Plazos de compliance 2026-2027: el calendario de fechas que debes anotar en la agenda

Los plazos de compliance ya no llegan de uno en uno: se solapan. En apenas doce meses, una pyme italiana puede verse gestionando el cierre de las medidas básicas de NIS2, las nuevas obligaciones de transparencia del AI Act, el primer informe sobre la brecha salarial y la transición a la nueva ISO 9001. Cada uno de estos plazos, por separado, es asumible. Todos juntos, sin un calendario único, se convierten en la forma más rápida de acumular no conformidades y sanciones evitables.

Esta guía reúne los plazos de compliance de 2026 y 2027 que afectan de verdad a las pequeñas y medianas empresas italianas, verificados en los textos normativos y en las comunicaciones de las autoridades públicas actualizados a 31 de octubre de 2026. Los hemos dividido en cuatro grupos: obligaciones ya en vigor, plazos antes de que acabe 2026, plazos de 2027 y fechas de 2028 en adelante. Encontrarás una tabla resumen para copiar en tu calendario de vencimientos y, para cada normativa, qué hacer en la práctica. Cuando una fecha depende de tu situación concreta, como ocurre con NIS2, lo decimos con claridad en lugar de indicar un mismo día para todos.

¿No sabes en qué clase de riesgo están tus sistemas de IA? Haz la verificación gratuita de la clase de riesgo AI Act: cinco preguntas, dos minutos, con obligaciones y plazos.

Cómo leer este calendario de plazos de compliance

Un calendario de vencimientos de compliance solo es útil si distingue entre obligaciones ya operativas y obligaciones futuras. Muchas empresas tratan como "plazo" una obligación que en realidad lleva meses en vigor, y corren el riesgo de descubrirlo durante una inspección.

¿Qué es un calendario de vencimientos de compliance?

Un calendario de vencimientos de compliance es la lista ordenada de fechas antes de las cuales la empresa debe adoptar una medida, enviar una comunicación o superar una auditoría. No coincide con la agenda legal: incluye también las ventanas anuales recurrentes (como las de la plataforma de la ACN para NIS2), las transiciones de las normas ISO y los plazos internos relacionados, por ejemplo la revisión de la evaluación de riesgos antes de una auditoría de seguimiento. Para una pyme que gestiona varias normativas, es la herramienta que evita las prisas de la última semana.

En esta guía usamos cuatro etiquetas. Ya en vigor indica obligaciones que debes cumplir hoy, aunque la fecha de inicio ya haya pasado. Antes de que acabe 2026 indica los plazos de noviembre y diciembre de 2026. 2027 reúne las fechas del año que viene, incluidas las ventanas anuales que se reabren. 2028 y después se refiere a las transiciones largas, que hay que planificar ahora precisamente porque parecen lejanas.

Por qué algunas fechas son "por entidad" y no iguales para todos

No todos los plazos tienen un día fijo válido para cualquier empresa. El caso más evidente es NIS2: los plazos para notificaciones y medidas de seguridad empiezan a contar desde la comunicación individual con la que la Agencia Nacional de Ciberseguridad italiana (ACN) informa a la entidad de su inclusión en el listado. Dos empresas incluidas el mismo año pueden tener plazos que difieren en unos días.

Lo mismo sucede con las certificaciones: la auditoría anual de seguimiento de una ISO 9001 o de la certificación de igualdad de género depende de la fecha de emisión de tu certificado, no de una fecha nacional. Por eso, junto a las fechas generales, te indicamos siempre a partir de qué hecho empieza el cómputo. Una regla práctica: cuando una fuente da "el 31 de octubre" o "el 30 de junio" para todos, comprueba siempre el documento que te afecta directamente.

El calendario de plazos de compliance 2026-2027 en una tabla

La siguiente tabla resume las fechas confirmadas por textos normativos y comunicaciones oficiales. Las fechas "por entidad" se indican como tales. Las ventanas recurrentes de 2027 se recogen según las reglas hoy vigentes: si la autoridad las modifica, actualizaremos la guía.

Junto a estas fechas están los plazos "móviles" ligados a tus certificados: auditorías anuales de seguimiento y renovaciones trienales de ISO 9001, ISO 14001, ISO 27001 y de la certificación de igualdad de género UNI/PdR 125.

NIS2: qué queda por hacer tras el plazo de las medidas básicas

Para la mayoría de las entidades NIS incluidas en el listado en 2025, octubre de 2026 marca el paso de la fase de adaptación a la de supervisión. Pero el calendario NIS2 no termina aquí: el Decreto Legislativo 138/2024 (el decreto italiano de transposición de NIS2) prevé obligaciones que se repiten cada año en la plataforma de la ACN, y quien entró en 2026 tiene sus propios plazos. Si aún no sabes si tu empresa entra en el ámbito de aplicación, nuestra página sobre la directiva NIS2 y el Decreto Legislativo 138/2024 explica los criterios.

Octubre de 2026: medidas básicas e inicio de la supervisión

Según la ACN, las entidades NIS deben adoptar las medidas de seguridad básicas antes de octubre de 2026. El plazo es de 18 meses desde la comunicación de inclusión en el listado: si la recibiste en abril de 2025, tu plazo vence en octubre de 2026, el día correspondiente. Muchos comentarios indican el 31 de octubre como fecha única, pero la referencia correcta sigue siendo tu comunicación individual.

Las medidas básicas están definidas en la determinación de la ACN n.º 379907/2025, aplicable desde el 15 de enero de 2026, que sustituyó a la anterior determinación n.º 164179 de abril de 2025. Abarcan gobernanza, gestión de riesgos, gestión de incidentes, continuidad de negocio, cadena de suministro, control de accesos y formación, con requisitos diferenciados entre entidades esenciales e importantes.

Si a finales de octubre el trabajo no está terminado, la prioridad no es ocultar el retraso sino documentarlo: un plan de adaptación con responsables, plazos y evidencias de avance es lo que demuestra un enfoque serio en caso de inspección. Las sanciones previstas en el artículo 38 del decreto llegan hasta 10 millones de euros o el 2 % del volumen de negocio mundial anual para las entidades esenciales, y hasta 7 millones de euros o el 1,4 % para las entidades importantes.

Las obligaciones recurrentes en la plataforma de la ACN

Cada entidad NIS tiene tres ventanas anuales que vigilar, fijadas por la determinación de la ACN n.º 314287/2026, que desde el 25 de octubre de 2026 sustituyó a la n.º 127437/2026. Del 1 de enero al 28 de febrero hay que realizar el registro o su actualización en la plataforma de la ACN: quien ya figura en el listado y no tiene cambios que comunicar no tiene que repetirlo. Del 15 de abril al 31 de mayo hay que actualizar el conjunto de información exigido por el artículo 7 del decreto, que incluye, entre otras cosas, los puntos de contacto y la relación de proveedores relevantes NIS. Por último, del 1 de mayo al 30 de junio se comunica la lista categorizada de actividades y servicios según el modelo de la determinación 155238/2026; las entidades financieras sujetas a DORA están exentas.

La obligación de notificar los incidentes significativos, en cambio, es continua. Para las entidades incluidas en 2025 está operativa desde enero de 2026 y sigue la secuencia fijada por el decreto: prenotificación en las 24 horas siguientes a tener conocimiento del incidente, notificación en 72 horas e informe final en un mes desde la notificación. Un procedimiento escrito, con nombres y teléfonos de guardia, vale más que cualquier política genérica.

Entidades incluidas en el listado en 2026: diciembre de 2026 y julio de 2027

Quien recibió la comunicación de inclusión en 2026 sigue un calendario distinto, fijado por la determinación de la ACN n.º 127434/2026. Antes del 31 de diciembre de 2026 debe designar el punto de contacto con el CSIRT, es decir, la persona que se relaciona con el CSIRT Italia y gestiona las notificaciones. Desde el 1 de enero de 2027 rige la obligación de notificar los incidentes significativos. Antes del 31 de julio de 2027 deben adoptarse las medidas de seguridad básicas.

Para estas entidades, el error más frecuente es leer las guías escritas para quien entró en 2025 y concluir que ya van con retraso o, al contrario, subestimar que julio de 2027 está a menos de nueve meses. Un análisis de brechas completado antes de fin de año deja el primer semestre de 2027 para la implantación.

AI Act tras el Digital Omnibus: qué fechas valen de verdad

El Digital Omnibus aplazó las obligaciones para los sistemas de alto riesgo, pero no aplazó el AI Act. Es la distinción más importante que hay que hacer hoy. El reglamento de modificación (UE) 2026/1744 fue aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026, publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Las fechas de los capítulos no afectados por el aplazamiento siguen siendo las originales del reglamento (UE) 2024/1689.

Ya en vigor: prohibiciones, alfabetización, modelos de uso general y artículo 50

Desde el 2 de febrero de 2025 están prohibidas las prácticas de IA consideradas inaceptables, como la manipulación subliminal o la puntuación social, y se aplica la obligación de alfabetización en IA del artículo 4. El Digital Omnibus la ha reformulado: proveedores y responsables del despliegue deben adoptar medidas para fomentar la alfabetización de su personal, sin tener que garantizar un nivel concreto para cada persona. La obligación se mantiene, pero se vuelve más proporcionada.

Desde el 2 de agosto de 2025 se aplican las normas sobre los modelos de IA de uso general, la gobernanza y el régimen sancionador. Desde el 2 de agosto de 2026 están operativas las obligaciones de transparencia del artículo 50: quien ofrece un chatbot debe informar al usuario de que está interactuando con una IA, quien genera contenidos sintéticos debe marcarlos de forma legible por máquinas y quien difunde deepfakes debe declararlos. Hemos dedicado una guía específica a las obligaciones de transparencia del artículo 50 del AI Act, con ejemplos prácticos para pymes.

En Italia, la Ley 132/2025, en vigor desde el 10 de octubre de 2025, designó a AgID y a la ACN como autoridades nacionales para la inteligencia artificial. Las sanciones del AI Act llegan hasta 35 millones de euros o el 7 % del volumen de negocio mundial por prácticas prohibidas y hasta 15 millones o el 3 % por el incumplimiento de otras obligaciones, incluido el artículo 50, aplicándose a pymes y startups el importe menor.

2 de diciembre de 2026: el plazo olvidado del marcado

El 2 de diciembre de 2026 es la única fecha del AI Act de los próximos dos meses, y es fácil pasarla por alto. Para los sistemas de IA generativa introducidos en el mercado antes del 2 de agosto de 2026, la obligación de marcado técnico del artículo 50, apartado 2, se aplica desde el 2 de diciembre de 2026. Afecta sobre todo a quien desarrolla o integra herramientas que generan textos, imágenes, audio o vídeo, por ejemplo una empresa de software que ha lanzado un asistente generativo para sus clientes. Desde esa misma fecha se aplican también las nuevas prohibiciones introducidas por el Digital Omnibus: queda prohibido introducir en el mercado o utilizar sistemas de IA que generan imágenes, vídeos o audios íntimos o sexualmente explícitos de personas identificables sin su consentimiento, o material de abuso sexual infantil.

Si solo usas herramientas de terceros, este plazo recae en el proveedor de la herramienta. Aun así, conviene preguntarle por escrito cómo piensa adaptarse, porque las obligaciones de etiquetado de los deepfakes y de los textos publicados sobre temas de interés público siguen correspondiendo a quien los difunde.

2 de diciembre de 2027 y 2 de agosto de 2028: los sistemas de alto riesgo

El Digital Omnibus trasladó las obligaciones para los sistemas de alto riesgo del Anexo III, los que se usan por ejemplo en la selección de personal, la evaluación de la solvencia o el acceso a la educación, del 2 de agosto de 2026 al 2 de diciembre de 2027. Las obligaciones para los sistemas de alto riesgo integrados en productos ya regulados (Anexo I, como máquinas o productos sanitarios) pasan al 2 de agosto de 2028.

El aplazamiento da tiempo, no una exención. Una empresa que usa un software de IA para filtrar currículos será responsable del despliegue de un sistema de alto riesgo desde diciembre de 2027 y tendrá que garantizar supervisión humana, conservación de los registros e información a los trabajadores. Mapear hoy los sistemas en uso, con un inventario que indique para cada uno el papel de la empresa, la finalidad y el nivel de riesgo, es el primer paso concreto.

Cyber Resilience Act y DORA: los plazos para quien fabrica tecnología y para la cadena financiera

Dos reglamentos europeos afectan directamente a una parte de las pymes e indirectamente a muchas otras. El Cyber Resilience Act se aplica a quien fabrica productos con elementos digitales; DORA, a las entidades financieras, pero sus requisitos se trasladan en cascada a los proveedores TIC a través de los contratos.

Cyber Resilience Act: notificaciones desde el 11 de septiembre de 2026, aplicación plena en diciembre de 2027

El reglamento (UE) 2024/2847, conocido como Cyber Resilience Act, tiene tres fechas. Desde el 11 de junio de 2026 se aplican las normas sobre la notificación de los organismos de evaluación de la conformidad. Desde el 11 de septiembre de 2026 los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a sus productos. Desde el 11 de diciembre de 2027 se aplica todo el reglamento, incluidos los requisitos esenciales de ciberseguridad y el marcado CE.

Según la Comisión Europea, las notificaciones pasan por la plataforma única gestionada por ENISA y siguen una secuencia precisa: alerta temprana en 24 horas, notificación en 72 horas e informe final en 14 días desde que exista una medida correctora para las vulnerabilidades y en un mes desde la notificación para los incidentes graves. La obligación vale también para los productos ya comercializados. Una pyme que fabrica dispositivos conectados, firmware o software vendido como producto debe tener ya hoy un proceso de gestión de vulnerabilidades que funcione. Las sanciones por incumplir los requisitos esenciales y las obligaciones de notificación llegan hasta 15 millones de euros o el 2,5 % del volumen de negocio mundial anual.

DORA: en vigor desde enero de 2025, con una cita fija cada marzo

El reglamento (UE) 2022/2554 se aplica desde el 17 de enero de 2025 a bancos, intermediarios, aseguradoras, gestoras y otras entidades financieras. No tiene nuevas fechas de aplicación en 2027, pero sí una obligación anual: el registro de información sobre los acuerdos con proveedores de servicios TIC. Según la comunicación del Banco de Italia, desde 2026 el envío es anual, antes del 15 de marzo, con datos a 31 de diciembre del año anterior, a través de la plataforma INFOSTAT. Para las entidades supervisadas por otras autoridades valen sus propias instrucciones.

Para las pymes que prestan servicios TIC a clientes financieros, la consecuencia práctica es contractual: espera peticiones sobre continuidad de negocio, gestión de incidentes, subcontratación y derechos de auditoría. Llegar preparado es una ventaja comercial. Profundizamos en estos aspectos en la página dedicada al Digital Operational Resilience Act (DORA).

Transparencia retributiva e igualdad de género: los plazos para recursos humanos

2026 trajo un cambio concreto para el departamento de personal. La directiva (UE) 2023/970 sobre transparencia retributiva se transpuso en Italia con el Decreto Legislativo n.º 96, de 7 de mayo de 2026, publicado en la Gazzetta Ufficiale n.º 125 de 1 de junio de 2026 y en vigor desde el 7 de junio de 2026, es decir, dentro del plazo de transposición fijado por la directiva.

Qué está ya en vigor y qué vence el 7 de junio de 2027

Desde el 7 de junio de 2026, las obligaciones de transparencia se aplican a todos los empleadores, sea cual sea su tamaño. Entre las más relevantes: la prohibición de preguntar a los candidatos por la retribución percibida en empleos actuales o anteriores, la obligación de indicar la retribución inicial o su banda en las ofertas de empleo y el derecho de los trabajadores a recibir información sobre los niveles salariales medios de las categorías que realizan el mismo trabajo o un trabajo de igual valor.

La comunicación periódica de datos sobre la brecha salarial de género, en cambio, solo afecta a los empleadores con al menos 100 trabajadores y sigue el calendario por tamaño del artículo 9 del decreto. Para quienes tienen al menos 250 trabajadores, los datos deben recopilarse antes del 7 de junio de 2027 y después cada año. Los que tienen entre 150 y 249 trabajadores tienen el mismo primer plazo y luego una periodicidad trienal. Para quienes tienen entre 100 y 149 trabajadores, el primer plazo es el 7 de junio de 2031 y después cada tres años. Las modalidades de recopilación se fijarán mediante un decreto del Ministro de Trabajo. Según la directiva europea, los datos se refieren al año natural anterior: si los sistemas de nóminas no distinguen ya hoy los componentes fijos y variables por género, hay que ponerse a trabajar ahora.

Certificación de igualdad de género: seguimiento, bonificación del INPS e informe bienal

La certificación UNI/PdR 125:2022 tiene una validez de tres años con auditoría anual de seguimiento, que depende de la fecha de emisión del certificado. El calendario, los requisitos y las áreas de evaluación se explican en nuestra guía completa de la certificación de igualdad de género: aquí nos centramos en las fechas.

La bonificación de cotizaciones prevista por la Ley 162/2021 alcanza hasta el 1 % de las cotizaciones a cargo del empleador, con un límite de 50.000 euros anuales. En la última campaña, según el mensaje del INPS (el instituto italiano de la seguridad social) n.º 3804, de 16 de diciembre de 2025, los empleadores certificados antes del 31 de diciembre de 2025 podían presentar la solicitud hasta el 30 de abril de 2026. Quien ya obtuvo la bonificación en una campaña anterior no tiene que volver a solicitarla: según el INPS, el beneficio se aplica durante los 36 meses de validez de la certificación. Para las certificaciones obtenidas en 2026, la nueva ventana la fijará un mensaje del INPS que, a la fecha de esta guía, aún no se ha publicado: conviene estar preparado con el certificado y la documentación ya en enero.

Queda además la obligación del informe bienal sobre la situación del personal masculino y femenino para las empresas con más de 50 trabajadores. El informe sobre el bienio 2024-2025 debía enviarse antes del 15 de mayo de 2026, tras la prórroga dispuesta por el Ministerio de Trabajo italiano. El próximo, sobre el bienio 2026-2027, deberá enviarse antes del 30 de abril de 2028.

ISO 9001:2026 e ISO 14001:2026: cuánto tiempo tienes para la transición

2026 es el año de la revisión de dos de las normas ISO más extendidas en Italia. Ambas prevén una transición de tres años, pero con calendarios desfasados cinco meses. Conviene recordar también que desde el 1 de enero de 2026 el International Accreditation Forum (IAF) se ha integrado, junto con la organización internacional de laboratorios, en Global Accreditation Cooperation (Global ACI), que hoy emite los requisitos de transición.

ISO 14001:2026: certificados 2015 válidos hasta el 30 de abril de 2029

La ISO 14001:2026 se publicó el 15 de abril de 2026. Según las disposiciones de transición adoptadas en Italia por la entidad nacional de acreditación sobre la base de las reglas de Global ACI, el periodo de transición termina el 30 de abril de 2029: desde ese día los certificados ISO 14001:2015 pierden validez. Después del 31 de octubre de 2027 ya no podrán emitirse nuevos certificados según la versión 2015.

La transición se realiza con una auditoría específica o combinada con una auditoría de seguimiento o de renovación. La revisión es evolutiva, no una reescritura: las principales novedades se refieren a la gestión del cambio y a una consideración más explícita de las condiciones ambientales, como el cambio climático y la biodiversidad, en el análisis del contexto. Una empresa que tiene la renovación en 2027 tiene todo el interés en hacerla coincidir con la transición. Para plantear el proceso puedes empezar por nuestra página sobre la certificación ISO 14001.

ISO 9001:2026: publicada el 16 de septiembre de 2026

La ISO 9001:2026 se publicó el 16 de septiembre de 2026 y sustituye a la versión 2015. También aquí la transición es de tres años: según las disposiciones nacionales emitidas el 20 de octubre de 2026 sobre la base de las reglas de Global ACI, los certificados ISO 9001:2015 pierden validez el 30 de septiembre de 2029 y después del 31 de marzo de 2028 ya no podrán emitirse nuevos certificados según la versión 2015.

Si tu empresa está certificada ISO 9001, el consejo práctico es no esperar a 2029: planificar la transición junto con la próxima renovación trienal evita una auditoría adicional y reparte el trabajo.

ISO 27001: la transición a la versión 2022 está cerrada

El 31 de octubre de 2025 se cerró la transición de tres años a la ISO/IEC 27001:2022 establecida por el IAF. Los certificados según la versión 2013 ya no son válidos. Si tu empresa no completó la transición a tiempo, hoy tiene que afrontar una nueva certificación inicial. Lo señalamos porque todavía se encuentra la versión 2013 citada en pliegos, cuestionarios de proveedores y documentación interna: actualizar las referencias evita reclamaciones.

RGPD y accesibilidad: obligaciones continuas con una fecha que anotar en 2027

El RGPD y el European Accessibility Act no tienen "plazos" en el sentido clásico: son obligaciones ya en vigor que requieren un mantenimiento continuo. Sin embargo, tienen algunas fechas útiles para planificar.

RGPD: el reglamento procedimental desde el 2 de abril de 2027

El RGPD se aplica desde 2018 y sus obligaciones no vencen: registro de actividades de tratamiento, evaluaciones de impacto, designaciones, notificación de las violaciones al Garante (la autoridad italiana de protección de datos) en 72 horas. La novedad del calendario es el reglamento (UE) 2025/2518, que armoniza los procedimientos entre autoridades de control para los casos transfronterizos. Está en vigor desde el 1 de enero de 2026 y se aplica desde el 2 de abril de 2027 a las investigaciones iniciadas y a las reclamaciones presentadas después de esa fecha. No introduce nuevas obligaciones para las empresas, pero hace más previsibles los plazos y los derechos procedimentales para quien trata datos en varios países de la UE.

En el ámbito nacional, el Garante planifica sus inspecciones por semestre. El plan para el periodo de agosto a diciembre de 2026 incluye también verificaciones sobre quienes ejercen como delegados de protección de datos para entidades públicas. Es una señal clara: al DPO se le evalúa por lo que hace, no por el nombramiento. Si tu empresa tiene que designarlo, o quiere una supervisión estable, puedes valorar un DPO externalizado.

European Accessibility Act: en vigor, con un periodo transitorio hasta 2030

El Decreto Legislativo 82/2022, que transpone el European Accessibility Act, se aplica desde el 28 de junio de 2025 a los productos y servicios cubiertos, entre ellos el comercio electrónico, los servicios bancarios para consumidores, los libros electrónicos y los servicios de transporte de viajeros. El periodo transitorio hasta el 28 de junio de 2030 es limitado: los prestadores de servicios pueden seguir usando los productos que ya utilizaban legalmente antes del 28 de junio de 2025, y los contratos de servicios celebrados antes de esa fecha pueden continuar sin cambios hasta su vencimiento, pero no más allá de 2030. La directiva exime de las obligaciones a las microempresas que prestan servicios.

AgID es la autoridad de supervisión para los servicios y ha publicado las directrices sobre la accesibilidad de los servicios. Para una pyme con un e-commerce, por tanto, 2030 no es un aplazamiento general: un servicio ofrecido hoy a los consumidores ya debe cumplir, salvo en los casos cubiertos por el periodo transitorio.

Cómo construir el calendario de vencimientos de compliance de 2027

Tener la lista de fechas no basta: hay que convertirla en responsabilidades y actividades. Las empresas que llegan preparadas a los plazos de compliance trabajan con un único calendario, con un responsable para cada línea y las evidencias ya recopiladas antes de la auditoría.

Un método en cinco pasos

El método que usamos con las empresas a las que acompañamos se resume así:

1. Ámbito. Comprueba qué normativas te afectan de verdad: ¿eres una entidad NIS? ¿Fabricas productos con elementos digitales? ¿Usas sistemas de IA en la selección de personal? ¿Tienes al menos 150 trabajadores?

2. Fechas por entidad. Reúne los documentos que fijan tus plazos propios: comunicación de la ACN, fechas de los certificados ISO y UNI/PdR 125, plazos contractuales con clientes financieros.

3. Ventanas recurrentes. Introduce en el calendario las ventanas anuales (NIS2 enero-febrero, abril-mayo, mayo-junio; DORA antes de marzo) con un recordatorio de al menos cuatro semanas.

4. Evidencias. Para cada plazo, define qué documento o registro demuestra el cumplimiento y dónde se archiva.

5. Integración de las auditorías. Alinea transiciones ISO, auditorías de seguimiento y verificaciones internas para reducir el número de auditorías y la carga sobre las personas.

Los errores que vemos con más frecuencia

El primer error es tratar cada normativa como un proyecto separado, con consultores, carpetas y calendarios distintos. El resultado son documentos duplicados y contradictorios: la evaluación de riesgos hecha para NIS2 no dialoga con la de la ISO 27001, y el mapa de proveedores para DORA ignora el hecho para NIS2. Un sistema de gestión integrado reduce el trabajo y mejora la coherencia.

El segundo error es dar por cerrado un plazo cuando la medida se ha adoptado pero no documentado. En una inspección de la ACN, en una auditoría de certificación o en una verificación del Garante, lo que cuenta es la evidencia: acta, registro, log, política aprobada y fechada. El tercer error es fiarse de fechas genéricas leídas en internet sin comprobar la de tu propio caso, como muestra el ejemplo de las medidas NIS2.

Cómo te ayuda Complaion a no perder ningún plazo

Los plazos de compliance de 2026 y 2027 son muchos, pero son manejables si están en un único calendario con responsabilidades y evidencias claras. Es exactamente como trabajamos con nuestros más de 1.000 clientes.

Cada empresa cuenta con un Lead Auditor dedicado que conoce las normativas implicadas y te ayuda a entender qué fechas te afectan de verdad. Nuestra plataforma reúne las evidencias en un único lugar, gestiona los documentos, lleva el calendario de vencimientos y prepara la auditoría, para que auditorías de seguimiento, transiciones y obligaciones no se solapen. Te acompañamos en NIS2, AI Act, DORA, RGPD con DPO externalizado, certificación de igualdad de género y normas ISO, incluidas las transiciones a ISO 9001:2026 e ISO 14001:2026.

¿Quieres saber qué plazos afectan a tu empresa? Reserva una llamada gratuita de 30 minutos con uno de nuestros Lead Auditor.

Preguntas frecuentes sobre los plazos de compliance 2026-2027

¿Cuál es el próximo plazo NIS2 después de octubre de 2026?

Para las entidades incluidas en el listado en 2025, el próximo plazo es la ventana de registro o actualización del registro en la plataforma de la ACN, que se utiliza si hay cambios que comunicar, del 1 de enero al 28 de febrero de 2027. Le siguen la actualización anual de la información del 15 de abril al 31 de mayo y la categorización de actividades y servicios del 1 de mayo al 30 de junio. Para las entidades incluidas en 2026, en cambio, las fechas clave son el 31 de diciembre de 2026 para el punto de contacto con el CSIRT, el 1 de enero de 2027 para el inicio de las notificaciones y el 31 de julio de 2027 para las medidas básicas.

¿El Digital Omnibus ha aplazado todo el AI Act?

No. El reglamento (UE) 2026/1744 solo aplazó las obligaciones para los sistemas de alto riesgo: al 2 de diciembre de 2027 para los del Anexo III y al 2 de agosto de 2028 para los del Anexo I. Las prohibiciones y la alfabetización en IA se aplican desde el 2 de febrero de 2025, las normas sobre los modelos de uso general desde el 2 de agosto de 2025 y las obligaciones de transparencia del artículo 50 desde el 2 de agosto de 2026. La única prórroga sobre el artículo 50 se refiere al marcado técnico para los sistemas generativos ya comercializados, hasta el 2 de diciembre de 2026. Desde esa misma fecha se aplican también las nuevas prohibiciones sobre contenidos íntimos no consentidos y material de abuso sexual infantil generados con IA.

Mi empresa tiene 80 trabajadores: ¿tiene que hacer el informe sobre la brecha salarial?

No, la comunicación periódica sobre la brecha salarial de género afecta a los empleadores con al menos 100 trabajadores, con primer plazo en 2027 para quienes tienen al menos 150 y en 2031 para quienes tienen entre 100 y 149. No obstante, desde el 7 de junio de 2026 también una empresa con 80 trabajadores debe cumplir las obligaciones de transparencia del Decreto Legislativo 96/2026. Entre ellas están la información sobre la retribución a los candidatos, la prohibición de preguntar por el historial salarial y el derecho de información de los trabajadores.

¿Antes de cuándo tengo que pasar a la ISO 14001:2026?

Los certificados ISO 14001:2015 pierden validez el 30 de abril de 2029, según las disposiciones de transición adoptadas en Italia. Después del 31 de octubre de 2027 ya no pueden emitirse nuevos certificados según la versión 2015, por lo que quien afronte una primera certificación o una renovación después de esa fecha tendrá que hacerlo directamente según la versión 2026. La transición puede realizarse durante una auditoría de seguimiento o de renovación. Planificarla junto con la renovación trienal suele ser la solución más eficiente.

¿El Cyber Resilience Act afecta también a quien desarrolla software de gestión?

Depende de cómo se pone a disposición el software. El Cyber Resilience Act se aplica a los productos con elementos digitales introducidos en el mercado europeo, incluido el software vendido como producto, mientras que los servicios prestados exclusivamente como SaaS suelen estar sujetos a otras normativas, como NIS2. Si tu software entra en el ámbito, desde el 11 de septiembre de 2026 debes notificar las vulnerabilidades explotadas activamente y los incidentes graves, y desde el 11 de diciembre de 2027 cumplir todos los requisitos esenciales. El ámbito hay que verificarlo producto por producto.

He perdido la ventana del INPS para la bonificación por igualdad de género: ¿qué puedo hacer?

La ventana para las certificaciones obtenidas antes del 31 de diciembre de 2025 se cerró el 30 de abril de 2026. Si obtuviste la certificación en 2026, tendrás que presentar la solicitud en la próxima campaña, cuyas fechas fijará un mensaje del INPS aún no publicado a la fecha de esta guía. Mientras tanto, conviene comprobar que el certificado es válido y que la auditoría anual de seguimiento está programada, porque la bonificación está ligada al periodo de validez de la certificación.

¿La ISO 27001:2013 sigue siendo válida?

No. La transición a la ISO/IEC 27001:2022 se cerró el 31 de octubre de 2025 y los certificados según la versión 2013 ya no son válidos. Una organización que no completó la transición debe afrontar una nueva certificación inicial según la versión 2022. Es buena práctica actualizar también las referencias a la versión antigua en los contratos, los cuestionarios de proveedores y la documentación del sistema de gestión.

¿Cómo gestiono todos estos plazos con un equipo pequeño?

El camino más eficaz es unificar: un solo calendario de vencimientos, un solo archivo de evidencias, un sistema de gestión integrado que cubra varias normas con los mismos procesos. Muchos requisitos se solapan, por ejemplo la gestión de riesgos, proveedores e incidentes entre NIS2, ISO 27001 y DORA. Contar con un auditor experto que conozca todas las normativas implicadas evita duplicar el trabajo y llegar a la auditoría con documentos incoherentes.