Categorizzazione di attività e servizi

In breve. Ogni anno, tra il 1° maggio e il 30 giugno, il soggetto NIS elenca attività e servizi e assegna a ciascuno una categoria di impatto. È un'analisi d'impatto semplificata e serve a rendere proporzionate le misure future.

A cosa serve

La categoria misura l'impatto di una compromissione dell'attività o del servizio sulla capacità di svolgere le attività NIS. Le misure rafforzate potranno essere differenziate in base a queste categorie (art. 31 c. 2).

Il modello

• 10 macro-aree con categoria pre-assegnata.
• 4 categorie: impatto alto, medio, basso, minimo.
• Due varianti, Allegato 1 e Allegato 2 della Det. 155238/2026, a seconda della tipologia del soggetto. Differiscono per la logistica: impatto basso nell'Allegato 1, minimo nell'Allegato 2.

Come si procede

1. Elencare tutte le attività svolte e i servizi erogati, interni ed esterni.
2. Ricondurli alle macro-aree.
3. Indicare denominazione e descrizione.
4. Accettare la categoria pre-assegnata o indicarne un'altra.
5. Se la categoria è diversa, conservare la valutazione che la giustifica.
6. Il punto di contatto conferma e trasmette sul Servizio NIS/Categorizzazione.

Non è necessario compilare le macro-aree in cui non si svolgono attività.

Dopo l'invio

ACN dà riscontro di conformità entro 90 giorni, prorogabili una sola volta di 60. Le richieste di integrazione interrompono i termini e prevedono risposta entro 30 giorni. In assenza di riscontro la conformità si intende convalidata (art. 30 c. 3-4). Scaduto il termine l'elenco non è più modificabile; gli invii oltre termine sono tardivi.

Casi particolari

• Le PA che hanno svolto la classificazione del Regolamento Cloud usano quel modello.
• Le attività soggette al Perimetro nazionale hanno categoria «impatto alto» (Det. 155238/2026, art. 5).
• Le entità finanziarie DORA sono esentate, con adesione volontaria possibile.