Le scadenze dei prossimi 18 mesi
Entrate in vigore, applicazioni scaglionate e termini di recepimento, mese per mese, per gli atti dell’UE e per quelli nazionali.
Versione sempre aggiornata: https://www.cybersecuritydatabase.org/it/reports/deadlines/
Fra oggi e il 3 maggio 2028 cadono 113 scadenze di 77 atti in 39 giurisdizioni. Il mese più fitto è dicembre 2027, con 18 scadenze.
- novembre 2026: 9
- dicembre 2026: 15
- gennaio 2027: 13
- febbraio 2027: 3
- marzo 2027: 5
- aprile 2027: 9
- maggio 2027: 6
- giugno 2027: 8
- luglio 2027: 9
- agosto 2027: 3
- settembre 2027: 0
- ottobre 2027: 1
- novembre 2027: 1
- dicembre 2027: 18
- gennaio 2028: 5
- febbraio 2028: 2
- marzo 2028: 1
- aprile 2028: 2
- maggio 2028: 0
Le date di cui si conoscono solo il mese o l’anno compaiono all’inizio del periodo.
Atti dell’UE e di altre organizzazioni (25)
- Prime azioni chiave: accesso strutturato all'IA avanzata, piattaforma di test, campagna open source, Grand Challenge
Piano d'azione UE su cibersicurezza e IA (2026) · Unione europea - Nuovi divieti del regolamento (UE) 2026/1744 e marcatura dei contenuti per i sistemi generativi già sul mercato
AI Act (Regolamento (UE) 2024/1689) · Unione europea - Gli Stati membri si adoperano per avere un numero sufficiente di organismi notificati
Cyber Resilience Act (Regolamento (UE) 2024/2847) · Unione europea - Ogni Stato membro deve offrire almeno un portafoglio europeo di identità digitale
eIDAS 2 (Regolamento (UE) 2024/1183) · Unione europea - Modello di scenario per le esercitazioni a livello di soggetto e di Stato membro (poi ogni tre anni)
Codice di rete sulla cybersicurezza elettrica (NCCS) · Unione europea - Primi passi completati e tabelle di marcia nazionali per la crittografia post-quantistica in tutti gli Stati membri
Tabella di marcia UE per la crittografia post-quantistica (2025) · Unione europea - Ultimo giorno per la firma presso la sede delle Nazioni Unite a New York
Convenzione delle Nazioni Unite contro la criminalità informatica · Nazioni Unite - Capacità europea di valutazione dei modelli di IA, cibersicurezza compresa
Piano d'azione UE su cibersicurezza e IA (2026) · Unione europea - Prima relazione biennale della Commissione sull'attuazione
Cybersicurezza delle istituzioni UE (2023/2841) · Unione europea - Il regolamento si applica in gran parte; abrogata la direttiva macchine 2006/42/CE
Regolamento macchine (UE) 2023/1230 · Unione europea - Prima valutazione del regolamento da parte della Commissione (poi almeno ogni quattro anni)
Cyber Solidarity Act (Regolamento (UE) 2025/38) · Unione europea - Si applicano le norme procedurali comuni sui casi transfrontalieri (regolamento (UE) 2025/2518)
GDPR (Regolamento (UE) 2016/679) · Unione europea - Primo aggiornamento biennale degli elenchi dei soggetti essenziali e importanti e comunicazione dei dati alla Commissione
Direttiva NIS 2 (UE) 2022/2555 · Unione europea - EU-CyCLONe concorda una tassonomia comune dei livelli di gravità degli incidenti (entro 24 mesi)
Programma UE per la gestione delle crisi informatiche (2025) · Unione europea - Relazione della Commissione sulle misure di recepimento degli Stati membri
Direttiva CER (UE) 2022/2557 · Unione europea - Spazi di sperimentazione normativa nazionali operativi; adeguamento dei modelli per finalità generali immessi prima di agosto 2025
AI Act (Regolamento (UE) 2024/1689) · Unione europea - Primo riesame della direttiva da parte della Commissione
Direttiva NIS 2 (UE) 2022/2555 · Unione europea - Sistemi ad alto rischio dell'allegato III (data rinviata dall'omnibus digitale)
AI Act (Regolamento (UE) 2024/1689) · Unione europea - Con l'applicazione integrale del CRA si applicano le procedure di conformità per i prodotti importanti e critici
CRA: prodotti importanti e critici (Reg. 2025/2392) · Unione europea - Il regolamento si applica integralmente
Cyber Resilience Act (Regolamento (UE) 2024/2847) · Unione europea - Abrogato dal regolamento delegato (UE) 2026/339: subentra il Cyber Resilience Act
Regolamento delegato RED (UE) 2022/30 · Unione europea - UE: obbligatorio per i nuovi tipi di veicoli della categoria L (regolamento delegato (UE) 2025/1455)
UN R155 – Cybersicurezza dei veicoli · Commissione economica per l'Europa delle Nazioni Unite (UNECE) - Le parti private tenute all'autenticazione forte devono accettare il portafoglio su richiesta dell'utente
eIDAS 2 (Regolamento (UE) 2024/1183) · Unione europea - Ultimo giorno per rilasciare certificati EUCC basati sulle versioni precedenti dei Common Criteria
Sistema europeo di certificazione EUCC (Reg. 2024/482) · Unione europea - Riesame generale del regolamento da parte della Commissione
DORA (Regolamento (UE) 2022/2554) · Unione europea
Atti nazionali (88)
- Si applicano le modifiche del D.Lgs. 191/2026 sui servizi di sicurezza gestiti
D.Lgs. 123/2022 – Certificazione della cybersicurezza · Italia - Termine per adeguare infrastrutture, politiche e piani di contingenza e per inviare al CNC la relazione sul piano di ripristino in caso di disastro, con sito alternativo, prova iniziale di commutazione e valori RTO/RPO
Disposizione CNC 1/2026 – Piani di contingenza e siti di riserva · Argentina - Entrano in vigore le norme sui consent manager (sezione 6, comma 9, e sezione 27, comma 1, lettera d)
Legge sui dati personali digitali 2023 (DPDP) · India - Entra in vigore la regola 4 sulla registrazione e gli obblighi dei consent manager
Regole sui dati personali digitali 2025 (DPDP) · India - Termine per l’adozione della nuova Strategia nazionale di cybersicurezza
Modifica della legge sulla cybersicurezza (2026) · Bulgaria - Termine per gli standard minimi nazionali di cybersicurezza e per i regolamenti su gestione e notifica degli incidenti, classificazione dei servizi essenziali e dell'infrastruttura critica digitale e hacking etico
Legge organica per il rafforzamento della cybersicurezza · Ecuador - La legge si applica ai comuni (enti locali di primo grado), dopo il rinvio di un anno
Legge 5160/2024 di recepimento NIS 2 · Grecia - Termine per i commenti alla bozza della revisione 4
Guida alla sicurezza della tecnologia operativa (OT) (NIST SP 800-82… · Stati Uniti - Entro 180 giorni (fase III): correzione delle vulnerabilità nei termini della tabella 1, individuazione e classificazione continua degli asset raggiungibili dall'esterno
BOD 26-04 – Aggiornamenti di sicurezza in base al rischio · Stati Uniti - Scadenza della legge, salvo nuova proroga o rinnovo del Congresso
Legge sulla condivisione di informazioni cyber (CISA 2015) · Stati Uniti - Termine per le misure di gestione del rischio di tutti i soggetti essenziali e importanti e per l'adeguamento delle banche dati dei registri dei nomi di dominio
Legge sulla sicurezza delle informazioni (ZInfV-1) · Slovenia - Termine per la proposta di modifica del regolamento sugli appalti federali (FAR) che chiede ai fornitori di rispettare entro il 2030 gli standard FIPS, compresi quelli post-quantistici
Ordine esecutivo 14412 sulla crittografia post-quantistica · Stati Uniti - Termine per il regolamento di attuazione del Consiglio dei ministri (180 giorni dalla pubblicazione)
Legge 13/2026 – Sicurezza cibernetica · Mozambico - Nessun componente critico di Huawei e ZTE nei nuclei delle reti 5G
Accordi sui componenti Huawei e ZTE nel 5G (Germania) · Germania - Fine del divieto, salvo proroga (proroga al 2035 in Parlamento)
Legge 354/2022 sugli antivirus legati alla Russia (Romania) · Romania - Fine del periodo transitorio per gli operatori già registrati: misure di sicurezza e audit secondo le regole precedenti e riesame della loro qualificazione da parte dell'NBÚ
Legge n. 69/2018 sulla cibersicurezza · Slovacchia - Termine fissato dalla strategia per le decisioni sull'architettura nazionale della cybersicurezza
Strategia di cybersicurezza 2024-2030 «Estonia ciber-consapevole» · Estonia - Termine per l'adozione degli atti di attuazione, compreso lo standard nazionale di cybersicurezza (12 mesi dall'entrata in vigore)
Legge HO-442-N sulla cybersicurezza · Armenia - Gli esercenti di impianti nucleari entrano nell’ambito della legge, sotto la vigilanza della STUK (legge 785/2026)
Legge sulla cybersicurezza · Finlandia - Soggetti entrati nell'elenco NIS nel 2026: inizia l'obbligo di notifica degli incidenti significativi (determinazione ACN 127434/2026)
Determinazione ACN 379907/2025 – Misure di sicurezza e notifiche di base NIS · Italia - Entra in funzione l'Ufficio per la sicurezza delle informazioni, che rileva il CERT nazionale dalla RATEL
Legge sulla sicurezza delle informazioni (Serbia, 2025) · Serbia - Obblighi sulle tecnologie decisionali automatizzate (ADMT) per le decisioni significative
California Consumer Privacy Act del 2018 (CCPA) · Stati Uniti - I browser devono permettere al consumatore di inviare un segnale di opposizione alla vendita e alla condivisione dei dati (art. 1798.136, introdotto dalla legge AB 566)
California Consumer Privacy Act del 2018 (CCPA) · Stati Uniti - Le regole consolidate FedRAMP per il 2026 diventano obbligatorie per tutti i soggetti interessati
FedRAMP Authorization Act (2022) · Stati Uniti - Termine ultimo per la registrazione iniziale dei soggetti essenziali e importanti
NISG 2026 (legge austriaca NIS 2) · Austria - Termine per l'adozione da parte del Consiglio dei ministri della valutazione nazionale del rischio e della strategia nazionale per la resilienza dei soggetti critici
Modifica della legge sulla gestione delle crisi (CER, 2026) · Polonia - Dalla data fissata dall'ordine le agenzie devono esigere il marchio U.S. Cyber Trust Mark per i prodotti IoT di consumo acquistati (tramite modifica del regolamento sugli appalti federali)
Ordine esecutivo 14306 sulla cybersicurezza (2025) · Stati Uniti - Termine di 180 giorni per rimuovere i prodotti Acronis dai sistemi informativi delle agenzie
Ordine FASCSA 2026-02 del DHS su Acronis · Stati Uniti - Entro 12 mesi: dismissione dei dispositivi dell'elenco già fuori supporto e inventario di quelli che lo saranno nei 12 mesi successivi
BOD 26-02 – Dispositivi perimetrali non più supportati · Stati Uniti - Termine per la registrazione annuale sulla piattaforma ACN (dal 1° gennaio); chi è già in elenco e non ha modifiche non ripresenta la dichiarazione
D.Lgs. 138/2024 – Recepimento della NIS 2 · Italia - I marketplace online che hanno in mano il dispositivo o ne sono proprietari devono indicarne l'FCC ID
Covered List della FCC (Secure Networks Act) · Stati Uniti - Termine per la guida CISA sugli elementi minimi della distinta dei componenti crittografici (CBOM) e per la proposta FAR sui programmi di divulgazione delle vulnerabilità
Ordine esecutivo 14412 sulla crittografia post-quantistica · Stati Uniti - Termine del codice di condotta per un gruppo di misure di sicurezza (fornitori di livello 1 e 2)
Telecommunications (Security) Act 2021 · Regno Unito - Termine di 6 mesi per dichiarare i sistemi informatici importanti già in uso all'entrata in vigore
Legge sulla difesa cibernetica attiva (2025) · Giappone - Gli operatori delle infrastrutture informative critiche presentano alla CSA i piani di migrazione alla crittografia resistente ai computer quantistici
Strategia di cybersicurezza di Singapore 2026 · Singapore - Fine della fase 1: nuovo modello di governo della cibersicurezza operativo
Piano d'azione del governo per la cibersicurezza · Regno Unito - Termine per gli operatori per adottare l'atto sulla sicurezza e il piano di risposta agli incidenti (18 mesi)
Legge sulla sicurezza delle informazioni (Serbia, 2025) · Serbia - Entrano in vigore l'articolo 45-5 e la relativa sanzione amministrativa introdotti dalla legge n. 21500
Legge coreana sulle reti di informazione e comunicazione · Corea del Sud - Termine per gli obblighi del capo 3 (misure di sicurezza e gestione degli incidenti) e per l'uso del sistema informatico nazionale S46
Modifica della legge sul sistema nazionale di cybersicurezza (NIS 2) · Polonia - Fine dei 12 mesi in cui i soggetti possono chiedere l'esenzione dalle ammende per mancato adeguamento al nuovo regime
DL 125/2025 – Regime giuridico della cybersicurezza · Portogallo - Termine per la prima individuazione dei soggetti critici e la loro iscrizione nell'elenco
Modifica della legge sulla gestione delle crisi (CER, 2026) · Polonia - Entro 15 mesi: relazione della CISA sui progressi delle agenzie al segretario per la sicurezza interna, all'OMB e al National Cyber Director
BOD 26-02 – Dispositivi perimetrali non più supportati · Stati Uniti - Si applicano gli obblighi sostanziali: consenso e informativa, misure di sicurezza, notifica delle violazioni, diritti degli interessati e sanzioni
Legge sui dati personali digitali 2023 (DPDP) · India - Entrano in vigore le regole 3, 5-16, 22 e 23: informativa, misure di sicurezza, notifica delle violazioni entro 72 ore, minori, Significant Data Fiduciaries e trasferimenti all'estero
Regole sui dati personali digitali 2025 (DPDP) · India - Viene soppressa la sezione 43A sul risarcimento per la mancata protezione dei dati, sostituita dalla legge sulla protezione dei dati personali digitali (sezione 44, comma 2, del DPDP Act)
Legge indiana sulle tecnologie dell'informazione 2000 · India - Termine per il primo Catalogo nazionale dei servizi essenziali e dell'infrastruttura critica digitale, per l'organizzazione del CSIRT nazionale e per i regolamenti sui fornitori di servizi digitali e sulla vigilanza tecnica
Legge organica per il rafforzamento della cybersicurezza · Ecuador - Termine dell'aggiornamento annuale delle informazioni sulla piattaforma ACN (dal 15 aprile)
Determinazione ACN 314287/2026 – Registrazione NIS e piattaforma · Italia - Finisce il periodo di tolleranza di 12 mesi per i primi requisiti rafforzati (rischi materiali aggiuntivi e parte dei requisiti cyber e sul personale)
Legge sulle infrastrutture critiche 2018 (SOCI) · Australia - Termine per la certificazione ISO/IEC 27001 dei soggetti chiave (30 mesi)
Legge sulla sicurezza delle informazioni (Montenegro, 2024) · Montenegro - Scadono i dodici mesi concessi ai proprietari di infrastrutture critiche per adeguarsi al regolamento
Regolamento sulle infrastrutture critiche 2026 (Mauritius) · Mauritius - Gli altri marketplace online devono verificare l'FCC ID fornito dai venditori terzi
Covered List della FCC (Secure Networks Act) · Stati Uniti - FedRAMP smette di accettare domande per nuove certificazioni secondo il processo Rev5
FedRAMP Authorization Act (2022) · Stati Uniti - I soggetti critici della pubblica amministrazione devono rispettare i propri obblighi
S.I. 559/2024 sui soggetti critici (CER) · Irlanda - Termine per comunicare l'elenco categorizzato di attività e servizi (dal 1° maggio)
Determinazione ACN 314287/2026 – Registrazione NIS e piattaforma · Italia - I fornitori di servizi adottano il regolamento interno di sicurezza, la valutazione dei rischi e il piano di prevenzione degli incidenti (18 mesi)
Legge HO-442-N sulla cybersicurezza · Armenia - Termine di due anni per adeguare le leggi su servizi fiduciari, servizi elettronici, registro della popolazione, comunicazioni elettroniche ed energia
Legge NIS della Macedonia del Nord (2025) · Macedonia del Nord - Finisce il periodo transitorio di 12 mesi: i sistemi informativi già classificati devono adeguare le misure di protezione al livello previsto dalla nuova legge e i prodotti e servizi di sicurezza già in uso devono rispettarne le condizioni
Legge sulla cybersicurezza del Vietnam 2025 (116/2025/QH15) · Vietnam - Entrano in vigore le modifiche all'articolo 32-2, paragrafo 1 (certificazione della protezione dei dati) e all'articolo 75 introdotte dalla legge n. 21445
Legge sulla protezione delle informazioni personali della Corea del… · Corea del Sud - Termine per l'adozione del primo piano nazionale di gestione del rischio
Modifica della legge sulla gestione delle crisi (CER, 2026) · Polonia - Entro un anno: primo riesame dell'ordine da parte del segretario per la sicurezza interna, poi ogni anno
Ordine FASCSA 2026-01 del DHS su DeepSeek · Stati Uniti - Soggetti entrati nell'elenco NIS nel 2026: termine per adottare le misure di sicurezza di base (determinazione ACN 127434/2026)
Determinazione ACN 379907/2025 – Misure di sicurezza e notifiche di base NIS · Italia - Entro un anno: primo riesame dell'ordine da parte del segretario per la sicurezza interna, poi ogni anno
Ordine FASCSA 2026-02 del DHS su Acronis · Stati Uniti - Termine di 24 mesi per adeguare i servizi cloud già in uso alle regole del decreto
Decreto 2-24-921 sui servizi cloud (Marocco) · Marocco - Entro 18 mesi: dismissione di tutti i dispositivi perimetrali non più supportati individuati
BOD 26-02 – Dispositivi perimetrali non più supportati · Stati Uniti - Data limite per l'entrata in vigore dei capi 3-7 sull'acquisizione e l'analisi delle informazioni di comunicazione (data esatta fissata con decreto)
Legge sulla difesa cibernetica attiva (2025) · Giappone - Entro fine 2027 tutti i router domestici venduti a Singapore devono avere almeno il livello 2 del Cybersecurity Labelling Scheme
Strategia di cybersicurezza di Singapore 2026 · Singapore - Si applicano la vigilanza del mercato dell'SZTFH e le sanzioni amministrative previste per il CRA
Legge CXXXV del 2025 (attuazione del CRA) · Ungheria - Si applicano le norme su vigilanza del mercato, CSIRT coordinatore, marcatura CE e sanzioni amministrative
Regolamenti di attuazione del CRA (S.L. 591.06) · Malta - Revisione della politica da parte dell'ATDT, prevista due anni dopo l'entrata in vigore
Politica generale di cybersicurezza APF (2025) · Messico - Scadenza prevista dalla legge per le sezioni 3607-3616 del titolo 44 (salvo proroga)
FedRAMP Authorization Act (2022) · Stati Uniti - Si applicano i divieti di acquisto e di contratto per i semiconduttori coperti
NDAA FY2023, sez. 5949 – Chip di SMIC, YMTC e CXMT · Stati Uniti - Termine per le autorità con compiti permanenti di crisi, comuni compresi, per adeguare analisi dei rischi e piani di crisi alla nuova legge
Legge sulle situazioni di crisi e sulla difesa nazionale · Estonia - Rimozione di tutte le apparecchiature e i servizi Huawei dalle reti 5G
Designated Vendor Direction su Huawei (Regno Unito) · Regno Unito - Termine per rimuovere le apparecchiature Huawei dalle reti 5G (designated vendor direction)
Telecommunications (Security) Act 2021 · Regno Unito - Termine per completare le valutazioni del rischio dei trattamenti avviati prima del 2026 e ancora in corso
California Consumer Privacy Act del 2018 (CCPA) · Stati Uniti - Conclusione del progetto pilota del NIST di migrazione post-quantistica sui propri sistemi
Ordine esecutivo 14412 sulla crittografia post-quantistica · Stati Uniti - Fine della fase II (crescita della maturità, 2026-2028)
Strategia nazionale di cybersicurezza della Papua Nuova Guinea… · Papua Nuova Guinea - Gli operatori di infrastrutture critiche e i fornitori di servizi di cybersicurezza presentano la certificazione di conformità agli standard (24 mesi)
Legge HO-442-N sulla cybersicurezza · Armenia - Gli operatori delle infrastrutture informative critiche tengono conto della sicurezza post-quantistica negli acquisti e nella realizzazione dei nuovi sistemi
Strategia di cybersicurezza di Singapore 2026 · Singapore - Scadono le eccezioni per i droni della Blue UAS Cleared List e per i prodotti nazionali secondo il Buy American
Covered List della FCC (Secure Networks Act) · Stati Uniti - Termine per la certificazione Tier 3 del centro dati di riserva
Disposizione CNC 1/2026 – Piani di contingenza e siti di riserva · Argentina - Entro 24 mesi: processo continuo di individuazione dei dispositivi perimetrali e dismissione entro la fine del supporto
BOD 26-02 – Dispositivi perimetrali non più supportati · Stati Uniti - Relazione del ministro al Parlamento sulla verifica di attuazione della legge
Legge sulla cybersicurezza (Cbw) · Paesi Bassi - Termine per le misure più complesse e per le prime misure nuove del codice rivisto
Telecommunications (Security) Act 2021 · Regno Unito - Prime certificazioni di audit di cybersecurity (imprese con ricavi oltre 100 milioni di dollari) e attestazioni delle valutazioni del rischio
California Consumer Privacy Act del 2018 (CCPA) · Stati Uniti - Termine per il primo audit dei soggetti essenziali; da questa data possono essere inflitte le sanzioni pecuniarie
Modifica della legge sul sistema nazionale di cybersicurezza (NIS 2) · Polonia