L’attuazione della Direttiva NIS 2 sta introducendo nuovi adempimenti organizzativi e documentali per i soggetti essenziali e importanti, richiedendo alle organizzazioni un approccio sempre più strutturato alla gestione della cybersicurezza.
In Winple monitoriamo costantemente l’evoluzione normativa e regolamentare per trasformare prescrizioni spesso complesse in indicazioni operative facilmente applicabili.
In quest’ottica, abbiamo analizzato le più recenti Determine dell’Agenzia per la Cybersicurezza Nazionale (ACN) dedicate alla categorizzazione delle attività e dei servizi, uno degli adempimenti centrali previsti dal quadro NIS 2.
In questa guida approfondiamo il processo di classificazione richiesto da ACN, le scadenze da rispettare, le regole di attribuzione delle categorie di rilevanza e le principali eccezioni previste dalla normativa. A completamento dell’analisi riportiamo inoltre un esempio pratico di mappatura realizzato a scopo illustrativo, utile per comprendere concretamente la logica applicativa del modello ACN.
NIS 2: Come effettuare la categorizzazione di attività e servizi
Con l’entrata in vigore del D.Lgs. 4 settembre 2024, n. 138 (il decreto che recepisce la Direttiva NIS 2 in Italia), le aziende classificate come “Soggetti Essenziali” o “Soggetti Importanti” si trovano a dover gestire una serie di scadenze stringenti. Tra queste, una delle più urgenti e strategiche è l’obbligo di elencazione, caratterizzazione e categorizzazione delle attività svolte e dei servizi erogati.
Questo adempimento, normato in dettaglio dalle Determine dell’Agenzia per la Cybersicurezza Nazionale (ACN), risponde al principio di proporzionalità: le imprese non devono proteggere ogni singolo asset informatico allo stesso modo, ma devono identificare l’impatto dei singoli servizi per implementare misure di sicurezza adeguate al rischio reale, ottimizzando gli investimenti.
In questo articolo vedremo, in particolare, passo dopo passo, cosa devono fare concretamente le imprese per essere in regola, come funziona la piattaforma e come evitare pesanti sanzioni.
Che cosa prevede l’adempimento NIS 2
Sebbene possa sembrare un percorso complesso, l’adempimento si riduce a un processo lineare che l’azienda può governare in 5 passi strategici:
- Identificare i processi aziendali che poggiano sull’IT
- Ottimizzare il livello di dettaglio per evitare sovraccarichi di dati
- Mappare le attività all’interno delle 10 macro-aree nazionali
- Valutare eventuali deroghe ai livelli di impatto standard
- Trasmettere i dati sulla piattaforma digitale di ACN
Le coordinate dell’adempimento: Scadenze e Canali
Per prima cosa, è necessario definire chiaramente il perimetro temporale e operativo.
La finestra temporale è ben definita: la trasmissione dei dati ad ACN deve essere eseguita ogni anno esclusivamente nel periodo compreso tra il 1° maggio e il 30 giugno. Pertanto, è fondamentale pianificare le attività con anticipo.
La decorrenza dell’obbligo è fissata a partire dall’anno solare 2026. Di conseguenza, la prima scadenza utile sarà il 30 giugno 2026.
Il canale ufficiale è esclusivamente digitale: l’invio avviene sul Portale ACN, all’interno dell’applicazione “Servizio NIS/Categorizzazione”. Inoltre, non sono ammesse PEC o comunicazioni cartacee.
Il Punto di Contatto (PcD) è il soggetto responsabile della trasmissione. Infatti, convalida i dati tramite dichiarazione sostitutiva ai sensi del DPR 445/2000.
🔴Attenzione:
Decorsi i termini del 30 giugno, la piattaforma viene inibita. Di conseguenza, l’elenco non sarà più modificabile e le trasmissioni tardive saranno considerate nulle.
Quale modello applicare? (Allegato 1 vs Allegato 2)
L’ACN ha strutturato due diversi modelli di classificazione, a cui corrispondono due allegati presenti sul sito ACN, a seconda del settore di appartenenza dell’impresa, calibrati sulla base del legame tra il core business e la logistica fisica:
Comprende i settori ad alta criticità infrastrutturale e distributiva, come Trasporti (aereo, ferroviario, marittimo, su strada), Energia, Sanità, Servizi postali e di corriere, Gestione dei rifiuti, Filiera chimica e Alimentare. In particolare, il blocco operativo in questi settori avrebbe impatti sistemici immediati.
Include organizzazioni con maggiore componente digitale (es. Cloud Provider, fornitori di servizi digitali, produttori di software o elettronica, Pubbliche Amministrazioni locali) e meno dipendenza dalla logistica fisica.
L’unica differenza tecnica riguarda la macro-area “Logistica”.
Infatti, per i soggetti dell’Allegato 1 l’impatto di default è Basso, mentre per l’Allegato 2 è Minimo.
Le 10 macro-aree nazionali e le rilevanze di default
Il modello ACN suddivide le attività aziendali in 10 macro-aree standard.
Ad ogni area, è assegnato un livello di rilevanza predefinito. In particolare, questo serve a garantire uniformità e semplificazione nella classificazione.
La regola dell’ereditarietà è fondamentale. Infatti, quando un’attività viene associata a una macro-area, eredita automaticamente il livello di impatto predefinito.
Di conseguenza, non è necessario classificare ogni singola attività in modo indipendente, salvo casi specifici.
L’adempimento operativo in 5 passi
Ecco la sequenza di azioni che le imprese devono compiere per adempiere correttamente all’obbligo:
L’azienda deve mappare tutte le attività e i servizi che sono supportati da sistemi informativi e di rete. Non serve fare l’inventario di ogni singolo software, ma identificare i processi operativi che dipendono dall’IT. È consigliabile riutilizzare mappature già esistenti, come la Business Impact Analysis (BIA) della ISO 22301 o i registri dei trattamenti GDPR (DPIA).
Un errore comune è inserire decine di micro-attività. Le Linee Guida ACN chiariscono che per ogni macro-area è sufficiente indicare un numero di attività pari al numero di categorie di rilevanza che si intendono applicare. Se all’interno della macro-area “Gestione Risorse Umane” tutte le attività mantengono l’Impatto Basso, basterà inserire un’unica voce omnicomprensiva (es. “Servizi di gestione e amministrazione del personale”).
Ciascuna attività individuata deve essere ricondotta a una delle 10 macro-aree. Se un’area non è presente nel modello di business aziendale (ad esempio, un’azienda di servizi che non fa “Ricerca e Sviluppo”), la relativa sezione sul portale verrà semplicemente lasciata vuota.
L’impresa può modificare manualmente la categoria di rilevanza proposta di default se ritiene che un’attività sia più o meno critica rispetto allo standard di ACN (es. elevare la Produzione da Medio ad Alto).
⚠️Nota bene: Se si decide di modificare la categoria rispetto al default, sorge l’obbligo legale di redigere e conservare una documentazione interna di valutazione d’impatto che giustifichi la scelta di deroga in caso di ispezione di ACN.
Il PcD accede all’applicazione “Servizio NIS/Categorizzazione” sul portale ACN, inserisce i dati (macro-area, denominazione dell’attività e categoria di rilevanza) e convalida la trasmissione definitiva.
Casi speciali ed esenzioni totale
Prima di iniziare il censimento, verificare se l’impresa rientra in una di queste tre eccezioni che annullano o modificano il flusso:
- Soggetti nel Perimetro di Sicurezza Nazionale Cibernetica (PSNC): Le attività e i servizi già inseriti nel Perimetro (ai sensi del DL 105/2019) acquisiscono d’ufficio la categoria “Impatto Alto” e sono totalmente esentati da questo censimento NIS 2
- Pubbliche Amministrazioni (Regolamento Cloud): Le PA che hanno già eseguito la classificazione di dati e servizi ai sensi del Regolamento Cloud (DD ACN n. 21007/24) utilizzano direttamente le proprie classificazioni (ordinari, critici, strategici), che sostituiscono integralmente il modello delle 10 macro-aree
- Settore Finanziario (DORA): Le entità finanziarie soggette al Regolamento DORA sono esentate dall’adempimento (salvo adesione su base volontaria)
L’adempimento correlato: Il censimento dei fornitori rilevanti
L’attività di categorizzazione non viaggia da sola. Le Determine ACN prevedono un altro obbligo cruciale (da effettuare nella finestra 15 aprile – 31 maggio di ogni anno o entro 14 giorni in caso di modifiche): il caricamento dell’elenco dei fornitori rilevanti della catena di approvvigionamento (Supply Chain).
Inoltre, le imprese devono censire i fornitori che soddisfano almeno uno di questi criteri:
- Fornitori ICT: Fornitori di servizi o prodotti tecnologici (Cloud, software critici, connettività, manutenzione IT)
- Fornitori non fungibili: Partner la cui interruzione o compromissione ha un impatto significativo sul business, a causa della scarsità di alternative sul mercato
Per ognuno di essi vanno inseriti a portale: Denominazione, Codice Fiscale, Paese della sede legale, Criterio di rilevanza e i relativi codici europei CPV (Common Procurement Vocabulary) dell’appalto.
Un caso pratico: l’elenco categorizzato per un’azienda di servizi
Per comprendere meglio il modello ACN, è utile analizzare un caso pratico.
In particolare, per un’azienda di servizi digitali o consulenza avanzata, la classificazione segue un modello semplificato (Allegato 2).
Perché evitare una frammentazione eccessiva
È fondamentale precisare che questa tabella rappresenta un modello di riferimento standard. Infatti, l’efficacia dell’adempimento dipende dalla capacità di raggruppare i processi informatici evitando eccessiva frammentazione.
Quando utilizzare le categorie di default
Come stabilito dalle Linee Guida, per ogni macro-area è sufficiente una sola voce omnicomprensiva. Di conseguenza, tutte le attività interne ereditano la categoria di default.
Quando è necessaria una deroga documentata
Se si accettano i livelli preimpostati, l’inserimento è immediato e senza oneri documentali. Tuttavia, se si modifica il livello di rischio, è obbligatorio allegare una valutazione formale dell’impatto.
KIT SOFTWARE DOCUMENTALE PROCEDURE ADEMPIMENTI NIS/2
La soluzione completa per l’adeguamento alla Direttiva Europea 2022/2555
Strumento completo e operativo, pensato per supportare le organizzazioni nell’implementazione delle misure previste dalla Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024.
Sviluppato per garantire conformità ai requisiti obbligatori previsti per Soggetti Essenziali e Soggetti Importanti, il software rispetta quanto stabilito dalla Determinazione del Direttore Generale dell’Agenzia per la Cybersicurezza Nazionale del 14 Aprile 2025.
Comprende: Manuale, Framework–Cybersecurity, Policy, Procedure Cybersecurity, Piani Operativi, Modulistica, Applicativi Cybersecurity, Allegati Tecnici e Normativi e Corso di formazione
Tutti i documenti sono completamente modificabili e personalizzabili.
Acquista in offerta Kit + Corso di formazione a 574€