Archiviato l’elenco dei fornitori rilevanti, con il suo file .ods e la ricerca del codice CPV giusto (che non è stata una passeggiata, lo sappiamo), sul Portale ACN arriva il turno della categorizzazione delle attività e dei servizi. La scadenza è il 30 giugno 2026.
Vediamo che cosa chiede l’ACN, come si attribuiscono le categorie di rilevanza e a che cosa fare attenzione prima di caricare il file.
Di cosa si tratta
L’art. 30 del D.Lgs. 138/2024 chiede ai soggetti essenziali e importanti di comunicare all’ACN l’elenco delle proprie attività e dei propri servizi, ciascuno con la relativa categoria di rilevanza. In sostanza, l’ACN vuole sapere che cosa fai e quanto è critico ciascun processo per la tua capacità di operare.
Le regole stanno in due atti:
- la Determinazione ACN 155238/2026, del 20 aprile 2026, adotta il modello di categorizzazione: macro-aree, categorie di rilevanza e categorie pre-assegnate;
- la Determinazione ACN 127437/2026, del 13 aprile 2026, regola agli artt. 20 e 21 la procedura di trasmissione, tramite il «Servizio NIS/Categorizzazione» del portale, e le verifiche di conformità.
Per ogni attività o servizio indichi la macro-area, una denominazione con una breve descrizione e la categoria di rilevanza.
Chi deve farlo ed entro quando
La finestra va dal 1° maggio al 30 giugno di ogni anno, e il 2026 è il primo anno. Riguarda i soggetti essenziali e importanti che hanno ricevuto la comunicazione di inserimento nell’elenco NIS. Ci sono però alcune eccezioni:
- le entità finanziarie soggette al Regolamento DORA (UE 2022/2554) sono esentate, salvo adesione volontaria;
- le Pubbliche Amministrazioni che hanno già classificato dati e servizi secondo il Regolamento Cloud (Decreto Direttoriale ACN 21007/24) usano quel modello al posto delle macro-aree;
- le attività e i servizi soggetti al Perimetro di sicurezza nazionale cibernetica sono già a «impatto alto» e non vanno indicati.
Il termine conta: dopo il 30 giugno l’elenco trasmesso si intende acquisito in via definitiva e non è più modificabile. Se lo invii oltre la scadenza, l’invio risulta tardivo e anche in quel caso l’elenco non si può più modificare.
Le 10 macro-aree e le 4 categorie di rilevanza
Le categorie di rilevanza sono quattro: impatto alto, medio, basso e minimo. Misurano l’impatto che la compromissione di un’attività o di un servizio avrebbe sulla capacità del soggetto di svolgere correttamente le attività e i servizi NIS.
Ogni attività va ricondotta a una delle 10 macro-aree del modello, e ogni macro-area ha una categoria pre-assegnata, che le attività ereditano per default:
- impatto alto: Monitoraggio e controllo;
- impatto medio: Produzione di beni e servizi; Ricerca, sviluppo e progettazione;
- impatto basso: Gestione finanziaria; Gestione dei clienti; Gestione delle risorse umane; Logistica;
- impatto minimo: Comunicazione e marketing; Gestione amministrativa; Altri servizi e attività.
Questo è lo schema dell’Allegato 1, che vale per alcune tipologie di soggetto indicate dalla determinazione (ad esempio energia, trasporti, sanità, acqua, ma anche fabbricazione, alimentare, chimica, rifiuti e servizi postali). Per tutti gli altri vale l’Allegato 2, identico tranne che per la Logistica, pre-assegnata a impatto minimo. Se non operi in una macro-area, non devi indicare nulla.
Perché tanta attenzione? Secondo l’ACN, le categorie serviranno a individuare dove applicare le future misure di sicurezza a lungo termine, che saranno differenziate in base alla rilevanza delle attività e dei servizi supportati dai sistemi informativi e di rete. Oggi valgono le misure di base della Determinazione ACN 379907/2025; le misure a lungo termine saranno stabilite con successive determinazioni.
La BIA, fondamento della categorizzazione
La guida alla lettura dell’ACN lo dice chiaramente: attribuire una categoria di rilevanza equivale a una Business Impact Analysis (BIA) semplificata. È l’analisi che risponde alla domanda: «che cosa succede alla mia organizzazione se questo processo si ferma o viene compromesso?». L’impatto si valuta sulle tre dimensioni della sicurezza: riservatezza, integrità e disponibilità.
L’ACN non impone una metodologia specifica. Se hai già una BIA fatta bene, sei a buon punto.
Quanto scendere nel dettaglio?
Le 10 macro-aree e le 4 categorie sono le stesse per chi produce alimentari con poca informatizzazione e per un gestore di telecomunicazioni con infrastrutture IT di ben altra dimensione. Da qui la domanda che ci fanno più spesso: quanto deve essere granulare l’elenco?
Gli esempi di attività e servizi che l’ACN mette a disposizione nell’area privata del portale sono molto dettagliati. Ma la guida alla lettura dice chiaramente che non è richiesto un livello di dettaglio specifico: lo decide il soggetto. Va evitata un’eccessiva frammentazione: per ogni macro-area di norma bastano al massimo tante voci quante sono le categorie di rilevanza, quindi quattro. In sostanza, una voce per ogni categoria che vi ricorre. Livelli di dettaglio maggiori si possono tenere a fini interni, senza obbligo di comunicarli.
Il nostro consiglio: fai l’analisi al livello dei singoli processi e comunica all’ACN una versione aggregata. Il livello giusto nasce dal bilanciamento fra tre elementi: la proporzionalità, per non trovarti con misure eccessivamente onerose rispetto all’impatto reale; l’analisi dei rischi legati all’interruzione dei processi; la corrispondenza con l’infrastruttura IT effettivamente in uso.
Categoria diversa da quella pre-assegnata? Documenta la valutazione
Puoi attribuire a un’attività una categoria diversa da quella pre-assegnata alla sua macro-area, più alta o più bassa, sulla base di una tua valutazione dell’impatto. In tal caso la determinazione ti chiede di conservare la documentazione di quella valutazione (art. 3, c. 3, Det. 155238/2026).
Il caso più delicato è, in particolare, quello di una categoria inferiore. L’ACN analizza gli elenchi a campione, anche confrontandoli con quelli di soggetti comparabili, e può chiedere integrazioni o modifiche: la valutazione d’impatto è ciò che giustifica la tua scelta.
Ricevuta sì, controllo riga per riga no
Dopo la trasmissione ricevi al tuo domicilio digitale, come ricevuta, una copia delle informazioni trasmesse. L’ACN dà poi riscontro sulle verifiche entro 90 giorni, prorogabili una volta di altri 60; se non arriva nulla, l’elenco si intende convalidato.
Nella nostra esperienza, però, al momento del caricamento il portale non mostra un riepilogo di controllo riga per riga. Il consiglio: conserva una copia del file caricato, annota data ed esito del caricamento e confronta la ricevuta con il file.
Come ti aiuta Teseo NIS2 GRC Software
Non si parte da un foglio bianco. Il catalogo della piattaforma contiene oltre 1.300 processi di business, ognuno già legato a una delle 10 macro-aree ACN. Selezioni quelli pertinenti alla tua organizzazione, li importi e, se serve, aggiungi processi personalizzati. La categoria pre-assegnata alla macro-area è il punto di partenza; la BIA ti dice se rivederla.
La BIA è già integrata nella gestione dei processi di business: parametri RTO e RPO, valutazione di riservatezza, integrità e disponibilità, collegamento con gli asset che supportano ciascun processo. È la stessa analisi d’impatto che serve a motivare una categoria diversa da quella pre-assegnata.
Manco a dirlo, la piattaforma genera il file .xlsx conforme al template ufficiale, pronto da caricare. Sì, .xlsx: per i fornitori rilevanti il portale chiedeva un .ods. La coerenza dei formati, evidentemente, non è il suo punto forte.
Tutti i file che la piattaforma prepara per l’ACN sono nella pagina Portale ACN. E sul terzo formato, il .csv per domini e IP pubblici, trovi i dettagli in Domini, IP pubblici e macchine virtuali: le novità di giugno.