Nuovo passo attuativo per la disciplina NIS. È online sul sito istituzionale dell’Agenzia per la cybersicurezza nazionale la determinazione che definisce processo, modalità e criteri per l’elencazione e la categorizzazione delle attività e dei servizi ai sensi dell’articolo 30 del decreto NIS.
Con l’avvio della nuova fase attuativa della disciplina NIS, i soggetti interessati sono chiamati a svolgere un’analisi di impatto semplificata e armonizzata sulle proprie attività e sui servizi erogati. Come già anticipato negli aggiornamenti relativi all’ottava riunione del Tavolo NIS, che ha introdotto modifiche ai termini per l’adempimento degli obblighi per i nuovi soggetti e l’indicazione dei fornitori rilevanti, il provvedimento rappresenta un passaggio centrale del percorso di adeguamento.
L’attività di elencazione e categorizzazione ha l’obiettivo di aggregare servizi e funzioni in base alle categorie di rilevanza previste dal modello di riferimento, così da individuare le porzioni di sistemi informativi e di rete sulle quali concentrare misure di mitigazione del rischio più mirate e incisive. Tali misure si affiancano alle misure di sicurezza di base, integrandole con ulteriori requisiti di lungo termine che saranno definiti dall’ACN nel rispetto dei principi di proporzionalità e gradualità.
Con la determinazione n. 155238 del 20 aprile 2026, attraverso gli allegati 1 e 2, sono state individuate dieci macro-aree per l’organizzazione delle attività e dei servizi delle organizzazioni, a ciascuna delle quali dovrà essere attribuita una delle quattro categorie di rilevanza previste: impatto minimo, basso, medio o alto.
Gli esiti dell’analisi di impatto semplificata, armonizzata e condivisa dovranno essere comunicati all’Autorità nazionale competente NIS tramite la piattaforma ACN tra il 1° maggio e il 30 giugno, secondo quanto stabilito dalla determinazione n. 127437/2026, in particolare agli articoli 20 e 21.
Per ulteriori approfondimenti sono disponibili FAQ e linee guida sul sito dell’ACN.
