Risorse · aggiornato al 12 ottobre 2026
Scadenzario normativo: NIS2, GDPR, AI Act e Cyber Resilience Act
Le date che contano per sicurezza informatica e privacy, in ordine cronologico. Per ognuna: cosa cambia, chi riguarda, la fonte e il servizio collegato.
Lo scadenzario normativo di QSecurity raccoglie le scadenze di NIS2 (D.Lgs. 138/2024 e determinazioni ACN), GDPR, AI Act (con le modifiche dell’AI Omnibus), Cyber Resilience Act e legge italiana sull’intelligenza artificiale, con la fonte di ogni data.
Scadenze
Le date in ordine cronologico
Le date sono verificate sulle fonti indicate. Alcune scadenze NIS2 decorrono dalla comunicazione di inserimento nell’elenco: se l’hai ricevuta dopo aprile 2025, i tuoi termini possono essere diversi.
GDPRIn vigore
Applicazione del Regolamento (UE) 2016/679.
Chi riguarda: Tutte le organizzazioni che trattano dati personali
Fonte: Reg. (UE) 2016/679 · GDPR compliance
NIS2In vigore
Entra in vigore il D.Lgs. 138/2024, recepimento italiano della NIS2.
Chi riguarda: Soggetti essenziali e importanti
Fonte: D.Lgs. 138/2024 · Consulenza NIS2
Legge italiana sull'IAIn vigore
Entra in vigore la Legge 132/2025, che integra l'AI Act a livello nazionale.
Chi riguarda: Imprese ed enti che usano sistemi di intelligenza artificiale
Fonte: L. 132/2025 · GDPR compliance
NIS2In vigore
Diventa operativo il regime di notifica degli incidenti significativi al CSIRT Italia.
Chi riguarda: Soggetti in elenco ACN
Fonte: Determinazione ACN 379907/2025 · Monitoraggio 24/7
NIS2Ogni anno
Finestra annuale per registrare o aggiornare i dati sulla piattaforma ACN.
Chi riguarda: Soggetti NIS2
Fonte: D.Lgs. 138/2024 · Consulenza NIS2
NIS2In vigore
Termine per la categorizzazione di attività e servizi su 10 macro-aree.
Chi riguarda: Soggetti in elenco ACN
Fonte: Determinazione ACN 155238/2026 · Consulenza NIS2
AI ActIn vigore
Si applicano gli obblighi di trasparenza, confermati dall'AI Omnibus.
Chi riguarda: Chi fornisce o usa sistemi di IA che interagiscono con persone o generano contenuti
Fonte: Reg. (UE) 2024/1689 e AI Omnibus · GDPR compliance
Cyber Resilience ActIn vigore
Obbligo di segnalare vulnerabilità sfruttate e incidenti gravi: preallarme entro 24 ore, notifica entro 72 ore.
Chi riguarda: Produttori di prodotti con elementi digitali
Fonte: Reg. (UE) 2024/2847
NIS2Imminente
Le misure di sicurezza di base devono essere operative e documentate. Da ottobre l'ACN può avviare le verifiche.
Chi riguarda: Soggetti in elenco dal 2025
Fonte: Determinazione ACN 379907/2025 · Consulenza NIS2
AI ActIn arrivo
Si applicano gli obblighi per i sistemi ad alto rischio, rinviati dall'AI Omnibus.
Chi riguarda: Fornitori e utilizzatori di sistemi di IA ad alto rischio (Allegato III)
Fonte: AI Omnibus · GDPR compliance
Cyber Resilience ActIn arrivo
Piena applicazione: requisiti essenziali, documentazione tecnica e marcatura CE per i prodotti con elementi digitali.
Chi riguarda: Produttori, importatori e distributori
Fonte: Reg. (UE) 2024/2847
AI ActIn arrivo
Si applicano gli obblighi per l'IA ad alto rischio integrata nei prodotti.
Chi riguarda: Prodotti regolamentati che integrano sistemi di IA (Allegato I)
Fonte: AI Omnibus · GDPR compliance
Quali di queste scadenze riguardano la tua organizzazione? Te lo diciamo in un primo incontro.