Come preannunciato la scorsa settimana, l’Agenzia per la Cybersicurezza Nazionale (“ACN”) ha pubblicato nei giorni scorsi la nuova Determinazione 155238/2026 (la “Determinazione 155238”). La Determinazione 155238 introduce il modello ufficiale per l’elencazione e la categorizzazione delle attività e dei servizi dei soggetti NIS (c.d. elenco categorizzato), definendo criteri, modalità operative e livelli di impatto. A supporto di questo nuovo adempimento, l’ACN ha altresì pubblicato specifiche Linee Guida, volte a chiarire il funzionamento del modello di categorizzazione adottato (le “Linee Guida”). Nel linguaggio del Decreto NIS2 (D.Lgs. 138/2024), la “categorizzazione” consiste nell’attribuzione a ciascuna attività o servizio di un livello di rilevanza (alto, medio, basso o minimo) in funzione dell’impatto che una sua compromissione potrebbe avere sulla continuità operativa e sulla capacità del soggetto di erogare servizi NIS. Attraverso tale classificazione, i soggetti NIS sono chiamati a individuare e classificare le proprie priorità operative, distinguendo le attività e i servizi in base alla loro effettiva criticità, in coerenza con un approccio c.d. all-hazards (multi-rischio), che considera non solo le minacce digitali ma anche il contesto operativo complessivo. La categorizzazione rappresenta dunque lo strumento attraverso cui il legislatore e l’autorità di settore calibrano, in modo proporzionato, gli obblighi di sicurezza. In termini operativi, equivale a rispondere a una domanda chiave per il business: “quali attività sono davvero critiche e con quale priorità devono essere protette?”. Il contesto di riferimento Nell’ambito degli adempimenti previsti dal Decreto NIS2, i soggetti “essenziali” e “importanti”, a partire dalla ricezione della comunicazione di inclusione nell’elenco dei soggetti NIS, sono tenuti – dal 1° maggio al 30 giugno di ogni anno – a trasmettere tramite la piattaforma ACN l’elenco aggiornato delle attività e dei servizi, comprensivo degli elementi necessari alla loro categorizzazione e della relativa categoria di rilevanza. L’elenco categorizzato non rappresenta, quindi, un mero adempimento informativo. Esso costituisce la base su cui verranno calibrate le misure di sicurezza c.d. a lungo termine, attese entro la fine del 2026, che si aggiungeranno a quelle “di base” già definite con la Determinazione 379907/2025[1]. Ciò significa che la categorizzazione inciderà direttamente sull’intensità e sull’estensione degli obblighi futuri, quantomeno in materia di misure di sicurezza. Il modello di elenco adottato dall’ACN L’elenco deve essere predisposto in base al modello di categorizzazione elaborato dall’ACN (il “Modello”). I soggetti operanti nei settori dell’energia, dei trasporti, della sanità, dell’acqua potabile, delle acque reflue, dello spazio, nonché negli “altri settori critici” di cui all’Allegato II del Decreto NIS2 (quali, ad esempio, servizi postali e gestione dei rifiuti), oltre ai servizi di trasporto pubblico locale, devono utilizzare il modello di cui Allegato 1alla Determinazione 155238. Tutti gli altri soggetti NIS (tra cui il settore bancario e dei servizi finanziari, le infrastrutture digitali come data center e servizi cloud e i fornitori di servizi ICT business-to-business) devono invece fare riferimento al Modello di cui all’Allegato 2. Il Modello organizza attività e servizi in 10 macro-aree (monitoraggio e controllo; produzione di beni e servizi; ricerca, sviluppo e progettazione; gestione finanziaria; gestione dei clienti; gestione delle risorse umane; logistica; comunicazione e marketing; gestione amministrativa; altri servizi e attività[2]), ciascuna caratterizzata da una denominazione, una descrizione e una categoria di rilevanza preassegnata. La categoria di rilevanza – articolata in impatto “alto”, “medio”, “basso” o “minimo” – esprime l’impatto che una possibile compromissione dell’attività o del servizio potrebbe avere sulla capacità del soggetto di svolgere correttamente le attività e i servizi NIS. Per ciascuna macro-area, l’ACN ha già formulato una valutazione standard, attribuendo una categoria di rilevanza “di default”. Cosa devono fare in concreto i soggetti NIS I soggetti NIS, tramite il proprio Punto di Contatto, devono accedere alla piattaforma ACN, predisporre l’elenco e attribuire la categoria di rilevanza a tutte le attività e ai servizi erogati, sia internamente sia verso l’esterno. Le Linee Guida articolano il processo in 3 fasi: 1. identificazione attività/servizi Occorre individuare tutte le attività svolte e i servizi erogati che risultano supportati, svolti o erogati da sistemi informativi e di rete, anche valorizzando analisi già disponibili (quali risk assessment o business impact analysis). Le Linee Guida ammettono sia un approccio top-down (individuando attività/servizi a partire da funzioni e processi) sia bottom-up (a partire dagli asset IT), anche in forma combinata. Pur non essendo richiesto un livello di dettaglio predeterminato, la scelta della granularità è un passaggio rilevante: ogni attività o servizio sarà associato a una sola categoria di rilevanza (impatto alto, medio, basso o minimo). È quindi opportuno individuare attività/servizi sufficientemente omogenei, evitando sia aggregazioni eccessive (che appiattiscono il rischio) sia frammentazioni artificiose: il livello di dettaglio deve consentire di distinguere funzioni con profili di rischio differenti, senza compromettere la sostenibilità operativa del processo. In molti casi, un numero di attività/servizi allineato alle categorie di rilevanza previste dal Modello rappresenta un buon punto di equilibrio. 2. Mappatura attività/servizi in macro-aree Le attività e i servizi individuati devono poi essere associate, in base alla natura dell’attività o del servizio, alle funzioni organizzative coinvolte e ai processi di business, a una delle 10 macro-aree che ne rappresenta meglio le finalità e le caratteristiche. Qualora un’attività presenti caratteristiche trasversali, le Linee Guida richiedono di procedere alla sua scomposizione, al fine di garantire un’associazione univoca. Non è invece necessario valorizzare tutte le macro-aree, ove non pertinenti rispetto all’operatività del soggetto. 3. Attribuzione categoria di rilevanza In via generale, le attività e i servizi acquisiscono la categoria di rilevanza preassegnata alla macro-area di riferimento (es., produzione di beni e servizi – impatto medio)[3]. Tuttavia, il soggetto NIS può discostarsi da tale classificazione, sulla base di una valutazione dell’impatto concreto che una loro compromissione determinerebbe sulla continuità delle attività e dei servizi NIS. In coerenza con il principio di accountability, tale scelta richiede un adeguato supporto documentale. In termini pratici, questo è il momento in cui la categorizzazione diventa una vera valutazione di rischio: discostarsi dal default è possibile, ma solo se si è in grado di dimostrare – anche ex post – la razionalità della scelta. Conclusioni La sequenza degli adempimenti NIS2 si sta progressivamente completando: alla registrazione 2025 e agli obblighi di notifica operativi da gennaio 2026, si affiancano l’aggiornamento annuale delle informazioni (inclusi i fornitori rilevanti), la predisposizione dell’elenco categorizzato, l’adozione delle misure di sicurezza di base entro ottobre 2026 e, successivamente, l’introduzione delle misure a lungo termine. In questo contesto, la categorizzazione rappresenta un passaggio centrale. Non solo perché è funzionale agli obblighi successivi, ma anche perché richiede alle organizzazioni di distinguere, al proprio interno, i diversi livelli di esposizione al rischio delle attività e dei servizi supportati dai sistemi informativi e di rete. Il principio di accountability impone agli organi amministrativi e direttivi del soggetto NIS una responsabilizzazione diretta anche nel processo di categorizzazione: in questa prospettiva, la Business Impact Analysis e la documentazione a supporto delle scelte classificatorie assumono la funzione di strumenti di governance del rischio, oltre che di elementi probatori in sede di vigilanza. Affrontare questo esercizio in modo meramente formale rischia, quindi, di generare classificazioni poco utili e difficilmente sostenibili, oltre a esporre il soggetto a potenziali violazioni della normativa e alle conseguenti sanzioni. Al contrario, un’impostazione integrata con i processi di gestione del rischio e di governance IT consente di trasformare l’adempimento in uno strumento effettivo di supporto alle decisioni, in vista delle ulteriori evoluzioni regolatorie attese nei prossimi mesi. [1] Per maggiori approfondimenti, si rinvia alle nostre slide pubblicate su LinkedIn e disponibili al seguente link: https://www.linkedin.com/feed/update/urn:li:activity:7374021071991242753/, nonché al nostro precedente contributo “NIS2: dalla compliance formale alla responsabilità operativa. Cosa cambia dopo le ultime Determinazioni e Linee Guida dell’ACN”. [2] Come precisato dalle Linee Guida, questa macro-area deve essere utilizzata se il soggetto NIS ritiene che una determinata attività o un determinato servizio non rientrino in alcuna delle altre macro-aree. [3] L’Allegato B alle Linee Guida indica le motivazioni che hanno portato l’ACN a pre-assegnare le categorie di rilevanza alle macro-aree del Modello.
