Introduzione
Tra gli adempimenti previsti dalla disciplina NIS2, la categorizzazione delle attività e dei servizi tramite il Portale ACN rappresenta uno dei passaggi più rilevanti per i soggetti essenziali e importanti. Non si tratta di una mera compilazione amministrativa, né di un’attività tecnica da affidare esclusivamente al reparto IT. La categorizzazione richiede all’organizzazione di individuare le proprie attività e i propri servizi, ricondurli alle macro-aree previste dal modello ACN e attribuire a ciascuno una categoria di rilevanza, valutando l’impatto che una possibile compromissione potrebbe produrre sulla capacità del soggetto di svolgere correttamente le attività e i servizi rilevanti ai fini NIS.
Il termine del 30 giugno assume quindi un valore concreto: entro questa data i soggetti NIS sono chiamati a trasmettere o aggiornare, tramite il Servizio NIS/Categorizzazione del Portale ACN, l’elenco categorizzato delle proprie attività e dei propri servizi. Con tale adempimento si dovrebbe costruire una rappresentazione ordinata del rischio dell’organizzazione, collegando attività aziendali, servizi erogati, sistemi informativi, dipendenze operative, fornitori critici e possibili impatti in caso di incidente.
Il quadro normativo
Il D.lgs. 4 settembre 2024, n. 138, che ha recepito in Italia la Direttiva NIS2, ha introdotto un sistema articolato di obblighi in materia di cybersicurezza per i soggetti essenziali e importanti. Tra questi obblighi vi è quello previsto dall’art. 30, rubricato “Elencazione, caratterizzazione e categorizzazione delle attività e dei servizi”.
La norma prevede che, dal 1° maggio al 30 giugno di ogni anno, a partire dalla ricezione della prima comunicazione di inclusione nell’elenco dei soggetti NIS, i soggetti essenziali e importanti comunichino e aggiornino tramite la piattaforma digitale ACN un elenco delle proprie attività e dei propri servizi, comprensivo degli elementi necessari alla loro caratterizzazione e della relativa attribuzione di una categoria di rilevanza. In altri termini, l’impresa non deve limitarsi a confermare di essere un soggetto NIS, deve rappresentare in modo strutturato quali attività svolge, quali servizi eroga e quale rilevanza assumono tali attività e servizi rispetto alla propria capacità di operare correttamente nel perimetro NIS.
La disciplina si collega direttamente al principio di proporzionalità dove non tutte le attività hanno lo stesso peso e non tutti i servizi producono il medesimo impatto in caso di interruzione, alterazione, indisponibilità o compromissione. E non tutti i sistemi informativi supportano processi egualmente critici. Per questo il modello ACN richiede una classificazione ragionata, che consenta di distinguere le attività e i servizi in base al loro effettivo livello di rilevanza.
La Determinazione ACN n. 155238/2026 e il modello di categorizzazione
Con la Determinazione ACN n. 155238/2026 è stato definito il modello di categorizzazione delle attività e dei servizi dei soggetti NIS. Il modello è articolato in 10 macro-aree, all’interno delle quali devono essere ricondotte le attività e i servizi dell’organizzazione e, a ciascuna attività o servizio, deve poi essere attribuita una categoria di rilevanza. Le categorie di rilevanza previste sono quattro: impatto minimo, impatto basso, impatto medio e alto.
La categoria di rilevanza misura l’impatto che una possibile compromissione dell’attività o del servizio potrebbe avere sulla capacità del soggetto di svolgere correttamente le attività e i servizi per i quali rientra nell’ambito di applicazione del Decreto NIS.
Questo passaggio è importante perché evita una lettura meramente formale dell’adempimento. L’attività di categorizzazione potrebbe essere letta come una qualificazione del rischio e l’impresa deve quindi chiedersi: se questa attività o questo servizio venissero compromessi, quale sarebbe l’impatto sulla capacità dell’organizzazione di operare correttamente nel proprio perimetro NIS?
Che cosa significa davvero categorizzare attività e servizi
Categorizzare significa individuare le attività svolte e i servizi erogati dal soggetto NIS, associarli alle macro-aree previste dal modello ACN e attribuire a ciascuno una categoria di rilevanza. Non si tratta di inserire descrizioni casuali o eccessivamente generiche, in quanto la categorizzazione richiede un lavoro preliminare di analisi.
Occorre comprendere quali servizi vengono effettivamente erogati, quali attività li supportano, quali sistemi informativi sono coinvolti, quali dati sono necessari, quali fornitori risultano rilevanti, quali dipendenze operative potrebbero incidere sulla continuità e quali conseguenze potrebbero derivare da un’interruzione.
Il reparto IT è essenziale perché conosce infrastrutture, sistemi, applicativi, reti, backup, misure di sicurezza e dipendenze tecnologiche. Tuttavia, da solo non sempre può valutare il peso giuridico, economico, operativo e organizzativo di un’attività o di un servizio. Si richiede quindi il coinvolgimento della governance, delle funzioni operative, della compliance, dell’area legale e, ove presente, del responsabile della sicurezza informatica.
La categoria pre-assegnata e la valutazione concreta del soggetto NIS
Un profilo particolarmente delicato riguarda il rapporto tra macro-area e categoria di rilevanza.
Il modello ACN prevede categorie di rilevanza pre-assegnate alle macro-aree. Il soggetto NIS non dovrebbe limitarsi a recepire automaticamente il valore predefinito senza verificare se esso sia coerente con il proprio contesto concreto. La stessa macro-area può infatti comprendere attività e servizi con impatti differenti e in presenza di una valutazione di impatto diversa, il soggetto NIS può attribuire a una specifica attività o a uno specifico servizio una categoria di rilevanza diversa rispetto a quella pre-assegnata alla macro-area. Questa scelta, però, non dovrebbe mai essere arbitraria. Se l’impresa decide di discostarsi dalla categoria pre-assegnata, è opportuno che conservi una documentazione interna idonea a dimostrare il ragionamento seguito. Tale documentazione dovrebbe indicare le ragioni della diversa classificazione, i criteri utilizzati, le funzioni coinvolte e gli elementi valutati.
Questo vale soprattutto nei casi in cui la categoria venga ridotta rispetto alla pre-assegnazione, perché una sottostima dell’impatto potrebbe incidere sulla rappresentazione complessiva del rischio e sulla successiva valutazione della conformità dell’adempimento. Anche una sovrastima, tuttavia, non è priva di conseguenze perchè può generare un assetto organizzativo più oneroso del necessario e non pienamente coerente con il principio di proporzionalità.
Perché la categorizzazione è un adempimento di governance
Uno degli errori più frequenti è considerare la categorizzazione come un compito tecnico da delegare integralmente all’IT. La NIS2 ha spostato la cybersicurezza su un piano di governance dove il rischio informatico non è più soltanto una questione di firewall, backup, antivirus o gestione delle credenziali, ma costituisce un rischio organizzativo, operativo, contrattuale, reputazionale e regolatorio.
Con tale adempimento, infatti, l’impresa rappresenta quali attività e servizi sono rilevanti, quale impatto potrebbe derivare dalla loro compromissione e quali aree richiedono maggiore attenzione nella gestione del rischio. È una scelta valutativa che può incidere sulle priorità di investimento, sulle misure di sicurezza, sulle procedure interne, sulla gestione degli incidenti, sulla continuità operativa e sulla relazione con i fornitori.
Come prepararsi operativamente alla scadenza del 30 giugno
- Confermare il perimetro NIS dell’organizzazione. Occorre chiedersi: per quali attività o servizi la società rientra nell’ambito di applicazione del Decreto NIS? Quali processi sono necessari per svolgere tali attività o erogare tali servizi? Quali sistemi informativi li supportano? Quali fornitori sono coinvolti? Quali eventi potrebbero comprometterne la continuità?
- Mappatura delle attività e dei servizi. Questa mappatura dovrebbe essere concreta e coerente con la realtà aziendale e non dovrebbe limitarsi a formule descrittive generiche, ma individuare le attività effettivamente svolte e i servizi effettivamente erogati.
- Associazione alle macro-aree previste dal modello ACN verificando quale macro-area sia più coerente rispetto all’attività o al servizio individuato. Qualora un’attività o un servizio presenti profili riconducibili a più macro-aree, sarà necessario effettuare una valutazione coerente e documentabile.
- Attribuzione della categoria di rilevanza e valutazione dell’impatto che una possibile compromissione dell’attività o del servizio avrebbe sulla propria capacità di svolgere correttamente le attività e i servizi NIS.
- Conservazione della documentazione interna. Anche quando la piattaforma richiede l’inserimento di dati sintetici, l’organizzazione dovrebbe conservare evidenza delle valutazioni effettuate: criteri utilizzati, funzioni coinvolte, dati analizzati, motivazioni delle scelte e ragioni di eventuali scostamenti rispetto alla categoria pre-assegnata. La documentazione è essenziale perché dimostra che la categorizzazione non è stata svolta in modo casuale, ma sulla base di una valutazione ragionata e coerente con il contesto aziendale.
Analisi di impatto
Per attribuire correttamente la categoria di rilevanza, l’impresa deve interrogarsi sulle conseguenze che una compromissione dell’attività o del servizio potrebbe produrre.
Le domande da porsi sono concrete:
Cosa accadrebbe se un determinato sistema fosse indisponibile per alcune ore o giorni?
Quali attività verrebbero bloccate?
Quali servizi non potrebbero essere erogati?
Vi sarebbero impatti su clienti, utenti, pazienti, fornitori, pubbliche amministrazioni o altri soggetti?
L’organizzazione potrebbe proseguire con procedure alternative?
Esistono fornitori sostitutivi?
I dati necessari all’erogazione del servizio sarebbero recuperabili?
I tempi di ripristino sono compatibili con la rilevanza dell’attività o del servizio?
Queste domande aiutano a evitare una classificazione astratta e consentono di collegare la categorizzazione agli altri presidi NIS2, come gestione degli incidenti, business continuity, disaster recovery, sicurezza della supply chain, ruoli e responsabilità interne, gestione degli accessi, protezione dei dati e continuità dei sistemi informativi.
Il riscontro dell’ACN e l’importanza della coerenza
L’art. 30 del Decreto NIS prevede anche che l’Autorità nazionale competente NIS fornisca riscontro ai soggetti essenziali e importanti circa la conformità di quanto comunicato rispetto alle modalità e ai criteri stabiliti. Questo aspetto conferma che la categorizzazione non è un adempimento meramente interno proprio perché l’elenco trasmesso tramite la piattaforma può essere oggetto di verifica e, ove necessario, di richieste di integrazione o informazioni aggiuntive.
Per l’impresa, ciò significa che la compilazione dovrebbe essere coerente, motivata e sostenibile. È necessario che le informazioni siano ragionevoli rispetto all’attività effettivamente svolta, al settore di appartenenza, ai servizi erogati, alla struttura organizzativa, alle dipendenze tecnologiche e ai possibili impatti. Un elenco categorizzato ben costruito consente all’impresa di dimostrare di avere compreso il proprio perimetro di rischio e di avere adottato un metodo ragionato nella valutazione delle attività e dei servizi.
Conclusioni
La categorizzazione ACN delle attività e dei servizi NIS non dovrebbe essere affrontata come un semplice caricamento di dati sul Portale. È un momento in cui l’azienda è chiamata a guardare alla propria organizzazione con una domanda precisa: quali attività e servizi sono realmente rilevanti e quale sarebbe l’impatto della loro compromissione sulla capacità dell’organizzazione di operare correttamente nel perimetro NIS? La risposta a questa domanda incide sulla sicurezza, sulla continuità operativa, sulla supply chain e sulla responsabilità degli organi di gestione.
La NIS2 conferma un principio ormai centrale nella compliance d’impresa e cioè che il rischio legale e cyber non nasce solo dall’incidente, ma dalle scelte organizzative non presidiate prima dell’incidente.
La categorizzazione ACN, se svolta correttamente, può quindi diventare molto più di un obbligo regolatorio; può diventare il punto di partenza per costruire una governance della cybersicurezza proporzionata, documentata e coerente con il modello operativo dell’impresa.