Adempimenti | DPIA | Vulnerability Assessment | Servizio DPO | Normativa | News | Consulenti | Prezzi | Contattaci
- Numero verde 800 62 89 74
Elencazione e categorizzazione delle attività e dei servizi
Il contesto e il problema
Accanto alla registrazione, il Decreto NIS impone un adempimento informativo di natura più analitica: l'art. 30 prevede l'elencazione, la caratterizzazione e la categorizzazione delle attività e dei servizi svolti dal soggetto NIS, da trasmettere all'Autorità tramite la piattaforma ACN. Non si tratta di un mero elenco: l'organizzazione deve elencare tutte le attività e i servizi supportati da sistemi informativi e di rete, ricondurli alle macro-aree del modello ACN e attribuire a ciascuno una categoria di rilevanza, che misura l'impatto di una sua compromissione sulla capacità di svolgere le attività e i servizi NIS.
Le modalità e i termini di questo adempimento sono disciplinati dalle determinazioni ACN dedicate alla piattaforma, che ne definiscono il procedimento, i tempi di validazione da parte dell'Autorità e le eventuali richieste di integrazione. L'Autorità comunica l'esito positivo o negativo della verifica; in assenza di comunicazione entro i termini, l'elenco categorizzato si intende convalidato. Un esito negativo non solleva comunque il soggetto dall'obbligo di elencazione e categorizzazione.
Il problema per l'organizzazione è la precisione richiesta: la categorizzazione presuppone una mappatura accurata dei processi di business e dei sistemi sottostanti, e un lavoro congiunto tra funzione legale/compliance e funzione IT. Errori o omissioni possono comportare richieste di integrazione, allungamenti dei tempi e — nei casi più gravi — il rigetto dell'elenco.
Il servizio di IusPrivacy
IusPrivacy coordina il processo di categorizzazione ex art. 30, facendo da ponte tra i requisiti dell'Autorità e la realtà operativa del cliente:
- Mappatura di tutte le attività svolte e di tutti i servizi erogati supportati da sistemi informativi e di rete — interni ed esterni, non soltanto quelli per cui si è soggetti NIS — secondo le dieci macro-aree del modello ACN (Determinazione n. 155238/2026), con la relativa caratterizzazione; distinta dalla definizione dei sistemi informativi e di rete rilevanti.
- Collegamento servizi–sistemi: individuazione dei sistemi informativi e di rete a supporto di ciascun servizio.
- Attribuzione della categoria di rilevanza: la categoria pre-assegnata alla macro-area, oppure una categoria diversa fondata su una valutazione d'impatto (BIA semplificata) documentata e conservata, come richiede l'art. 3 della Determinazione n. 155238/2026.
- Predisposizione dell'elenco categorizzato secondo lo schema e i criteri richiesti dalla piattaforma ACN.
- Gestione dell'interlocuzione con l'Autorità, incluse le eventuali richieste di integrazione entro i termini previsti.
- Allineamento con la mappatura del rischio e con la definizione del perimetro dei sistemi rilevanti.
Cosa ottieni
- Un elenco categorizzato delle attività e dei servizi pronto per la trasmissione.
- Una mappa servizi–sistemi riutilizzabile anche per il risk assessment e la continuità operativa.
- La gestione del procedimento di validazione e delle eventuali integrazioni.
- Una base documentale coerente con gli altri adempimenti NIS.
⏱️ Stato scadenza — La prima finestra per l'elencazione e la categorizzazione ex art. 30 (1° maggio – 30 giugno 2026, termine stabilito dall'art. 20 della Determinazione ACN n. 127437/2026) è appena decorsa alla data di redazione. L'adempimento resta rilevante per i soggetti con termini differiti, per la gestione delle richieste di integrazione ancora in corso e per gli aggiornamenti dell'elenco categorizzato negli anni successivi. Verifica il termine applicabile al tuo caso.
Devi categorizzare le tue attività sulla piattaforma ACN o gestire una richiesta di integrazione? Ti aiutiamo a farlo con la precisione che l'adempimento richiede.
FAQ
D. In cosa si distingue la categorizzazione dalla registrazione?
R. La registrazione (art. 7) identifica il soggetto e i suoi referenti; la categorizzazione (art. 30) descrive e classifica in dettaglio le attività, i servizi e i sistemi che li supportano. Sono due adempimenti distinti ma collegati, entrambi gestiti tramite la piattaforma ACN.
D. Cosa succede se l'ACN non risponde entro i termini?
R. In assenza di comunicazione dell'esito entro i termini previsti, l'elenco categorizzato si intende convalidato. Resta comunque essenziale che l'elenco sia corretto e completo, perché un esito negativo obbliga a rivedere e ritrasmettere.
D. Serve il coinvolgimento dell'IT?
R. Sì, è indispensabile. La categorizzazione richiede di collegare i servizi ai sistemi informativi e di rete sottostanti: iusprivacy coordina il lavoro tra compliance e IT per produrre un elenco accurato.
D. La categorizzazione va aggiornata?
R. Sì, ma su due piani distinti. La revisione interna è continua: variazioni nell'offerta di servizi o nei sistemi sottostanti vanno recepite nel registro appena si verificano. La trasmissione all'ACN segue invece la finestra annuale (1° maggio – 30 giugno): decorso il termine, l'elenco comunicato si intende acquisito e non è più modificabile fino alla finestra successiva. Conviene quindi tenere distinti lo stato interno corrente e l'ultima categorizzazione trasmessa.