report dell’Osservatorio GIMBE n. 4/2026 rilevava, all’8 giugno 2026, quattro dei nove provvedimenti attuativi del decreto ancora non adottati.
-
Passaporto della batteria: il fascicolo elettronico diventa obbligatorio
- Norma
- Regolamento (UE) 2023/1542, art. 77
- Chi riguarda
- Chi immette sul mercato o mette in servizio batterie per mezzi di trasporto leggeri, batterie industriali con capacità superiore a 2 kWh e batterie per veicoli elettrici.
Cosa serve avere
- La composizione materiale del modello di batteria — chimica, sostanze pericolose, materie prime critiche — così come risulta dalla distinta base, pronta per l’allegato XIII, punto 1, lettera b).
- La dichiarazione dell’impronta di carbonio per stabilimento di fabbricazione (art. 7) e, per gli operatori sopra i 40 milioni di euro di fatturato netto, la relazione annuale pubblica sulla strategia relativa al dovere di diligenza per le materie prime critiche (artt. 48, 51 e 52), verificata da un organismo notificato.
- I dati sullo stato di salute e i parametri di durabilità della singola batteria, già presenti nel sistema di gestione di bordo dal 18 agosto 2024 (art. 14), e un passaporto nuovo e collegato per ogni batteria riparata, ricondizionata o avviata a una seconda vita (art. 77, § 7).
Il regolamento è direttamente applicabile, senza decreto di recepimento. Il passaporto non introduce dati nuovi: mette insieme, in un fascicolo unico accessibile da codice QR, dati che il regolamento impone già di produrre altrove — e che restano, a oggi, sparsi fra PLM, ufficio ambientale, acquisti e sistema di gestione di bordo. Le sanzioni le fissano gli Stati membri entro il 18 agosto 2025 (art. 93): non risultano verificate su fonte primaria per l’Italia, così come l’autorità nazionale di vigilanza sul mercato.
Due date che non chiedono documenti nuovi, ma li presuppongono.
Il 2 dicembre 2027 si applicano gli obblighi sui sistemi ad alto rischio dell’Allegato III dell’AI Act; il 2 agosto 2028 quelli sui sistemi integrati in prodotti già regolati, Regolamento Macchine compreso. Il calendario completo, con le date italiane collegate, è nell’altra guida.
AI Act: tutte le scadenze, in ordine
Il primo passo
Operativi dalla prima settimana.
Un caso d’uso reale, sui vostri dati, in produzione. Poi si cresce, settimana dopo settimana.
Si parte da una sessione con un nostro esperto di engagement. I dati restano vostri, sempre.