Categorizzazione NIS: cos'è, chi deve farla e come inviare l'elenco entro il 30 giugno

C'è una scadenza NIS che molte organizzazioni stanno affrontando proprio in questi giorni: entro il 30 giugno 2026 i soggetti essenziali e importanti iscritti nell'elenco NIS devono trasmettere all'ACN, tramite la piattaforma digitale, l'elenco categorizzato delle proprie attività e dei propri servizi. È la cosiddetta categorizzazione, l'adempimento previsto dall'articolo 30 del decreto NIS (d.lgs. 138/2024) e disciplinato in dettaglio dalle determinazioni ACN pubblicate ad aprile 2026. La finestra si è aperta il 1° maggio e, una volta chiusa, l'elenco trasmesso non sarà più modificabile: vale la pena capire bene cosa chiede l'Agenzia, come compilare il modello e quali errori evitare.

Questa guida mette in fila le fonti ufficiali — la pagina descrittiva e le FAQ dell'ACN, la determinazione n. 155238/2026 con i suoi due allegati, la guida alla lettura del modello e la determinazione n. 127437/2026 sulla piattaforma — e le traduce in un percorso operativo.

Cos'è la categorizzazione e perché l'ACN la chiede

L'articolo 30 del d.lgs. 138/2024 impone ai soggetti NIS di comunicare e aggiornare ogni anno, sulla piattaforma digitale dell'ACN, l'elenco delle proprie attività e dei propri servizi, comprensivo della relativa categorizzazione. Categorizzare significa attribuire a ciascuna attività o servizio una categoria di rilevanza — impatto alto, medio, basso o minimo — che esprime quanto una sua compromissione inciderebbe sulla capacità del soggetto di svolgere correttamente le attività e i servizi che lo hanno fatto rientrare nel perimetro NIS.

Non si tratta di un censimento fine a sé stesso. L'elenco categorizzato è il presupposto su cui l'ACN calibrerà le misure di sicurezza "a lungo termine", attese entro la fine del 2026, che si aggiungeranno alle misure di base già definite: più alta è la rilevanza attribuita a un'attività, più stringenti saranno gli obblighi di protezione sulle porzioni di sistemi informativi e di rete che la supportano. È il meccanismo con cui la NIS2 realizza la proporzionalità: concentrare gli sforzi dove l'impatto di un incidente sarebbe maggiore, secondo un approccio multirischio (all-hazards) che guarda all'operatività complessiva, non solo alle minacce informatiche.

In termini di business, l'esercizio equivale a rispondere a una domanda che ogni organizzazione dovrebbe comunque porsi: quali attività sono davvero critiche, e con quale priorità vanno protette?

Le fonti da conoscere

Il quadro regolatorio dell'adempimento si compone di tre tasselli, tutti pubblicati dall'ACN sul proprio portale.

Il primo è la determinazione n. 127437/2026 sulle modalità di utilizzo della piattaforma digitale: gli articoli 20 e 21 disciplinano il processo — la finestra annuale dal 1° maggio al 30 giugno, il Servizio NIS/Categorizzazione, la conferma del punto di contatto, le verifiche successive all'invio.

Il secondo è la determinazione n. 155238/2026, pubblicata a fine aprile 2026, che adotta il vero e proprio modello di categorizzazione: definisce le quattro categorie di rilevanza, i criteri per l'elencazione e la caratterizzazione di attività e servizi, e rinvia ai due allegati che costituiscono il cuore operativo dell'adempimento. La determinazione si applica dal 1° maggio 2026 e l'obbligo decorre dall'anno solare 2026.

Il terzo tassello è il materiale di supporto: la guida alla lettura del modello e le FAQ pubblicate sul portale ACN, che chiariscono i dubbi applicativi più frequenti e descrivono il metodo di lavoro suggerito, impostato come una business impact analysis semplificata.

Il modello: dieci macro-aree e quattro categorie di rilevanza

Il modello ACN organizza tutte le attività e i servizi di un'organizzazione in dieci macro-aree omogenee, pensate per coprire qualsiasi ambito aziendale: monitoraggio e controllo; produzione di beni e servizi; ricerca, sviluppo e progettazione; gestione finanziaria; gestione dei clienti; gestione delle risorse umane; logistica; comunicazione e marketing; gestione amministrativa; altri servizi e attività (quest'ultima con funzione residuale, da usare solo se nessuna delle altre è appropriata).

A ciascuna macro-area l'ACN ha pre-assegnato una categoria di rilevanza, motivata nell'allegato B della guida alla lettura. Questa è la tabella di partenza:

I due allegati individuano le stesse macro-aree e si distinguono solo per le categorie pre-assegnate (l'unica differenza pratica riguarda la logistica, considerata più critica per i soggetti dell'allegato 1).

Quale allegato si applica? Dipende dalla tipologia di soggetto, non dalla qualifica di essenziale o importante. L'allegato 1 riguarda i soggetti riconducibili ai settori energia, trasporti, sanità, acqua potabile, acque reflue e spazio, ai servizi postali e di corriere, alla gestione dei rifiuti, alla chimica, alla produzione alimentare e alla fabbricazione (inclusi i dispositivi medici), oltre ai fornitori di trasporto pubblico locale. L'allegato 2 si applica per esclusione a tutti gli altri soggetti NIS: infrastrutture digitali come cloud e data center, fornitori di servizi ICT business-to-business, fornitori digitali e così via. Prima di compilare conviene verificare la propria tipologia di soggetto così come risulta dalla registrazione sulla piattaforma.

Come si svolge l'adempimento, in tre fasi

La guida alla lettura dell'ACN articola il lavoro in tre passaggi.

Fase 1 — Identificare attività e servizi. Occorre individuare tutte le attività svolte e i servizi erogati, verso l'interno e verso l'esterno, che risultano supportati da sistemi informativi e di rete. L'ACN non impone una metodologia: si può procedere top-down (partendo da funzioni e processi di business), bottom-up (partendo dall'inventario di sistemi e applicazioni) o in modo combinato, valorizzando analisi già disponibili come risk assessment o business impact analysis. La scelta della granularità è il passaggio più delicato: ogni attività o servizio riceverà una sola categoria di rilevanza, quindi conviene definire elementi abbastanza omogenei da poter essere classificati con una categoria sola, evitando sia aggregazioni eccessive che appiattiscono il rischio, sia frammentazioni artificiose che rendono il processo insostenibile.

Fase 2 — Mappare ogni elemento in una macro-area. Ogni attività o servizio va associato alla macro-area che ne rappresenta meglio finalità e caratteristiche, considerando la natura dell'attività, le funzioni organizzative coinvolte e i processi di business. L'associazione deve essere univoca: se un'attività ha caratteristiche trasversali a più macro-aree, va scomposta. Le macro-aree in cui il soggetto non svolge attività né eroga servizi semplicemente non si valorizzano.

Fase 3 — Attribuire la categoria di rilevanza. In via generale ogni attività eredita la categoria pre-assegnata alla propria macro-area. Il soggetto può però discostarsene, in aumento o in diminuzione, sulla base di una propria valutazione dell'impatto che una compromissione avrebbe sulla capacità di svolgere le attività e i servizi NIS. In questo caso — ed è il punto su cui l'ACN insiste — deve conservare la documentazione che giustifica la valutazione: in sede di vigilanza l'Agenzia potrà chiederne conto.

L'invio. L'elenco si compila e si trasmette tramite il Servizio NIS/Categorizzazione della piattaforma ACN, indicando per ogni elemento la macro-area, la denominazione con relativa descrizione e la categoria di rilevanza. Gli utenti abilitati compilano, ma è il punto di contatto a confermare le informazioni ai sensi del d.p.r. 445/2000 e a trasmetterle: una copia per ricevuta arriva al domicilio digitale del soggetto. Decorso il 30 giugno, l'elenco si intende definitivamente acquisito e non più modificabile; gli invii oltre il termine sono considerati tardivi e correggibili solo se il ritardo dipende da criticità tecnico-operative documentate non imputabili al soggetto.

Attenzione — l'errore tipico: copiare le categorie pre-assegnate su tutto senza alcuna analisi, oppure — per eccesso di prudenza — classificare quasi tutto come impatto alto. Entrambe le strade presentano il conto: la prima è indifendibile in sede di verifica, la seconda significa attrarre volontariamente obblighi di sicurezza più onerosi quando arriveranno le misure a lungo termine. La categoria giusta è quella che si è in grado di motivare.

Cosa succede dopo l'invio

La trasmissione non chiude la partita. L'articolo 21 della determinazione sulla piattaforma prevede che l'ACN analizzi a campione gli elenchi categorizzati, confrontandoli sia con il modello sia con quelli trasmessi da soggetti comparabili. L'Agenzia fornisce un riscontro entro 90 giorni dalla trasmissione, prorogabili una sola volta di ulteriori 60 al massimo; se chiede integrazioni o modifiche, il termine si sospende e il soggetto deve rispondere entro 30 giorni, pena il possibile rigetto dell'elenco. In assenza di comunicazioni entro i termini, vale la convalida tacita: l'elenco si intende validato.

L'esito — positivo o negativo — viene comunicato tramite i Servizi NIS al domicilio digitale. Conviene quindi presidiare quella casella anche nei mesi successivi all'invio.

I dubbi più frequenti, chiariti da FAQ e linee guida

Una stessa macro-area può contenere attività con categorie diverse? Sì. Se la valutazione d'impatto lo giustifica, all'interno della stessa macro-area possono convivere attività con rilevanze differenti.

Devo compilare tutte e dieci le macro-aree? No: si indicano solo quelle in cui si svolgono attività o si erogano servizi.

Ho già classificato dati e servizi come PA ai sensi del decreto direttoriale ACN n. 21007/24 (cloud per la pubblica amministrazione)? In quel caso si applica quel modello di classificazione, in luogo del modello della determinazione n. 155238/2026.

E le attività che ricadono nel Perimetro di sicurezza nazionale cibernetica? Sono automaticamente considerate a impatto alto e non rientrano nel processo di elencazione e categorizzazione: non vanno indicate nell'elenco.

Le entità finanziarie soggette a DORA? Il regolamento (UE) 2022/2554 prevale come lex specialis: le entità finanziarie che rientrano anche nel perimetro NIS sono esentate dall'adempimento, salva la facoltà di adesione volontaria.

Serve una metodologia specifica per individuare attività e servizi? No, ognuno può usare quella più adatta al proprio contesto: ciò che conta è il risultato — un elenco completo, con associazioni univoche e categorie motivate.

Suggerimenti pratici per arrivare preparati

L'esperienza dei primi invii suggerisce alcune accortezze. Primo: non aspettare gli ultimi giorni. L'invio richiede l'allineamento tra chi conosce i processi di business, chi gestisce i sistemi e il punto di contatto che firma: comprimerlo in una settimana produce elenchi frettolosi che, dopo il 30 giugno, non si possono più correggere. Secondo: coinvolgere i business owner, perché la valutazione d'impatto è una domanda sul business, non sull'IT — l'IT sa quali sistemi supportano un'attività, ma solo chi la gestisce sa quanto pesa la sua interruzione. Terzo: riusare ciò che esiste già — business impact analysis, risk assessment, analisi di continuità operativa fatte per ISO 22301 o ISO 27001 sono ottimi punti di partenza, e l'ACN stessa inquadra l'esercizio come una BIA semplificata. Quarto: documentare tutto, non solo gli scostamenti dalle categorie pre-assegnate ma anche le conferme, così da poter dimostrare che la classificazione è frutto di una valutazione e non di un copia-incolla. Quinto: curare la coerenza con le altre informazioni già trasmesse sulla piattaforma — registrazione, aggiornamento annuale, fornitori rilevanti — perché l'ACN confronta gli elenchi anche tra soggetti comparabili, e le incongruenze saltano all'occhio.

Infine, conviene ragionare già sul dopo: la categorizzazione determinerà su quali porzioni dell'infrastruttura si concentreranno le misure a lungo termine. Trattarla come uno strumento di governance del rischio — e non come un modulo da compilare — significa farsi trovare pronti quando quegli obblighi arriveranno.

Cosa rischia chi non adempie

L'omessa comunicazione o il mancato aggiornamento dell'elenco categorizzato rientrano tra le violazioni sanzionate dall'articolo 38 del decreto NIS: per i soggetti essenziali la sanzione amministrativa può arrivare fino allo 0,1% del fatturato annuo mondiale, per i soggetti importanti fino allo 0,07%. A queste si aggiungono i poteri di vigilanza dell'ACN, che può richiedere informazioni, disporre verifiche e — nei casi più gravi — adottare diffide e misure ulteriori. Un motivo in più per considerare la scadenza del 30 giugno alla stregua di quelle fiscali: improrogabile e con conseguenze concrete.

Le date da ricordare

Per il ciclo 2026, in sintesi: la finestra di trasmissione è aperta dal 1° maggio al 30 giugno 2026; decorso il termine l'elenco è definitivamente acquisito; l'ACN fornisce riscontro sulle verifiche a campione entro 90 giorni (prorogabili di 60), con eventuale richiesta di integrazioni da riscontrare entro 30 giorni; entro fine 2026 sono attese le misure di sicurezza a lungo termine, calibrate proprio sulle categorie di rilevanza trasmesse. L'adempimento è poi annuale: ogni anno, dal 1° maggio al 30 giugno, l'elenco va comunicato o aggiornato.

Per il quadro generale degli obblighi NIS2 — perimetro, registrazione, notifica degli incidenti, misure di sicurezza — rimandiamo alla nostra guida alla NIS2. I documenti ufficiali citati in questa guida sono elencati tra le fonti in fondo alla pagina: per le decisioni operative fa fede sempre il testo delle determinazioni ACN.