Categorizzazione NIS: l’unico adempimento che si giudica, non si compila

Uno scenario tipico, non un caso nostro. Un soggetto NIS — inserito nell’elenco da un anno, magari senza mai aver acceso un incidente — arriva a maggio 2026 e scopre che deve compilare, tramite il portale ACN, l’elenco di tutte le attività che svolge e dei servizi che eroga, ciascuno con una categoria di rilevanza: alto, medio, basso, minimo impatto. Chi se ne occupa apre il modello, vede che ogni macro-area ha già una categoria pre-assegnata, la lascia com’è per non perdere tempo, e invia entro il 30 giugno. Nessuno in sicurezza ha guardato se quella categoria descrive davvero l’organizzazione. Il problema è che da quel numero, non dal nome dell’attività, dipenderà quanto a fondo dovranno arrivare le misure di sicurezza dell’anno prossimo.

La norma, con gli estremi

L’obbligo è nell’art. 30, comma 1, del decreto legislativo 4 settembre 2024, n. 138 (decreto NIS): «ai fini di cui all’articolo 24, comma 1, dal 1° maggio al 30 giugno di ogni anno a partire dalla ricezione della prima comunicazione di cui all’articolo 7, comma 3, lettera a), i soggetti essenziali e i soggetti importanti comunicano e aggiornano, tramite la piattaforma digitale di cui all’articolo 7, comma 1, un elenco delle proprie attività e dei propri servizi, comprensivo di tutti gli elementi necessari alla loro caratterizzazione e della relativa attribuzione di una categoria di rilevanza». Il comma 2 affida all’ACN il compito di stabilire le categorie di rilevanza e i criteri per elencare, caratterizzare e categorizzare; l’art. 42, comma 2 fissa quando: «l’obbligo di cui all’articolo 30, comma 1, si applica a partire dal 1° gennaio 2026» — in pratica, la prima finestra utile è stata quella appena chiusa, dal 1° maggio al 30 giugno 2026. La prossima si apre il 1° maggio e si chiude il 30 giugno 2027, e non si riapre.

L’ACN ha esercitato quel potere con una determinazione del Direttore generale (n. 155238/2026), firmata digitalmente da Bruno Frattasi il 13 aprile 2026, sentito il Tavolo per l’attuazione della disciplina NIS nella riunione del 9 aprile. Il modello che ne risulta (art. 2) elenca dieci macro-aree, ciascuna con una categoria di rilevanza pre-assegnata, e definisce quattro livelli: impatto alto, medio, basso, minimo. La determinazione si applica dal 1° maggio 2026 (art. 8, comma 2).

Il giudizio che la piattaforma non fa per voi

Fin qui è compilazione: elencare, per macro-area, nome e descrizione di ogni attività e servizio (art. 3, comma 2, della determinazione). Il punto che cambia natura all’adempimento è il comma 3: «i soggetti NIS possono indicare una categoria di rilevanza […] diversa da quella pre-assegnata della macro-area […] sulla base di una propria valutazione dell’impatto di una possibile compromissione […] sulla capacità del soggetto di svolgere correttamente le attività e i servizi NIS. In tal caso, i soggetti NIS conservano la documentazione recante tale valutazione». Non è un default da accettare: è una tesi da sostenere, con le carte a supporto pronte per quando qualcuno le chiederà.

E qualcuno le chiede davvero: l’art. 30, comma 3, del decreto dà all’ACN 90 giorni dalla comunicazione per verificare la conformità di quanto trasmesso, prorogabili una sola volta di altri 60 nei casi complessi. Ma il comma 4 aggiunge la parte che quasi nessuno legge fino in fondo: «in assenza del riscontro […] entro i termini […] la conformità […] si intende convalidata». Silenzio dell’Agenzia, categoria convalidata. Chi sottostima un’attività per prudenza contabile — meno categoria alta significa, teoricamente, misure meno costose — e non viene intercettato in tempo, passa un anno intero con una fotografia di sé stesso più tranquilla del vero, difesa da un timbro che nessuno ha davvero apposto.

Due sanzioni, due bersagli diversi

Il decreto non tratta allo stesso modo il non presentare l’elenco e il presentarlo sbagliato. L’art. 38, comma 10, lettera c), punisce con una sanzione amministrativa la «mancata comunicazione o aggiornamento dell’elenco delle attività e dei servizi nonché della loro categorizzazione ai sensi dell’articolo 30, comma 1»: fino allo 0,1% del fatturato mondiale per i soggetti essenziali, allo 0,07% per gli importanti (comma 11), o cifre fisse — da 10.000 a 50.000 euro — per le pubbliche amministrazioni. È la sanzione per chi non consegna il compito. Ma la categorizzazione sbagliata raramente si contesta da sola: emerge quando le misure di sicurezza tarate su quella categoria vengono valutate ai sensi dell’art. 24, e lì la sanzione è quella, molto più pesante, del comma 8, lettera a), dello stesso art. 38 — fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o l’1,4% per gli importanti. La multa piccola è per il modulo mancante. Quella grande arriva dopo, per le misure costruite sul numero sbagliato.

Un solo documento, tre regimi

L’elenco categorizzato non vive da solo. L’art. 4 della determinazione dice che chi ha già classificato dati e servizi come ordinari, critici o strategici ai sensi dell’art. 3 del Regolamento cloud dell’ACN applica quel modello al posto di questo: chi ha già fatto il lavoro per la migrazione al 30 giugno 2026 non lo rifà due volte, lo riusa. L’art. 5 chiude l’altro lato: alle attività e ai servizi soggetti al Perimetro di sicurezza nazionale cibernetica è attribuita d’ufficio la categoria «impatto alto», e restano fuori dall’autovalutazione dell’art. 3 — non si giudicano, sono già giudicati. Chi è dentro tutti e tre i regimi — NIS, cloud della PA, Perimetro — si ritrova con un solo documento che li fa parlare fra loro; chi ce l’ha già fatta per uno degli altri due arriva a maggio con mezzo lavoro fatto.

Cosa fare adesso

Riaprite l’elenco appena inviato (o quello che avreste dovuto inviare) e verificate, macro-area per macro-area, se la categoria pre-assegnata corrisponde davvero all’impatto di una compromissione — non alla comodità di lasciarla com’è.
Scrivete la valutazione, non solo la categoria: il comma 3 chiede la documentazione dietro ogni scostamento, e va conservata da subito, non ricostruita se arriva una verifica.
Incrociate con cloud e Perimetro: se avete già una classificazione ACN cloud o attività nel Perimetro, verificate che l’elenco NIS non le riproduca da zero.
Mettete la data del 30 giugno 2027 nel calendario delle scadenze di conformità, non nell’agenda personale di chi se ne è occupato quest’anno: l’obbligo è annuale, e la persona cambia più spesso della scadenza.

Come lo risolviamo noi

Quell’elenco, quando è fatto bene, è il documento più sensibile che un’organizzazione scrive su sé stessa: dice che cosa fa, con quali servizi, e quanto pesa ciascuno se si rompe. Se un assistente AI aiuta a costruirlo — a incrociare attività reali con macro-aree, a tenere coerente la valutazione da un anno all’altro, a segnalare uno scostamento non ancora documentato — quell’assistente maneggia esattamente la mappa che un avversario vorrebbe leggere. Non può essere un servizio generico agganciato al web aperto. Lavoriamo in due modalità, mai una sola: on-premise, dentro l’infrastruttura del cliente, oppure su cloud dedicato CSIDIA, ambiente riservato al singolo cliente, accesso via VPN dedicata, data center residente in Italia, in locali che presidiamo direttamente.

Dovete capire se la vostra categorizzazione regge un controllo, o se state ereditando una categoria che nessuno ha mai verificato? Mezz’ora con un nostro esperto per la prima lettura dell’elenco.