Dal 1° maggio al 30 giugno 2026 le aziende NIS in Italia hanno una finestra di 60 giorni per dire all’Agenzia per la Cybersicurezza Nazionale che cosa fanno e quanto è rilevante. Il 30 giugno la fotografia si cristallizza: dopo quella data l’elenco caricato sul Portale ACN non è più modificabile fino al ciclo dell’anno successivo.
È il cuore del nuovo meccanismo di categorizzazione dei servizi e delle attività NIS2, regolato in Italia da due determinazioni distinte che vale la pena tenere separate: la Determinazione ACN n. 127437/2026 (procedurale) e la Determinazione ACN n. 155238 del 20 aprile 2026 (modello e categorie di rilevanza). Vediamole nell’ordine, e poi cosa fare concretamente.
Le due determinazioni che governano il processo
Det. ACN n. 127437/2026 – le regole della finestra annuale
È la norma che fissa la tempistica e il flusso. Gli articoli 20 e 21 stabiliscono che ogni anno, dal 1° maggio al 30 giugno, i soggetti registrati nell’elenco NIS comunicano e aggiornano sulla piattaforma ACN l’elenco categorizzato delle proprie attività e dei propri servizi.
Il punto chiave è l’articolo 20 comma 4: alla scadenza del 30 giugno l’elenco caricato è definitivamente acquisito e non modificabile. Significa che eventuali correzioni, aggiunte, riclassificazioni dovranno aspettare il successivo ciclo del maggio dell’anno dopo. Una decisione presa in fretta a giugno governa il rapporto con ACN per dodici mesi.
Det. ACN n. 155238 del 20 aprile 2026 – il modello a 10 macro-aree e 4 livelli
Pubblicata in aprile, definisce come declinare ogni attività e ogni servizio. Organizza tutto in 10 macro-aree (energia, trasporti, sanità, finanza, infrastruttura digitale, pubblica amministrazione, fornitori di servizi digitali, gestione rifiuti, infrastrutture idriche, spazio) e introduce 4 categorie di rilevanza: impatto minimo, basso, medio, alto.
La categoria non è una scelta soggettiva: deriva dall’incrocio fra alcune variabili tecnico-organizzative (utenti serviti, dipendenza di altri servizi essenziali, criticità geografica) e parametri quantitativi specifici per macro-area. Il soggetto NIS dichiara, ma il modello costringe a una motivazione tracciabile.
La differenza con i “fornitori rilevanti”
È facile confondersi, perché entrambi gli adempimenti scadono nel mese di giugno-luglio 2026 e fanno riferimento allo stesso pacchetto normativo. Sono però due obblighi distinti, che vanno entrambi caricati sul Portale ACN:
| Adempimento | Cosa si dichiara | Scadenza |
|---|---|---|
| Categorizzazione attività/servizi | Mappa interna dei servizi del soggetto NIS, classificati per macro-area e categoria di rilevanza | 30 giugno (cristallizza) |
| Elenco fornitori rilevanti | Soggetti della supply chain che dovrebbero essere classificati come essenziali/importanti | 31 maggio |
Per approfondire l’elenco fornitori abbiamo già pubblicato una guida dedicata: NIS2 fornitori rilevanti: cosa cambia con la Determinazione ACN 127437/2026.
Le 10 macro-aree del modello
Il modello ACN segue la stessa struttura settoriale della Direttiva NIS2:
- Energia
- Trasporti
- Sanità
- Settore bancario e infrastrutture dei mercati finanziari
- Infrastruttura digitale
- Gestione dei servizi TIC business-to-business
- Pubblica amministrazione
- Spazio
- Servizi postali e di corriere, gestione rifiuti, fabbricazione e distribuzione di sostanze chimiche, produzione e distribuzione alimentare, fabbricazione, fornitori di servizi digitali, ricerca
- Acque potabili e acque reflue
Un’azienda può avere servizi che ricadono in più macro-aree: tipico il caso di una multiutility che si occupa di energia, acqua e rifiuti.
Le 4 categorie di rilevanza
| Categoria | Significato indicativo |
|---|---|
| Impatto alto | Servizi infrastrutturali la cui interruzione produrrebbe un effetto sistemico sul Paese o sulla popolazione regionale |
| Impatto medio | Servizi essenziali per un bacino significativo di utenti, ma con possibili percorsi alternativi |
| Impatto basso | Servizi rilevanti ma con perimetro circoscritto |
| Impatto minimo | Servizi marginali o di supporto, censiti per completezza |
La categoria di rilevanza determina l’intensità degli obblighi di sicurezza applicabili: misure minime obbligatorie per impatto alto e medio sono più stringenti di quelle previste per le altre due.
Cosa fare entro il 30 giugno – checklist operativa
- Inventario dei servizi. Mappare tutti i servizi erogati (interni ed esterni) all’utenza finale e/o ad altri soggetti, anche oltre il perimetro NIS storico.
- Assegnazione macro-area. Per ogni servizio, ricondurre a una o più delle 10 macro-aree del modello 155238.
- Determinazione categoria rilevanza. Applicare i parametri quantitativi della macro-area (es. n° utenti, posti-km, kWh distribuiti, ecc.) per assegnare impatto minimo/basso/medio/alto.
- Documentazione interna. Tracciare il ragionamento: ACN si aspetta motivazione, non solo etichette. Una scelta non documentata è una scelta non difendibile in caso di ispezione.
- Caricamento Portale. Dal 1° maggio è possibile inserire le voci. Suggerimento: non aspettare il 29 giugno. Il portale potrebbe avere code, e il 30 cristallizza.
- Validazione interna. Far rivedere l’elenco al responsabile sicurezza, al DPO e all’organo di amministrazione: la classificazione vincola per 12 mesi e ha implicazioni di compliance e di spesa.
Punti di attenzione per chi opera nei trasporti
Il settore trasporti è una delle macro-aree più articolate, perché ricomprende ferro, gomma, marittimo, aereo e logistica. Un’azienda di trasporto pubblico locale che gestisce contemporaneamente bus extraurbani, una rete metro, due linee ferroviarie a scartamento ridotto e un sistema di bigliettazione elettronica deve categorizzare separatamente ciascuno di questi servizi e non aggregare il tutto sotto la voce “trasporto passeggeri”.
L’aggregazione abbassa artificialmente la rilevanza, perché un singolo servizio “TPL gomma extraurbano” può avere parametri di impatto diversi dal “sistema di bigliettazione elettronica” (che è infrastruttura digitale lato pagamento e dati). Mettere tutto sotto una categoria sola è un errore frequente che ACN, in sede di controllo, può rilevare e contestare.
Cosa succede se non si fa la categorizzazione
Il quadro sanzionatorio del D.Lgs. 138/2024 prevede sanzioni amministrative fino al 2% del fatturato annuo per i soggetti essenziali e fino all’1,4% per gli importanti. L’inadempimento dell’obbligo di categorizzazione, in quanto obbligo di registrazione/aggiornamento, ricade nel perimetro sanzionabile.
Ma il problema più pratico è un altro: senza categorizzazione, ACN non può supportare il soggetto nella gestione di un incidente o nella valutazione del rischio. Si rimane fuori dal flusso informativo, e in caso di evento serio ci si trova soli a dialogare con autorità che non hanno un quadro aggiornato dell’organizzazione.
Riferimenti normativi essenziali
- D.Lgs. 4 settembre 2024, n. 138 (recepimento NIS2)
- Determinazione ACN n. 127437/2026 – disposizioni applicative e scadenze (art. 20-21)
- Determinazione ACN n. 155238 del 20 aprile 2026 – modello di categorizzazione (10 macro-aree, 4 categorie)
- Direttiva (UE) 2022/2555 (NIS2)
Il Portale ACN – sezione Categorizzazione espone il modulo di compilazione: l’accesso richiede SPID/CIE del Punto di Contatto NIS designato dal soggetto.