Il processo di adeguamento al D.Lgs. 138/2024 (NIS2) non è un evento istantaneo, ma un percorso scandito da precise scadenze legali. Il mancato rispetto di queste tappe espone l'azienda a gravi responsabilità per gli amministratori e a sanzioni pecuniarie elevate.
Di seguito si indica il cronoprogramma dei principali adempimenti che sono previsti dal quadro normativo italiano.
Questa è stata la prima e più critica scadenza. Dal 1° gennaio al 28 febbraio di ogni anno, tutti i soggetti che rientrano nel perimetro NIS2 hanno l'obbligo di registrarsi sul portale ufficiale dell'ACN (Agenzia per la Cybersicurezza Nazionale), fornendo l'anagrafica aziendale, i contatti e l'elenco dei servizi digitali o infrastrutturali prestati.
Nel medesimo termine, i soggetti già registrati, hanno l'obbligo di aggiornare i dati precedentemente forniti.
I soggetti NIS sono tenuti a notificare allo CSIRT Italia gli incidenti considerati significativi.
In tale periodo i soggetti NIS sono chiamati ad assolvere specifici obblighi di aggiornamento anagrafico e di governance sul portale istituzionale.
In particolare, entro tale finestra temporale le aziende devono, tra le altre cose:
Designare il sostituto del punto di contatto (figura fondamentale per garantire la reperibilità e la continuità delle comunicazioni con l'ACN);
Fornire e aggiornare le informazioni previste dal D.Lgs. n. 138/2024 (indicazione dei componenti degli organi di amministrazione e direttivi, gli indirizzi IP pubblici e statici, unitamente ai nomi di dominio, in uso o nella disponibilità del soggetto, ecc.);
Comunicare e aggiornare l'elenco dei Fornitori Rilevanti, nei cui confronti si applica il decreto indipendentemente dalle dimensioni.
I soggetti NIS sono tenuti alla completa implementazione delle misure di sicurezza di base, così come individuate dalla determinazione ACN 379907/2025.
L’AI Act (Regolamento UE 2024/1689) è entrato ufficialmente in vigore il 1° agosto 2024. Il legislatore europeo ha previsto un meccanismo di applicazione graduale a scaglioni (phasing-in), volto a concedere ad aziende e management il tempo necessario per adeguare la propria corporate governance.
Di seguito si riepilogano le scadenze perentorie stabilite dal Regolamento, strutturate in ordine cronologico per supportare la pianificazione strategica del rischio e della compliance aziendale.
A sei mesi dall'entrata in vigore (termine già decorso), sono scattati i primi vincoli assoluti relativi alle pratiche vietate e ai requisiti minimi di competenza:
Pratiche Vietate (Art. 5): Divieto assoluto di immissione sul mercato, messa in servizio o utilizzo di sistemi di IA che manipolano il comportamento umano, effettuano lo scoring sociale (valutazione del comportamento sociale), i sistemi di riconoscimento delle emozioni sul luogo di lavoro e i sistemi di polizia predittiva basati sulla profilazione.
Alfabetizzazione sull'IA (Art. 4): Obbligo per i fornitori e i deployer (utilizzatori professionali) di adottare misure volte a garantire un livello adeguato di competenza in materia di IA (AI literacy) all'interno del proprio personale, in proporzione alle mansioni e al contesto di utilizzo.
A dodici mesi dall'entrata in vigore, diviene operativa la disciplina speciale dedicata ai modelli di intelligenza artificiale più potenti, ossia i Modelli GPAI (Capo V), entrando in vigore gli obblighi di classificazione, trasparenza e governance per i fornitori di modelli di IA per finalità generali (General Purpose AI, come i grandi modelli linguistici).
A ventiquattro mesi dall'entrata in vigore, scatta la colonna portante della normativa, che impatta direttamente sulla maggior parte delle imprese e delle Pubbliche Amministrazioni:
Sistemi ad Alto Rischio "Stand-alone" (Allegato III): Divengono obbligatori tutti gli adempimenti di compliance per i sistemi di IA ad alto rischio operanti in ambiti sensibili, tra cui: sistemi di screening e selezione del personale (HR); sistemi di valutazione del merito creditizio e scoring bancario; sistemi di gestione delle infrastrutture critiche; accesso a servizi pubblici essenziali e prestazioni sociali;
Obblighi di Trasparenza (Art. 50): Obbligo di informazione e marcatura per i sistemi di IA destinati a interagire direttamente con le persone fisiche (es. chatbot aziendali) e obbligo di etichettatura per i contenuti generati o manipolati da IA (deepfake).
A trentasei mesi dall'entrata in vigore, la normativa si estende ai sistemi embedded, ovvero integrati in prodotti regolamentati e, in particolare nei Sistemi ad Alto Rischio come Componenti di Sicurezza (Allegato I), con l'applicazione degli obbligi previsti dal Regolamento ai sistemi di IA che fungono da componenti di sicurezza per prodotti già soggetti a valutazione di conformità da parte di terzi ai sensi delle normative settoriali dell'Unione (es. macchinari, dispositivi medici, giocattoli, sicurezza automobilistica, ascensori).
** N.b: Nel contesto del pacchetto Omnibus digitale, la Commissione Europea ha proposto di collegare l'applicazione delle norme che disciplinano i sistemi di IA ad alto rischio alla disponibilità di strumenti di sostegno, comprese le necessarie norme armonizzate, con relativo differimento di alcuni termini di attuazione. Per maggiori informazioni, consultare la sezione dedicata del Sito internet della Commissione Europea.
Cosa succede se la vostra azienda ha superato le scadenze (registrazione NIS2 entro il 28 febbraio o divieti AI Act già in vigore) o se vi rendete conto solo ora di rientrare nei perimetri normativi?
In ambito di conformità legale, la regola d'oro è: meglio tardi che mai.
L'ordinamento e le autorità di controllo valutano l'attitudine dell'azienda verso il rischio. Regolarizzare la propria posizione in ritardo, ma in modo proattivo e volontario, offre enormi vantaggi strategici rispetto all'inerzia:
Attenuazione delle sanzioni: dimostrare di aver avviato un percorso di adeguamento - seppur tardivo - costituisce un fattore attenuante decisivo in sede di accertamento.
Protezione degli amministratori: gli organi di amministrazione e direttivi in alcuni casi rispondono personalmente della mancata compliance. Avviare immediatamente un remediation plan interrompe la condotta omissiva e limita la responsabilità per colpa grave della governance.
Resilienza commerciale: Attendere un incidente informatico per accorgersi di essere fuori norma significa affrontare contemporaneamente un blocco del business, un danno reputazionale e un procedimento sanzionatorio difficilmente difendibile.
Se siete in ritardo sulla tabella di marcia di NIS2 e AI Act, il momento di agire è adesso. Siamo a disposizione per assistervi nella regolarizzazione tardiva e nella strutturazione di un piano di compliance per recuperare il tempo perduto.