Elencazione e categorizzazione delle attività e dei servizi

Il contesto e il problema

Accanto alla registrazione, il Decreto NIS impone un adempimento informativo di natura più analitica: l'art. 30 prevede l'elencazione, la caratterizzazione e la categorizzazione delle attività e dei servizi svolti dal soggetto NIS, da trasmettere all'Autorità tramite la piattaforma ACN. Non si tratta di un mero elenco: l'organizzazione deve descrivere e classificare i propri servizi e collegarli ai sistemi informativi e di rete che li supportano.

Le modalità e i termini di questo adempimento sono disciplinati dalle determinazioni ACN dedicate alla piattaforma, che ne definiscono il procedimento, i tempi di validazione da parte dell'Autorità e le eventuali richieste di integrazione. L'Autorità comunica l'esito positivo o negativo della verifica; in assenza di comunicazione entro i termini, l'elenco categorizzato si intende convalidato. Un esito negativo non solleva comunque il soggetto dall'obbligo di elencazione e categorizzazione.

Il problema per l'organizzazione è la precisione richiesta: la categorizzazione presuppone una mappatura accurata dei processi di business e dei sistemi sottostanti, e un lavoro congiunto tra funzione legale/compliance e funzione IT. Errori o omissioni possono comportare richieste di integrazione, allungamenti dei tempi e — nei casi più gravi — il rigetto dell'elenco.

Il servizio di IusPrivacy

IusPrivacy coordina il processo di categorizzazione ex art. 30, facendo da ponte tra i requisiti dell'Autorità e la realtà operativa del cliente:

Mappatura delle attività e dei servizi rilevanti ai fini NIS, con la relativa caratterizzazione.
Collegamento servizi–sistemi: individuazione dei sistemi informativi e di rete a supporto di ciascun servizio.
Predisposizione dell'elenco categorizzato secondo lo schema e i criteri richiesti dalla piattaforma ACN.
Gestione dell'interlocuzione con l'Autorità, incluse le eventuali richieste di integrazione entro i termini previsti.
Allineamento con la mappatura del rischio e con la definizione del perimetro dei sistemi rilevanti.

Cosa ottieni

Un elenco categorizzato delle attività e dei servizi pronto per la trasmissione.
Una mappa servizi–sistemi riutilizzabile anche per il risk assessment e la continuità operativa.
La gestione del procedimento di validazione e delle eventuali integrazioni.
Una base documentale coerente con gli altri adempimenti NIS.

⏱️ Stato scadenza — La prima finestra per l'elencazione e la categorizzazione ex art. 30 (indicativamente 1° maggio – 30 giugno 2026 per la platea ordinaria) è appena decorsa alla data di redazione. L'adempimento resta rilevante per i soggetti con termini differiti, per la gestione delle richieste di integrazione ancora in corso e per gli aggiornamenti dell'elenco categorizzato negli anni successivi. Verifica il termine applicabile al tuo caso.

Devi categorizzare le tue attività sulla piattaforma ACN o gestire una richiesta di integrazione? Ti aiutiamo a farlo con la precisione che l'adempimento richiede.

FAQ

D. In cosa si distingue la categorizzazione dalla registrazione?

R. La registrazione (art. 7) identifica il soggetto e i suoi referenti; la categorizzazione (art. 30) descrive e classifica in dettaglio le attività, i servizi e i sistemi che li supportano. Sono due adempimenti distinti ma collegati, entrambi gestiti tramite la piattaforma ACN.

D. Cosa succede se l'ACN non risponde entro i termini?

R. In assenza di comunicazione dell'esito entro i termini previsti, l'elenco categorizzato si intende convalidato. Resta comunque essenziale che l'elenco sia corretto e completo, perché un esito negativo obbliga a rivedere e ritrasmettere.

D. Serve il coinvolgimento dell'IT?

R. Sì, è indispensabile. La categorizzazione richiede di collegare i servizi ai sistemi informativi e di rete sottostanti: iusprivacy coordina il lavoro tra compliance e IT per produrre un elenco accurato.

D. La categorizzazione va aggiornata?

R. Sì, in coerenza con l'obbligo generale di mantenere aggiornate le informazioni sulla piattaforma. Variazioni significative nell'offerta di servizi o nei sistemi sottostanti vanno riflesse nell'elenco categorizzato.