Categorizzazione

Gli obblighi previsti a carico dei soggetti NIS dall’articolo 30 del decreto NIS consistono nell’elencazione e categorizzazione di tutte le attività svolte e i servizi erogati. Tali attività devono essere svolte dal 1° maggio al 30 giugno di ogni anno a partire dalla ricezione della prima comunicazione di cui all'articolo 7, comma 3, lettera a) del predetto decreto. Si veda per i dettagli quanto previsto dall’articolo 3 della Determina 155238/2026.

Per elencazione e categorizzazione delle attività e dei servizi si intende il processo di elaborazione dell’elenco di attività e servizi del soggetto comprensivo dell’assegnazione a tali attività e servizi della relativa categoria di rilevanza (cosiddetto elenco categorizzato).

Per ulteriori informazioni, si faccia riferimento alla guida alla lettura del modello di categorizzazione.

La finalità perseguita attraverso l’elencazione e la categorizzazione delle attività e dei servizi è quella di aggregare attività e servizi in funzione della categoria di rilevanza loro assegnata dal modello di categorizzazione e così corrispondere a quanto disposto dall’articolo 31 del decreto NIS che prevede che le misure di sicurezza siano differenziate in relazione alle categorie di rilevanza delle attività e dei servizi che i sistemi informativi e di rete supportano, svolgono o erogano.

L’elencazione, ma soprattutto la categorizzazione delle attività e dei servizi, con l’attribuzione della categoria di rilevanza “minimo”, “basso”, “medio” e “alto”, è pertanto il presupposto per l’identificazione delle misure di sicurezza adeguate che il soggetto NIS deve mettere in atto, incluse le cosiddette “misure di sicurezza a lungo termine” che saranno stabilite mediante successive determinazioni dell’Agenzia per la cybersicurezza nazionale entro la fine del 2026 e riguarderanno le fasi successive a quelle di prima applicazione.

Ad oggi, infatti, in accordo a quanto previsto dall’articolo 42 del decreto che disciplina la fase di prima applicazione, sono state definite, con la determina 379907/2025, le cosiddette misure di sicurezza di base.

Le misure di sicurezza di base saranno quindi integrate, entro la fine del 2026, da misure di sicurezza aggiuntive – caratterizzate da requisiti di livello avanzato rispetto a quelle di base – e confluiranno nelle misure di sicurezza a lungo termine per la realizzazione delle quali verrà stabilito anche l’arco temporale entro il quale questa attività dovrà essere completata.

I soggetti NIS provvedono all’elencazione e alla categorizzazione di tutte le attività svolte e dei servizi erogati, internamente ed esternamente, suddivisi nelle macro-aree di cui al modello di categorizzazione predisposto dall’Agenzia per la cybersicurezza nazionale, tramite la piattaforma digitale di cui all’articolo 7, comma 1, del decreto NIS, con le modalità stabilite dalla Determinazione ACN 127437/2026.

Il Modello di categorizzazione, disciplinato dalla Determina 155238/2026, è il modello elaborato dall’ACN – con il concorso delle Autorità di settore NIS nonché avvalendosi anche dei contributi offerti dalle associazioni di categoria, anche per mezzo dei Tavoli Settoriali – in accordo al quale i soggetti NIS predispongono l’elenco di attività e servizi del soggetto, comprensivo della relativa categoria di rilevanza.

In particolare, il modello struttura le attività e i servizi di un’organizzazione in macro-aree (ciascuna delle quali rappresenta un insieme astratto di attività e servizi che possono essere caratterizzati da elementi in comune come, ad esempio, utenti, finalità o tipologia di prestazione) ognuna delle quali è caratterizzata da una denominazione, una descrizione e una categoria di rilevanza pre-assegnata.

La categoria di rilevanza di un’attività o di un servizio rappresenta il livello dell’impatto di una possibile compromissione di quell’attività o di quel servizio sulla capacità del soggetto di svolgere correttamente le attività e i servizi NIS, ossia le attività e i servizi per i quali il soggetto rientra nell'ambito di applicazione del decreto NIS. Il modello di categorizzazione definisce in tutto 4 categorie di rilevanza con livello di impatto crescente: minimo, basso, medio e alto.

Ai fini dell’elencazione e categorizzazione delle attività e dei servizi, il soggetto può adottare un processo articolato nelle seguenti fasi:

Identificazione attività/servizi: sono individuati tutti i servizi e le attività svolti dall’organizzazione e supportati, svolti o erogati da sistemi informativi e di rete. Non è richiesto l’uso di una specifica metodologia e ogni soggetto potrà, pertanto, utilizzare quella maggiormente adatta al proprio contesto;

mappatura attività/servizi in macro-aree: le attività e i servizi individuati sono associati alle macro-aree definite dal modello di categorizzazione che meglio ne rappresenta le finalità e le caratteristiche. Poiché ogni attività/servizio deve essere associata a una sola macro-area, qualora un’attività o un servizio siano riconducibili a più macro-aree, è necessario procedere a una loro ulteriore scomposizione, al fine di associarli a una specifica macro-area;

attribuzione categoria di rilevanza: per ogni attività/servizio individuato è assegnata una specifica categoria di rilevanza. Ai sensi dell’articolo 3, comma 3, della citata Determina 155238/2026 – sulla base della valutazione dell’impatto di una possibile compromissione dell’attività o del servizio sulla capacità del soggetto di svolgere correttamente le attività e i servizi per i quali è stato censito come soggetto NIS e conservando la documentazione recante tale analisi – il soggetto potrà comunque indicare una categoria di rilevanza per un’attività o un servizio differente da quella pre-assegnata alla macro-area. Di conseguenza, una stessa macro-area potrà avere al suo interno attività e servizi con differenti categorie di rilevanza.

Questo è un processo suggerito e non è vincolante per il soggetto, il quale può adottare altre modalità di analisi o anche impiegare gli esiti di analisi di impatto già svolte precedentemente.

L’articolo 3 del Decreto Direttoriale ACN n. 21007/24 del 27 giugno 2024, cosiddetto Regolamento Cloud, prevede che le pubbliche amministrazioni predispongano e aggiornino un elenco dei propri dati e dei propri servizi digitali, comprensivo di tutti gli elementi necessari alla loro caratterizzazione ai fini della relativa classificazione in dati e servizi ordinari, critici o strategici. Le modalità per la predisposizione dell’elenco e della classificazione dei dati e dei servizi della pubblica amministrazione sono riportate all’allegato 1 del Regolamento Cloud.

L’articolo 4 della Determina 155238/2026 prevede che i soggetti NIS che hanno svolto la classificazione dei dati e dei servizi di cui al citato articolo 3 del Regolamento Cloud, applicano il modello stabilito da tale Regolamento ai fini dell’elencazione e categorizzazione delle attività e dei servizi.

In particolare, a tali soggetti sarà presentato l’elenco dei dati e dei servizi classificati presente su padigitale2026.gov.it al 07/04/2026, rimettendo al medesimo la facoltà di confermare tale elenco anche ai fini della categorizzazione, ovvero di aggiornarlo. In questo secondo caso, il soggetto è tenuto ad assicurare la coerenza con la classificazione dei dati e dei servizi effettuata sulla piattaforma PA digitale 2026.

Ai sensi dell’articolo 5 della Determina 155238/2026 le attività e i servizi a cui si applicano gli obblighi imposti dal decreto-legge 21 settembre 2019, n. 105 non sono oggetto del processo di elencazione e categorizzazione, essendo già etichettati con la categoria di rilevanza “impatto alto”.

Pertanto, i servizi che sono oggetto del Perimetro di sicurezza nazionale cibernetica non vanno indicati nell’elenco categorizzato.