Se la tua organizzazione è stata inclusa nell’elenco dei soggetti NIS, hai un adempimento urgente da completare: la categorizzazione delle attività e dei servizi, da trasmettere tramite il Portale Servizi dell’ACN entro il 30 giugno 2026.
In questo articolo ti spieghiamo cos’è, chi è obbligato, come funziona operativamente e cosa rischi se ignori la scadenza.
Cos'è la categorizzazione NIS2 e perché esiste
La categorizzazione è l’adempimento introdotto dall’art. 30 del D.Lgs. 138/2024 (il decreto italiano di recepimento della Direttiva NIS2) e operativamente definito dalla Determinazione del Direttore Generale di ACN n. 155238 del 20 aprile 2026.
Lo scopo è dichiarare formalmente quali attività e servizi svolge la tua organizzazione, classificandoli per categoria di rilevanza in base all’impatto che avrebbe una loro compromissione sulla capacità di operare nei settori regolati dalla NIS2.
In termini pratici: ACN vuole sapere cosa fai, come lo fai, e quanto sarebbe grave se smettessi di farlo a causa di un attacco informatico o di un incidente di sicurezza.
Chi è obbligato
Sono tenuti all’adempimento tutti i soggetti essenziali e i soggetti importanti che abbiano ricevuto la comunicazione di inclusione nell’elenco NIS da parte di ACN.
I settori coinvolti sono quelli previsti dal decreto: energia, trasporti, banche e infrastrutture finanziarie, sanità, acqua potabile e reflua, infrastrutture digitali, gestione ICT, pubblica amministrazione, spazio, servizi postali e di corriere, gestione rifiuti, prodotti chimici, imprese alimentari, dispositivi medici, fabbricazione (dispositivi medici, computer, apparecchiature elettriche, veicoli, rimorchi e altri mezzi di trasporto), servizi digitali, ricerca.
Quando va fatto:
la finestra 1° maggio – 30 giugno
L’art. 30 prevede che questo adempimento vada ripetuto ogni anno, nella finestra compresa tra il 1° maggio e il 30 giugno. Il 2026 è il primo anno in cui l’obbligo è pienamente operativo.
La scadenza del 30 giugno 2026 è tassativa. Non sono previste proroghe.
Come funziona operativamente: il template Excel di ACN
- Macro-area (campo obbligatorio): scegli tra le 10 macro-aree predefinite tramite menu a tendina. Le macro-aree sono: Monitoraggio e controllo, Ricerca sviluppo e progettazione, Produzione di beni e servizi, Gestione finanziaria, Gestione dei clienti, Gestione delle risorse umane, Comunicazione e marketing, Gestione amministrativa, Altri servizi e attività, Logistica.
- Denominazione attività/servizio (campo obbligatorio): nome univoco dell’attività nella tua organizzazione.
- Descrizione (campo opzionale): descrizione dettagliata di come il servizio viene erogato nella tua specifica realtà.
- Categoria di rilevanza pre-assegnata (automatica): si calcola automaticamente in base alla macro-area scelta. Non è modificabile direttamente.
- Categoria di rilevanza attribuita: se vuoi modificare la categoria preassegnata, scegli tra Impatto minimo, Impatto basso, Impatto medio, Impatto alto.
Attenzione: ogni caricamento sovrascrive integralmente il precedente. Non vengono aggiornati singoli record: il sistema tratta il file come un documento unitario.
La scelta della categoria di rilevanza: una decisione strategica
La categoria di rilevanza non è un campo burocratico da compilare in fretta. Definisce il livello di obblighi di sicurezza applicabili a ciascun servizio: misure tecniche, piani di continuità operativa, gestione degli incidenti, audit periodici. Elevare o abbassare la categoria rispetto a quella preassegnata è possibile, ma va motivato internamente e deve riflettere la reale valutazione del rischio. Una sottostima deliberata potrebbe configurare una violazione degli obblighi di accuratezza nella comunicazione ad ACN.Cosa succede dopo la trasmissione
Una volta trasmesso l’elenco, puoi modificarlo entro e non oltre il 30 giugno 2026, caricando un file aggiornato. Dopo quella data, la finestra si chiude fino al maggio 2027. ACN utilizzerà i dati della categorizzazione per:- definire il profilo di rischio del soggetto NIS
- modulare le ispezioni e le verifiche
- tarare gli obblighi di notifica degli incidenti
