Un adempimento da non sottovalutare per tutti i soggetti già censiti nel perimetro NIS2: la finestra per comunicare ad ACN la categorizzazione delle proprie attività e servizi si chiude il 30 giugno 2026.
Richiamiamo l’attenzione dei nostri clienti e di tutti i soggetti rientranti nel perimetro applicativo del D.Lgs. 138/2024 (di recepimento della Direttiva NIS2) su una scadenza operativa di particolare rilievo, fissata al 30 giugno 2026.
Con la Determinazione ACN n. 155238 del 20 aprile 2026, l’Agenzia per la Cybersicurezza Nazionale ha introdotto l’obbligo, per tutti i soggetti già inseriti nell’elenco NIS, di comunicare e categorizzare le proprie attività e i propri servizi direttamente sulla piattaforma digitale dell’Agenzia. La finestra temporale per l’adempimento è aperta dal 1° maggio 2026 e si chiuderà, improrogabilmente, il 30 giugno 2026.
In cosa consiste l’adempimento
Non si tratta di un mero aggiornamento anagrafico, ma di un’attività di autovalutazione strutturata, che richiede al soggetto NIS di:
- individuare tutte le attività e i servizi che eroga per il tramite di sistemi informativi e di rete;
- ricondurre ciascuna attività a una delle 10 macro-aree predefinite dal modello generale pubblicato da ACN;
- attribuire, per ogni macro-area utilizzata, una delle 4 categorie di rilevanza previste:
- impatto minimo;
- impatto basso;
- impatto medio;
- impatto alto;
- motivare e documentare internamente i criteri seguiti per la classificazione, anche in vista di eventuali richieste di chiarimento da parte dell’Autorità.
La classificazione non ha valore meramente formale: costituirà infatti il parametro in base al quale ACN determinerà, nelle fasi successive del percorso di adeguamento NIS2, l’intensità delle misure di sicurezza tecniche e organizzative che il soggetto dovrà adottare sui propri sistemi. Una classificazione non accurata espone, da un lato, al rischio di rilievi in sede di verifica e, dall’altro, al rischio di lasciare scoperti — e quindi non adeguatamente protetti — servizi che meriterebbero un presidio più stringente.
Come procedere operativamente
Suggeriamo ai soggetti interessati di seguire un percorso articolato in cinque fasi:
- Verificare il punto di contatto registrato — accertarsi che il referente già censito sul portale ACN sia attivo, abilitato all’accesso e nelle condizioni di operare: sarà la persona chiamata a compilare e sottoscrivere il modello.
- Mappare le attività e i servizi reali dell’organizzazione, coinvolgendo non solo l’IT ma anche le funzioni di business, la produzione e le aree operative critiche, per ottenere un quadro che vada oltre i soli processi formalizzati.
- Ricondurre ciascuna attività alle 10 macro-aree previste dal modello ACN, garantendo una lettura uniforme e coerente tra le diverse funzioni aziendali coinvolte.
- Condurre un’analisi di impatto (anche in forma semplificata) per ciascuna macro-area utilizzata, stimando gli effetti di una eventuale interruzione o compromissione in termini di continuità operativa, sicurezza dei dati e ricadute su clienti, fornitori e terzi, così da assegnare la categoria di rilevanza in modo argomentato e difendibile.
- Compilare la piattaforma ACN entro il termine del 30 giugno 2026 e conservare la documentazione a supporto delle scelte effettuate (criteri adottati, fonti, soggetti coinvolti), utile sia in chiave di audit interno sia per i successivi rinnovi annuali e per l’interlocuzione con l’Autorità.
Il contesto: non è l’unica scadenza della stagione 2026
Questo adempimento si inserisce in un calendario NIS2 particolarmente fitto nel primo semestre 2026, che comprende anche:
- la finestra 15 aprile – 31 maggio 2026 per la comunicazione dell’elenco dei fornitori rilevanti (Determinazione ACN n. 127437/2026);
- l’obbligo, già pienamente operativo dal 15 gennaio 2026, di notifica al CSIRT Italia degli incidenti significativi, nei termini di pre-notifica (24 ore), notifica (72 ore) e relazione finale (entro un mese);
- la prospettiva, fissata al 31 ottobre 2026, di piena operatività delle misure di sicurezza di base previste dagli Allegati alla disciplina NIS, per i soggetti già censiti dal 2025.
Vale la pena ricordare che, dopo il 30 giugno 2026, l’ACN avvierà progressivamente la transizione dalla fase di accompagnamento a quella di vigilanza e verifica, con un regime sanzionatorio che — per i soggetti essenziali — può arrivare fino al 2% del fatturato mondiale annuo (1,4% per i soggetti importanti) e, nei casi più gravi, misure incidenti sulla governance aziendale. La responsabilità per l’adempimento degli obblighi NIS2, ai sensi dell’art. 23 del D.Lgs. 138/2024, rimane in capo agli organi di amministrazione e direzione, anche laddove l’attività operativa sia stata delegata a funzioni interne o a fornitori esterni.
Lo Studio resta a disposizione
Considerata la natura tecnico-giuridica della categorizzazione richiesta — che presuppone una corretta qualificazione delle attività alla luce del perimetro NIS2 e una valutazione difendibile delle categorie di rilevanza — lo Studio rimane a disposizione dei clienti e dei soggetti interessati per:
- verificare la propria posizione rispetto al perimetro soggettivo della normativa NIS2;
- supportare la mappatura delle attività e dei servizi rilevanti e la relativa categorizzazione;
- assistere nella predisposizione della documentazione a supporto delle scelte classificatorie;
- accompagnare la compilazione della piattaforma ACN entro la scadenza del 30 giugno 2026;
- coordinare l’adempimento con gli altri obblighi NIS2 già in corso (fornitori rilevanti, gestione incidenti, misure di sicurezza).
Per una valutazione della propria situazione o per fissare un appuntamento, è possibile contattare lo Studio ai consueti recapiti.
Lo Studio segue con continuità l’evoluzione del quadro NIS2 e delle determinazioni ACN, riservandosi di pubblicare ulteriori aggiornamenti in caso di proroghe, chiarimenti o modifiche operative da parte dell’Autorità.
