Il calendario degli adempimenti NIS

Il contesto e il problema

Gli obblighi verso l'ACN hanno in parte un ritmo annuale fisso, stabilito dagli artt. 7 e 30 del Decreto NIS e dalle determinazioni attuative. Alle finestre ricorrenti si sommano i termini relativi alla comunicazione di inserimento nell'elenco (9 mesi per le notifiche, 18 mesi per le misure) e i termini assoluti dell'art. 25 in caso di incidente (24 ore / 72 ore / 1 mese). Perdere una scadenza non è un ritardo amministrativo: l'art. 38 prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, per i soggetti essenziali, e fino a 7 milioni o all'1,4% per gli importanti, oltre alla responsabilità personale delle persone fisiche apicali.

Il problema è che queste scadenze non vivono in un unico luogo: alcune si leggono sulla piattaforma ACN, altre nelle determinazioni, altre ancora dipendono dalla data di inserimento dell'organizzazione nell'elenco. Un calendario statico non basta: le date cambiano con le determinazioni, e gli adempimenti generati dagli incidenti nascono in corso d'opera con l'orologio già partito.

La piattaforma di iusprivacy

La piattaforma iusprivacy gestisce gli adempimenti NIS in un modulo dedicato — Controllo → Adempimenti — che funziona come lo scadenzario unico del registro. Alla creazione del Modello Organizzativo, se l'organizzazione non è dichiarata estranea alla disciplina, la piattaforma genera automaticamente i cinque adempimenti del calendario NIS, ciascuno con il proprio codice e il riferimento normativo: le tre finestre annuali con la loro prossima scadenza, le due scadenze legate all'inserimento nell'elenco non appena se ne indica la data. Gli altri adempimenti nascono dagli incidenti (pre-notifica, notifica, relazione finale) oppure si scrivono a mano: fra questi l'aggiornamento continuo delle informazioni comunicate all'ACN, dovuto entro 14 giorni da ogni variazione (art. 7, c. 7), che nasce da un fatto che la piattaforma non conosce e si registra quando accade.

Lo scadenzario NIS: gli adempimenti generati automaticamente con codice, titolo, stato, priorità e scadenza

I cinque adempimenti: tre finestre annuali e due termini dall'inserimento

NIS-REG — Registrazione o aggiornamento (1° gennaio – 28 febbraio): la registrazione sulla piattaforma digitale ACN con ragione sociale, recapiti, punto di contatto, settori. Fonte: art. 7, c. 1.
NIS-AGG — Aggiornamento annuale delle informazioni (15 aprile – 31 maggio): spazio IP e domini, Stati membri serviti, responsabili, sostituto del punto di contatto e, dal 2026, l'elenco dei fornitori rilevanti NIS con denominazione, codice fiscale, sede, codici CPV e criterio di rilevanza. Fonte: art. 7, c. 4; Det. 127437/2026.
NIS-CAT — Elencazione e categorizzazione (1° maggio – 30 giugno): l'attribuzione della categoria di rilevanza a ogni attività e servizio. Decorso il termine l'elenco si intende acquisito in via definitiva e non è più modificabile. Fonte: art. 30, c. 1; art. 42, c. 2; Det. 155238/2026; Det. 127437/2026, art. 20, c. 4.
NIS-CSIRT — Designazione del Referente CSIRT e decorrenza dell'obbligo di notifica: per i soggetti inseriti nel 2026, Referente designato entro il 31 dicembre 2026, obbligo di notifica dal 1° gennaio 2027. Fonte: Det. 379907/2025, art. 3, c. 2; Det. 127434/2026.
NIS-MISURE — Adozione delle misure di sicurezza di base: entro 18 mesi dalla comunicazione di inserimento (per i soggetti inseriti nel 2026: entro il 31 luglio 2027). Fonte: Det. 379907/2025, art. 3, c. 1; Det. 127434/2026.

I termini a incidente

Quando chi valuta l'incidente dichiara la notifica dovuta nella scheda NIS2 del fascicolo, al salvataggio la piattaforma genera gli adempimenti di notifica, con i termini calcolati dal momento giuridicamente rilevante indicato nella scheda:

Pre-notifica — entro 24 ore (art. 25, c. 5, lett. a).
Notifica — entro 72 ore (art. 25, c. 5, lett. b).
Relazione finale — entro 1 mese dalla trasmissione della notifica (art. 25, c. 5, lett. d).
Relazione mensile — se l'incidente è ancora in corso quando si aggiorna la scheda (art. 25, c. 5, lett. e); a incidente chiuso, la relazione dopo la conclusione.

Se l'incidente tocca anche dati personali e la scheda GDPR dichiara la notifica dovuta, nasce in parallelo l'adempimento di notifica al Garante, da fare ove possibile entro 72 ore dal momento indicato in quella scheda (art. 33 GDPR); allo stesso modo nascono le notifiche della scheda DORA. Più discipline, più destinatari, un solo fascicolo.

La scheda dell'adempimento

Ogni adempimento ha un titolo, un codice (proposto, es. NIS-CAT-2027), una descrizione con il riferimento normativo, l'origine (generato da una regola di catalogo, nato da un incidente oppure scritto a mano, per esempio a seguito di un'azione di mitigazione), la normativa di riferimento, la scadenza, il responsabile e lo stato. I filtri «Solo da guardare», «Solo in ritardo» e «Solo in scadenza» sono la vista quotidiana; l'esportazione XLS serve alle riunioni. Un numero accanto alla voce di menu segnala quelli che richiedono attenzione.

Cosa ottieni

Uno scadenzario unico per tutto il registro: le finestre ACN, i termini a 9 e 18 mesi, i termini a incidente, i rinnovi che si scrivono a mano.
Adempimenti NIS generati automaticamente alla creazione del Modello Organizzativo, con codice, descrizione e riferimento normativo precompilati.
Termini di notifica calcolati dalla piattaforma quando la notifica di un incidente è dichiarata dovuta.
Il parallelo NIS2, GDPR e DORA gestito nello stesso scadenzario: più discipline, un unico punto di controllo.
Il pulsante Scadenzario NIS, che crea gli adempimenti del calendario che mancano, compresa l'occorrenza dell'anno successivo di ogni finestra.

Hai bisogno di assistenza sulla registrazione o sull'aggiornamento annuale? La consulenza NIS2 di iusprivacy ti affianca in ogni finestra.

FAQ

D. Gli adempimenti si creano manualmente o automaticamente?

R. Entrambi. I cinque adempimenti del calendario NIS nascono automaticamente con il Modello Organizzativo. Gli adempimenti legati agli incidenti nascono quando la scheda normativa del fascicolo dichiara dovuta la notifica. Tutto il resto si crea a mano: le scadenze aggiuntive (contratti, certificazioni, rinnovi) e quelle che discendono da un'azione di mitigazione.

D. Cosa succede se un adempimento scade?

R. L'adempimento resta nel suo stato — aperto, in lavorazione o sospeso — e compare nel filtro «Solo in ritardo». Il cruscotto direzionale lo conta fra gli «Adempimenti scaduti e non conclusi», nella sezione «Richiede attenzione». Un adempimento si chiude con un gesto esplicito dell'utente; fanno eccezione le notifiche di un incidente, che la piattaforma chiude, con la motivazione, se una valutazione successiva stabilisce che la notifica non è più dovuta, e riapre se torna a esserlo.

D. Posso cambiare le scadenze degli adempimenti generati automaticamente?

R. Sì, e ogni modifica resta nel registro di audit. Le scadenze precompilate seguono i termini delle determinazioni ACN vigenti; per le notifiche degli incidenti la piattaforma conserva accanto anche la scadenza calcolata dalla norma, che non si modifica e si confronta con quella scritta. Se cambia la data di inserimento nell'elenco, la linguetta NIS del Modello Organizzativo segnala con l'avviso «Scadenze non aggiornate» quali adempimenti correggere: la piattaforma segnala, non decide.

D. Come si gestisce la notifica materiale al CSIRT Italia?

R. La notifica materiale si esegue sui canali del CSIRT Italia, non nella piattaforma iusprivacy. La piattaforma traccia l'adempimento (pre-notifica, notifica, relazione), calcola i termini e conserva la traccia dell'invio: il responsabile, la data di completamento e le note di chiusura.

Servizi di consulenza

La piattaforma NIS2