Scadenze compliance 2026-2027: il calendario delle date da mettere in agenda

Le scadenze di compliance non arrivano più una alla volta: si sovrappongono. Nel giro di dodici mesi una PMI italiana può trovarsi a gestire la chiusura delle misure di base NIS2, i nuovi obblighi di trasparenza dell'AI Act, il primo report sul divario retributivo e la transizione alla nuova ISO 9001. Ognuna di queste scadenze, da sola, può anche essere gestibile. Tutte insieme, senza un calendario unico, diventano il modo più rapido per accumulare non conformità e sanzioni evitabili.

Questa guida raccoglie le scadenze di compliance 2026 e 2027 che riguardano davvero le piccole e medie imprese, verificate sui testi e sulle comunicazioni delle autorità pubbliche aggiornati al 31 ottobre 2026. Le abbiamo divise in quattro gruppi: obblighi già in vigore, scadenze entro fine 2026, scadenze del 2027 e date dal 2028 in avanti. Trovi una tabella riepilogativa da copiare nel tuo scadenziario e, per ogni normativa, cosa fare in pratica. Dove una data dipende dalla tua situazione specifica, come succede per NIS2, lo diciamo chiaramente invece di indicare un giorno uguale per tutti.

Non sai in che classe di rischio sono i tuoi sistemi di AI? Fai la verifica gratuita della classe di rischio AI Act: cinque domande, due minuti, con obblighi e scadenze.

Come leggere questo calendario delle scadenze di compliance

Uno scadenziario di compliance è utile solo se distingue tra obblighi già operativi e obblighi futuri. Molte aziende trattano come "scadenza" un adempimento che in realtà è in vigore da mesi, e rischiano di scoprirlo durante un controllo.

Cos'è uno scadenziario di compliance?

Uno scadenziario di compliance è l'elenco ordinato delle date entro cui l'azienda deve adottare una misura, inviare una comunicazione o superare un audit. Non coincide con l'agenda legale: contiene anche le finestre annuali ricorrenti (come quelle della piattaforma ACN per NIS2), le transizioni delle norme ISO e le scadenze interne collegate, ad esempio la revisione della valutazione dei rischi prima di un audit di sorveglianza. Per una PMI che gestisce più normative, è lo strumento che evita la corsa dell'ultima settimana.

In questa guida usiamo quattro etichette. Già in vigore indica obblighi che devi rispettare oggi, anche se la data di partenza è passata. Entro fine 2026 indica le scadenze di novembre e dicembre 2026. 2027 raccoglie le date dell'anno prossimo, comprese le finestre annuali che si riaprono. 2028 e oltre riguarda le transizioni lunghe, che vanno pianificate adesso proprio perché sembrano lontane.

Perché alcune date sono "per soggetto" e non uguali per tutti

Non tutte le scadenze hanno un giorno fisso valido per ogni impresa. Il caso più evidente è NIS2: i termini per notifiche e misure di sicurezza decorrono dalla comunicazione individuale con cui l'Agenzia per la Cybersicurezza Nazionale (ACN) informa il soggetto del suo inserimento nell'elenco. Due aziende entrate nello stesso anno possono avere scadenze che differiscono di qualche giorno.

Lo stesso vale per le certificazioni: la sorveglianza annuale di una ISO 9001 o della certificazione di parità di genere cade in base alla data di emissione del tuo certificato, non a una data nazionale. Per questo, accanto alle date generali, ti indichiamo sempre da quale evento parte il conteggio. Una regola pratica: quando una fonte riporta "il 31 ottobre" o "il 30 giugno" per tutti, verifica sempre il documento che ti riguarda direttamente.

Il calendario delle scadenze di compliance 2026-2027 in una tabella

La tabella seguente riassume le date confermate da testi normativi e comunicazioni ufficiali. Le date "per soggetto" sono indicate come tali. Le finestre ricorrenti del 2027 sono riportate secondo le regole oggi in vigore: se l'autorità le modificherà, aggiorneremo la guida.

Accanto a queste date restano le scadenze "mobili" legate ai tuoi certificati: audit di sorveglianza annuali e rinnovi triennali di ISO 9001, ISO 14001, ISO 27001 e della certificazione di parità di genere UNI/PdR 125.

NIS2: cosa resta da fare dopo la scadenza delle misure di base

Per la maggior parte dei soggetti NIS entrati nell'elenco nel 2025, ottobre 2026 segna il passaggio dalla fase di adeguamento a quella di vigilanza. Ma il calendario NIS2 non si chiude qui: il decreto legislativo 138/2024 prevede adempimenti che si ripetono ogni anno sulla piattaforma ACN, e chi è entrato nel 2026 ha scadenze proprie. Se non sai ancora se la tua azienda rientra nel perimetro, la nostra pagina sulla direttiva NIS2 e il D.Lgs. 138/2024 spiega i criteri di applicazione.

Ottobre 2026: misure di base e avvio della vigilanza

Secondo l'ACN, i soggetti NIS devono adottare le misure di sicurezza di base entro ottobre 2026. Il termine è di 18 mesi dalla comunicazione di inserimento nell'elenco: chi l'ha ricevuta nell'aprile 2025 ha la scadenza a ottobre 2026, nel giorno corrispondente. Molti commenti indicano il 31 ottobre come data unica, ma il riferimento corretto resta la tua comunicazione individuale.

Le misure di base sono definite dalla determinazione ACN n. 379907/2025, applicabile dal 15 gennaio 2026, che ha sostituito la precedente determinazione n. 164179 dell'aprile 2025. Riguardano governance, gestione del rischio, gestione degli incidenti, continuità operativa, catena di approvvigionamento, controllo degli accessi e formazione, con requisiti differenziati tra soggetti essenziali e importanti.

Se a fine ottobre il lavoro non è completo, la priorità non è nascondere il ritardo ma documentarlo: un piano di adeguamento con responsabilità, tempi ed evidenze di avanzamento è ciò che dimostra un approccio serio in caso di verifica. Le sanzioni previste dall'articolo 38 del decreto arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o all'1,4% per i soggetti importanti.

Gli adempimenti ricorrenti sulla piattaforma ACN

Ogni soggetto NIS ha tre finestre annuali da presidiare, fissate dalla determinazione ACN n. 314287/2026, che dal 25 ottobre 2026 ha sostituito la n. 127437/2026. Dal 1 gennaio al 28 febbraio va effettuata la registrazione o il suo aggiornamento sulla piattaforma ACN: chi è già nell'elenco e non ha modifiche da comunicare non deve ripeterla. Dal 15 aprile al 31 maggio va aggiornato il set di informazioni richiesto dall'articolo 7 del decreto, che comprende tra l'altro i punti di contatto e l'elenco dei fornitori rilevanti NIS. Dal 1 maggio al 30 giugno, infine, si comunica l'elenco categorizzato di attività e servizi secondo il modello della determinazione 155238/2026; le entità finanziarie soggette a DORA ne sono esentate.

L'obbligo di notifica degli incidenti significativi è invece continuo. Per i soggetti inseriti nel 2025 è operativo da gennaio 2026 e segue la sequenza fissata dal decreto: pre-notifica entro 24 ore dalla conoscenza dell'incidente, notifica entro 72 ore e relazione finale entro un mese dalla notifica. Una procedura scritta, con nomi e numeri di reperibilità, vale più di qualsiasi policy generica.

Soggetti entrati nell'elenco nel 2026: dicembre 2026 e luglio 2027

Chi ha ricevuto la comunicazione di inserimento nel 2026 segue un calendario diverso, fissato dalla determinazione ACN n. 127434/2026. Entro il 31 dicembre 2026 va designato il referente CSIRT, cioè la persona che interloquisce con lo CSIRT Italia e gestisce le notifiche. Dal 1 gennaio 2027 decorre l'obbligo di notifica degli incidenti significativi. Entro il 31 luglio 2027 vanno adottate le misure di sicurezza di base.

Per questi soggetti l'errore più frequente è leggere le guide scritte per chi è entrato nel 2025 e concludere di essere già in ritardo, oppure, al contrario, sottovalutare che il luglio 2027 è a meno di nove mesi. Una gap analysis completata entro fine anno lascia il primo semestre del 2027 per l'implementazione.

AI Act dopo il Digital Omnibus: quali date valgono davvero

Il Digital Omnibus ha rinviato gli obblighi per i sistemi ad alto rischio, ma non ha rinviato l'AI Act. È la distinzione più importante da fare oggi. Il regolamento di modifica (UE) 2026/1744 è stato approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno 2026, pubblicato in Gazzetta Ufficiale dell'Unione europea il 24 luglio 2026 ed è in vigore dal 27 luglio 2026. Le date dei capitoli non toccati dal rinvio restano quelle originali del regolamento (UE) 2024/1689.

Già in vigore: divieti, alfabetizzazione, modelli generali e articolo 50

Dal 2 febbraio 2025 sono vietate le pratiche di IA considerate inaccettabili, come la manipolazione subliminale o il social scoring, e si applica l'obbligo di alfabetizzazione sull'IA dell'articolo 4. Il Digital Omnibus lo ha riformulato: fornitori e deployer devono adottare misure per sostenere l'alfabetizzazione del proprio personale, senza dover garantire un livello specifico per ogni singola persona. L'obbligo resta, ma diventa più proporzionato.

Dal 2 agosto 2025 si applicano le regole sui modelli di IA per finalità generali, la governance e il regime sanzionatorio. Dal 2 agosto 2026 sono operativi gli obblighi di trasparenza dell'articolo 50: chi offre un chatbot deve informare l'utente che sta interagendo con un'IA, chi genera contenuti sintetici deve marcarli in modo leggibile dalle macchine, chi diffonde deepfake deve dichiararli. Abbiamo dedicato una guida specifica agli obblighi di trasparenza dell'articolo 50 dell'AI Act, con esempi pratici per le PMI.

In Italia la legge 132/2025, in vigore dal 10 ottobre 2025, ha designato AgID e ACN come autorità nazionali per l'intelligenza artificiale. Le sanzioni dell'AI Act arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate e fino a 15 milioni o al 3% per la violazione di altri obblighi, compreso l'articolo 50, con l'importo inferiore applicato a PMI e startup.

2 dicembre 2026: la scadenza dimenticata della marcatura

Il 2 dicembre 2026 è l'unica data AI Act dei prossimi due mesi, ed è facile perderla. Per i sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026, l'obbligo di marcatura tecnica dell'articolo 50, paragrafo 2, si applica dal 2 dicembre 2026. Riguarda soprattutto chi sviluppa o integra strumenti che generano testi, immagini, audio o video, ad esempio una software house che ha rilasciato un assistente generativo ai propri clienti. Dalla stessa data si applicano anche i nuovi divieti introdotti dal Digital Omnibus: è vietato immettere sul mercato o usare sistemi di IA che generano immagini, video o audio intimi o sessualmente espliciti di persone identificabili senza il loro consenso, o materiale pedopornografico.

Se usi soltanto strumenti di terzi, questa scadenza ricade sul fornitore dello strumento. Ma conviene comunque chiedere per iscritto come intende adeguarsi, perché gli obblighi di etichettatura dei deepfake e dei testi pubblicati su temi di interesse pubblico restano in capo a chi li diffonde.

2 dicembre 2027 e 2 agosto 2028: i sistemi ad alto rischio

Il Digital Omnibus ha spostato gli obblighi per i sistemi ad alto rischio elencati nell'Allegato III, quelli usati ad esempio per selezione del personale, valutazione del merito creditizio o accesso all'istruzione, dal 2 agosto 2026 al 2 dicembre 2027. Gli obblighi per i sistemi ad alto rischio integrati in prodotti già regolamentati (Allegato I, come macchine o dispositivi medici) passano al 2 agosto 2028.

Il rinvio dà tempo, non un'esenzione. Un'azienda che usa un software di IA per filtrare i curriculum sarà deployer di un sistema ad alto rischio dal dicembre 2027 e dovrà garantire supervisione umana, conservazione dei log e informazione ai lavoratori. Mappare oggi i sistemi in uso, con un inventario che indichi per ciascuno ruolo dell'azienda, finalità e livello di rischio, è il primo passo concreto.

Cyber Resilience Act e DORA: le scadenze per chi produce tecnologia e per la filiera finanziaria

Due regolamenti europei riguardano direttamente una parte delle PMI e indirettamente molte altre. Il Cyber Resilience Act si applica a chi fabbrica prodotti con elementi digitali; DORA alle entità finanziarie, ma i suoi requisiti scendono a cascata sui fornitori ICT tramite i contratti.

Cyber Resilience Act: segnalazioni dall'11 settembre 2026, piena applicazione nel dicembre 2027

Il regolamento (UE) 2024/2847, noto come Cyber Resilience Act, ha tre date. Dall'11 giugno 2026 si applicano le norme sulla notifica degli organismi di valutazione della conformità. Dall'11 settembre 2026 i fabbricanti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che riguardano i loro prodotti. Dall'11 dicembre 2027 si applica l'intero regolamento, compresi i requisiti essenziali di cybersicurezza e la marcatura CE.

Secondo la Commissione europea, le segnalazioni passano dalla piattaforma unica gestita da ENISA e seguono una sequenza precisa: allerta precoce entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni dalla disponibilità di una misura correttiva per le vulnerabilità ed entro un mese dalla notifica per gli incidenti gravi. L'obbligo vale anche per i prodotti già sul mercato. Una PMI che produce dispositivi connessi, firmware o software venduto come prodotto deve quindi avere già oggi un processo di gestione delle vulnerabilità funzionante. Le sanzioni per la violazione dei requisiti essenziali e degli obblighi di segnalazione arrivano fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo.

DORA: in vigore dal gennaio 2025, con un appuntamento fisso ogni marzo

Il regolamento (UE) 2022/2554 si applica dal 17 gennaio 2025 a banche, intermediari, assicurazioni, gestori e altri soggetti finanziari. Non ha nuove date di entrata in vigore nel 2027, ma ha un adempimento annuale: il registro delle informazioni sugli accordi con i fornitori di servizi ICT. Secondo la comunicazione della Banca d'Italia, dal 2026 l'invio è annuale, entro il 15 marzo, con dati riferiti al 31 dicembre dell'anno precedente, tramite la piattaforma INFOSTAT. Per i soggetti vigilati da altre autorità valgono le loro istruzioni.

Per le PMI che forniscono servizi ICT a clienti finanziari, la conseguenza pratica è contrattuale: aspettati richieste su continuità operativa, gestione degli incidenti, subappalti e diritti di audit. Arrivare preparati è un vantaggio commerciale. Approfondiamo questi aspetti nella pagina dedicata al Digital Operational Resilience Act (DORA).

Trasparenza retributiva e parità di genere: le scadenze per le risorse umane

Il 2026 ha portato un cambiamento concreto per l'ufficio del personale. La direttiva (UE) 2023/970 sulla trasparenza retributiva è stata recepita in Italia con il decreto legislativo 7 maggio 2026, n. 96, pubblicato nella Gazzetta Ufficiale n. 125 del 1 giugno 2026 e in vigore dal 7 giugno 2026, cioè entro il termine di recepimento fissato dalla direttiva.

Cosa è già in vigore e cosa scade il 7 giugno 2027

Dal 7 giugno 2026 gli obblighi di trasparenza valgono per tutti i datori di lavoro, a prescindere dalla dimensione. Tra i più rilevanti: il divieto di chiedere ai candidati la retribuzione percepita nei rapporti attuali o precedenti, l'obbligo di indicare la retribuzione iniziale o la relativa fascia negli annunci con cui si cercano candidati, il diritto dei lavoratori di ricevere informazioni sui livelli retributivi medi per categorie che svolgono lo stesso lavoro o un lavoro di pari valore.

La comunicazione periodica dei dati sul divario retributivo di genere riguarda invece solo i datori di lavoro con almeno 100 dipendenti e segue il calendario per dimensione fissato dall'articolo 9 del decreto. Per chi ha almeno 250 dipendenti i dati vanno raccolti entro il 7 giugno 2027 e poi ogni anno. Per chi ha tra 150 e 249 dipendenti la prima scadenza è la stessa, poi la cadenza è triennale. Per chi ha tra 100 e 149 dipendenti la prima scadenza è il 7 giugno 2031, poi ogni tre anni. Le modalità di raccolta sono affidate a un decreto del Ministro del lavoro. Secondo la direttiva europea i dati si riferiscono all'anno solare precedente: se i sistemi di paghe non distinguono già oggi componenti fisse e variabili per genere, il lavoro va avviato ora.

Certificazione della parità di genere: sorveglianza, esonero INPS e rapporto biennale

La certificazione UNI/PdR 125:2022 ha validità triennale con audit di sorveglianza annuale, che cade in base alla data di emissione del certificato. Il calendario, i requisiti e le aree di valutazione sono spiegati nella nostra guida completa alla certificazione della parità di genere: qui ci concentriamo sulle date.

L'esonero contributivo previsto dalla legge 162/2021 vale fino all'1% dei contributi a carico del datore di lavoro, nel limite di 50.000 euro annui. Nell'ultima campagna, secondo il messaggio INPS n. 3804 del 16 dicembre 2025, i datori di lavoro certificati entro il 31 dicembre 2025 potevano presentare domanda fino al 30 aprile 2026. Chi ha già ottenuto l'esonero in una campagna precedente non deve ripresentare domanda: secondo l'INPS il beneficio vale per tutti i 36 mesi di validità della certificazione. Per le certificazioni ottenute nel 2026 la nuova finestra sarà fissata da un messaggio INPS che, alla data di questa guida, non è ancora stato pubblicato: conviene tenersi pronti con certificato e documentazione già a gennaio.

Resta poi l'obbligo del rapporto biennale sulla situazione del personale maschile e femminile per le aziende con più di 50 dipendenti. Il rapporto sul biennio 2024-2025 andava trasmesso entro il 15 maggio 2026, dopo la proroga disposta dal Ministero del Lavoro. Il prossimo, sul biennio 2026-2027, andrà trasmesso entro il 30 aprile 2028.

ISO 9001:2026 e ISO 14001:2026: quanto tempo hai per la transizione

Il 2026 è l'anno della revisione di due delle norme ISO più diffuse in Italia. Entrambe prevedono una transizione di tre anni, ma con calendari sfalsati di cinque mesi. Va ricordato anche che dal 1 gennaio 2026 l'International Accreditation Forum (IAF) è confluito, insieme all'organizzazione internazionale dei laboratori, in Global Accreditation Cooperation (Global ACI), che oggi emana i requisiti di transizione.

ISO 14001:2026: certificati 2015 validi fino al 30 aprile 2029

La ISO 14001:2026 è stata pubblicata il 15 aprile 2026. Secondo le disposizioni di transizione adottate in Italia dall'ente nazionale di accreditamento sulla base delle regole di Global ACI, il periodo di transizione termina il 30 aprile 2029: da quel giorno i certificati ISO 14001:2015 perdono validità. Dopo il 31 ottobre 2027 non potranno più essere emessi nuovi certificati sulla versione 2015.

La transizione avviene con un audit dedicato oppure abbinato a una sorveglianza o a un rinnovo. La revisione è evolutiva, non una riscrittura: le novità principali riguardano la gestione del cambiamento e una considerazione più esplicita delle condizioni ambientali, come cambiamento climatico e biodiversità, nell'analisi del contesto. Un'azienda che ha il rinnovo nel 2027 ha tutto l'interesse a farlo coincidere con la transizione. Per impostare il percorso puoi partire dalla nostra pagina sulla certificazione ISO 14001.

ISO 9001:2026: pubblicata il 16 settembre 2026

La ISO 9001:2026 è stata pubblicata il 16 settembre 2026 e sostituisce la versione 2015. Anche qui la transizione è di tre anni: secondo le disposizioni nazionali emanate il 20 ottobre 2026 sulla base delle regole di Global ACI, i certificati ISO 9001:2015 perdono validità il 30 settembre 2029 e dopo il 31 marzo 2028 non potranno più essere emessi nuovi certificati sulla versione 2015.

Per chi è certificato ISO 9001, il consiglio pratico è non aspettare il 2029: pianificare la transizione insieme al prossimo rinnovo triennale evita un audit aggiuntivo e distribuisce il lavoro.

ISO 27001: la transizione alla versione 2022 è chiusa

Il 31 ottobre 2025 si è chiusa la transizione triennale alla ISO/IEC 27001:2022 stabilita dall'IAF. I certificati sulla versione 2013 non sono più validi. Se la tua azienda non ha completato la transizione in tempo, oggi deve affrontare una nuova certificazione iniziale. Lo segnaliamo perché capita ancora di trovare la versione 2013 citata in capitolati, questionari fornitori e documentazione interna: un aggiornamento dei riferimenti evita contestazioni.

GDPR e accessibilità: obblighi continui con una data da segnare nel 2027

GDPR ed European Accessibility Act non hanno "scadenze" nel senso classico: sono obblighi già in vigore che richiedono manutenzione continua. Hanno però alcune date utili per pianificare.

GDPR: il regolamento procedurale dal 2 aprile 2027

Il GDPR si applica dal 2018 e i suoi obblighi non scadono: registro dei trattamenti, valutazioni d'impatto, nomine, notifica delle violazioni al Garante entro 72 ore. La novità del calendario è il regolamento (UE) 2025/2518, che armonizza le procedure tra autorità di controllo per i casi transfrontalieri. È in vigore dal 1 gennaio 2026 e si applica dal 2 aprile 2027 alle indagini avviate e ai reclami presentati dopo quella data. Non introduce nuovi obblighi per le imprese, ma rende più prevedibili tempi e diritti procedurali per chi tratta dati in più Paesi UE.

Sul fronte nazionale, il Garante per la protezione dei dati personali pianifica i propri controlli per semestre. Il piano per il periodo agosto-dicembre 2026 comprende anche verifiche sui soggetti che svolgono il ruolo di responsabile della protezione dei dati per gli enti pubblici. È un segnale chiaro: il DPO viene valutato su ciò che fa, non sulla nomina. Se la tua azienda deve nominarlo, o vuole un presidio stabile, puoi valutare un DPO esternalizzato.

European Accessibility Act: in vigore, con un periodo transitorio fino al 2030

Il decreto legislativo 82/2022, che recepisce l'European Accessibility Act, si applica dal 28 giugno 2025 a prodotti e servizi coperti, tra cui commercio elettronico, servizi bancari al consumo, e-book e servizi di trasporto passeggeri. Il periodo transitorio fino al 28 giugno 2030 è limitato: chi fornisce servizi può continuare a usare i prodotti già impiegati legittimamente prima del 28 giugno 2025, e i contratti di servizio stipulati prima di quella data possono proseguire invariati fino alla scadenza, ma non oltre il 2030. La direttiva esenta dagli obblighi le microimprese che forniscono servizi.

AgID è l'autorità di vigilanza per i servizi e ha pubblicato le linee guida sull'accessibilità dei servizi. Per una PMI con un e-commerce, quindi, il 2030 non è un rinvio generale: un servizio offerto oggi ai consumatori deve essere già conforme, salvo i casi coperti dal periodo transitorio.

Come costruire lo scadenziario di compliance del 2027

Avere l'elenco delle date non basta: serve trasformarlo in responsabilità e attività. Le aziende che arrivano preparate alle scadenze di compliance lavorano su un unico calendario, con un responsabile per ogni riga e le evidenze già raccolte prima dell'audit.

Un metodo in cinque passi

Il metodo che usiamo con le aziende che seguiamo si riassume così:

1. Perimetro. Verifica quali normative ti riguardano davvero: sei un soggetto NIS? Fabbrichi prodotti con elementi digitali? Usi sistemi di IA nella selezione del personale? Hai almeno 150 dipendenti?

2. Date per soggetto. Recupera i documenti che fissano le tue scadenze personali: comunicazione ACN, date dei certificati ISO e UNI/PdR 125, scadenze contrattuali con clienti finanziari.

3. Finestre ricorrenti. Inserisci in calendario le finestre annuali (NIS2 gennaio-febbraio, aprile-maggio, maggio-giugno; DORA entro marzo) con un promemoria di almeno quattro settimane.

4. Evidenze. Per ogni scadenza, definisci quale documento o registrazione dimostra l'adempimento e dove viene archiviato.

5. Integrazione degli audit. Allinea transizioni ISO, sorveglianze e verifiche interne per ridurre il numero di audit e il carico sulle persone.

Gli errori che vediamo più spesso

Il primo errore è trattare ogni normativa come un progetto separato, con consulenti, cartelle e calendari diversi. Il risultato sono documenti duplicati e contraddittori: la valutazione del rischio fatta per NIS2 non dialoga con quella della ISO 27001, la mappatura dei fornitori per DORA ignora quella fatta per NIS2. Un sistema di gestione integrato riduce il lavoro e migliora la coerenza.

Il secondo errore è considerare chiusa una scadenza quando la misura è adottata, ma non documentata. In un'ispezione ACN, in un audit di certificazione o in una verifica del Garante, ciò che conta è l'evidenza: verbale, registrazione, log, policy approvata con data. Il terzo errore è fidarsi di date generiche lette online senza verificare quella del proprio caso, come mostra l'esempio delle misure NIS2.

Come Complaion ti aiuta a non perdere nessuna scadenza

Le scadenze di compliance del 2026 e del 2027 sono tante, ma gestibili se stanno in un unico calendario con responsabilità ed evidenze chiare. È esattamente il modo in cui lavoriamo con i nostri oltre 1.000 clienti.

Ogni azienda ha un Lead Auditor dedicato che conosce le normative coinvolte e ti aiuta a capire quali date ti riguardano davvero. La nostra piattaforma raccoglie le evidenze in un unico posto, gestisce i documenti, tiene lo scadenziario e prepara l'audit, così sorveglianze, transizioni e adempimenti non si accavallano. Ti seguiamo su NIS2, AI Act, DORA, GDPR con DPO esternalizzato, certificazione della parità di genere e norme ISO, comprese le transizioni a ISO 9001:2026 e ISO 14001:2026.

Vuoi capire quali scadenze riguardano la tua azienda? Prenota una chiamata gratuita di 30 minuti con uno dei nostri Lead Auditor.

Domande frequenti sulle scadenze di compliance 2026-2027

Qual è la prossima scadenza NIS2 dopo ottobre 2026?

Per i soggetti inseriti nell'elenco nel 2025, la prossima scadenza è la finestra di registrazione o aggiornamento della registrazione sulla piattaforma ACN, da usare se ci sono modifiche da comunicare, dal 1 gennaio al 28 febbraio 2027. Seguono l'aggiornamento annuale delle informazioni dal 15 aprile al 31 maggio e la categorizzazione di attività e servizi dal 1 maggio al 30 giugno. Per i soggetti inseriti nel 2026, invece, le date chiave sono il 31 dicembre 2026 per il referente CSIRT, il 1 gennaio 2027 per l'avvio delle notifiche e il 31 luglio 2027 per le misure di base.

Il Digital Omnibus ha rinviato tutto l'AI Act?

No. Il regolamento (UE) 2026/1744 ha rinviato solo gli obblighi per i sistemi ad alto rischio: al 2 dicembre 2027 per quelli dell'Allegato III e al 2 agosto 2028 per quelli dell'Allegato I. I divieti e l'alfabetizzazione sull'IA si applicano dal 2 febbraio 2025, le regole sui modelli per finalità generali dal 2 agosto 2025 e gli obblighi di trasparenza dell'articolo 50 dal 2 agosto 2026. L'unica proroga sull'articolo 50 riguarda la marcatura tecnica per i sistemi generativi già sul mercato, fino al 2 dicembre 2026. Dalla stessa data si applicano anche i nuovi divieti sui contenuti intimi non consensuali e sul materiale pedopornografico generati con l'IA.

La mia azienda ha 80 dipendenti: deve fare il report sul divario retributivo?

No, la comunicazione periodica sul divario retributivo di genere riguarda i datori di lavoro con almeno 100 dipendenti, con prima scadenza nel 2027 per chi ne ha almeno 150 e nel 2031 per chi ne ha tra 100 e 149. Tuttavia, dal 7 giugno 2026 anche un'azienda con 80 dipendenti deve rispettare gli obblighi di trasparenza del decreto legislativo 96/2026. Tra questi rientrano le informazioni sulla retribuzione ai candidati, il divieto di chiedere lo storico retributivo e il diritto di informazione dei lavoratori.

Entro quando devo passare alla ISO 14001:2026?

I certificati ISO 14001:2015 perdono validità il 30 aprile 2029, secondo le disposizioni di transizione adottate in Italia. Dopo il 31 ottobre 2027 non possono più essere emessi nuovi certificati sulla versione 2015, quindi chi affronta una prima certificazione o un rinnovo dopo quella data dovrà farlo direttamente sulla versione 2026. La transizione può essere svolta durante un audit di sorveglianza o di rinnovo. Pianificarla insieme al rinnovo triennale è in genere la soluzione più efficiente.

Il Cyber Resilience Act riguarda anche chi sviluppa software gestionale?

Dipende da come il software viene messo a disposizione. Il Cyber Resilience Act si applica ai prodotti con elementi digitali immessi sul mercato europeo, compreso il software venduto come prodotto, mentre i servizi forniti esclusivamente come SaaS ricadono in genere in altre normative, come NIS2. Se il tuo software rientra nel perimetro, dall'11 settembre 2026 devi segnalare vulnerabilità attivamente sfruttate e incidenti gravi, e dall'11 dicembre 2027 rispettare tutti i requisiti essenziali. La verifica del perimetro va fatta prodotto per prodotto.

Ho perso la finestra INPS per l'esonero della parità di genere: cosa posso fare?

La finestra per le certificazioni ottenute entro il 31 dicembre 2025 si è chiusa il 30 aprile 2026. Se hai ottenuto la certificazione nel 2026, la domanda andrà presentata nella prossima campagna, le cui date saranno fissate da un messaggio INPS non ancora pubblicato alla data di questa guida. Nel frattempo è utile verificare che il certificato sia valido e che la sorveglianza annuale sia programmata, perché l'esonero è legato al periodo di validità della certificazione.

La ISO 27001:2013 è ancora valida?

No. La transizione alla ISO/IEC 27001:2022 si è chiusa il 31 ottobre 2025 e i certificati sulla versione 2013 non sono più validi. Un'organizzazione che non ha completato la transizione deve affrontare una nuova certificazione iniziale sulla versione 2022. È buona pratica aggiornare anche i riferimenti alla vecchia versione nei contratti, nei questionari fornitori e nella documentazione del sistema di gestione.

Come faccio a gestire tutte queste scadenze con un team piccolo?

La strada più efficace è unificare: un solo scadenziario, un solo archivio delle evidenze, un sistema di gestione integrato che copra più norme con gli stessi processi. Molti requisiti si sovrappongono, ad esempio gestione dei rischi, fornitori e incidenti tra NIS2, ISO 27001 e DORA. Affidarsi a un auditor esperto che conosce tutte le normative coinvolte evita di duplicare il lavoro e di arrivare all'audit con documenti incoerenti.