Nel racconto corrente della NIS2 l’elencazione e categorizzazione dei servizi compare quasi sempre come un passaggio amministrativo: si compila la piattaforma e si passa oltre, verso le misure di sicurezza. Le FAQ dell’Agenzia per la Cybersicurezza Nazionale dicono l’opposto. «L’elencazione, ma soprattutto la categorizzazione delle attività e dei servizi, con l’attribuzione della categoria di rilevanza» è, testualmente, «il presupposto per l’identificazione delle misure di sicurezza adeguate che il soggetto NIS deve mettere in atto». Non è la premessa dell’adempimento: è la variabile che ne determina il contenuto.
Che cosa chiede l’articolo 30
Gli obblighi dell’articolo 30 consistono nell’elencazione e categorizzazione di tutte le attività svolte e i servizi erogati. Non una selezione dei più importanti: tutte. Le FAQ precisano che il perimetro comprende le attività e i servizi erogati «internamente ed esternamente», suddivisi nelle macro-aree del modello predisposto da ACN.
Il risultato di questo lavoro ha un nome tecnico: elenco categorizzato, cioè l’elenco delle attività e dei servizi del soggetto comprensivo dell’assegnazione a ciascuno della relativa categoria di rilevanza.
Il punto che cambia la natura dell’adempimento è il calendario. Le attività «devono essere svolte dal 1° maggio al 30 giugno di ogni anno a partire dalla ricezione della prima comunicazione di cui all’articolo 7, comma 3, lettera a)» del decreto. È una finestra annuale, non un passaggio che si chiude una volta. Le date sono le stesse per tutti; quello che cambia da soggetto a soggetto è l’anno in cui la finestra si apre per la prima volta, perché la decorrenza è agganciata alla ricezione di quella comunicazione e non a una data di calendario uniforme.
Operativamente si procede tramite la piattaforma digitale di cui all’articolo 7, comma 1, del decreto NIS, con le modalità stabilite con determinazione dell’ACN. I dettagli stanno nell’articolo 3 della Determina 155238/2026.
Il modello di categorizzazione: macro-aree e categorie di rilevanza
Il modello è disciplinato dalla Determina 155238/2026 ed è stato elaborato da ACN con il concorso delle Autorità di settore NIS e con i contributi delle associazioni di categoria, anche per mezzo dei Tavoli Settoriali.
La struttura è a due livelli. Le macro-aree sono insiemi astratti di attività e servizi accomunati da elementi come utenti, finalità o tipologia di prestazione; ognuna è caratterizzata da una denominazione, una descrizione e una categoria di rilevanza pre-assegnata. Quel valore pre-assegnato è il default: la vostra analisi parte da lì.
La categoria di rilevanza rappresenta il livello dell’impatto di una possibile compromissione di quell’attività o di quel servizio sulla capacità del soggetto di svolgere correttamente le attività e i servizi NIS, cioè quelli per i quali il soggetto rientra nell’ambito di applicazione del decreto. Il metro non è quindi l’importanza commerciale dell’attività in sé, ma il suo effetto su ciò che vi ha resi soggetti NIS. Le categorie sono quattro, con livello di impatto crescente: minimo, basso, medio e alto.
Quante siano e come si chiamino le macro-aree, invece, in queste FAQ non c’è: il numero e le denominazioni stanno nel modello e nella relativa guida alla lettura.
Le tre fasi del processo suggerito
Le FAQ propongono un percorso in tre fasi, e chiariscono subito che si tratta di un processo suggerito e non vincolante: ogni soggetto può adottare altre modalità di analisi o impiegare gli esiti di analisi di impatto già svolte in precedenza.
| Fase | Che cosa si fa | Vincolo da conoscere |
|---|---|---|
| 1. Identificazione | Si individuano tutti i servizi e le attività svolti dall’organizzazione e supportati, svolti o erogati da sistemi informativi e di rete | Non è richiesto l’uso di una metodologia specifica: si usa quella più adatta al proprio contesto |
| 2. Mappatura in macro-aree | Ogni attività o servizio viene associato alla macro-area che meglio ne rappresenta finalità e caratteristiche | Una sola macro-area per attività o servizio: se un servizio è riconducibile a più macro-aree va scomposto ulteriormente |
| 3. Attribuzione della categoria | A ogni attività o servizio individuato si assegna una specifica categoria di rilevanza | Si può derogare alla categoria pre-assegnata, ma l’analisi va documentata e conservata |
La fase 2 è quella che rompe gli inventari IT esistenti. Il vincolo di associazione uno-a-uno significa che una voce generica come «servizi informatici», che nella realtà tiene insieme la posta elettronica, il gestionale e il collegamento remoto agli impianti di produzione, non attraversa la mappatura: va spezzata in componenti che stiano ciascuna in una macro-area sola. È la parte che non si improvvisa a ridosso della chiusura della finestra.
La fase 3 contiene la regola più interessante. Ai sensi dell’articolo 3, comma 3 della Determina 155238/2026, il soggetto può indicare per un’attività o un servizio una categoria di rilevanza differente da quella pre-assegnata alla macro-area, a due condizioni: che l’assegnazione si basi sulla valutazione dell’impatto di una possibile compromissione sulla capacità di svolgere correttamente le attività e i servizi per cui è stato censito come soggetto NIS, e che la documentazione con quell’analisi venga conservata. La conseguenza è esplicita nelle FAQ: una stessa macro-area può contenere al suo interno attività e servizi con categorie di rilevanza differenti.
Una precisazione che merita: la fonte parla genericamente di categoria «differente» e non specifica se la deroga sia praticabile in entrambe le direzioni. Chi vi presenta la deroga come una via per abbassare sistematicamente il profilo sta andando oltre quello che il testo dice.
Perché conta: l’articolo 31 e le misure differenziate
La finalità è dichiarata senza ambiguità. Aggregare attività e servizi per categoria di rilevanza serve a corrispondere a quanto disposto dall’articolo 31 del decreto NIS, che prevede che «le misure di sicurezza siano differenziate in relazione alle categorie di rilevanza delle attività e dei servizi che i sistemi informativi e di rete supportano, svolgono o erogano».
Tradotto in termini di progetto: l’elenco categorizzato non è un censimento fine a se stesso da consegnare e archiviare, è l’input che determina quanto e dove dovrete intervenire. Un’organizzazione che affronta la categorizzazione come una formalità si ritrova, mesi dopo, un piano di adeguamento costruito su un perimetro che non ha mai davvero analizzato.
Vale la pena notare un meccanismo parallelo che vive nelle misure di base. Alcuni requisiti contengono la dicitura «per almeno i sistemi informativi e di rete rilevanti». In quei casi il soggetto ha la facoltà di limitare l’ambito di applicazione ai sistemi la cui compromissione avrebbe un impatto significativo sulla confidenzialità, integrità e disponibilità delle attività e dei servizi per cui rientra nel decreto. Sono due leve distinte, ma poggiano sulla stessa analisi di fondo: chi ha fatto bene la categorizzazione arriva a quella facoltà con le carte già pronte. Sul funzionamento delle misure di base e sui relativi termini abbiamo una guida operativa dedicata.
Il punto che riapre la prospettiva: le misure di base non sono il traguardo
Qui le FAQ contengono l’informazione che più cambia la pianificazione.
Ad oggi, in accordo all’articolo 42 del decreto — quello che disciplina la fase di prima applicazione, conclusasi il 31 dicembre 2025 — sono state definite, con la determina 379907/2025, le cosiddette misure di sicurezza di base.
Ma le FAQ proseguono: le misure di base «saranno quindi integrate, entro la fine del 2026, da misure di sicurezza aggiuntive – caratterizzate da requisiti di livello avanzato rispetto a quelle di base – e confluiranno nelle misure di sicurezza a lungo termine per la realizzazione delle quali verrà stabilito anche l’arco temporale entro il quale questa attività dovrà essere completata». Le misure a lungo termine saranno stabilite mediante successive determinazioni ACN entro la fine del 2026 e riguarderanno le fasi successive a quelle di prima applicazione.
La fine del 2026 è un termine per emanare, non per adeguarsi. Riguarda l’attività normativa di ACN. Il tempo che le organizzazioni avranno per realizzare le misure a lungo termine, dice la fonte, verrà stabilito: oggi quella scadenza non esiste ancora.
Il testo usa due volte «entro la fine del 2026» — una per l’emanazione delle misure a lungo termine, una per l’integrazione delle misure di base con quelle aggiuntive — e non chiarisce se si tratti di un unico atto o di due passaggi distinti. Non costruite un piano che dipenda dalla risposta a questa domanda.
Il termine per adottare le misure di base non è unico. Si configura diversamente a seconda dell’anno di primo inserimento nell’elenco dei soggetti NIS, e per una parte dei soggetti dipende dalla data in cui è arrivata la comunicazione di inserimento: una data che ogni azienda ha nella propria casella di posta e nessun calendario pubblico può darle. I due termini, con le rispettive decorrenze, stanno nella guida sulle misure di base linkata più sopra.
Messo tutto insieme: la categorizzazione è il presupposto di misure che si stratificano nel tempo, e ogni finestra annuale è l’occasione in cui quel presupposto viene riallineato alla realtà dell’azienda. Se avete già letto la nostra guida operativa completa sul d.lgs. 138/2024, questo è il tassello che la estende oltre la prima applicazione.
Due regole che sfuggono quasi sempre
I servizi del perimetro di sicurezza nazionale cibernetica sono esclusi. Ai sensi dell’articolo 5 della Determina 155238/2026, le attività e i servizi a cui si applicano gli obblighi imposti dal decreto-legge 21 settembre 2019, n. 105 non sono oggetto del processo di elencazione e categorizzazione, essendo già etichettati con la categoria di rilevanza «impatto alto». Le FAQ sono esplicite: quei servizi non vanno indicati nell’elenco categorizzato. È una regola controintuitiva — la tentazione è inserire tutto «per sicurezza» — e la fonte non chiarisce come il soggetto documenti l’esclusione in piattaforma.
Chi ha già classificato dati e servizi per il Regolamento Cloud riusa quel lavoro. L’articolo 3 del Decreto Direttoriale ACN n. 21007/24 del 27 giugno 2024 impone alle pubbliche amministrazioni di predisporre e aggiornare un elenco dei propri dati e servizi digitali ai fini della classificazione in dati e servizi ordinari, critici o strategici, con le modalità dell’allegato 1. L’articolo 4 della Determina 155238/2026 prevede che i soggetti NIS che hanno svolto quella classificazione applichino il modello del Regolamento Cloud anche ai fini dell’elencazione e categorizzazione. In concreto, a questi soggetti sarà presentato l’elenco dei dati e dei servizi classificati presente su padigitale2026.gov.it al 07/04/2026, con la facoltà di confermarlo anche ai fini della categorizzazione oppure di aggiornarlo; in quest’ultimo caso il soggetto è tenuto ad assicurare la coerenza con la classificazione effettuata sulla piattaforma PA digitale 2026.
Come arrivare pronti alla prossima finestra
La finestra torna ogni anno dal 1° maggio al 30 giugno, e la prima esecuzione dipende da quando avete ricevuto la comunicazione di inserimento. Fuori da quei due mesi c’è il lavoro che conta davvero, perché la compilazione è l’ultimo passo di una preparazione che avviene tutta a monte. In ordine:
- Costruite l’inventario prima della finestra. L’articolo 30 chiede tutte le attività e i servizi, interni ed esterni. Fra le evidenze documentali previste dalle misure di base figurano già gli inventari di servizi, apparati fisici, sistemi e applicazioni software: se quel materiale esiste ed è aggiornato, la fase 1 è in gran parte fatta.
- Togliete di mezzo il perimetro. Se avete servizi soggetti al d.l. 105/2019, quelli non entrano nell’elenco categorizzato.
- Verificate se esiste una classificazione riusabile ai sensi del Regolamento Cloud, prima di ripartire da zero.
- Scomponete i servizi ambigui finché ciascuno sta in una macro-area sola. È qui che si consuma il tempo.
- Scrivete l’analisi di ogni deroga mentre la fate. L’articolo 3, comma 3 richiede di conservare la documentazione: ricostruirla a distanza è più costoso che produrla sul momento.
- Trattate l’elenco come un documento vivo. La finestra si riapre ogni anno, e nel frattempo il perimetro tecnico dell’azienda cambia.
Chi sta impostando l’adeguamento partendo da zero trova il quadro degli adempimenti in ordine nella nostra panoramica sugli obblighi operativi per le PMI; chi deve invece preparare la macchina della segnalazione può partire dal runbook sulla notifica degli incidenti.
Domande frequenti
Quando va fatta l’elencazione e categorizzazione delle attività e dei servizi?
Le FAQ ACN indicano che le attività previste dall’articolo 30 del decreto NIS vanno svolte dal 1° maggio al 30 giugno di ogni anno, a partire dalla ricezione della prima comunicazione di cui all’articolo 7, comma 3, lettera a) del decreto. Le date della finestra sono quindi le stesse per tutti, mentre l’anno in cui essa si apre per la prima volta dipende dalla comunicazione ricevuta dal singolo soggetto.
Quante sono le categorie di rilevanza e come si chiamano?
Il modello di categorizzazione definisce in tutto quattro categorie di rilevanza con livello di impatto crescente: minimo, basso, medio e alto. La categoria rappresenta il livello dell’impatto di una possibile compromissione dell’attività o del servizio sulla capacità del soggetto di svolgere correttamente le attività e i servizi per i quali rientra nell’ambito di applicazione del decreto NIS.
Si può assegnare una categoria diversa da quella pre-assegnata alla macro-area?
Sì. Ai sensi dell’articolo 3, comma 3 della Determina 155238/2026, il soggetto può indicare per un’attività o un servizio una categoria di rilevanza differente da quella pre-assegnata alla macro-area, sulla base della valutazione dell’impatto di una possibile compromissione e conservando la documentazione recante tale analisi. Di conseguenza una stessa macro-area può contenere al suo interno attività e servizi con categorie diverse.
I servizi soggetti al perimetro di sicurezza nazionale cibernetica vanno inseriti nell’elenco?
No. Ai sensi dell’articolo 5 della Determina 155238/2026, le attività e i servizi a cui si applicano gli obblighi del decreto-legge 21 settembre 2019, n. 105 non sono oggetto del processo di elencazione e categorizzazione, essendo già etichettati con la categoria di rilevanza «impatto alto», e non vanno indicati nell’elenco categorizzato.
Chi ha già classificato dati e servizi per il Regolamento Cloud deve rifare il lavoro?
No. L’articolo 4 della Determina 155238/2026 prevede che i soggetti NIS che hanno svolto la classificazione dei dati e dei servizi di cui all’articolo 3 del Regolamento Cloud applichino quel modello anche ai fini dell’elencazione e categorizzazione. A tali soggetti sarà presentato l’elenco classificato presente su padigitale2026.gov.it al 07/04/2026, con la facoltà di confermarlo o di aggiornarlo assicurandone la coerenza.
Le misure di sicurezza di base sono il traguardo finale della NIS2?
No. Le FAQ ACN affermano che le misure di sicurezza di base saranno integrate, entro la fine del 2026, da misure di sicurezza aggiuntive caratterizzate da requisiti di livello avanzato, e che queste confluiranno nelle misure di sicurezza a lungo termine, per la realizzazione delle quali verrà stabilito anche l’arco temporale entro cui completarle. Quell’arco temporale, ad oggi, non è indicato.
A che cosa serve concretamente la categorizzazione?
Serve a dare attuazione all’articolo 31 del decreto NIS, che prevede che le misure di sicurezza siano differenziate in relazione alle categorie di rilevanza delle attività e dei servizi che i sistemi informativi e di rete supportano, svolgono o erogano. La categorizzazione è quindi il presupposto per l’identificazione delle misure di sicurezza adeguate.
Stato delle informazioni: aggiornate al 27 agosto 2026. La finestra 1° maggio - 30 giugno si riapre ogni anno e le misure di sicurezza aggiuntive sono attese entro la fine del 2026: verificate la data di questo articolo prima di usarlo come riferimento operativo.
Fonte: Agenzia per la Cybersicurezza Nazionale, FAQ NIS - acn.gov.it e FAQ su misure di sicurezza e notifica di incidenti, consultate il 27 agosto 2026. Questo articolo ne descrive il contenuto e non costituisce interpretazione autentica.