Il calendario della NIS2 in Italia entra in una fase concreta. Dopo la registrazione dei soggetti e l’inserimento nell’elenco nazionale, l’adempimento che merita attenzione immediata è la comunicazione e l’aggiornamento dell’elenco delle attività e dei servizi tramite la piattaforma digitale ACN.
La finestra indicata dall’Agenzia per la cybersicurezza nazionale va dal 1 maggio al 30 giugno di ogni anno. Per i soggetti essenziali e importanti non si tratta di una compilazione formale: la categorizzazione serve a collegare attività, servizi, impatti e priorità di sicurezza. In altre parole, è il punto in cui la compliance NIS2 inizia a diventare gestione operativa del rischio.
La novità è rilevante anche per imprese, enti pubblici e fornitori ICT che non vogliono trovarsi a rincorrere l’adempimento solo quando arrivano misure di sicurezza, notifiche di incidente e richieste sulla catena di fornitura.
Che cosa chiede ACN entro il 30 giugno
La pagina ACN dedicata alla categorizzazione richiama l’articolo 30 del decreto NIS: dal 1 maggio al 30 giugno i soggetti essenziali e importanti comunicano o aggiornano, attraverso la piattaforma digitale, l’elenco delle proprie attività e dei propri servizi. L’elenco deve contenere gli elementi necessari alla caratterizzazione e l’attribuzione della relativa categoria di rilevanza.
Il modello di categorizzazione è disciplinato dagli allegati della Determinazione ACN 155238/2026. ACN ha inoltre pubblicato linee guida per la lettura del modello e per supportare il processo di elencazione e categorizzazione.
Il passaggio chiave è questo: ogni attività o servizio deve essere letto in funzione dell’impatto che una sua compromissione avrebbe sulla capacità dell’organizzazione di svolgere le attività e i servizi per cui rientra nel perimetro NIS.
Le quattro categorie di rilevanza
Il modello ACN prevede quattro categorie di rilevanza con livello di impatto crescente:
- minimo;
- basso;
- medio;
- alto.
ACN struttura le attività e i servizi in macro-aree. Il modello ne prevede dieci, inclusa la macro-area “Altri servizi e attività”, da usare quando un’attività non rientra nelle altre macro-aree.
Questo impianto aiuta le organizzazioni a non ragionare solo per asset tecnologici. Una piattaforma, un processo amministrativo, un servizio digitale, un’infrastruttura, un sistema di supporto o un servizio erogato a utenti e clienti possono avere livelli di impatto molto diversi. La categorizzazione serve proprio a rendere visibile questa differenza.
Perché non è solo un adempimento documentale
La tentazione, davanti a una scadenza normativa, è produrre un elenco e chiudere il punto. Sarebbe un errore.
La categorizzazione NIS2 è utile perché consente di costruire una mappa di priorità. Se un’attività è classificata con impatto alto, l’organizzazione deve chiedersi almeno tre cose:
- quali sistemi, dati, persone e fornitori la rendono possibile;
- quali incidenti potrebbero comprometterla;
- quali misure di prevenzione, rilevazione, risposta e continuità sono già presenti o mancano.
Questo collegamento è essenziale anche perché gli obblighi NIS2 non vivono isolati. La Determinazione ACN 379907/2025, richiamata nelle pagine istituzionali dell’Agenzia, riguarda le misure di sicurezza di base e la notifica degli incidenti significativi di base. Per i soggetti già inseriti nell’elenco nazionale nella prima fase, ACN indica l’adozione delle misure di sicurezza entro 18 mesi dalla comunicazione di inserimento, con riferimento a ottobre 2026, e la notifica degli incidenti significativi entro 9 mesi, con riferimento a gennaio 2026.
Per i nuovi soggetti inseriti per la prima volta nel 2026, la Determina 127434/2026 ha invece fissato una scansione diversa: la notifica degli incidenti significativi di base decorre dal 1 gennaio 2027, con designazione del referente CSIRT entro fine 2026, mentre le misure di sicurezza di base devono essere adottate entro luglio 2027.
Queste date mostrano un punto pratico: la categorizzazione non è un archivio statico, ma una base per pianificare sicurezza, continuità, responsabilità interne e gestione dei fornitori.
Il nodo della supply chain
Un altro elemento da non sottovalutare riguarda i fornitori rilevanti. Nella notizia del 13 aprile 2026, ACN ha spiegato che la Determinazione 127437/2026 aggiorna le modalità di utilizzo e accesso alla piattaforma digitale e introduce l’articolo 18 relativo all’elencazione dei fornitori rilevanti.
L’obiettivo è individuare, tra i fornitori, quelli che potranno essere qualificati come soggetti importanti o essenziali, promuovendo un livello adeguato di sicurezza lungo la catena di approvvigionamento.
Per le organizzazioni questo significa che la NIS2 non si ferma al perimetro interno. Cloud provider, outsourcer IT, manutentori, fornitori di piattaforme gestionali, servizi di monitoraggio, consulenti tecnici e partner operativi possono diventare parte della valutazione. Non basta sapere “chi fornisce cosa”: occorre capire quali fornitori sono collegati ad attività o servizi critici e con quale livello di dipendenza.
Cosa dovrebbero fare imprese e PA adesso
La scadenza del 30 giugno richiede un lavoro ordinato, ma non necessariamente complicato se impostato con metodo. Una checklist essenziale può essere questa.
1. Verificare il perimetro NIS
Prima di categorizzare, è necessario chiarire quali attività e servizi portano l’organizzazione dentro il perimetro NIS. Questo evita elenchi generici e riduce il rischio di attribuire categorie senza un collegamento reale al servizio essenziale o importante.
2. Mappare attività, servizi e dipendenze
Ogni attività o servizio dovrebbe essere descritto con informazioni minime ma solide: finalità, utenti o destinatari, processi collegati, sistemi ICT utilizzati, dati trattati, sedi o infrastrutture coinvolte, unità organizzative responsabili e fornitori connessi.
3. Valutare l’impatto della compromissione
La domanda centrale non è “quanto è tecnologicamente complesso questo sistema?”, ma “che cosa accade se questa attività o questo servizio non è disponibile, è alterato o perde riservatezza e integrità?”. La risposta deve considerare operatività, continuità del servizio, impatti su utenti, clienti, cittadini, obblighi contrattuali e conseguenze regolatorie.
4. Allineare categorizzazione e misure
Una volta attribuita la categoria di rilevanza, bisogna collegare il risultato alle misure di sicurezza. Le attività a impatto più alto dovrebbero avere priorità nella verifica di controlli, ruoli, procedure, monitoraggio, gestione incidenti, backup, continuità operativa e test.
5. Coinvolgere funzioni diverse
La NIS2 non può essere gestita solo dall’IT. Servono contributi di direzione, responsabili di processo, legale, privacy, procurement, sicurezza fisica, continuità operativa e fornitori chiave. La categorizzazione è affidabile solo se combina conoscenza tecnica e conoscenza dei processi.
6. Conservare evidenze e decisioni
Ogni scelta dovrebbe lasciare una traccia: criteri usati, motivazione della categoria, fonti informative, responsabili coinvolti, eventuali dubbi e azioni successive. Questo aiuta sia in caso di controllo sia nella revisione periodica.
Coordinamento con cloud e classificazione dei servizi pubblici
ACN richiama anche il coordinamento con la classificazione dei dati e dei servizi per la PA. La Determinazione 155238/2026 prevede che i soggetti NIS che hanno già svolto la classificazione dei dati e dei servizi secondo il Regolamento Cloud applichino quel modello ai fini dell’elencazione e categorizzazione delle attività e dei servizi.
Per le pubbliche amministrazioni, quindi, il lavoro NIS2 deve dialogare con percorsi già avviati su cloud, servizi digitali e classificazione. Questo è un punto positivo, purché non venga trattato come una mera trasposizione: se cambiano attività, servizi o livelli di impatto, l’aggiornamento deve essere coerente.
Il valore manageriale della categorizzazione
La NIS2 viene spesso letta come un obbligo di cybersicurezza. È corretto, ma riduttivo. In realtà impone alle organizzazioni di conoscere meglio se stesse: quali servizi sono davvero critici, quali dipendenze non sono presidiate, quali fornitori hanno un ruolo strategico, quali processi non dispongono di piani di continuità credibili.
Per questo la categorizzazione ACN può diventare un esercizio utile anche oltre la compliance. Se fatta bene, produce una mappa decisionale per investimenti, priorità di sicurezza, contratti, formazione, gestione incidenti e audit interni.
La scadenza del 30 giugno non dovrebbe essere vissuta come un punto di arrivo. È il momento in cui mettere ordine nel perimetro e preparare il lavoro successivo: misure di sicurezza, gestione degli incidenti, rapporti con CSIRT Italia, supply chain e governance.
Per imprese, PA e professionisti il messaggio è semplice: la NIS2 non chiede solo di “essere conformi”, ma di dimostrare una capacità organizzativa di prevenire, gestire e documentare il rischio cyber. La categorizzazione è uno dei primi strumenti per farlo con metodo.
Chi ha bisogno di impostare questo percorso dovrebbe partire da un assessment chiaro, documentato e proporzionato, collegando obblighi normativi, processi aziendali e misure tecniche realmente applicabili. È il tipo di lavoro in cui competenza normativa, esperienza IT e visione organizzativa devono procedere insieme.