Per le organizzazioni inserite nell’elenco NIS durante il 2025, l’adozione delle misure di sicurezza di base scade 18 mesi dopo la ricezione della comunicazione di inserimento. ACN segnala che le prime scadenze cadono in ottobre 2026, ma il giorno esatto va ricavato dalla notifica ricevuta da ciascun soggetto: non esiste un’unica data di ottobre valida per tutti. Il quadro deriva dalle determinazioni sulle specifiche di base e dai chiarimenti ACN; il vademecum dell’11 settembre 2026 è uno strumento operativo, non un nuovo rinvio del termine.

L’adozione richiede la concreta implementazione dei requisiti applicabili ai soggetti importanti o essenziali, con evidenze documentali, valutazione dei rischi, procedure e coinvolgimento degli organi di amministrazione e direzione. Conviene chiudere le lacune rilevate nelle verifiche tecniche, tracciare decisioni e responsabilità, allineare contratti e presidio dei fornitori, e verificare separatamente le procedure di notifica degli incidenti già operative. La sola approvazione formale di una policy non dimostra l’attuazione dei requisiti tecnici e organizzativi.

Il calendario differisce per chi è entrato per la prima volta nell’elenco nel 2026: le misure di base sono dovute entro il 31 luglio 2027 e la notifica degli incidenti significativi di base decorre dal 1° gennaio 2027, secondo la determina ACN 127434/2026.