L’attuazione del decreto legislativo 4 settembre 2024, n. 138, che recepisce la direttiva (UE) 2022/2555 (nota come NIS 2), richiede ai soggetti essenziali e importanti l’adempimento di obblighi specifici definiti dall’Agenzia per la cybersicurezza nazionale (ACN). I riferimenti normativi principali per questo processo sono costituiti dalla determinazione del 9 aprile 2026, recante il modello di categorizzazione delle attività e dei servizi, e dalle relative linee guida pubblicate dall’Agenzia nello stesso mese. Tali documenti stabiliscono i criteri per l’elencazione e la caratterizzazione dei servizi, definendo una struttura che guiderà l’adozione delle misure di sicurezza nel lungo termine.

Il contesto e l’obbligo annuale di comunicazione

Ai sensi dell’articolo 30 del decreto NIS, i soggetti definiti come essenziali e importanti sono tenuti a comunicare e aggiornare annualmente l’elenco delle proprie attività e dei propri servizi. Tale comunicazione deve avvenire attraverso la piattaforma digitale messa a disposizione da ACN. La finestra temporale stabilita per questo adempimento è compresa tra il 1 maggio e il 30 giugno di ogni anno solare.

L’obiettivo di questa ricognizione è mappare i processi dell’organizzazione che dipendono da sistemi informativi e di rete, associandoli a una categoria di rilevanza che esprima l’impatto di una loro possibile compromissione sulla capacità dell’ente di erogare i propri servizi critici.

Sinergia tra categorizzazione e gestione del rischio

La categorizzazione delle attività non deve essere intesa come un processo isolato, ma come un pilastro fondamentale della valutazione del rischio che ogni soggetto NIS è tenuto a condurre. Mentre la valutazione del rischio analizza la probabilità e le modalità con cui una minaccia può concretizzarsi, la categoria di rilevanza definisce l’entità del danno (impatto) che l’organizzazione e il sistema paese subirebbero in caso di compromissione.

Questa mappatura permette di orientare l’analisi del rischio in modo più accurato, fornendo una base oggettiva per la conduzione della business impact analysis (BIA). Integrando la categorizzazione nella strategia di gestione del rischio, l’impresa può determinare con maggiore precisione le priorità di intervento, assicurando che le risorse siano allocate per proteggere prioritariamente i sistemi che supportano le attività ad impatto alto o medio. In questo senso, la categorizzazione funge da parametro di calibrazione per le misure di sicurezza, garantendo che siano proporzionate al livello di criticità rilevato durante la valutazione del rischio complessiva.

L’architettura del modello di categorizzazione

Il modello predisposto da ACN struttura le attività aziendali in dieci macro-aree predefinite. Per ciascuna di esse, l’Agenzia ha stabilito una categoria di rilevanza pre-assegnata, basata su una stima del potenziale impatto negativo in termini di riservatezza, integrità e disponibilità dei dati e dei sistemi.

Le categorie di rilevanza sono quattro, in ordine crescente di criticità:

• impatto minimo
• impatto basso
• impatto medio
• impatto alto

Nella tabella seguente sono riportate le macro-aree individuate dal modello con le relative descrizioni e le categorie di rilevanza standard assegnate dall’Agenzia:

Denominazione macro-area	Descrizione sintetica delle attività e dei servizi	Categoria di rilevanza
Monitoraggio e controllo	Supporto agli organi direttivi, coordinamento della sicurezza informatica e fisica, continuità operativa e controllo di conformità.	Impatto alto
Produzione di beni e servizi	Pianificazione e gestione dei processi operativi core, erogazione servizi ai clienti e manutenzione degli impianti produttivi.	Impatto medio
Ricerca, sviluppo e progettazione	Studio di nuove tecnologie, prototipazione, gestione della proprietà intellettuale, brevetti e ingegnerizzazione di prodotto.	Impatto medio
Gestione finanziaria	Pianificazione finanziaria, gestione dei flussi di cassa, fatturazione, pagamenti, contabilità e amministrazione della tesoreria.	Impatto basso
Gestione dei clienti	Onboarding, gestione anagrafiche e CRM, help desk, supporto tecnico di primo livello e monitoraggio della soddisfazione.	Impatto basso
Gestione delle risorse umane	Selezione, reclutamento, gestione amministrativa, retribuzione, valutazione delle performance e formazione delle competenze.	Impatto basso
Logistica	Pianificazione dei flussi logistici, stoccaggio, gestione magazzino, spedizioni e distribuzione.	Impatto minimo / Impatto basso (*)
Comunicazione e marketing	Gestione canali digitali e social, relazioni esterne, ufficio stampa, brand identity e campagne promozionali.	Impatto minimo
Gestione amministrativa	Amministrazione degli immobili, gestione contratti, gestione fiscale e tributaria e pratiche autorizzative.	Impatto minimo
Altri servizi e attività	Tutte le attività e i servizi che non rientrano nelle macro-aree precedentemente elencate.	Impatto minimo

(*) Per la macro-area Logistica, la rilevanza è considerata ad “impatto basso” per specifiche tipologie di soggetti operanti in settori critici (es. trasporti, energia, acque) individuati negli allegati del decreto NIS, mentre resta ad “impatto minimo” per le restanti organizzazioni.

Il processo operativo di elencazione

Per adempiere correttamente alla norma, le imprese devono seguire un processo articolato in tre fasi distinte.

In primo luogo, è necessaria l’identificazione delle attività e dei servizi, individuando tutti i processi supportati da sistemi informatici. Le imprese possono adottare approcci top-down, partendo dall’analisi dei processi e dell’organigramma, o bottom-up, partendo dall’inventario delle infrastrutture tecnologiche. Successivamente, si procede alla mappatura nelle macro-aree, associando ogni attività alla categoria che meglio ne descrive la finalità.

Infine, si arriva all’attribuzione della categoria di rilevanza. Sebbene il modello preveda valori predefiniti, il soggetto NIS ha la facoltà di assegnare una categoria differente qualora un’analisi interna dimostri che l’impatto reale sia diverso da quello standard. In questo caso, è fondamentale che l’organizzazione conservi la documentazione tecnica a supporto di tale scelta.

Casi particolari e integrazione con il regolamento cloud

Un’eccezione rilevante riguarda i soggetti appartenenti alla pubblica amministrazione (PA) che hanno già effettuato la classificazione dei dati e dei servizi ai sensi del regolamento cloud per la PA (decreto direttoriale ACN n. 21007/24). In conformità con il principio di semplificazione, questi soggetti applicano il modello previsto dal predetto regolamento in luogo di quello NIS. Pertanto, per le PA, le categorie di rilevanza coincideranno con le classi “ordinario”, “critico” o “strategico” già individuate nel contesto cloud.

Esempi applicativi di categorizzazione

Per chiarire l’applicazione pratica del modello, si consideri il caso di un’impresa manifatturiera che opera nel settore aerospaziale. In questo contesto, l’attività di gestione delle linee di produzione automatizzate (sistemi SCADA) verrebbe mappata nella macro-area produzione di beni e servizi con una rilevanza a impatto medio, mentre la gestione della proprietà intellettuale e dei progetti ingegneristici ricadrebbe nella ricerca, sviluppo e progettazione, anch’essa a impatto medio. Tuttavia, le attività di coordinamento della sicurezza informatica di fabbrica sarebbero classificate sotto monitoraggio e controllo con una rilevanza a impatto alto.

Diversamente, per un’azienda di servizi operante nel settore delle infrastrutture digitali, l’erogazione del servizio di connettività ai clienti verrebbe inserita nella macro-area produzione di beni e servizi (impatto medio), ma se l’impresa gestisce anche la continuità operativa dei sistemi di emergenza nazionali, tale attività specifica potrebbe essere elevata alla categoria impatto alto all’interno della macro-area monitoraggio e controllo. In entrambi i casi, i servizi di supporto come la gestione della fatturazione o il portale per la formazione dei dipendenti verrebbero ricondotti rispettivamente alla gestione finanziaria e alla gestione delle risorse umane, entrambi con una categoria di rilevanza a impatto basso.

Prospettive e misure di sicurezza

La categorizzazione effettuata entro giugno di ogni anno avrà un impatto diretto sull’evoluzione della postura di sicurezza dell’impresa. Se attualmente le organizzazioni sono tenute ad adottare le misure di sicurezza di base, le successive determinazioni di ACN introdurranno misure di sicurezza a lungo termine. Queste ultime saranno differenziate e graduate proprio in base alla categoria di rilevanza delle attività supportate dai sistemi informativi, garantendo che gli investimenti in cybersicurezza siano focalizzati laddove il rischio per il sistema paese è maggiore. In conclusione, la scadenza del 30 giugno rappresenta un passaggio fondamentale per la conformità normativa e per la strategia di gestione del rischio informatico di ogni soggetto NIS, richiedendo un coordinamento efficace tra le funzioni di compliance, i responsabili dei processi di busi