Dopo l’iscrizione 2025 e l’aggiornamento annuale dell’elenco fornitori rilevanti (finestra 15 aprile – 31 maggio 2026), per i soggetti NIS arriva il secondo adempimento pesante del 2026: la categorizzazione delle proprie attività e servizi, da trasmettere all’Agenzia per la Cybersicurezza Nazionale entro il 30 giugno 2026.
L’esercizio nasce dall’art. 30 del decreto NIS (d.lgs. 4 settembre 2024, n. 138) e dalle Determinazioni del Direttore Generale ACN n. 127437 del 13 aprile 2026 (procedura e termini) e n. 155238 del 9 aprile 2026 (modello con macro-aree e categorie di rilevanza). La finestra di comunicazione è fissata dall’art. 20 della Det. 127437: dal 1° maggio al 30 giugno di ogni anno.
Chi è obbligato
L’adempimento ricade su tutti i soggetti essenziali e importanti già iscritti nell’elenco NIS (art. 7 d.lgs. 138/2024), individuati nei settori di Allegato I (alta criticità, fra cui trasporti, energia, sanità, infrastrutture digitali) e Allegato II (altri settori critici, fra cui rifiuti, alimentare, fornitori digitali).
Sono esentate le entità finanziarie soggette al Regolamento DORA (Reg. UE 2022/2554): l’art. 20 c. 8 della Det. 127437 conferma il principio di lex specialis. La partecipazione resta possibile in via volontaria.
Le attività dentro il Perimetro di Sicurezza Nazionale Cibernetica sono pre-etichettate come “Alto impatto” e escluse dal processo di categorizzazione standard.
Le 10 macro-aree del modello ACN
L’Allegato 1 della Det. 155238/2026 – applicabile ai soggetti dell’Allegato I del decreto NIS – organizza ogni attività e servizio in 10 macro-aree, ciascuna con una categoria di rilevanza pre-assegnata:
- Monitoraggio e controllo: Alto
- Produzione di beni e servizi: Medio
- Ricerca e Sviluppo: Medio
- Finanza: Basso
- Clienti: Basso
- Risorse Umane: Basso
- Logistica: Basso
- Comunicazione: Minimo
- Amministrativa: Minimo
- Altri: Minimo
Le quattro categorie di rilevanza (Alto, Medio, Basso, Minimo) guideranno la successiva fase di applicazione delle misure di sicurezza di base (Det. ACN 379907/2025), che entreranno a regime entro ottobre 2026.
Come si compila
La compilazione avviene esclusivamente online, sul “Servizio NIS / Categorizzazione” del Portale ACN, attraverso il Punto di Contatto NIS nominato dal soggetto. Non esiste upload Excel pubblico.
Per ogni macro-area si possono indicare fino a circa quattro attività “sufficientemente unitarie ai fini dell’attribuzione della categoria di rilevanza” (così la guida ACN). L’obiettivo non è inventariare ogni processo aziendale, ma fotografare l’organizzazione a un livello tale da poter applicare in modo coerente le misure di sicurezza.
L’ACN consente tre metodologie – non obbligatorie – per arrivare al risultato: top-down dall’organigramma e dai processi, bottom-up dall’inventario dei sistemi IT, oppure ibrida.
Deviare dalla categoria pre-assegnata
L’art. 3 c. 3 della Det. 155238 e il paragrafo 2.2.3 della guida ACN consentono di attribuire a un’attività una categoria di rilevanza differente da quella pre-assegnata alla macro-area, a patto di documentare il ragionamento con una Business Impact Analysis semplificata sulla triade CIA (Riservatezza, Integrità, Disponibilità). La documentazione va conservata per produrla in caso di verifica.
Cristallizzazione: il punto duro del 30 giugno
L’aspetto più rilevante della Det. 127437 è l’art. 20 c. 4, che recita testualmente:
“Decorsi i termini di cui al comma 1, l’elenco categorizzato delle attività e dei servizi si intende definitivamente acquisito e non ulteriormente modificabile.”
L’eccezione (c. 5) è stretta: “documentate criticità tecnico-operative non imputabili al soggetto”. Nei fatti, se al 30 giugno 2026 la categorizzazione non è stata inviata, o è stata inviata in modo incompleto, non c’è correzione successiva entro l’anno.
Questo vincola in modo serio i soggetti NIS: chi sbaglia la mappa, oppure dimentica un’attività critica nella macro-area giusta, si trova a operare per dodici mesi con un quadro normativo non rispondente al reale.
Coordinamento con altri adempimenti
La Pubblica Amministrazione iscritta in IPA segue inoltre il Regolamento Cloud (DD ACN 21007/2024) per le attività che ne ricadono. I soggetti NIS non in IPA usano il modello NIS standard della Det. 155238 senza ulteriori sovrapposizioni.
Per le entità finanziarie l’esenzione DORA è speculare a quella prevista in materia di gestione del rischio dall’art. 25 del decreto NIS: dove DORA si applica con disciplina equivalente, il decreto NIS si ritira.
Cosa fare ora, in concreto
- Identificare il Punto di Contatto NIS già accreditato sulla piattaforma ACN, e verificare che abbia credenziali attive e accesso all’area privata, dove l’ACN ha pubblicato esempi di attività e servizi declinati per tipo di soggetto (utili per affinare il proprio elenco).
- Tracciare la mappa delle attività aziendali e ricondurle alle 10 macro-aree. Per molte realtà il cuore operativo finisce in “Produzione di beni e servizi” e “Monitoraggio e controllo”.
- Decidere eventuali deviazioni dalla categoria di rilevanza pre-assegnata, producendo la BIA semplificata a supporto.
- Caricare entro il 30 giugno 2026 e archiviare la ricevuta della trasmissione.
Riferimenti normativi
- d.lgs. 4 settembre 2024, n. 138 (decreto NIS – recepimento Direttiva UE 2022/2555)
- Determinazione ACN n. 127437 del 13 aprile 2026 (procedura categorizzazione, art. 20)
- Determinazione ACN n. 155238 del 9 aprile 2026 (modello, macro-aree, categorie di rilevanza)
- Determinazione ACN n. 379907 del 19 dicembre 2025 (misure di sicurezza di base)
- Comunicato ACN del 14 aprile 2026 sulle modalità di elencazione e categorizzazione
Articolo a cura di Fausto Pitzalis. Si applica ai soggetti NIS iscritti nell’elenco ACN, settori Allegato I e Allegato II del d.lgs. 138/2024.