NIS2, servizi e fornitori: cosa verificare entro il 30 giugno

La categorizzazione delle attività e dei servizi prevista dall’articolo 30 del D.Lgs. 138/2024 e disciplinata dalle determinazioni adottate dall’Agenzia per la Cybersicurezza Nazionale nel 2026 costituisce uno degli snodi più rilevanti dell’impianto attuativo della direttiva NIS2 in Italia. La finestra temporale compresa tra il 1° maggio e il 30 giugno coincide con il processo attraverso il quale il soggetto essenziale o importante rappresenta la propria organizzazione mediante una mappa regolatoria dei servizi erogati, delle attività svolte e delle dipendenze digitali che ne consentono il funzionamento.

L’articolo esamina la categorizzazione quale elemento di raccordo tra identificazione del perimetro NIS, applicazione proporzionata delle misure di gestione del rischio cyber, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura e responsabilità degli organi di amministrazione e direzione. In tale prospettiva, l’elenco categorizzato assume una funzione strutturale all’interno del sistema di governance della cybersicurezza, poiché costituisce la base informativa sulla quale vengono definiti obblighi, priorità operative e investimenti. La qualità di tale attività incide direttamente sull’efficacia dell’intero modello di conformità: una categorizzazione accurata favorisce l’allineamento tra prescrizioni normative e profilo di rischio dell’organizzazione, diversamente una classificazione approssimativa può compromettere la coerenza sostanziale del sistema di compliance e delle misure di resilienza adottate.

La categorizzazione come passaggio dalla registrazione alla governance

L’attuazione italiana della Direttiva (UE) 2022/2555, realizzata mediante il D.Lgs. 4 settembre 2024, n. 138, ha introdotto un modello di conformità progressiva nel quale la registrazione del soggetto, la sua inclusione nell’elenco NIS, la comunicazione delle informazioni organizzative, l’adozione delle misure di sicurezza e gli obblighi di notifica costituiscono fasi di un medesimo percorso di responsabilizzazione. In tale percorso, la categorizzazione delle attività e dei servizi assume un ruolo centrale perché spinge l’organizzazione a descrivere sé stessa oltre le categorie societarie, dipartimentali o commerciali, valorizzando il contributo concreto delle proprie attività alla continuità e alla sicurezza dei servizi rilevanti ai fini NIS.

La disciplina prevista dall’articolo 30 del Decreto NIS impone ai soggetti essenziali e importanti di comunicare e aggiornare annualmente, tramite la piattaforma digitale messa a disposizione dall’ACN, l’elenco delle proprie attività e dei propri servizi, comprensivo degli elementi necessari alla loro caratterizzazione e della relativa categoria di rilevanza. La finestra temporale individuata dal legislatore e dalle determinazioni attuative, compresa tra il 1° maggio e il 30 giugno di ogni anno, assume quindi una funzione sostanziale. In quel periodo l’organizzazione deve fissare una fotografia qualificata delle attività rilevanti, indicando quali servizi svolge o eroga, quali attività li supportano, quale impatto deriverebbe da una loro compromissione e quale categoria di rilevanza debba essere attribuita in funzione del modello definito dall’Autorità.

Le determinazioni ACN adottate nel 2026 hanno progressivamente precisato tale impianto. La Determinazione ACN n. 127437 del 13 aprile 2026 ha disciplinato l’aggiornamento annuale delle informazioni e ha introdotto, nell’ambito di tale processo, anche il tema dei fornitori rilevanti NIS. La successiva Determinazione ACN n. 155238/2026 ha definito il modello di categorizzazione, con gli allegati e il materiale interpretativo destinato a guidare i soggetti nella classificazione delle attività e dei servizi. Il sistema risultante richiede all’operatore una rappresentazione sostanziale: quali servizi eroga, quali attività li rendono possibili, quali sistemi informativi e di rete li supportano e quale impatto produrrebbe la loro interruzione o compromissione.

Da tale prospettiva, la categorizzazione segna il passaggio da una compliance anagrafica a una compliance sostanziale. La registrazione consente all’Autorità di identificare il soggetto; la categorizzazione consente invece di comprendere come il soggetto opera, quali servizi siano realmente critici, quali dipendenze digitali sostengano tali servizi e quali aree debbano essere presidiate con maggiore intensità.

L’elenco categorizzato come rappresentazione regolatoria del rischio

Il principale errore interpretativo consiste nel considerare l’elencazione e la categorizzazione delle attività e dei servizi come un esercizio amministrativo assimilabile alla compilazione di un inventario. Una lettura di questo tipo ridurrebbe l’adempimento a una raccolta di denominazioni interne, business line, prodotti commerciali o macro-processi aziendali, perdendone la funzione effettiva. L’elenco categorizzato è una rappresentazione regolatoria del rischio dell’organizzazione.

La differenza è decisiva. Un inventario risponde alla domanda “che cosa esiste”; una categorizzazione risponde alla domanda “che cosa conta, rispetto a quali effetti, per quali servizi e con quale livello di impatto”. Il Decreto NIS richiede di indicare attività e servizi, caratterizzarli e attribuire loro una categoria di rilevanza. Tale operazione presuppone una valutazione dell’impatto derivante da compromissione, indisponibilità, alterazione o degradazione del servizio o dell’attività, oltre a una comprensione delle relazioni tra processi aziendali, sistemi informativi, fornitori e destinatari del servizio.

In questa prospettiva, la categorizzazione richiede il coinvolgimento coordinato del management, dei responsabili delle linee di business, delle strutture preposte alla sicurezza delle informazioni e alla continuità operativa, dell’area legale, del procurement e, nei gruppi societari più articolati, delle unità incaricate di assicurare il raccordo informativo tra holding, società operative e centri di servizio condivisi. Sebbene i presidi IT e compliance rivestano un ruolo determinante, il processo decisionale presenta una portata significativamente più ampia. L’attribuzione della categoria di rilevanza costituisce, infatti, una scelta organizzativa che presuppone l’integrazione di valutazioni tecniche, giuridiche, economiche e operative, destinate a incidere direttamente sulla definizione del perimetro regolatorio e sull’applicazione degli obblighi previsti dalla disciplina NIS2.

Un servizio marginale dal punto di vista del fatturato può essere essenziale per la continuità di un’attività regolata. Un sistema secondario rispetto all’architettura tecnologica complessiva può costituire un single point of failure per l’erogazione di un servizio NIS. Un fornitore non qualificato come critico secondo le tradizionali logiche di procurement può diventare rilevante quando la compromissione della fornitura impedisce al soggetto NIS di erogare un servizio ricompreso nel perimetro. La categorizzazione serve precisamente a far emergere tali relazioni, evitando che il perimetro di sicurezza venga costruito sulla base di percezioni organizzative non verificate.

Il nesso con l’articolo 31: proporzionalità delle misure e categorie di rilevanza

Il rapporto tra articolo 30 e articolo 31 del D.Lgs. 138/2024 costituisce il cuore giuridico dell’adempimento. L’articolo 30 disciplina l’elencazione, caratterizzazione e categorizzazione delle attività e dei servizi; l’articolo 31 attribuisce all’Autorità nazionale competente NIS il compito di stabilire termini, modalità, specifiche e tempi graduali di implementazione degli obblighi in materia di misure di sicurezza, differenziandoli anche in relazione alle categorie di rilevanza delle attività e dei servizi che i sistemi informativi e di rete supportano, svolgono o erogano. La categoria di rilevanza diventa così un parametro destinato a incidere sull’intensità e sulla proporzionalità degli obblighi applicabili.

La logica sottostante è coerente con l’intero impianto della NIS2. La direttiva e il decreto di recepimento perseguono un modello di sicurezza risk-based e proporzionato, nel quale le misure devono essere adeguate ai rischi, alla criticità dei servizi, alla probabilità e gravità degli incidenti, all’impatto sociale ed economico e alla funzione svolta dal soggetto. L’elenco categorizzato diventa quindi lo strumento attraverso cui tale proporzionalità può essere concretamente applicata.

Da ciò deriva una conseguenza pratica di assoluto rilievo. Una categorizzazione eccessivamente prudenziale, che collochi indiscriminatamente ogni attività in una categoria elevata, potrebbe determinare un aggravio organizzativo non sostenibile e difficilmente giustificabile in termini di effettiva gestione del rischio. All’opposto, una categorizzazione eccessivamente riduttiva, finalizzata a contenere l’onere di conformità, potrebbe esporre l’organizzazione a contestazioni, soprattutto ove un incidente dimostri che un servizio sottostimato aveva in realtà un impatto significativo sulla continuità operativa o sulla sicurezza dei destinatari. La categorizzazione richiede dunque equilibrio: deve essere fondata su evidenze, analisi di impatto e criteri documentabili, evitando sia l’iper-cautela difensiva sia la sottostima opportunistica.

La proporzionalità, in questo contesto, rappresenta un criterio di razionalizzazione degli obblighi e delle misure di sicurezza. Essa consente di orientare risorse, presidi organizzativi e attività di governance verso i servizi effettivamente rilevanti, riducendo il rischio di dispersioni operative e di approcci meramente formali alla conformità. Affinché tale meccanismo produca gli effetti attesi dal legislatore, è tuttavia necessario che la categorizzazione sia fondata su un impianto metodologico solido, coerente e adeguatamente documentato.

Dalla categoria di impatto agli obblighi successivi: il raccordo con le misure a lungo termine

Il profilo più significativo della categorizzazione emerge dal collegamento con le successive fasi di attuazione della disciplina NIS2. L’elenco categorizzato non esaurisce infatti gli obblighi del soggetto essenziale o importante, ma costituisce la base informativa sulla quale verranno progressivamente costruite le misure di sicurezza e di mitigazione del rischio previste dal modello regolatorio. La classificazione delle attività e dei servizi assume così una funzione che va ben oltre la mera rappresentazione organizzativa, incidendo direttamente sul livello di protezione richiesto ai sistemi che ne consentono l’erogazione.

L’impostazione delineata dall’ACN si fonda sul principio di ereditarietà della categoria di rilevanza. I sistemi informativi e di rete assumono la categoria associata ai servizi o alle attività che supportano; qualora un medesimo sistema concorra all’erogazione di più servizi caratterizzati da differenti livelli di impatto, prevale la categoria più elevata. Attraverso tale meccanismo, la classificazione dei servizi si riflette sull’architettura tecnologica dell’organizzazione e diventa il criterio attraverso il quale individuare le aree sulle quali applicare livelli progressivamente più elevati di mitigazione del rischio.

In questa prospettiva, le categorie di impatto costituiscono il riferimento per l’applicazione dei livelli di mitigazione L1, L2, L3 e L4. Per i soggetti privati, ai servizi classificati con impatto minimo, basso, medio e alto corrispondono livelli crescenti di protezione; per i soggetti pubblici, il raccordo avviene attraverso la classificazione dei dati e dei servizi prevista dal Regolamento Cloud, che distingue tra servizi ordinari, critici e strategici e associa a ciascuna categoria requisiti progressivamente più stringenti. Sebbene la definizione puntuale delle misure sia rimessa ai provvedimenti attuativi dell’Autorità, la logica sottostante appare già chiaramente delineata: all’aumentare della rilevanza del servizio aumenta il livello di resilienza richiesto ai sistemi che lo supportano.

La categorizzazione diventa pertanto la matrice attraverso la quale verranno orientate le future scelte di sicurezza, investimento e adeguamento. Dal servizio si risale ai sistemi abilitanti, dai sistemi ai livelli di mitigazione e da questi alle misure tecniche, organizzative e procedurali da implementare. La correttezza della classificazione assume quindi un rilievo strategico: una sottostima dell’impatto può condurre all’applicazione di misure non adeguate al rischio effettivo, mentre una sovrastima può determinare oneri e investimenti non proporzionati rispetto alle reali esigenze di protezione.

La qualità della categorizzazione incide, in definitiva, sulla ragionevolezza, sulla sostenibilità e sulla difendibilità dell’intero percorso di conformità. La scadenza del 30 giugno non rappresenta il punto di arrivo del processo NIS2, ma il momento in cui viene definita l’architettura logica sulla quale si innesteranno le successive misure di sicurezza, resilienza e gestione del rischio.

La Business Impact Analysis come base metodologica della categorizzazione

La determinazione del livello di rilevanza di un’attività o di un servizio presuppone una valutazione dell’impatto. Le indicazioni ACN richiamano espressamente un’analisi di impatto semplificata e armonizzata sulle attività e sui servizi, distinta da una BIA pienamente strutturata secondo gli standard di business continuity management ma ispirata alla medesima logica sostanziale. L’attribuzione della categoria di rilevanza richiede infatti di comprendere quali conseguenze deriverebbero dall’indisponibilità, compromissione, alterazione o degradazione del servizio.

La BIA, o un’analisi equivalente di impatto, consente di identificare i processi critici, le dipendenze tecnologiche, i tempi massimi tollerabili di interruzione, i livelli minimi di servizio e gli impatti potenziali di natura economica, giuridica, reputazionale, operativa e sociale. Essa consente inoltre di distinguere le attività che producono effetti esclusivamente interni da quelle la cui interruzione potrebbe incidere effetti verso clienti, cittadini, utenti, enti pubblici, mercati o altri soggetti dell’ecosistema di riferimento. Senza tale passaggio, la categorizzazione rischia di essere costruita sulla base di intuizioni manageriali o di una rappresentazione meramente nominalistica dei servizi.

Il legame con la continuità operativa è evidente. L’articolo 21 della Direttiva NIS2 e le corrispondenti disposizioni del D.Lgs. 138/2024 attribuiscono rilievo alla gestione degli incidenti e alla continuità operativa, comprese la gestione dei backup, il disaster recovery e la gestione delle crisi. La categorizzazione dei servizi costituisce il presupposto per stabilire quali processi debbano essere recuperati prioritariamente, quali sistemi debbano essere maggiormente resilienti, quali fornitori debbano garantire livelli di servizio più stringenti e quali incidenti possano assumere rilevanza significativa.

In assenza di una BIA, l’organizzazione può trovarsi in una situazione paradossale: dichiarare categorie di rilevanza senza aver misurato l’impatto, predisporre piani di continuità senza aver identificato le priorità effettive, valutare fornitori senza conoscere la criticità dei servizi supportati e notificare incidenti senza aver preventivamente definito quali soglie operative siano realmente significative. La categorizzazione, pertanto, non dovrebbe essere trattata come un adempimento da svolgere in prossimità della scadenza del 30 giugno, ma come il risultato di un processo preparatorio che coinvolge analisi di impatto, mappatura degli asset, identificazione delle dipendenze e validazione manageriale.

Governance e responsabilità: chi deve decidere la categoria di rilevanza?

Uno degli aspetti più delicati riguarda l’allocazione della responsabilità decisionale. La categorizzazione viene materialmente comunicata attraverso la piattaforma ACN dal Punto di Contatto o dai soggetti abilitati a operare sul portale, ma tale circostanza non deve indurre a ritenere che la decisione sia meramente operativa. L’attribuzione della categoria di rilevanza contribuisce infatti a definire la rappresentazione ufficiale che il soggetto fornisce all’Autorità circa la criticità delle proprie attività e dei propri servizi e, per tale ragione, richiede un livello di validazione coerente con gli effetti regolatori che ne derivano.

Il D.Lgs. 138/2024, in coerenza con la Direttiva NIS2, valorizza la responsabilità degli organi di amministrazione e direttivi nella gestione del rischio cyber. La sicurezza informatica non è più confinata al dominio tecnico, ma diventa materia di governance. Da ciò discende che le scelte fondamentali relative alla categorizzazione, soprattutto nei casi di servizi ad alto o medio impatto, dovrebbero essere sottoposte a un processo formale di approvazione o quantomeno di presa d’atto da parte degli organi o delle funzioni dotate di responsabilità gestionale.

La valutazione della rilevanza dei servizi richiede inoltre il contributo coordinato di competenze differenti. Le strutture IT dispongono della conoscenza dei sistemi e delle architetture tecnologiche, ma non necessariamente di una visione completa degli impatti economici, normativi e operativi associati ai servizi erogati. Analogamente, le funzioni legali e di compliance interpretano il quadro regolatorio di riferimento, senza essere sempre in possesso del livello di dettaglio tecnico necessario per apprezzarne tutte le implicazioni operative. Anche il supporto consulenziale può svolgere un ruolo significativo nel definire la metodologia, verificare la coerenza del modello e documentare le evidenze raccolte; la responsabilità della rappresentazione fornita all’Autorità rimane tuttavia integralmente in capo al soggetto NIS.

Un modello maturo prevede quindi la costituzione di un gruppo di lavoro interfunzionale nel quale siano coinvolti, in misura adeguata, i responsabili della sicurezza informatica, della continuità operativa, del risk management, delle aree di business, del procurement, delle funzioni legali e di compliance e delle strutture responsabili dei servizi rilevanti. A tale gruppo compete la predisposizione dell’elenco categorizzato, la definizione e la documentazione dei criteri adottati, la raccolta delle evidenze a supporto delle valutazioni effettuate e la gestione degli eventuali scostamenti rispetto alle categorie predefinite dal modello regolatorio, assicurando infine un livello di validazione manageriale proporzionato alla rilevanza delle classificazioni proposte.

Le criticità operative: perimetro, granularità e linguaggio dei servizi

La prima criticità applicativa riguarda il livello di granularità. Un elenco troppo aggregato rischia di occultare differenze rilevanti tra servizi con impatti differenti; un elenco eccessivamente analitico può trasformare la categorizzazione in un esercizio ingestibile, frammentando artificiosamente attività che dovrebbero essere valutate unitariamente. La difficoltà consiste nel trovare il livello corretto di rappresentazione: abbastanza dettagliato da consentire una valutazione dell’impatto e sufficientemente stabile e governabile da poter essere aggiornato annualmente e utilizzato come base per l’applicazione delle misure di sicurezza.

La seconda criticità riguarda il linguaggio utilizzato per descrivere attività e servizi. Le organizzazioni tendono naturalmente a rappresentare la propria operatività attraverso categorie interne: nomi di dipartimenti, nomi di progetto, applicativi, prodotti commerciali, sigle operative o terminologie consolidate nella prassi aziendale. L’ACN richiede invece una rappresentazione funzionale delle attività e dei servizi, idonea a renderli comparabili e valutabili rispetto al modello di categorizzazione. Ne deriva la necessità di tradurre la tassonomia interna dell’impresa in una tassonomia regolatoria, evitando sia l’eccessiva genericità sia l’uso di terminologie comprensibili soltanto all’interno dell’organizzazione.

La terza criticità riguarda il rapporto tra attività, servizi, sistemi informativi e fornitori. La categorizzazione deve andare oltre al livello del servizio erogato; deve essere coerente con la mappatura dei sistemi informativi e di rete che supportano, svolgono o erogano tali servizi. Un servizio classificato come ad alto impatto ma privo di una mappatura coerente degli asset tecnologici sottostanti genera una frattura nella compliance: l’organizzazione dichiara la criticità del servizio, ma non dimostra di conoscere le componenti operative da proteggere. Allo stesso modo, un fornitore rilevante non correttamente collegato al servizio supportato rende difficile valutare la reale esposizione della supply chain.

La quarta criticità riguarda i gruppi societari. Nei gruppi multinazionali o multi-societari, alcune attività possono essere svolte centralmente da una società di servizi, da una holding, da un centro di competenza IT o da un fornitore infragruppo. In tali contesti occorre distinguere tra il soggetto NIS che eroga il servizio verso l’esterno, il soggetto che supporta tecnologicamente tale servizio, la società che assume decisioni in materia di sicurezza e il fornitore che gestisce porzioni dell’infrastruttura. La categorizzazione deve prevenire duplicazioni incoerenti dei servizi e sottovalutazioni delle dipendenze infragruppo.

Fornitori rilevanti NIS e categorizzazione: due processi da leggere insieme

Le determinazioni ACN del 2026 hanno attribuito rilievo anche all’elencazione dei fornitori rilevanti NIS nell’ambito dell’aggiornamento annuale delle informazioni. Tale profilo deve essere letto in stretta connessione con la categorizzazione delle attività e dei servizi. La rilevanza di un fornitore, infatti, non può essere valutata in astratto, ma dipende dal rapporto tra la fornitura e la capacità del soggetto NIS di erogare i propri servizi rilevanti.

Un fornitore può essere rilevante perché appartiene a categorie di servizi digitali particolarmente sensibili, quali cloud, data center, managed services, managed security services, DNS, registri di dominio o CDN. Può assumere rilievo anche in ragione della non fungibilità o dell’impatto che l’interruzione della fornitura avrebbe sulla capacità del soggetto NIS di erogare attività o servizi inclusi nel perimetro. In questa seconda ipotesi, la valutazione è funzionale prima ancora che merceologica: il fornitore è rilevante perché sostiene un servizio che, secondo la categorizzazione, presenta un determinato livello di impatto.

La categorizzazione dei servizi e la qualificazione dei fornitori rilevanti dovrebbero quindi alimentarsi reciprocamente. La mappatura dei servizi consente di comprendere quali fornitori siano effettivamente critici; la mappatura dei fornitori consente di verificare se la categoria attribuita a un servizio sia coerente con le dipendenze operative che lo sostengono. Se un servizio viene classificato come rilevante ma nessun fornitore critico viene associato alla sua erogazione, occorre verificare se il servizio sia effettivamente gestito in modo interno o se la supply chain non sia stata mappata correttamente. Se un fornitore viene qualificato come rilevante ma non risulta collegato ad attività o servizi significativi, occorre comprendere se la sua rilevanza sia stata sovrastimata o se l’elenco dei servizi sia incompleto.

Questa interdipendenza è destinata ad avere impatti rilevanti sui contratti ICT. La categorizzazione dovrebbe orientare il livello di garanzie richieste ai fornitori: obblighi di notifica degli incidenti, SLA, business continuity, audit, cooperazione con l’Autorità, localizzazione dei dati, gestione degli aggiornamenti, sicurezza della catena di subfornitura, exit strategy e misure di reversibilità dovrebbero essere calibrati in funzione della criticità del servizio supportato.

Il termine del 30 giugno e il rischio della cristallizzazione di un errore

La scadenza del 30 giugno riveste una particolare rilevanza poiché coincide con la conclusione della finestra annuale di comunicazione e aggiornamento. Secondo le indicazioni attuative, le informazioni trasmesse entro tale termine confluiscono nel sistema di riferimento dell’Autorità, ferma restando la possibilità di successivi aggiornamenti nei casi espressamente previsti dalla disciplina applicabile. L’adempimento assume così una dimensione probatoria: l’organizzazione comunica all’Autorità una rappresentazione ufficiale delle proprie attività e servizi rilevanti.

Il rischio principale è la cristallizzazione di un errore metodologico. Se l’organizzazione compila l’elenco in modo frettoloso, utilizzando informazioni incomplete, tassonomie interne non armonizzate, valutazioni d’impatto non documentate o categorie attribuite senza coinvolgimento dei business owner, il risultato può diventare la base di successive incoerenze. Le misure di sicurezza potrebbero essere calibrate su servizi classificati erroneamente; i fornitori rilevanti potrebbero essere omessi; gli incidenti potrebbero essere valutati rispetto a soglie non coerenti; i piani di continuità potrebbero non riflettere le priorità dichiarate all’Autorità.

La scadenza, pertanto, merita una gestione diversa da quella di un mero invio telematico. Dovrebbe essere preceduta da una fase di preparazione nella quale l’organizzazione raccolga informazioni, svolga interviste, analizzi processi e sistemi, verifichi le dipendenze di fornitura, confronti le categorie proposte con dati di BIA o analisi equivalenti, documenti le assunzioni e validi formalmente il risultato. La qualità della categorizzazione riflette, infatti, la qualità del processo che ne ha consentito la costruzione.

Occorre inoltre considerare che l’ACN può svolgere verifiche di conformità sull’elenco categorizzato, anche mediante analisi comparative tra soggetti appartenenti a settori o contesti operativi analoghi. Ciò rafforza l’esigenza di coerenza e giustificabilità delle scelte. Una categoria attribuita in modo difforme rispetto a operatori analoghi può essere perfettamente legittima se fondata su specificità organizzative documentate; diventa invece problematica se non è possibile spiegare perché un servizio sia stato classificato in un determinato modo.

Il rapporto con la notifica degli incidenti

La categorizzazione delle attività e dei servizi produce effetti che si estendono ben oltre l’adempimento dichiarativo previsto dalla disciplina NIS2, incidendo direttamente sui processi di gestione degli incidenti. La NIS2 e il D.Lgs. 138/2024 collegano gli obblighi di notifica alla significatività degli incidenti e all’impatto sulla prestazione dei servizi. Per valutare se un incidente sia significativo, l’organizzazione deve conoscere preventivamente quali servizi siano rilevanti, quali sistemi li supportino, quali destinatari siano coinvolti, quali soglie di indisponibilità siano tollerabili e quali effetti economici o sociali derivino dalla compromissione.

Un elenco categorizzato ben costruito diventa quindi uno strumento operativo di incident response. In presenza di un evento cyber, esso consente di individuare con maggiore rapidità i servizi interessati, correlare gli asset coinvolti, comprendere le dipendenze tecnologiche e di fornitura, identificare i soggetti potenzialmente impattati e attivare i livelli decisionali coerenti con la rilevanza del servizio compromesso. Viceversa, una categorizzazione debole o scollegata dall’inventario degli asset può rallentare la qualificazione dell’incidente, rendere incerta la decisione sulla notifica e generare disallineamenti tra funzioni tecniche, legali e direzionali.

La categorizzazione dovrebbe quindi essere integrata nelle procedure di gestione degli incidenti. Conservata come documento statico o come informazione caricata sul portale ACN, perderebbe gran parte della propria utilità operativa. Essa dovrebbe alimentare la Configuration Management Database (CMDB), gli inventari degli asset, i piani di continuità, le matrici di escalation, le soglie di impatto, le procedure di comunicazione interna e i playbook di risposta. La funzione di sicurezza dovrebbe poter sapere, in tempo reale, se un sistema compromesso supporta un servizio categorizzato ad alto impatto; il management dovrebbe poter valutare le conseguenze operative; la funzione legale dovrebbe poter qualificare correttamente l’obbligo di notifica.

In questa prospettiva, la categorizzazione diventa uno strumento di riduzione del tempo decisionale. Nel momento dell’incidente, l’organizzazione deve poter fare affidamento su una mappatura già validata, senza ricostruire da zero la rilevanza dei servizi coinvolti.

Misure di sicurezza, priorità di investimento e auditabilità

La categorizzazione delle attività e dei servizi incide anche sulla definizione delle priorità di investimento. In un contesto caratterizzato da risorse economiche, tecniche e organizzative inevitabilmente limitate, il principio di proporzionalità impone di orientare gli interventi verso i servizi la cui compromissione potrebbe produrre gli impatti più significativi. La categoria di rilevanza diventa così un criterio di ordinamento delle priorità: hardening, monitoraggio, segmentazione, backup, disaster recovery, IAM, MFA, logging, EDR, vulnerability management, formazione, test e audit dovrebbero essere rafforzati là dove l’impatto della compromissione è più elevato.

Tale funzione non sostituisce l’analisi del rischio, ma la integra. La categoria di rilevanza consente di apprezzare soprattutto l’impatto potenziale associato a un servizio; l’analisi del rischio considera invece anche minacce, vulnerabilità, probabilità di accadimento, livello di esposizione, controlli esistenti e rischio residuo. Le due dimensioni devono essere lette congiuntamente: un servizio ad alto impatto con rischio residuo non adeguatamente trattato richiede interventi prioritari; un servizio a minore impatto resta soggetto alle misure di base, ma può giustificare un presidio proporzionato; eventuali disallineamenti tra classificazione regolatoria e valutazione del rischio impongono un riesame critico del modello adottato.

Sul piano dell’auditabilità, la categorizzazione rappresenta una delle prime evidenze che un auditor o l’Autorità potrebbero esaminare per comprendere la maturità del sistema NIS. L’elenco, da solo, non dimostra la conformità; rivela però la qualità della comprensione organizzativa. Un elenco coerente, documentato, integrato con asset, fornitori, processi e BIA, indica che l’organizzazione ha costruito un modello di governance. Un elenco generico, incoerente o privo di evidenze suggerisce invece che la compliance sia stata affrontata come un esercizio formale.

La prova dell’effettività risiede nella capacità di collegare tra loro categorie di rilevanza, servizi, asset, fornitori, misure di sicurezza, piani di continuità e decisioni manageriali, andando oltre la semplice presenza di policy o procedure. La categorizzazione è il punto in cui tali elementi possono trovare una struttura unitaria.

Le raccomandazioni operative per i soggetti NIS

Dal punto di vista operativo, la categorizzazione delle attività e dei servizi può essere ricondotta a un percorso metodologico articolato in fasi tra loro strettamente correlate. La prima riguarda la ricostruzione della tassonomia organizzativa dei servizi, delle attività e delle relative dipendenze. Tale attività richiede di distinguere tra servizi erogati verso l’esterno, attività interne di supporto, processi critici, sistemi informativi e soggetti terzi che contribuiscono all’erogazione delle prestazioni. In questa fase assume particolare rilievo la capacità di superare la naturale tendenza a sovrapporre strutture organizzative, applicativi o prodotti commerciali ai servizi rilevanti ai fini regolatori. Un dipartimento può infatti concorrere all’erogazione di più servizi, così come un singolo sistema può supportare processi differenti o un prodotto commerciale può incorporare funzionalità riconducibili a categorie distinte.

La seconda fase consiste nella valutazione degli impatti associati ai servizi e alle attività individuate. L’analisi considera le conseguenze derivanti da indisponibilità, compromissione, alterazione o perdita di integrità, tenendo conto della durata dell’interruzione, della tipologia dei soggetti coinvolti, degli effetti economici e reputazionali, delle implicazioni regolatorie, delle possibili conseguenze sulla sicurezza fisica, delle dipendenze da fornitori e degli eventuali effetti sistemici. In presenza di Business Impact Analysis, valutazioni del rischio, piani di continuità operativa o mappature sviluppate nell’ambito di sistemi di gestione conformi agli standard ISO/IEC 27001 e ISO 22301, tali evidenze possono costituire un patrimonio informativo particolarmente utile per supportare e validare il processo di classificazione.

Su queste basi si sviluppa la fase di attribuzione della categoria di rilevanza. Anche quando la classificazione deriva dall’applicazione di criteri predefiniti o di modelli standardizzati, la qualità del processo dipende dalla disponibilità di evidenze in grado di dimostrare la coerenza delle valutazioni effettuate. Tale esigenza assume un rilievo ancora maggiore nei casi in cui l’organizzazione ritenga opportuno adottare classificazioni che si discostano dalle categorie generalmente attese per servizi analoghi, rendendo necessario documentare in modo chiaro le specificità che giustificano tale scelta.

Un ulteriore elemento riguarda la validazione delle classificazioni adottate. Considerata la rilevanza che l’elenco categorizzato assume nell’ambito della governance NIS2, le valutazioni effettuate dovrebbero essere ricondotte a un processo di approvazione o di validazione formalmente riconosciuto dall’organizzazione, con il coinvolgimento dei responsabili delle aree di business interessate e delle funzioni tecniche competenti. La formalizzazione di tale percorso non assolve soltanto a esigenze organizzative interne, ma contribuisce a dimostrare la consapevolezza e la tracciabilità delle decisioni assunte.

La fase conclusiva coincide con l’integrazione della categorizzazione nei processi ordinari di gestione e controllo. Le informazioni relative alla rilevanza dei servizi trovano infatti la loro massima utilità quando vengono utilizzate per supportare attività quali la gestione degli asset, il governo dei fornitori, l’incident response, la continuità operativa, il risk assessment, l’audit interno, i programmi di miglioramento e il reporting verso gli organi di amministrazione e direzione. In tale prospettiva, l’elenco categorizzato cessa di essere un adempimento periodico e assume il ruolo di elemento strutturale del sistema di governo del rischio cyber e della resilienza organizzativa.

Conclusioni: la classificazione come infrastruttura invisibile della NIS2

La determinazione ACN sulla categorizzazione delle attività e dei servizi, letta congiuntamente all’articolo 30 del D.Lgs. 138/2024 e alla finestra annuale di aggiornamento compresa tra il 1° maggio e il 30 giugno, costituisce uno dei passaggi più significativi dell’attuazione italiana della NIS2. Attraverso tale adempimento, l’organizzazione è chiamata a rendere esplicita la propria architettura di servizi, impatti, dipendenze e responsabilità, trasformando il perimetro regolatorio in una rappresentazione strutturata del proprio funzionamento operativo e digitale.

La categorizzazione rappresenta il presupposto logico della proporzionalità delle misure, della definizione delle priorità di investimento, della gestione degli incidenti, della continuità operativa, della sicurezza della catena di fornitura e dell’esercizio consapevole delle responsabilità attribuite agli organi di amministrazione e direzione. Essa consente di superare una lettura generica della conformità alla NIS2, orientando l’attenzione verso interrogativi più concreti: quali servizi rilevanti vengono erogati, da quali sistemi e fornitori dipendono, quali impatti deriverebbero da una loro compromissione e quali misure risultano necessarie per proteggerli in modo proporzionato.

La principale criticità applicativa risiede nella possibilità che l’adempimento venga ridotto a un esercizio di compilazione. Una categorizzazione svolta in modo frettoloso, priva di analisi di impatto, non collegata agli asset e ai fornitori, non condivisa con i responsabili di business e non sottoposta a un’adeguata validazione manageriale rischia di produrre una rappresentazione fragile, incoerente e difficilmente difendibile. Al contrario, quando è affrontata come processo di governance, la categorizzazione può diventare uno degli strumenti più efficaci per costruire una compliance NIS2 effettiva, dimostrabile e proporzionata.

In definitiva, l’elenco categorizzato delle attività e dei servizi costituisce l’infrastruttura invisibile della NIS2. Orienta l’applicazione delle misure di sicurezza, supporta la qualificazione degli incidenti, contribuisce alla definizione delle priorità di continuità operativa e fornisce agli organi amministrativi una base informativa essenziale per l’esercizio delle proprie responsabilità. La sua rilevanza è destinata ad assumere un peso ancora maggiore con l’evoluzione del quadro attuativo, poiché la categoria attribuita a ciascun servizio rappresenterà il presupposto per la determinazione dei livelli di mitigazione del rischio richiesti dall’Autorità. Le future misure di mitigazione, articolate secondo livelli progressivi di intensità e differenziate tra soggetti essenziali e soggetti importanti, troveranno nella categorizzazione il criterio di riferimento per la loro applicazione.

Il termine del 30 giugno non dovrebbe quindi essere interpretato come la conclusione di un adempimento amministrativo, bensì come l’avvio di un percorso di governance destinato a influenzare, negli anni successivi, le scelte di sicurezza, resilienza e investimento dell’organizzazione. La qualità della categorizzazione effettuata oggi determinerà infatti, in misura significativa, la capacità dell’ente di applicare in modo coerente, proporzionato e sostenibile le future misure di mitigazione previste dal quadro NIS2.

Schema operativo di sintesi

La seguente tabella può essere utilizzata come traccia redazionale o come matrice preliminare per impostare internamente il processo di categorizzazione.

Schema operativo: dalla categoria di impatto al livello di mitigazione

Il seguente schema sintetizza il collegamento operativo tra categoria di rilevanza, livello di mitigazione e principali effetti gestionali, secondo la logica del modello ACN e del principio di proporzionalità del rischio.