La categorizzazione non è un passaggio solo formale: le categorie attribuite alle attività supportate da sistemi informativi saranno la base per calibrare le future misure di sicurezza avanzate.
Cosa prevede la nuova Determinazione ACN
L’ACN ha pubblicato la Determinazione 155238/2026, che introduce il modello obbligatorio per la categorizzazione delle attività e dei servizi NIS. Con questo provvedimento si completa il quadro degli adempimenti operativi previsti per il 2026.
La scadenza per il caricamento sul Portale ACN è il 30 giugno 2026.
In cosa consiste l’adempimento
Ogni soggetto NIS, essenziale o importante, deve compilare sul Portale ACN un elenco delle proprie attività e dei propri servizi supportati da sistemi informativi, classificandoli in 10 macro-aree predefinite da ACN. A ciascuna attività deve essere attribuita una categoria di rilevanza tra quattro livelli: alto, medio, basso, minimo.
Le categorie sono già pre-assegnate da ACN per ciascuna macro-area. Il lavoro dell’organizzazione consiste quindi nell’identificare quali macro-aree sono pertinenti, elencare le attività che vi rientrano e confermare, oppure modificare, la categoria pre-assegnata.
Se una specifica attività merita una categoria diversa rispetto a quella prevista dal modello, è possibile derogare. In questo caso, però, è necessario conservare agli atti la documentazione della valutazione d’impatto che giustifica la scelta.
Le 10 macro-aree ACN e le categorie pre-assegnate
Le macro-aree e le relative categorie pre-assegnate sono:
- Monitoraggio e controllo — impatto alto
- Produzione di beni e servizi — impatto medio
- Ricerca, sviluppo e progettazione — impatto medio
- Gestione finanziaria — impatto basso
- Gestione dei clienti — impatto basso
- Gestione delle risorse umane — impatto basso
- Logistica — impatto basso per i soggetti Allegato I/II o minimo per gli altri
- Comunicazione e marketing — impatto minimo
- Gestione amministrativa — impatto minimo
- Altri servizi e attività — impatto minimo
Perché è importante categorizzare correttamente attività e servizi NIS
La categorizzazione non è un adempimento formale.
Le categorie di rilevanza attribuite oggi saranno la base su cui ACN definirà, entro fine 2026, le misure di sicurezza avanzate differenziate per livello di impatto. Una categorizzazione accurata consente quindi di calibrare correttamente gli investimenti futuri in sicurezza, evitando sia sottostime sia oneri sproporzionati.
Per le aziende già registrate come soggetti NIS, il passaggio richiede il coinvolgimento coordinato di IT, security, compliance e direzione aziendale. Non si tratta solo di compilare un elenco, ma di rappresentare in modo coerente le attività effettivamente supportate dai sistemi informativi e il loro impatto sulla continuità operativa.
I documenti pubblicati da ACN
I nuovi documenti di riferimento sono:
Determinazione 155238/2026
https://www.acn.gov.it/portale/documents/d/guest/detacn_categorizzazione_260409-v8_signed
Guida alla lettura del modello
https://www.acn.gov.it/portale/documents/d/guest/modello-di-categorizzazione-nis-guida-alla-lettura
Supporto PQA per la categorizzazione NIS
PQA è a disposizione per supportare le organizzazioni nella preparazione dell’elenco categorizzato, nell’identificazione delle attività rilevanti e nella valutazione delle eventuali deroghe rispetto alle categorie pre-assegnate da ACN.
Un’analisi strutturata consente di arrivare alla scadenza del 30 giugno 2026 con una categorizzazione coerente, documentata e allineata ai futuri sviluppi degli obblighi NIS.
