---
title: "Categorizzazione NIS: l’unico adempimento che si giudica, non si compila"
description: "Il decreto NIS impone ogni anno l’elenco categorizzato di attività e servizi: la determinazione ACN, il giudizio richiesto, i legami con cloud e Perimetro."
url: https://csidia.com/note-operative/nis-categorizzazione-attivita-servizi-30-giugno/
lang: it
date: 2026-07-31
label: "Normativa"
publisher: CSIDIA S.r.l. (https://csidia.com/)
english: https://csidia.com/en/notes/nis-categorizzazione-attivita-servizi-30-giugno/
---

# Categorizzazione NIS: l’unico adempimento che si giudica, non si compila

Uno scenario tipico, non un caso nostro. Un soggetto NIS — inserito nell’elenco da un anno, magari senza mai aver acceso un incidente — arriva a maggio 2026 e scopre che deve compilare, tramite il portale ACN, l’elenco di tutte le attività che svolge e dei servizi che eroga, ciascuno con una categoria di rilevanza: alto, medio, basso, minimo impatto. Chi se ne occupa apre il modello, vede che ogni macro-area ha già una categoria pre-assegnata, la lascia com’è per non perdere tempo, e invia entro il 30 giugno. Nessuno in sicurezza ha guardato se quella categoria descrive davvero l’organizzazione. Il problema è che da quel numero, non dal nome dell’attività, dipenderà quanto a fondo dovranno arrivare le misure di sicurezza dell’anno prossimo.

## La norma, con gli estremi

L’obbligo è nell’**art. 30, comma 1, del decreto legislativo 4 settembre 2024, n. 138** (decreto NIS): «ai fini di cui all’articolo 24, comma 1, dal 1° maggio al 30 giugno di ogni anno a partire dalla ricezione della prima comunicazione di cui all’articolo 7, comma 3, lettera a), i soggetti essenziali e i soggetti importanti comunicano e aggiornano, tramite la piattaforma digitale di cui all’articolo 7, comma 1, un elenco delle proprie attività e dei propri servizi, comprensivo di tutti gli elementi necessari alla loro caratterizzazione e della relativa attribuzione di una categoria di rilevanza». Il comma 2 affida all’ACN il compito di stabilire le categorie di rilevanza e i criteri per elencare, caratterizzare e categorizzare; l’**art. 42, comma 2** fissa quando: «l’obbligo di cui all’articolo 30, comma 1, si applica a partire dal 1° gennaio 2026» — in pratica, la prima finestra utile è stata quella appena chiusa, dal 1° maggio al 30 giugno 2026. La prossima si apre il 1° maggio e si chiude il 30 giugno 2027, e non si riapre.

L’ACN ha esercitato quel potere con una determinazione del Direttore generale (n. 155238/2026), firmata digitalmente da Bruno Frattasi il 13 aprile 2026, sentito il Tavolo per l’attuazione della disciplina NIS nella riunione del 9 aprile. Il modello che ne risulta (art. 2) elenca **dieci macro-aree**, ciascuna con una categoria di rilevanza pre-assegnata, e definisce quattro livelli: impatto alto, medio, basso, minimo. La determinazione si applica dal 1° maggio 2026 (art. 8, comma 2).

## Il giudizio che la piattaforma non fa per voi

Fin qui è compilazione: elencare, per macro-area, nome e descrizione di ogni attività e servizio (art. 3, comma 2, della determinazione). Il punto che cambia natura all’adempimento è il **comma 3**: «i soggetti NIS possono indicare una categoria di rilevanza [...] diversa da quella pre-assegnata della macro-area [...] sulla base di una propria valutazione dell’impatto di una possibile compromissione [...] sulla capacità del soggetto di svolgere correttamente le attività e i servizi NIS. In tal caso, i soggetti NIS conservano la documentazione recante tale valutazione». Non è un default da accettare: è una tesi da sostenere, con le carte a supporto pronte per quando qualcuno le chiederà.

E qualcuno le chiede davvero: l’**art. 30, comma 3**, del decreto dà all’ACN **90 giorni** dalla comunicazione per verificare la conformità di quanto trasmesso, prorogabili una sola volta di altri 60 nei casi complessi. Ma il comma 4 aggiunge la parte che quasi nessuno legge fino in fondo: «in assenza del riscontro [...] entro i termini [...] la conformità [...] si intende convalidata». Silenzio dell’Agenzia, categoria convalidata. Chi sottostima un’attività per prudenza contabile — meno categoria alta significa, teoricamente, misure meno costose — e non viene intercettato in tempo, passa un anno intero con una fotografia di sé stesso più tranquilla del vero, difesa da un timbro che nessuno ha davvero apposto.

## Due sanzioni, due bersagli diversi

Il decreto non tratta allo stesso modo il non presentare l’elenco e il presentarlo sbagliato. L’**art. 38, comma 10, lettera c)**, punisce con una sanzione amministrativa la «mancata comunicazione o aggiornamento dell’elenco delle attività e dei servizi nonché della loro categorizzazione ai sensi dell’articolo 30, comma 1»: fino allo **0,1% del fatturato mondiale** per i soggetti essenziali, allo **0,07%** per gli importanti (comma 11), o cifre fisse — da 10.000 a 50.000 euro — per le pubbliche amministrazioni. È la sanzione per chi non consegna il compito. Ma la categorizzazione sbagliata raramente si contesta da sola: emerge quando le misure di sicurezza tarate su quella categoria vengono valutate ai sensi dell’art. 24, e lì la sanzione è quella, molto più pesante, del **comma 8, lettera a)**, dello stesso art. 38 — fino a **10 milioni di euro o il 2%** del fatturato mondiale per i soggetti essenziali, fino a **7 milioni o l’1,4%** per gli importanti. La multa piccola è per il modulo mancante. Quella grande arriva dopo, per le misure costruite sul numero sbagliato.

## Un solo documento, tre regimi

L’elenco categorizzato non vive da solo. L’**art. 4** della determinazione dice che chi ha già classificato dati e servizi come ordinari, critici o strategici ai sensi dell’art. 3 del [Regolamento cloud dell’ACN](https://csidia.com/note-operative/cloud-acn-30-giugno-2026-dati-critici-pa) applica **quel** modello al posto di questo: chi ha già fatto il lavoro per la migrazione al 30 giugno 2026 non lo rifà due volte, lo riusa. L’**art. 5** chiude l’altro lato: alle attività e ai servizi soggetti al [Perimetro di sicurezza nazionale cibernetica](https://csidia.com/note-operative/perimetro-cibernetico-cvcn-valutazione-forniture-ict) è attribuita d’ufficio la categoria «impatto alto», e restano fuori dall’autovalutazione dell’art. 3 — non si giudicano, sono già giudicati. Chi è dentro tutti e tre i regimi — NIS, cloud della PA, Perimetro — si ritrova con un solo documento che li fa parlare fra loro; chi ce l’ha già fatta per uno degli altri due arriva a maggio con mezzo lavoro fatto.

## Cosa fare adesso

1. **Riaprite l’elenco appena inviato** (o quello che avreste dovuto inviare) e verificate, macro-area per macro-area, se la categoria pre-assegnata corrisponde davvero all’impatto di una compromissione — non alla comodità di lasciarla com’è.
2. **Scrivete la valutazione, non solo la categoria**: il comma 3 chiede la documentazione dietro ogni scostamento, e va conservata da subito, non ricostruita se arriva una verifica.
3. **Incrociate con cloud e Perimetro**: se avete già una classificazione ACN cloud o attività nel Perimetro, verificate che l’elenco NIS non le riproduca da zero.
4. **Mettete la data del 30 giugno 2027** nel [calendario delle scadenze di conformità](https://csidia.com/strumenti/scadenze-conformita), non nell’agenda personale di chi se ne è occupato quest’anno: l’obbligo è annuale, e la persona cambia più spesso della scadenza.

## Fonti

- [Decreto legislativo 4 settembre 2024, n. 138 — art. 30 (elencazione, caratterizzazione e categorizzazione), art. 42 (fase di prima applicazione) e art. 38 (sanzioni amministrative) (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138~art30)
- [ACN, determinazione del Direttore generale n. 155238/2026 sul modello di categorizzazione delle attività e dei servizi (PDF)](https://www.acn.gov.it/portale/documents/d/guest/detacn_categorizzazione_260409-v8_signed)
- [ACN — Categorizzazione NIS](https://www.acn.gov.it/portale/nis/categorizzazione)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/nis-categorizzazione-attivita-servizi-30-giugno/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com