Chi non completa l’adempimento entro il 30 giugno vedrà il proprio elenco servizi NIS2 acquisito come definitivo, senza possibilità di correzione.
AGGIORNAMENTO: La finestra di categorizzazione 1 maggio–30 giugno 2026 si è conclusa. Per i soggetti inseriti nell’elenco NIS nel 2025, ottobre 2026 rappresenta l’orizzonte tipico dei primi termini di adeguamento, ma la scadenza giuridica delle misure di sicurezza di base è individuale: 18 mesi dalla comunicazione di inserimento nell’elenco NIS. Per i soggetti inseriti per la prima volta nel 2026 il termine è invece il 31 luglio 2027.
Il 24 aprile 2026 l’ACN ha pubblicato la Determinazione n. 155238 del 20 aprile 2026 e la guida alla lettura del modello di categorizzazione delle attività e dei servizi previsto dalla Direttiva NIS2. Si tratta di un passaggio operativo decisivo nel percorso di adeguamento al D.Lgs. 138/2024.
La compilazione avviene esclusivamente sulla piattaforma ACN, nella finestra che si è aperta il 1° maggio 2026 e si chiude il 30 giugno 2026.
Chi è obbligato
Sono tenuti all’adempimento tutti i soggetti essenziali e importanti già inseriti nell’elenco nazionale dei soggetti NIS. In concreto:
- le organizzazioni dei settori ad alta criticità indicati nell’Allegato I del D.Lgs. 138/2024 (energia, trasporti, banche, infrastrutture digitali, sanità, acqua, ecc.);
- quelle dei settori critici dell’Allegato II (servizi postali, gestione rifiuti, industria, alimentare, ricerca, ecc.);
- i soggetti della pubblica amministrazione rientranti nel perimetro.
Cosa va fatto entro il 30 giugno
Il processo richiede che ogni soggetto NIS, tramite il Punto di Contatto, acceda al Portale ACN e svolga le seguenti attività:
- elencare tutte le attività e i servizi svolti (sia quelli interni che quelli erogati verso terzi
- associarle a una delle 10 macro-aree previste dal modello ACN.
Le organizzazioni devono attribuire a ciascuna macro-area una delle 4 categorie di rilevanza: impatto minimo, basso, medio, alto.
Dalla categoria di rilevanza assegnata a ciascuna macro-area dipenderà la proporzionalità delle misure future: la categorizzazione è quindi uno strumento importante di calibrazione della compliance NIS2 a lungo termine.
La scadenza non è prorogabile
Decorso il termine del 30 giugno, l’elenco categorizzato delle attività e dei servizi si intende definitivamente acquisito e non più modificabile, salvo i casi di ritardo dovuti a documentate criticità tecnico-operative non imputabili al soggetto.
Ricordiamo che l’adempimento non può essere lasciato al solo ufficio IT, ma è responsabilità diretta e non delegabile degli Organi Direttivi ai sensi dell’art. 23 del D.Lgs. 138/2024: la delega operativa è ammessa, ma la responsabilità resta agli organi apicali.
Gli errori da evitare
Tra gli errori più comuni:
- classificare tutto come “impatto minimo”, una scelta che espone l’organizzazione a contestazioni in fase ispettiva
- non coinvolgere i responsabili di business, perché la categorizzazione non è solo IT ma richiede il contributo di chi gestisce i processi operativi
- trascurare la supply chain: i fornitori ICT critici devono essere identificati e inclusi nell’analisi (la scadenza per questo passaggio era il 31 maggio 2026).
Per i soggetti della coorte 2025 il termine per le misure di sicurezza di base è pari a 18 mesi dalla ricezione della comunicazione individuale di inserimento; ottobre 2026 è quindi il riferimento tipico per i primi inserimenti, non una scadenza uniforme. Per i soggetti inseriti per la prima volta nel 2026 il termine è fissato al 31 luglio 2027 dalla Determinazione n. 127434/2026.
Per una valutazione sulla tua organizzazione, siamo a disposizione.
Il team iSimply
Per una panoramica completa sulla Direttiva consulta la nostra sezione dedicata alla NIS2.
Hai bisogno di supporto per la gestione della Piattaforma ACN?
Consulta il nostro servizio “Supporto piattaforma ACN NIS2“