NIS2, 12 ottobre 2026: il termine è un documento, non una data

Uno scenario tipico, non un caso nostro. Un gruppo con tre società, tutte iscritte come soggetti NIS, si organizza attorno alla stessa scadenza: 12 ottobre 2026, la data che gira nei webinar e che compare anche nel nostro calendario delle scadenze. Il responsabile del gruppo fissa un termine unico per tutte e tre. Poi, cercando la comunicazione di inserimento nell’elenco da allegare al fascicolo, scopre che le tre società l’hanno ricevuta in tre giorni diversi — nessuna esattamente il 12 aprile 2025. Il piano unico smette di reggere: ogni società ha un termine proprio, e nessuno dei tre cade davvero il 12 ottobre.

La norma che delega, la determinazione che fissa

Il decreto legislativo 4 settembre 2024, n. 138 (decreto NIS, recepimento della direttiva (UE) 2022/2555) non scrive di suo pugno i termini. L’art. 31, commi 1 e 2, affida all’ACN il compito di stabilirli per gli obblighi degli articoli 23, 24, 25, 27, 28 e 29, «tenuto debitamente conto» di rischio, dimensione e gravità potenziale; l’art. 42, comma 1, lettera c), autorizza l’Agenzia, «in fase di prima applicazione», a fissare le specifiche di base. È lo stesso meccanismo che, con un’altra determinazione, individualizza anche la categorizzazione delle attività e dei servizi: il principio di proporzionalità del decreto NIS si traduce sempre in un giudizio sul singolo soggetto, mai in una regola identica per tutti.

ACN ha esercitato il potere sui termini una prima volta il 14 aprile 2025, poi con la determinazione n. 379907 del 19 dicembre 2025, in vigore dal 15 gennaio 2026. Il suo art. 3 dice, testualmente: comma 1, «il termine per l’adozione delle misure di sicurezza di base […] è fissato in diciotto mesi dalla ricezione, da parte del soggetto NIS della comunicazione di inserimento nell’elenco dei soggetti NIS»; comma 2, lo stesso conteggio ma a nove mesi per la notifica degli incidenti significativi di base. Gli stessi diciotto mesi valgono, dalla stessa ricezione, per gestori di domini di primo livello e registrar (art. 4, comma 1).

Il 12 ottobre non è scritto: lo abbiamo cercato

Abbiamo cercato la stringa «12 ottobre» nei tre testi ufficiali scaricati oggi dal sito ACN: la determinazione 379907/2025, la determinazione 127434/2026 e la pagina «Obblighi» del portale NIS. Non compare in nessuno dei tre. L’unico «ottobre» che si legge è un altro: il 16 ottobre 2024, entrata in vigore della normativa NIS.

Da dove viene, allora, la data che circola? Da un calcolo a ritroso su un punto di partenza reale ma parziale. La notizia ACN «NIS, avviata la seconda fase», del 15 aprile 2025, racconta che l’elenco ha individuato oltre 20.000 organizzazioni, di cui oltre 5.000 essenziali, e che «a partire dal 12 aprile ACN ha iniziato a comunicare ai soggetti interessati il loro inserimento o meno nell’elenco». Diciotto mesi dopo il 12 aprile 2025 cadono il 12 ottobre 2026: è la prima data possibile del ciclo, non l’unica né la più tardiva. Chi ha ricevuto la comunicazione il 20 aprile ha diciotto mesi da lì: il suo termine è il 20 ottobre, non il 12.

Non è la prima volta che troviamo questo scarto in una scadenza di conformità: vale anche per il censimento ICT della PA, dove il 30 settembre non è nella legge ma in un atto di AgID. Qui la logica è più insidiosa: l’atto che fissa il termine — la determinazione ACN — esiste ed è pubblico, ma il termine che fissa non è un giorno di calendario. È un conteggio che parte da un evento privato di ciascun soggetto.

Due testi della stessa autorità, due modi di contare

La pagina «Obblighi», di taglio divulgativo, descrive la stessa finestra in un altro modo: «il decreto legislativo stabilisce una prima differenziata finestra temporale di implementazione: 9 mesi per le notifiche e 18 mesi per le misure di sicurezza, decorrenti dalla data di consolidamento dell’elenco dei soggetti NIS (aprile 2025)». Qui il conteggio parte da una data unica dell’elenco. La determinazione, che è l’atto da cui discendono l’obbligo giuridico e la sanzione, lo fa decorrere invece dalla ricezione della comunicazione da parte del singolo soggetto: una data per ciascuno.

Non è una contraddizione da denunciare, e non ci risultano elementi per dire che una delle due letture sia sbagliata: sono due livelli diversi di descrizione, uno divulgativo e uno operativo, vicini finché la finestra fra la prima e l’ultima comunicazione resta contenuta. Ma «contenuta» non è «zero», e chi deve rispondere di un termine a un’ispezione non lo dimostra con la data media del settore: lo dimostra con la propria PEC.

Le conseguenze, in ordine di urgenza

Il vostro termine è un documento, non una data. Senza la comunicazione di inserimento e la sua data di ricezione, non sapete quale sia il vostro termine — e non potete dimostrarlo a un’ispezione. La prima cosa da fare non è aprire un piano di adeguamento: è ritrovare quella PEC nel protocollo.
In un gruppo, le date divergono. Più società dello stesso gruppo, iscritte separatamente, possono aver ricevuto la comunicazione in giorni diversi: hanno quindi termini diversi. Un piano di gruppo con un’unica data è sbagliato per costruzione, e l’errore si vede solo alla prima verifica, società per società.
Due regimi convivono. Chi era in elenco nel 2025 e vi resta segue il conteggio individuale (art. 3 della 379907/2025, richiamato dal comma 3 dell’art. 1 della determinazione n. 127434 del 13 aprile 2026). Chi entra per la prima volta nel 2026 ha invece date fisse, uguali per tutti: 31 luglio 2027 per le misure, 1° gennaio 2027 per la notifica. Un fornitore entrato quest’anno e un cliente iscritto l’anno scorso, nella stessa filiera, non hanno gli stessi obblighi alla stessa data: pesa sulle clausole dei contratti.
La notifica è già in vigore. I diciotto mesi valgono per le misure; i nove mesi per la notifica, prima ondata, sono scaduti a gennaio 2026. Chi pianifica ora le misure per ottobre può aver maturato da mesi, senza accorgersene, l’obbligo di notificare un incidente significativo.

Cosa fare adesso

Recuperate, per ciascun soggetto del gruppo, la comunicazione di inserimento e la sua data di ricezione: è quel documento, non il calendario, a fissare il termine.
Calcolate diciotto e nove mesi da quella data — non dal 12 ottobre dei convegni — e verificate a quale regime appartiene ciascun soggetto: 2025 individuale, o 2026 a data fissa.
Se la comunicazione non si trova, chiedetela al punto di contatto NIS del soggetto prima di costruire un piano su una data presunta.
Per l’elenco completo di ciò che deve stare nel fascicolo — verbali, analisi dei rischi, registro fornitori, piani di continuità — la lista articolo per articolo è qui.

Come lo risolviamo noi

Quella comunicazione, la sua data di ricezione e lo stato di ciascuna misura degli allegati 1 e 2 sono, in un gruppo con più soggetti NIS, dati sparsi su caselle di posta, protocolli e persone diverse — la frammentazione che rende un piano condiviso un’illusione. Il primo passo è farne un controllo che gira sui documenti e sui sistemi di ciascuna società: chi ha ricevuto cosa, quando, cosa è stato adottato e in quale data, con la traccia pronta da esibire a un’ispezione — non un foglio aggiornato a memoria una volta l’anno.

Lo stesso impianto, esteso oltre la singola scadenza, tiene insieme i dati del gruppo — comunicazioni ACN, registri fornitori, inventari di sistemi, log — in un modello operativo unico su cui agenti AI eseguono decisioni con un operatore al comando: non solo «quando scade il nostro termine», ma «quale società rischia di mancarlo, con quale misura ancora aperta». Per grandi imprese, difesa, pubblica amministrazione e sanità, in due modalità — on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure cloud dedicato CSIDIA, con VPN dedicata e data center in Italia presidiato direttamente da noi — e con gestione condivisa: chi non ha già in casa chi amministra sistemi AI non deve procurarselo.

Sapete già, per ciascuna società del vostro gruppo, quando è arrivata la comunicazione di inserimento nell’elenco dei soggetti NIS? Mezz’ora con un nostro esperto per la prima verifica sulle vostre date reali.