Categorizzazione delle attività NIS2: come rivederla prima del 2027

Aggiornato a novembre 2026. Nel 2026 i soggetti NIS2 hanno compilato per la prima volta l'elenco delle proprie attività e dei servizi, assegnando a ciascuno un livello di impatto. Molti l'hanno fatto in fretta, a ridosso della scadenza. La categorizzazione attività NIS2 però non è un adempimento una tantum: va aggiornata ogni anno e diventerà la base delle misure di sicurezza più avanzate. Vediamo come funziona il modello, gli errori più comuni e come arrivare preparati alla prossima finestra.

Cos'è la categorizzazione attività NIS2

Con la determinazione n. 155238 del 20 aprile 2026, l'ACN ha adottato i modelli di categorizzazione previsti dal D.Lgs. 138/2024 (Assolombarda). In sintesi, ogni soggetto essenziale o importante deve:

1. elencare le proprie attività e i propri servizi, interni ed esterni, non solo quelli informatici;
2. raggrupparli in dieci macro-aree definite dal modello;
3. assegnare a ciascuno una categoria di rilevanza tra quattro livelli: impatto minimo, basso, medio, alto.

Ogni macro-area ha una categoria predefinita. Si può cambiarla, ma solo con una decisione motivata e documentata. Le attività che rientrano nel perimetro di sicurezza nazionale cibernetica sono automaticamente ad alto impatto (Diritto.it).

Perché conta più di quanto sembra

La categorizzazione serve a capire quali parti dei sistemi informativi e di rete richiedono una protezione più incisiva. L'ACN ha indicato che alle misure di base si aggiungeranno misure a lungo termine, proporzionate alla rilevanza delle attività. Detto in modo semplice: quello che oggi classifichi come alto impatto domani avrà requisiti più stringenti.

Questo crea due tentazioni opposte, entrambe sbagliate:

• abbassare tutto per avere meno obblighi futuri, che espone a contestazioni e, soprattutto, protegge male ciò che conta;
• alzare tutto «per prudenza», che moltiplica i costi senza migliorare la sicurezza dove serve.

Il calendario

Le analisi della determinazione riportano che l'elenco va aggiornato ogni anno tramite la piattaforma digitale ACN tra il 1° maggio e il 30 giugno. La prossima finestra è quindi quella di maggio-giugno 2027. Tra adesso e allora c'è il tempo per rivedere con calma quello che è stato compilato di corsa.

Gli errori più frequenti nella prima tornata

Quando la compilazione è fatta in fretta, gli errori tendono a essere sempre gli stessi:

Come rivedere la categorizzazione attività NIS2 in cinque passi

1. Riparti dalla mappa dei processi. Vendite, produzione, logistica, assistenza, amministrazione: per ogni processo, quali servizi eroga e da quali sistemi dipende.
2. Confronta con l'inventario degli asset usato per le misure di base. Ogni attività deve trovare i suoi sistemi, e ogni sistema critico deve trovare almeno un'attività.
3. Verifica le categorie predefinite. Dove le hai cambiate, la motivazione è scritta e comprensibile per un terzo?
4. Allinea l'analisi dei rischi. Un'attività ad alto impatto con rischi classificati come bassi è un segnale da approfondire.
5. Fai approvare la revisione. Come per le misure di base, la responsabilità è dei vertici: una revisione approvata dall'organo di amministrazione è più solida di una compilazione tecnica.

Il legame con le ispezioni

Dopo ottobre 2026 l'ACN può avviare le verifiche sulle misure di base per i soggetti in elenco dal 2025. Una categorizzazione coerente con inventario e analisi dei rischi dimostra che l'organizzazione conosce il proprio perimetro. Una categorizzazione scollegata, al contrario, solleva domande su tutto il resto. Ho descritto cosa può chiedere un ispettore nell'articolo sulle ispezioni NIS2.

Un esempio di ragionamento

Esempio ipotetico: un'azienda di logistica, soggetto importante, ha classificato tutte le attività amministrative come impatto basso e i servizi di trasporto come impatto medio, accettando le categorie predefinite.

Nella revisione emerge un caso particolare: il portale con cui i clienti prenotano i ritiri e seguono le spedizioni. Era stato inserito tra i servizi informatici di supporto. Ma se il portale si ferma, i clienti non possono prenotare e il servizio di trasporto si blocca nel giro di poche ore. La revisione porta a spostarlo nella macro-area dei servizi erogati ai clienti e a valutarne la rilevanza insieme al servizio di trasporto, con una motivazione scritta.

Il caso mostra il punto chiave: la categorizzazione va fatta guardando le dipendenze tra attività, non le singole voci isolate.

Chi deve partecipare

La categorizzazione non è un esercizio tecnico. Per farla bene servono almeno quattro punti di vista:

• direzione, che conosce le priorità strategiche e approva le scelte;
• responsabili dei processi, che sanno cosa succede se un servizio si ferma;
• IT e sicurezza, che conoscono sistemi, dipendenze e fornitori;
• legale o compliance, che verifica la coerenza con gli obblighi e la documentazione.

Due workshop di mezza giornata, con un documento di sintesi approvato al termine, sono di solito sufficienti per una PMI. Il risultato non è solo un adempimento: è una mappa delle priorità di sicurezza che serve anche per decidere dove investire.

Il calendario di revisione consigliato

Per arrivare alla finestra di maggio-giugno 2027 senza affanno, un calendario realistico è questo:

Il calendario si sovrappone in parte alla finestra di registrazione annuale di inizio anno: conviene coordinare le due attività, perché usano le stesse informazioni su organizzazione, servizi e referenti.

Cosa fare adesso

Recupera la categorizzazione compilata nel 2026 e mettila accanto a inventario e analisi dei rischi: in un paio d'ore vedrai le incoerenze. Annotale in un documento di revisione e pianifica le correzioni entro marzo 2027, così da arrivare alla finestra di maggio con decisioni già prese e approvate. Per verificare a che punto sei puoi usare l'autovalutazione NIS2; se vuoi un affiancamento nella revisione, trovi il metodo nella pagina sulla consulenza NIS2.