Back
🇧🇪 Belgium🇳🇱 Netherlands🇩🇪 Germany🇫🇷 France🇮🇹 Italy
🇮🇹
NIS2 timeline · Italy
Decreto Legislativo 4 settembre 2024, n. 138 (attuazione direttiva NIS2)
In force since 2024-10-16
Agenzia per la Cybersicurezza Nazionale ·National law text ·Official source page
Milestone pipeline
  1. 16 Oct 24
  2. 16 Oct 24
    Enforcement
  3. 01 Dec 24
  4. 28 Feb 25
  5. 31 Mar 25
  6. 31 May 25
  7. 01 Jan 26
  8. 01 Oct 26
Past Now (±30d) Upcoming Enforcement
Filter:
  1. Regulatory
    16 Oct 2024
    D.Lgs. 138/2024 entra in vigore

    Entrata in vigore del decreto legislativo italiano di attuazione della direttiva NIS2. ACN designata Autorità nazionale competente NIS e CSIRT Italia come CSIRT nazionale.

    Gazzetta Ufficiale — GU n.230 del 01-10-2024 (24G00155) ·verified 2026-06-28
  2. Enforcement
    16 Oct 2024
    Sanzioni amministrative pecuniarie (art. 38 D.Lgs. 138/2024)

    Soggetti essenziali (privati): fino a €10.000.000 o 2% del fatturato annuo mondiale (il maggiore). Soggetti importanti (privati): fino a €7.000.000 o 1,4% (il maggiore). Soggetti pubblici essenziali: €25.000 – €125.000; importanti: ridotti di un terzo. Responsabilità degli organi di amministrazione e direzione ex art. 38.

    Normattiva — D.Lgs. 138/2024 art. 38 ·verified 2026-06-28
  3. Regulatory
    01 Dec 2024
    Apertura della piattaforma di registrazione ACN

    Notizia ACN del 29 novembre 2024: «NIS: attiva dal 1° dicembre la registrazione sulla piattaforma ACN».

    ACN — Portale NIS ·verified 2026-06-28
  4. Regulatory
    28 Feb 2025
    Finestra annuale di registrazione: 1° gennaio – 28 febbraio

    Art. 7, c. 1 D.Lgs. 138/2024: «Dal 1° gennaio al 28 febbraio di ogni anno successivo… i soggetti di cui all'art. 3 si registrano o aggiornano la propria registrazione». Per il 2025 la scadenza è quindi il 28 febbraio 2025.

    Normattiva — D.Lgs. 138/2024 art. 7 ·verified 2026-06-28
  5. Regulatory
    31 Mar 2025
    ACN redige l'elenco dei soggetti essenziali e importanti (entro il 31 marzo)

    Art. 7, c. 2 D.Lgs. 138/2024: «Entro il 31 marzo di ogni anno… l'Autorità nazionale competente NIS redige… l'elenco dei soggetti essenziali e dei soggetti importanti».

    Normattiva — D.Lgs. 138/2024 art. 7 ·verified 2026-06-28
  6. Regulatory
    31 May 2025
    Aggiornamento annuale delle informazioni: 15 aprile – 31 maggio

    ACN: «ogni anno, dal 15 aprile al 31 maggio, i soggetti NIS sono chiamati ad effettuare l'aggiornamento annuale delle informazioni» (servizi prestati, indirizzi IP, nomi a dominio, presenza negli Stati membri).

    ACN — Portale NIS (Aggiornamento delle informazioni) ·verified 2026-06-28
  7. Regulatory
    01 Jan 2026
    Obblighi di notifica degli incidenti — applicabili dal 1° gennaio 2026

    Art. 42, c. 2 D.Lgs. 138/2024: «L'obbligo di cui all'articolo 30, comma 1, si applica a partire dal 1° gennaio 2026». ACN conferma: «a partire da gennaio 2026 saranno soggetti all'obbligo di notifica degli incidenti significativi». Canale: CSIRT Italia.

    Normattiva — D.Lgs. 138/2024 art. 42 ·verified 2026-06-28
  8. Today · 08/08/2026
    Regulatory
    2026 10-01· quarter
    Misure di sicurezza di lungo termine — entro ottobre 2026

    ACN comunica che entro ottobre 2026 i soggetti dovranno avere adottato le misure di sicurezza richieste dal decreto. Termine derivato dall'art. 42, c. 1, lett. c) (18 mesi dalla comunicazione ex art. 7, c. 3). Nessuna data esatta pubblicata.

    ACN — Portale NIS (Obblighi) ·verified 2026-06-28

Information is curated from public official sources and verified manually. It is not legal advice. Verify dates against the national authority's website before acting on a deadline.