Categorizzazione NIS2: attività e servizi, macro-aree e categorie di rilevanza

Dal 2026 c'è un appuntamento in più sul Portale ACN: la categorizzazione di attività e servizi. Ogni anno, dal 1° maggio al 30 giugno, i soggetti essenziali e importanti comunicano l'elenco delle proprie attività e dei propri servizi e attribuiscono a ciascuno una categoria di rilevanza, cioè l'impatto che avrebbe una sua compromissione (d.lgs. 138/2024, art. 30, c. 1). L'obbligo si applica dal 2026 (art. 42, c. 2) e il modello da usare è quello della determinazione ACN 155238 del 20 aprile 2026, in vigore dal 1° maggio 2026.

Sembra un esercizio burocratico, ma non lo è: è la base su cui l'ACN costruirà le misure di sicurezza dei prossimi anni. Questa guida spiega cosa chiede, come è fatto il modello, come si compila con un esempio e cosa succede dopo l'invio.

Cosa chiede e a chi

Tutti i soggetti NIS, essenziali e importanti, a partire dall'anno in cui hanno ricevuto la prima comunicazione di inserimento nell'elenco (art. 30, c. 1; FAQ ACN CAT.1). Bisogna elencare tutte le attività svolte e tutti i servizi erogati, sia all'interno sia verso l'esterno, suddivisi nelle macro-aree del modello ACN, e per ciascuno indicare (det. 155238/2026, art. 3, c. 1-2):

• la macro-area a cui appartiene;
• la denominazione e una descrizione dell'attività o del servizio;
• la categoria di rilevanza: impatto minimo, basso, medio o alto.

Se non svolgete attività in una macro-area, non dovete indicare nulla per quella macro-area (art. 3, c. 4). Le entità finanziarie soggette al DORA sono esentate, salvo adesione volontaria (det. ACN 314287/2026, art. 20, c. 6).

A cosa serve

La categoria di rilevanza misura l'impatto che una compromissione di quell'attività o di quel servizio avrebbe sulla vostra capacità di svolgere correttamente le attività e i servizi per cui siete soggetti NIS (det. 155238/2026, art. 1, lett. l; FAQ CAT.6). Il decreto prevede che l'ACN differenzi obblighi, termini e specifiche anche in base a queste categorie (art. 31, c. 2, lett. a).

In pratica, oggi tutti applicano le stesse misure di sicurezza di base, per importanti o per essenziali. Le misure successive, chiamate dall'ACN «a lungo termine» o «rafforzate», saranno più incisive sui sistemi che sostengono le attività con impatto più alto (FAQ CAT.3). Il 18 settembre 2026 l'ACN ha avviato con i tavoli settoriali la consultazione sulle misure rafforzate, che dovranno integrare e sostituire quelle di base; al 13 novembre 2026 non sono ancora state adottate. Una categorizzazione superficiale oggi rischia di tradursi domani in misure sbagliate: troppo pesanti dove non servono, o troppo leggere dove servirebbero.

Il modello ACN: dieci macro-aree e quattro categorie

Il modello struttura le attività di qualsiasi organizzazione in dieci macro-aree, ognuna con una denominazione, una descrizione e una categoria di rilevanza pre-assegnata (det. 155238/2026, art. 2, c. 1). Esistono due versioni, che differiscono per una sola macro-area:

• l'allegato 1 vale per energia, trasporti, sanità, acqua potabile, acque reflue e spazio (allegato I del decreto, numeri 1, 2, 5, 6, 7 e 10), per servizi postali, rifiuti, chimica, alimentare e fabbricazione (allegato II, numeri 1-5) e per il trasporto pubblico locale (allegato IV, numero 1) (art. 2, c. 2);
• l'allegato 2 vale per tutti gli altri, per esempio infrastrutture digitali, servizi informatici gestiti, fornitori digitali, ricerca, pubbliche amministrazioni (art. 2, c. 3).

Le descrizioni sono riassunte dagli allegati 1 e 2 della det. 155238/2026; le categorie sono quelle pre-assegnate dall'ACN.

Come si fa, passo per passo

L'ACN suggerisce un processo in tre fasi, non vincolante: potete usare un altro metodo o riutilizzare un'analisi di impatto già fatta, per esempio per la continuità operativa (FAQ CAT.7).

1. Individuate le attività e i servizi svolti dall'organizzazione e supportati, svolti o erogati da sistemi informativi e di rete. Non è richiesta una metodologia specifica.
2. Associateli alle macro-aree. Ogni attività va in una sola macro-area: se ne tocca più di una, va scomposta in parti più piccole.
3. Attribuite la categoria. Di norma è quella pre-assegnata alla macro-area, ma potete indicarne una diversa sulla base di una vostra valutazione dell'impatto. In quel caso dovete conservare la documentazione della valutazione (det. 155238/2026, art. 3, c. 3). Una stessa macro-area può quindi contenere attività con categorie diverse.

Il lavoro diventa molto più semplice se avete già un inventario degli asset con l'elenco dei sistemi rilevanti, una valutazione del rischio e un piano di continuità operativa: le attività critiche e i loro sistemi sono già lì.

Un esempio per un'azienda manifatturiera

Un'azienda di 180 persone che fabbrica macchinari (allegato II, quindi modello dell'allegato 1) potrebbe arrivare a un elenco come questo. È un esempio indicativo, non una categorizzazione validata dall'ACN:

Due scelte su cui ragionare caso per caso. Se il magazzino ricambi è ciò che tiene ferme o in funzione le macchine dei clienti, potreste voler alzare la sua categoria e documentare perché. Se invece la teleassistenza è marginale, potreste abbassarla: anche qui serve una valutazione scritta. Senza documentazione, tenete la categoria pre-assegnata.

Pubbliche amministrazioni e Perimetro di sicurezza nazionale

Le amministrazioni che hanno già classificato dati e servizi secondo il Regolamento cloud dell'ACN (decreto direttoriale 21007/24 del 27 giugno 2024) usano quella classificazione al posto del modello (det. 155238/2026, art. 4). A loro il Portale presenta l'elenco già caricato su PA digitale 2026 al 7 aprile 2026, da confermare o aggiornare restando coerenti con quella classificazione (FAQ CAT.8). Il quadro delle PA è in NIS2 e pubblica amministrazione.

Le attività e i servizi soggetti al Perimetro di sicurezza nazionale cibernetica (d.l. 105/2019) hanno automaticamente categoria «impatto alto» e non si indicano nell'elenco (det. 155238/2026, art. 5; FAQ CAT.9).

Dopo l'invio: termini, verifiche e sanzioni

• Chi invia. Il punto di contatto conferma l'elenco come dichiarazione sostitutiva (DPR 445/2000) e lo trasmette dal servizio «NIS/Categorizzazione»; una copia arriva al domicilio digitale (det. 314287/2026, art. 20, c. 3).
• Dopo il 30 giugno l'elenco è definitivo e non si modifica più; un elenco inviato in ritardo è considerato tardivo e non è modificabile, salvo criticità tecniche documentate non imputabili a voi (art. 20, c. 4-5).
• La risposta dell'ACN. La legge le dà 90 giorni, prorogabili di 60 (art. 30, c. 3); fino al 31 dicembre 2027 il termine è di 150 giorni (det. 314287/2026, art. 21, c. 2). L'ACN verifica a campione, anche confrontandovi con soggetti simili (art. 21, c. 1). Se vi chiede integrazioni avete 30 giorni (art. 21, c. 3).
• Il silenzio vale come convalida (art. 30, c. 4; det., art. 21, c. 5). Un esito negativo non vi esonera dall'obbligo (art. 21, c. 6).
• Sanzioni. La mancata comunicazione o il mancato aggiornamento dell'elenco categorizzato sono tra le violazioni dell'art. 38, c. 10 (lett. c), punite fino allo 0,1% o allo 0,07% del fatturato: i dettagli sono in le sanzioni.

Da dove partire

1. Ad aprile riprendete l'inventario dei sistemi rilevanti e l'eventuale analisi di impatto della continuità operativa.
2. Fate l'elenco delle attività e dei servizi con i responsabili di ciascuna area, non solo con l'IT.
3. Associate ogni attività a una macro-area e partite dalle categorie pre-assegnate.
4. Documentate ogni categoria cambiata, con le ragioni.
5. Trasmettete entro il 30 giugno, dopo aver chiuso l'aggiornamento annuale del 31 maggio.

Non siete sicuri di dover fare la categorizzazione? Partite dalla verifica gratuita. In Pilot le finestre di aggiornamento e categorizzazione sono nello scadenzario, e l'inventario che compilate nelle tappe vi dà già la base dell'elenco: iniziate il percorso. Se volete una categorizzazione ragionata con chi conosce impianti e sistemi, c'è la consulenza NIS2 dello Studio.

Domande frequenti