L’articolo 30 del Decreto NIS impone ai soggetti essenziali e importanti di comunicare ogni anno all’ACN l’elenco delle proprie attività e dei propri servizi, attribuendo a ciascuno una categoria di rilevanza basata sull’impatto che la sua interruzione produrrebbe. In sostanza, le organizzazioni NIS devono chiarire quali servizi incidono sul loro funzionamento e quale danno concreto deriverebbe dal loro blocco.
La recentissima Determinazione dell’ACN n.155238/2026 trasforma questo obbligo in un metodo concreto, introducendo un modello di categorizzazione che guida le aziende a leggere sé stesse per servizi, a misurarne il peso operativo e a orientare su questa base le scelte di sicurezza.
La categorizzazione diventa così una decisione di governo che incide sulla continuità operativa, sugli investimenti e sulla capacità di resistere a una crisi.
Questo articolo analizza la logica del modello di categorizzazione dell’ACN, il margine di autonomia riconosciuto alle organizzazioni e la responsabilità diretta del management.
L’obbligo di mappare le criticità per trasformare la compliance in consapevolezza
L’articolo 30 del Decreto NIS (D.Lgs. 138/2024) stabilisce che ogni anno, in una finestra temporale che va dal 1° maggio al 30 giugno, i soggetti definiti “essenziali” e “importanti” devono comunicare all’Agenzia per la Cybersicurezza l’elenco aggiornato delle proprie attività e dei propri servizi.
La comunicazione deve includere tutti gli elementi utili a descrivere ciascun servizio e deve attribuire a ognuno una “categoria di rilevanza” che esprime l’impatto, cioè il danno concreto, che deriverebbe da una sua eventuale interruzione o perdita di operatività.
Questa norma obbliga le aziende a guardarsi dentro e a dichiarare, formalmente e periodicamente, cosa fanno e quanto ciascun servizio incida sulla stabilità complessiva dell’organizzazione. È un processo di “auto-consapevolezza forzata” che serve a preparare il quadro per il passo successivo: l’applicazione di misure di sicurezza che non siano più uguali per tutti ma proporzionate al rischio effettivo.
La Determinazione dell’ACN trasforma l’obbligo in metodo operativo
L’articolo 30 del Decreto NIS stabilisce l’obbligo. La Determinazione dell’ACN n. 155238/2026, pubblicata sul sito web istituzionale il 24 aprile 2026, ne definisce le modalità di attuazione.
Questo atto introduce il “Modello di categorizzazione” cioè la grammatica comune che tutte le organizzazioni devono usare per dialogare con l’ACN.
Il modello è il risultato di un processo di consultazione che ha coinvolto autorità di settore NIS e associazioni di categoria per garantire che le definizioni fossero aderenti alla realtà operativa delle imprese italiane.
Con questo modello, l’ACN ha definito i criteri con cui un’organizzazione deve segmentare la propria operatività, aggregandola in macro-aree che rappresentano funzioni omogenee.
In tal modo, attraverso il modello di categorizzazione, la disposizione dell’art. 30 del Decreto NIS prende forma operativa.
Questo trasforma un obbligo di legge in un esercizio di gestione del rischio che ogni CISO e ogni amministratore delegato deve governare, per evitare di allocare risorse in modo sproporzionato rispetto alla reale importanza dei servizi.
Dagli asset ai servizi. Il cambio di prospettiva che guida la categorizzazione
Il funzionamento del modello di categorizzazione ruota attorno a 10 macro-aree.
Possiamo immaginare queste macro-aree come dieci grandi contenitori logici che non sono semplici dipartimenti ma raggruppamenti di attività che condividono finalità, utenti o tipi di prestazione.
C’è l’area che produce il valore, quella che gestisce le persone, quella che tiene i conti e quella, fondamentale, che controlla tutto il resto.
Questo approccio permette al management di non perdersi nei dettagli tecnici e di concentrarsi sulla funzione per capire quanto soffrirebbe l’azienda se una macro- area si fermasse.
Il modello prevede anche un contenitore “di emergenza”, la macro-area “Altri servizi e attività”, per tutto ciò che non trova spazio nelle definizioni standard. In questo modo nulla può restare fuori dalla mappatura.
Ai fini dell’individuazione delle attività e dei servizi, l’ACN non richiede l’uso di una specifica metodologia.
Pertanto, ogni organizzazione potrà utilizzare quella maggiormente adatta al proprio contesto.
Quando un’azienda deve identificare i propri servizi, può usare un metodo “top-down”, partendo dall’organigramma e dai processi di business oppure un metodo “bottom-up”, partendo dai sistemi informativi per risalire alle funzioni che abilitano. La vera forza del modello dell’ACN, però, emerge quando questi due mondi si incontrano: è lì che si scoprono i punti ciechi, le dipendenze nascoste tra un’applicazione apparentemente banale e un processo critico per l’intera nazione.
Quanto pesa un servizio? La scala della rilevanza
Il punto centrale del modello è la misurazione dell’impatto operativo, cioè delle conseguenze che deriverebbero dal blocco di un servizio.
La valutazione si articola su quattro “categorie di rilevanza”: impatto minimo, basso, medio e alto. Questa scala misura il danno potenziale in termini di riservatezza, integrità e disponibilità.
L’ACN ha orientato il lavoro delle organizzazioni attraverso una pre-assegnazione delle categorie di rilevanza alle macro-aree, fondata su un’analisi di rischio sistemica condivisa con le autorità di settore e le associazioni di categoria.
Ad esempio, la macro-area “Monitoraggio e controllo” è associata a un impatto alto, perché raccoglie le funzioni di governo e di coordinamento della sicurezza. Evidentemente, se questa capacità si blocca, l’organizzazione perde la possibilità di reagire.
Al contrario, aree come “Comunicazione e marketing” o “Gestione amministrativa” sono associate a impatti minimi, poiché una loro interruzione non compromette nell’immediato le funzioni essenziali.
Questa pre-assegnazione offre un riferimento solido ma non impone una scelta rigida.
L’articolo 3, comma 3 della Determinazione dell’ACN consente all’organizzazione di attribuire a un’attività o a un servizio una categoria di rilevanza diversa da quella prevista dal modello per la macro-area.
Questa possibilità apre uno spazio di decisione reale. Non si tratta di aderire automaticamente a una classificazione ma di valutare nel concreto quanto quel servizio incida sulla continuità operativa.
Ogni scelta, però, deve poggiare su una valutazione dell’impatto chiara, verificabile e documentata, capace di spiegare perché quel servizio pesa più o meno di quanto previsto.
Derogare si può ma con cognizione di causa
Il modello consente alle organizzazioni di attribuire a un’attività o a un servizio una categoria di rilevanza diversa da quella prevista in via predefinita dal modello dell’ACN.
Questa possibilità introduce flessibilità ma anche responsabilità.
Infatti, ogni scelta deve essere sostenuta da una valutazione d’impatto operativo, assimilabile per funzione a una Business Impact Analysis (BIA) semplificata e deve essere documentata e resa disponibile in caso di controllo.
In sostanza, occorre dimostrare, con elementi concreti, come il servizio incida sulla continuità operativa, quali dati tratta e quali interdipendenze presenta rispetto alle funzioni essenziali.
Così, ad esempio, un’azienda che produce componenti critici potrebbe decidere di alzare l’impatto della propria logistica se questa è l’unica via per consegnare beni salvavita; un’altra azienda, invece, potrebbe abbassare la rilevanza della ricerca, dello sviluppo e della progettazione se si occupa di prodotti non strategici.
La differenza sta nella capacità di spiegare e sostenere la scelta.
L’efficienza economica applicata alla difesa digitale
Perché bisogna impegnarsi con tanta precisione nella categorizzazione?
La risposta sta nel futuro della protezione.
In questa fase iniziale si applicano misure di sicurezza di base. Il modello di categorizzazione predisposto dell’ACN serve a costruire il quadro entro il quale potranno essere adottate le misure di sicurezza a lungo termine che saranno progressivamente integrate e avanzate.
Nel tempo, queste misure di sicurezza diventeranno più articolate e differenziate proprio in funzione della categoria di rilevanza assegnata.
Un sistema che supporta un servizio ad impatto alto dovrà rispettare requisiti più stringenti rispetto a uno che gestisce attività marginali.
Questo approccio consente di concentrare le risorse dove davvero servono, evitando investimenti inutili e rendendo la sicurezza sostenibile nel tempo.
Il ruolo del Management
Il modello di categorizzazione pone ancor più in evidenza la responsabilità degli organi di amministrazione e direttivi.
Gli articoli 23 e 24 del Decreto NIS collocano il vertice organizzativo al centro della gestione del rischio. La definizione della rilevanza di un servizio diventa, quindi, una scelta strategica che incide sulla capacità dell’organizzazione di restare operativa.
Una valutazione errata può compromettere la continuità aziendale fino a mettere a rischio la sopravvivenza dell’impresa.
Per questo motivo, la categorizzazione di attività e servizi NIS va anche riconosciuta come lo strumento con cui i vertici aziendali possono – e devono – dialogare con le funzioni tecniche, passando dal linguaggio dei sistemi a quello della continuità, del valore dei dati e delle interdipendenze critiche.
Per la Pubblica Amministrazione è previsto un coordinamento per semplificare
Per la Pubblica Amministrazione, il modello di categorizzazione dell’ACN prevede un meccanismo di coordinamento che evita duplicazioni.
Se un soggetto pubblico NIS ha già classificato dati e servizi secondo il sistema previsto dal Regolamento Cloud (Decreto Direttoriale ACN n. 21007/24), non deve ripetere l’intero processo. Ai fini dell’elencazione e della categorizzazione delle attività e dei servizi, in luogo delle categorie di rilevanza (impatto minimo, basso, medio, alto) è chiamato ad applicare le classi previste dal Regolamento Cloud: ordinari, critici o strategici.
Questo allineamento consente di mantenere coerenza nella valutazione della criticità, sia rispetto alla localizzazione e al controllo dei dati, sia rispetto alla capacità dei servizi di resistere e continuare a funzionare.
Il risultato è una riduzione degli adempimenti e una maggiore concentrazione sulla protezione effettiva.
Conclusioni. Una nuova visione della continuità operativa
Il modello di categorizzazione introdotto con la Determinazione n. 155238/2026 dell’ACN è una vera e propria mappa del valore dell’organizzazione.
L’obbligo annuale previsto dall’articolo 30 spinge le aziende a passare da una gestione reattiva a una pianificazione consapevole. Capire quali attività sostengono l’organizzazione significa individuare cosa deve essere protetto con priorità assoluta.
La possibilità di discostarsi dalle categorie predefinite restituisce alle organizzazioni il governo delle proprie scelte di rischio ma rende quella responsabilità più esigente.
In un contesto in cui il rischio zero non esiste, la capacità di individuare il proprio punto di rottura e di rafforzarlo diventa il vero fattore di tenuta.
La categorizzazione è il primo passo di questo percorso.
