Ho provato a riepilogare, soprattutto per me stesso, le scadenze NIS. Lo dico subito: Governo e ACN non ci stanno rendendo la vita facile e questo conferma la mia impressione, ossia che dietro a tutto questo c'è un'impostazione da "grande azienda" (o da "grande società di consulenza" o da "professore") e temo che non ne siano consapevoli (perché tutto ciò ha anche delle conseguenze).

Come sempre: segnalatemi errori. Per questa prima bozza ringrazio Cristina Borghetti e Donato Taccogna degli Idraulici della privacy.

Soggetti NIS: anni successivi

- Dal 1 gennaio al 28 febbraio: aggiornamento anagrafiche come richiesto dall'art. 7, comma 1 del D. Lgs. 138 e art. 11 Determinazione art. 7;

- fino al 14 aprile: ulteriore finestra di aggiornamento anagrafiche, come richiesto dall'art. 16 Determinazione art. 7 [questa pare ridondante, visto che le modifiche vanno comunicate entro 14 giorni];

- Dal 15 aprile al 31 maggio: aggiornamento anagrafiche (inclusi indirizzamento IP pubblico e i nomi di dominio, Stati membri in cui forniscono servizi, fornitori) come richiesto dall'art. 7, commi 4 e 5 del D. Lgs. 138 e art. 16 Determinazione art. 7;

- dal 1  maggio  al  30 giugno: elenco macro-aree e impatti, come richiesto dall'art. 30, comma 1 del D. Lgs. 138 e art. 20 Determinazione art. 7;

- Dal 1 settembre al 30 novembre: designazione del rappresentante NIS in Italia e aggiornamento; come richiesto dall'art. 7, commi 4 e 5 della determinazione art 7.

Soggetti NIS: modifiche

- entro 14 giorni dalla modifica: comunicazione ad ACN delle informazioni (art. 7 comma 7 del D. Lgs. 138 e art. 1 comma 1 lettera hh della Determinazione art. 7)

Soggetti NIS: inizializzazione:

- Dal 1 gennaio al 28 febbraio: iscrizione sulla piattaforma NIS (art. 7, comma 1 del D. Lgs. 138 e art. 11 Determinazione art. 7);

- Dal 15 aprile al 31 maggio: ulteriore anagrafiche, inclusi indirizzamento IP pubblico e i nomi di dominio, Stati membri in cui forniscono servizi, fornitori, sostituto punto di contatto (art. 7, commi 4 e 5 del D. Lgs. 138 e artt. 5 e 16 Determinazione art. 7).

- dal 1 gennaio 2027: obbligo di notificare gli incidenti per chi si è registrato nel 2026 (Determinazione art. 31)

- 31 luglio 2027: implementazione delle misure di sicurezza di base per chi si è registrato nel 2026 (Determinazione art. 31)

Riferimenti alle determine al 6 maggio 2026:

- Determinazione art. 7:  " Determinazione del Direttore generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 7, comma 6, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, recante termini, modalità e procedimenti di utilizzo e accesso alla piattaforma digitale nonché ulteriori informazioni che i soggetti devono fornire all’Autorità nazionale competente NIS e termini, modalità e procedimento di designazione dei rappresentanti NIS sul territorio nazionale" -- sul sito la si trova come "Determinazione ACN 127437/2026 - Piattaforma, Punto di contatto e sostituto, aggiornamento delle informazioni e rappresentante NIS di cui all'articolo 7 del decreto NIS"

- Determinazione art. 31: " Determinazione del Direttore Generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 31, commi 1 e 2, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, lettera l), che stabilisce i termini per l’adempimento agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto medesimo per i soggetti inseriti per la prima volta nell’elenco nell’anno solare 2026" --- sul sito la si trova come "Determinazione ACN 127434/2026 - Termini per i soggetti 2026 in relazione agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS"

Come scadenze, la Determinazione art. 7 copre anche quelle relative agli accordi di condivisione di cui alla "Determinazione del Direttore generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 17, comma 4, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, lettera f), recante le modalità con cui i soggetti essenziali e i soggetti importanti notificano all’Autorità nazionale competente NIS la loro partecipazione agli accordi di condivisione delle informazioni sulla sicurezza informatica" -- sul sito la si trova come "Determinazione ACN 136118 del 10 aprile 2025 – Notifica degli accordi di condivisione delle informazioni sulla sicurezza informatica di cui all'articolo 17 del decreto NIS".