Categorizzazione NIS2
§ La cornice: l’articolo 30 del decreto NIS
La base giuridica è l’articolo 30 del D.lgs. 138/2024 (decreto NIS), rubricato “Elencazione, caratterizzazione e categorizzazione delle attività e dei servizi”.
Il comma 1 stabilisce che, dal 1° maggio al 30 giugno di ogni anno e a partire dalla ricezione della prima comunicazione di inserimento nell’elenco dei soggetti NIS, i soggetti essenziali e importanti comunicano e aggiornano — tramite la piattaforma digitale ACN — un elenco delle proprie attività e dei propri servizi, comprensivo di tutti gli elementi necessari alla loro caratterizzazione e della relativa attribuzione di una categoria di rilevanza.
Il comma 2 attribuisce all’Autorità nazionale competente NIS il potere di stabilire le categorie di rilevanza nonché il processo, le modalità e i criteri per l’elencazione, caratterizzazione e categorizzazione.
Riscontro di ACN e Termini
I commi successivi disciplinano il riscontro di ACN: entro novanta giorni dalla comunicazione, l’Autorità fornisce un riscontro circa la conformità di quanto trasmesso, prorogabile per una sola volta fino a sessanta giorni quando siano necessari approfondimenti.
Quando ACN richiede integrazioni o chiarimenti, i termini si interrompono fino al ricevimento delle informazioni richieste, da fornire entro trenta giorni.
Cosa cambia, dal 2026
Dal 1° maggio al 30 giugno di ogni anno, a partire dal 2026, i soggetti essenziali e importanti dovranno comunicare e aggiornare sulla piattaforma digitale di ACN l’elenco delle proprie attività e dei propri servizi, attribuendo a ciascuno una categoria di rilevanza.
Il principio di proporzionalità
L’adempimento è collegato al principio di proporzionalità. Distinguere i diversi livelli di esposizione al rischio delle attività e dei servizi è il presupposto per applicare le misure di sicurezza in modo adeguato e proporzionato, senza trattare allo stesso modo ciò che è critico e ciò che non lo è.
3 Le tre componenti del modello
Il modello di categorizzazione adottato da ACN si compone di tre elementi:
Elenco delle attività e dei servizi
Disciplina la predisposizione e la compilazione dell’elenco delle attività e dei servizi del soggetto NIS;
Categorie di rilevanza
Definisce le categorie di rilevanza delle attività e dei servizi e le modalità di attribuzione delle stesse;
Modello semplificato per i soggetti della pubblica amministrazione
Riutilizza gli esiti della classificazione di dati e servizi già prevista dal Regolamento Cloud (Decreto Direttoriale ACN n. 21007/24).
L’integrazione di questi tre elementi permette ad ACN di avere una mappatura precisa della resilienza cibernetica nazionale, garantendo al contempo ai soggetti obbligati un percorso strutturato per la conformità.
Sulla base di questo elenco e dei criteri stabiliti, il processo di categorizzazione entra nel vivo definendo il potenziale impatto operativo.
Le quattro categorie di rilevanza
Il modello prevede quattro categorie di rilevanza, attribuite sulla base dell’impatto che la compromissione di un’attività o di un servizio avrebbe sulla capacità dell’organizzazione di erogare le attività e i servizi NIS:
Impatto alto: la compromissione bloccherebbe attività o servizi fondamentali.
Impatto medio: la compromissione avrebbe conseguenze rilevanti ma non critiche.
Impatto basso: la compromissione avrebbe conseguenze limitate.
Impatto minimo: la compromissione non comprometterebbe in modo significativo le operazioni.
Le 10 macro-aree del modello ACN
Il modello organizza le attività e i servizi delle organizzazioni in 10 macro-aree predefinite. Ogni macro-area è caratterizzata da una denominazione, una descrizione, un elenco di esempi e una categoria di rilevanza preassegnata.
Il soggetto inserisce le proprie attività e i propri servizi nella macro-area corrispondente; se non ne ha alcuna, quella macro-area non viene considerata ai fini dell’elencazione.
Le 10 macro-aree e le rispettive categorie preassegnate sono le seguenti:
Il processo operativo: tre fasi
ACN ha articolato il lavoro richiesto alle organizzazioni in tre fasi consecutive.
Identificazione di attività e servizi
Sono individuati tutti i servizi e le attività dell’organizzazione, sia interni sia esterni.
È il momento in cui l’organizzazione si interroga davvero su cosa fa, e non solo su quale etichetta NIS le è stata assegnata.
Mappatura nelle macro-aree
Le attività e i servizi individuati vengono associati alle macro-aree definite dal modello di categorizzazione.
Quando un’attività o un servizio non rientra in nessuna delle nove macro-aree specifiche, si utilizza la macro-area “Altri servizi e attività”.
Attribuzione della categoria di rilevanza
A ciascuna attività o servizio viene assegnata una categoria di rilevanza. Per impostazione predefinita, ciascun elemento eredita la categoria preassegnata alla macro-area corrispondente.
Pubbliche amministrazioni: il modello semplificato
Per i soggetti della pubblica amministrazione che hanno già svolto la classificazione di dati e servizi prevista dal Regolamento Cloud (Decreto Direttoriale ACN n. 21007/24, articolo 3), il modello adottato ai fini NIS è semplificato.
Corrispondenza tra i modelli
In questo caso, l’elenco delle attività e dei servizi coincide con l’elenco di dati e servizi digitali già classificati ai sensi del Regolamento Cloud. Le categorie di rilevanza coincidono con le classi previste dal medesimo regolamento: ordinari, critici, strategici.
Nota sulla coerenza: Eventuali modifiche — inserimento o rimozione di attività o servizi, variazione della categoria — dovranno essere coerenti con la classificazione già effettuata ai fini del Regolamento Cloud.
Per le PA questo riduce il carico di nuovo lavoro e tiene allineati i due adempimenti.
La finalità vera: le misure di sicurezza a lungo termine
La categorizzazione ha la finalità di aggregare attività e servizi in funzione delle categorie di rilevanza, in modo da prevedere, sui relativi sistemi informativi e di rete, misure di sicurezza proporzionate.
Le specifiche di base, già adottate, costituiscono la prima fase di applicazione. Saranno integrate da requisiti aggiuntivi — di livello più avanzato — che daranno corpo alle cosiddette misure di sicurezza a lungo termine.
Livelli di mitigazione del rischio crescente:
Le misure saranno differenziate tra soggetti essenziali e importanti.
Soggetti Privati
Il principio è lineare: a ciascuna delle quattro categorie di rilevanza corrisponderà un set di misure di sicurezza. La categoria attribuita oggi determinerà il livello di obblighi futuri.
Soggetti Pubblici
La corrispondenza si appoggia sul Regolamento Cloud: i sistemi ordinari, critici e strategici implementeranno rispettivamente le misure L2, L3 e L4.
Il legame con i sistemi informativi e di rete rilevanti
La categorizzazione si collega anche al concetto di sistemi informativi e di rete rilevanti introdotto dalla Guida ACN alle specifiche di base: si tratta dei sistemi la cui compromissione comporterebbe un impatto significativo sulla riservatezza, integrità e disponibilità delle attività e dei servizi NIS.
! Il percorso di identificazione:
Per identificare i sistemi rilevanti il soggetto deve prima individuare le attività e i servizi NIS, poi valutare l’impatto di una loro compromissione e infine identificare come rilevanti i sistemi che presentano un impatto significativo.
Verso la Resilienza Cibernetica
Questo processo strutturato assicura che ogni misura di sicurezza sia calibrata sul rischio reale, garantendo protezione dove è più necessaria e conformità agli standard europei.
La domanda che cambia tutto
Sul piano del metodo, occorre porsi una domanda cruciale:
Se questa attività venisse compromessa,
cosa smetterebbe di funzionare?
”
La NIS2 non chiede solo di proteggere i sistemi: chiede di sapere cosa deve continuare a funzionare quando i sistemi vengono messi sotto pressione.
Cosa fare adesso
Per le aziende che ricadono nel perimetro NIS, la finestra dal 1° maggio al 30 giugno 2026 è un appuntamento da preparare con attenzione.
I tempi possono sembrare ampi, ma il lavoro a monte non è banale: serve coordinamento tra business, IT, compliance e organi direttivi, e serve coerenza con tutto il sistema documentale già richiesto dalle specifiche di base.
Cambio di prospettiva:
Affrontare la categorizzazione come un’attività di compilazione produrrà un risultato a perdere. Affrontarla come un esercizio di consapevolezza interna — collegandola a inventario, analisi del rischio, continuità operativa e gestione dei fornitori — produrrà uno strumento di governo che resterà utile anche oltre il portale ACN.
La NIS2 è ormai uscita dalla fase dichiarativa. Da qui in avanti, conta soprattutto la qualità del lavoro che ogni organizzazione è in grado di documentare.
Fonti dell’articolo
- Comunicato ACN: Modalità per l’elencazione e la categorizzazione delle attività e dei servizi NIS.
- ACN Linee Guida NIS: Specifiche di base e Guida alla lettura (v 2.1, aprile 2026).
- D.lgs. 138/2024: Articolo 30 – Elencazione e categorizzazione.
- Decreto Direttoriale n. 21007/24: Regolamento Cloud e classificazione dati/servizi.
- Intervento ACN — CLUSIT: “NIS2, dalle misure di base alla categorizzazione”, 29 aprile 2026.
