Cybersecurity, definite le regole per classificare attività e servizi nella disciplina NIS

Al via una nuova fase attuativa della disciplina NIS. Definite le regole per classificare attività e servizi delle organizzazioni coinvolte. Obiettivo: rafforzare la gestione del rischio cyber in modo proporzionato e mirato.

Disciplina NIS: nuove regole per la classificazione delle attività

Entra nel vivo la nuova fase attuativa della disciplina NIS con la pubblicazione, da parte dell’Agenzia per la cybersicurezza nazionale, delle modalità operative per l’elencazione e la categorizzazione delle attività e dei servizi. Il provvedimento, atteso dopo gli aggiornamenti emersi dall’ottava riunione del Tavolo NIS, definisce criteri e processo previsti dall’articolo 30 del decreto.

I soggetti coinvolti sono ora chiamati a condurre un’analisi di impatto semplificata e armonizzata, passaggio fondamentale per individuare il livello di rilevanza delle proprie attività. La finalità è quella di aggregare servizi e funzioni secondo un modello strutturato, utile a identificare le componenti dei sistemi informativi e di rete che richiedono interventi più incisivi di mitigazione del rischio.

Dieci macro-aree e quattro livelli di impatto

La determinazione 155238 del 20 aprile 2026 introduce, attraverso due allegati, dieci macro-aree organizzative a cui ricondurre attività e servizi. A ciascuna di esse dovrà essere attribuita una categoria di rilevanza: impatto minimo, basso, medio o alto.

Questa classificazione rappresenta il presupposto per l’adozione progressiva di misure di sicurezza più avanzate. Dopo l’adeguamento alle misure di base, infatti, le organizzazioni dovranno integrare ulteriori requisiti – le cosiddette misure di sicurezza a lungo termine – che saranno definite da ACN secondo principi di proporzionalità e gradualità.

Scadenze e obblighi di comunicazione

Gli esiti dell’analisi dovranno essere trasmessi all’Autorità nazionale competente tramite la piattaforma ACN, nel periodo compreso tra il 1° maggio e il 30 giugno. La procedura segue quanto stabilito dalla determinazione 127437/2026.

Si tratta di un passaggio chiave per il rafforzamento della resilienza cyber nazionale, che punta a rendere più efficace e uniforme la gestione del rischio tra i soggetti inclusi nel perimetro NIS.

Consulta il Comunicato sul sito dell’ACN

Aggiornati con i volumi di EPC Editore

Quaderno operativo di CYBERSECURITY e PRIVACY

Un volume nato per rispondere alla sfida di integrare i principi del GDPR e i requisiti del Decreto NIS?2 in un framework unico, al fine di ridurre la complessità e di ottimizzare le risorse.

CYBERSECURITY per tutti

Uno strumento semplice e comprensibile per capire la cybersecurity e fornire un aiuto a quanti si sentono sempre meno al sicuro nel mondo digitale.