NIS2: il modello di categorizzazione delle attività

Entro fine giugno le aziende Soggetti NIS2 dovranno comunicare o aggiornare l’elenco delle proprie attività e servizi, con tutti gli elementi necessari alla categorizzazione e con l’attribuzione della relativa categoria di rilevanza. È l’ACN a stabilire processo, modalità, criteri e categorie di rilevanza.

Negli ultimi mesi molte azienda hanno lavorato costruendo governance e ruoli, ma mancava ancora il modello con cui categorizzare le attività e i servizi. Adesso tale modello è stato pubblicato sul sito dell’ACN.

Contesto, normativo e scopo

Il documento definisce il “Modello di categorizzazione” elaborato dall’ACN ad aprile 2026 per supportare i soggetti NIS (essenziali e importanti) nell’adempimento degli obblighi dettati dall’articolo 30, comma 1, del decreto NIS (D.Lgs. 138/2024).

La norma stabilisce che i soggetti debbano comunicare e aggiornare annualmente (dal 1° maggio al 30 giugno), tramite l’apposita piattaforma digitale, l’elenco delle proprie attività e dei propri servizi, associando a ciascuno una specifica categoria di rilevanza.

La finalità di questo modello è aggregare le attività e i servizi per mappare in modo accurato l’impatto di una loro potenziale compromissione. Ciò consente di applicare ai sistemi informativi e di rete misure di sicurezza a lungo termine strettamente proporzionate, garantendo livelli di protezione adeguati e limitando gli investimenti economici al necessario.

Architettura del modello e categorie di rilevanza

Il modello struttura l’intera organizzazione suddividendola in 10 macro-aree astratte, concepite per coprire ogni ambito aziendale.

La rilevanza misura l’impatto di un’eventuale compromissione (in termini di riservatezza, integrità e disponibilità) sulla capacità del soggetto di continuare a svolgere i servizi NIS. A tale scopo, sono definite 4 categorie di rilevanza a impatto crescente:

• Impatto minimo
• Impatto basso
• Impatto medio
• Impatto alto

Ogni macro-area possiede una denominazione, una descrizione e una categoria di rilevanza pre-assegnata di default. Di seguito la mappatura completa stabilita dall’ACN:

Il processo operativo in 3 fasi

Per elaborare l’elenco categorizzato da trasmettere, le organizzazioni possono adottare un processo metodologico articolato in 3 fasi:

• 1. Identificazione attività/servizi: consiste nell’individuare tutte le attività svolte e i servizi erogati (internamente o esternamente) che si appoggiano a sistemi informativi e di rete. Per procedere, è possibile utilizzare un approccio top-down (analizzando organigramma e processi di business), bottom-up (partendo dall’inventario fisico e software dei sistemi) o una combinazione di entrambi per mappare omissioni e incongruenze. Si raccomanda di evitare un’eccessiva frammentazione: è sufficiente indicare, per ogni macro-area, un numero di servizi al più coincidente con il numero di categorie di rilevanza che si intendono differenziare.
• 2. Mappatura in macro-aree: ogni attività o servizio identificato deve essere ricondotto a una sola macro-area di pertinenza. Qualora il soggetto non svolga alcuna attività in una determinata macro-area, non è necessario compilarla.
• 3. Attribuzione della categoria di rilevanza: per impostazione predefinita, le attività ereditano la categoria pre-assegnata alla propria macro-area. Tuttavia, conducendo una Business Impact Analysis (BIA) semplificata e conservandone la documentazione a supporto, l’organizzazione ha la facoltà di assegnare a una specifica attività una categoria di rilevanza diversa da quella di default.

Coordinamento con la Pubblica Amministrazione (Regolamento Cloud)

È prevista una specifica procedura di armonizzazione per le Pubbliche Amministrazioni. I soggetti NIS che hanno già provveduto a classificare i propri dati e servizi digitali secondo il Regolamento Cloud (Decreto Direttoriale ACN n. 21007/24) non utilizzano il modello standard appena descritto, ma continuano ad applicare il modello del Regolamento Cloud.

• L'elenco delle attività e dei servizi comunicato coinciderà esattamente con l'elenco dei dati e servizi digitali già predisposto.
• Le categorie di rilevanza corrisponderanno in modo diretto alle tre classi di quel regolamento, ossia servizi ordinari, critici o strategici.

Esempio concreto

Per una maggiore comprensione pariamo da un esempio concreto, quello di un fornitore di servizi digitali come un hosting provider (che tipicamente rientra tra i soggetti di infrastrutture digitali o fornitori di servizi B2B critici). In questo caso il “prodotto” stesso è un’infrastruttura informatica, per cui è facile rischiare di sovrapporre i concetti.

Applicando i criteri e le definizioni dell’Appendice A del Modello di categorizzazione ACN, le attività di un fornitore di hosting si distribuiscono principalmente su tre macro-aree critiche, a cui se ne aggiungono altre di supporto organizzativo.

Ecco come dovrebbero essere categorizzate le attività principali:

1. Il “core business”: produzione di beni e servizi (Impatto Medio)

Per un hosting provider, gli “impianti produttivi” sono i server, gli hypervisor e l’infrastruttura di rete. In questa macro-area rientra tutto ciò che costituisce l’erogazione materiale ed effettiva dello spazio web o della capacità di calcolo.

• Attività tipiche da includere:
  • Erogazione dei servizi di hosting condiviso, VPS o server dedicati ai clienti.
  • Gestione e manutenzione ordinaria/straordinaria dei server fisici e delle macchine virtuali.
  • Gestione dello storage e del routing di rete interno al data center finalizzato all’erogazione del servizio.
  • Piattaforme di provisioning automatico delle risorse (quando un cliente acquista un pacchetto e lo spazio viene creato).

2. La sicurezza e l’uptime: monitoraggio e controllo (Impatto Alto)

Questa è l’area più critica (impatto alto pre-assegnato). Per chi fornisce hosting, garantire la continuità operativa e difendere l’infrastruttura è vitale. I sistemi informatici usati dal personale interno per sorvegliare la rete vanno separati da quelli che erogano il servizio d’hosting vero e proprio.

• Attività tipiche da includere:
  • Attività del NOC (Network Operations Center) e del SOC (Security Operations Center) per il monitoraggio delle performance e delle anomalie.
  • Sistemi di mitigazione attacchi DDoS e firewall perimetrali strategici.
  • Gestione dei backup strategici e di Disaster Recovery (continuità operativa).
  • Sistemi di log management e SIEM interni usati per il controllo di conformità e sicurezza.

3. Il supporto tecnico: gestione dei clienti (Impatto Basso)

I fornitori di hosting hanno un’interazione costante e tecnicamente avanzata con i clienti tramite ticket. Il documento ACN colloca esplicitamente in questa fascia l’interazione e il supporto di primo livello.

• Attività tipiche da includere:
  • Piattaforme di Help Desk e ticketing system per l’assistenza tecnica ai clienti.
  • Gestione dell’anagrafica cliente (CRM) e portali di onboarding.
  • Nota: se il portale clienti (es. un’area clienti proprietaria o basata su software come WHMCS) consente sia di aprire ticket (Gestione clienti) sia di riavviare fisicamente un server o modificare i record DNS critici (Produzione/Erogazione), il modello suggerisce di valutare una “scomposizione” per mappare correttamente i flussi e applicare le giuste misure di sicurezza alle diverse funzioni.

Macro-aree di Supporto (Trasversali)

Le restanti attività seguiranno le logiche standard aziendali:

• Ricerca, sviluppo e progettazione (Impatto Medio): ingegnerizzazione di nuove architetture cloud proprietarie, test di nuove tecnologie di virtualizzazione o sviluppo di software interno.
• Gestione finanziaria (Impatto Basso): sistemi di fatturazione automatica ricorrente (molto critica per gli hosting) e gestione dei gateway di pagamento.
• Gestione amministrativa (Impatto Minimo): gestione dei contratti di fornitura con i data center (se in colocation) o con i carrier di connettività.

Foglio Esempi

Il foglio elettronico allegato come esempio dall’Autorità costituisce uno strumento operativo ufficiale predisposto per supportare i soggetti tenuti agli adempimenti NIS nell’identificazione e nella classificazione delle proprie attività e dei propri servizi.

Il documento è strutturato in tre sezioni principali:

• Copertina: illustra lo scopo del documento, chiarendo che le attività e i servizi elencati sono forniti a mero titolo esemplificativo per facilitare la comprensione e l’applicazione pratica del modello di categorizzazione.
• Esempi generali: contiene un catalogo trasversale di attività aziendali standard, applicabili a qualsiasi tipologia di organizzazione per ciascuna delle 10 macro-aree.
• Esempi specifici: fornisce una scomposizione verticale avanzata, concentrata esclusivamente sulle due macro-aree a maggiore impatto operativo (“Monitoraggio e controllo” e “Produzione di beni e servizi”), distinguendo le attività in base allo specifico settore e alla tipologia di soggetto.

Analisi del foglio “Esempi generali”

Questa sezione mappa le funzioni organizzative comuni, associando a ogni macro-area un set di attività caratteristiche:

• Monitoraggio e controllo: comprende il controllo di conformità e la valutazione delle forniture e dei fornitori, la supervisione dei livelli di servizio (SLA) e dei KPI, il monitoraggio continuo (H24/7 o presidiato) dello stato di salute di infrastrutture, reti, applicazioni e processi produttivi, la protezione dei sistemi informativi finalizzata al rilevamento delle minacce, la gestione delle comunicazioni operative di crisi con coordinamento delle attività di ripristino in emergenza, l’esecuzione di ispezioni e test di conformità, la supervisione centralizzata della sicurezza fisica (videosorveglianza, controllo accessi, antincendio, antintrusione) e la conduzione della valutazione dei rischi a supporto dei vertici direttivi.
• Produzione di beni e servizi: aggrega la pianificazione dei processi operativi con allocazione delle risorse e setup delle attrezzature, l’esecuzione dei cicli di trasformazione e produzione fisica (lavorazione materie prime, assemblaggio), l’erogazione di servizi digitali e la gestione continuativa di infrastrutture immateriali (elaborazione dati, piattaforme software, instradamento del traffico di rete e risorse di calcolo), l’erogazione di prestazioni dirette all’utente finale (clienti, cittadini o pazienti), il coordinamento operativo dei fornitori e partner di filiera e gli interventi di manutenzione ordinaria e straordinaria degli asset produttivi.
• Ricerca, sviluppo e progettazione: si occupa della ricerca di base e applicata su nuove tecnologie e materiali, della gestione della proprietà intellettuale (deposito di brevetti e marchi, tutela del know-how), del coordinamento di partnership scientifiche esterne (università e centri di ricerca) e della guida alla progettazione, ingegnerizzazione, prototipazione e validazione tecnica di nuovi prodotti.
• Gestione finanziaria: include la gestione del ciclo attivo e passivo (fatturazione, incassi e pagamenti), la pianificazione finanziaria e l’elaborazione dei budget previsionali, l’amministrazione della tesoreria e il controllo dei flussi di cassa, la tenuta della contabilità generale con la redazione del bilancio e le attività di controllo di gestione.
• Gestione dei clienti: copre la gestione del sistema CRM e l’aggiornamento dell’anagrafica, la presa in carico delle richieste commerciali e di servizio, l’erogazione di supporto tecnico e Help Desk di primo livello compreso l’onboarding degli utenti, e l’analisi dei feedback per il monitoraggio della customer satisfaction.
• Gestione delle risorse umane: raggruppa i processi di reclutamento, selezione e contrattualistica, la progettazione dei sistemi di remunerazione e di welfare organizzativo, l’implementazione dei sistemi di valutazione delle performance e dei piani formativi, oltre all’amministrazione di presenze, retribuzioni, compliance lavoristica e relazioni sindacali.
• Logistica: comprende la programmazione e ricezione dei beni in ingresso, la pianificazione dei flussi logistici e dei fabbisogni di materiali (MRP), la gestione interna del magazzino e degli inventari, l’elaborazione degli ordini di vendita e la preparazione fisica degli ordini (attività di picking, packing, etichettatura e spedizione).
• Comunicazione e marketing: definisce la strategia di branding e l’identità aziendale, il coordinamento delle relazioni esterne, dell’ufficio stampa e della comunicazione di crisi, la gestione dei canali digitali e social con relativa produzione di contenuti, l’analisi di mercato e della concorrenza e la pianificazione di campagne promozionali.
• Gestione amministrativa: si riferisce all’amministrazione delle sedi e degli asset immobiliari o immateriali (locazioni, utenze, licenze), alla gestione amministrativa e negoziale degli acquisti e dei fornitori, alla gestione fiscale e tributaria e alla cura delle pratiche autorizzative (es. SCIA, permessi ambientali) e del protocollo.

Analisi del foglio “Esempi specifici”

Questo foglio fornisce una scomposizione verticale di dettaglio, mirata a guidare i singoli settori nell’individuazione esatta del proprio core business erogativo (“Produzione di beni e servizi”) e dei presidi critici di sorveglianza (“Monitoraggio e controllo”).

Di seguito le principali verticalizzazioni settoriali:

• Infrastrutture Digitali:
  • Fornitori di IXP: commutano il traffico di peering gestendo lo scambio fisico dei pacchetti IP e monitorano le sessioni BGP, la validazione dei prefissi e i flussi per prevenire anomalie o congestioni.
  • Fornitori DNS e Registri TLD: traducono le richieste in indirizzi IP, gestiscono la risoluzione dei nomi, mantengono il database centrale (Registry/WHOIS) e pubblicano i file di zona. Parallelamente, monitorano la latenza, la coerenza delle chiavi crittografiche (DNSSEC) e analizzano i log per sventare attacchi di DNS Poisoning o flood.
  • Cloud Computing e Data Center: erogano macchine virtuali, storage, piattaforme e software (IaaS, PaaS, SaaS) o forniscono spazi fisici, housing e alimentazione elettrica continua. Le attività di controllo includono la supervisione degli hypervisor, la gestione delle identità (IAM), la verifica dei backup e del Disaster Recovery, il monitoraggio ambientale (temperatura e umidità) e l'analisi comportamentale dei modelli di Intelligenza Artificiale Generativa per prevenire manipolazioni (es. prompt injection).
  • CDN e Prestatori di Servizi Fiduciari: memorizzano contenuti in prossimità dell’utente finale (caching periferico) assorbendo attacchi DDoS direttamente sull'edge, oppure emettono certificati digitali e marche temporali, sorvegliando lo stato fisico e logico degli HSM e l'integrità degli archivi WORM.
  • Reti di Comunicazione Elettronica: instradano le chiamate e veicolano flussi informativi su fibra ottica o ponti radio, presidiando H24 i nodi core, le stazioni radio base e parametri qualitativi quali Jitter e Packet Loss.
• Fornitori di Servizi Digitali (B2B/B2C):
  • Mercati e Motori di Ricerca Online: aggregano cataloghi, intermediano pagamenti, eseguono il crawling e l’indicizzazione delle risorse web. In parallelo, analizzano i pattern di transazione per bloccare frodi, difendono l’indice da attacchi di SEO poisoning e sorvegliano l’accuratezza degli output generati dalle AI integrate.
  • Social Network e Registrazione Domini: abilitano la condivisione di contenuti e la messaggistica o inoltrano richieste di assegnazione domini, ponendo sotto stretto controllo la creazione di account inautentici (bot), la moderazione di contenuti illeciti e le variazioni sospette ai record DNS (Domain Hijacking).
• Gestione dei Servizi TIC:
  • Fornitori di Servizi Gestiti (MSP): installano e amministrano sistemi, applicano patch e pianificano il Service Desk, monitorando da remoto l’infrastruttura dei clienti tramite piattaforme RMM e verificando quotidianamente l’esito dei backup.
  • Fornitori di Servizi di Sicurezza Gestiti (MSSP): analizzano eventi e log tramite piattaforme SIEM/SOAR per intercettare minacce e attivare l’Incident Response, gestendo il SOC, le scansioni di vulnerabilità, i processi di Threat Intelligence e la supervisione in tempo reale degli endpoint (EDR/MDR).
• Settore Energetico:
  • Elettricità, Gas, Petrolio e Idrogeno: la mappatura copre l’intera filiera fisica di estrazione, generazione, raffinazione, compressione, trasporto, stoccaggio e fornitura commerciale. A queste si affianca il costante monitoraggio tecnologico dei parametri industriali (sistemi SCADA, DCS e EMS), la sorveglianza idraulica o di rete, la gestione delle cabine e la protezione contro intrusioni e manomissioni.
• Trasporti e Logistica:
  • Dettaglia le operazioni del trasporto aereo (vettori, scali, controllo ATM), ferroviario (infrastruttura, marcia treno), marittimo (porti, PCS, VTS) e stradale (telepedaggi, smart road). I presidi di controllo si concentrano sulla telemetria delle flotte (OCC/AIS), sulle tracce radar, sugli apparati di scalo (nastri bagagli), sulla gestione centralizzata delle gallerie e sul telecontrollo della sicurezza d’esercizio ferroviaria.
• Sanità e Fabbricazione Industriale Critica:
  • Sanità e Ricerca: aggrega l’erogazione di interventi chirurgici, terapie intensive, analisi di laboratorio e trial clinici, ponendo sotto costante monitoraggio le reti di dispositivi elettromedicali al letto del paziente (IoMT), l’integrità dei database di ricerca e gli accessi ai dati sanitari (Dossier e Fascicolo Sanitario Elettronico).
  • Fabbricazione Industriale: mappa l’esecuzione di reazioni di sintesi chimica, la produzione di principi attivi, l’assemblaggio di dispositivi medici, l’elettronica (semiconduttori) e la produzione automotive o ferroviaria. I presidi logici ed ambientali mirano a controllare le camere bianche, i PLC di automazione, la serializzazione anticontraffazione, il flashing del firmware e a proteggere i disegni CAD/CAM digitali da alterazioni impercettibili o furti industriali.
• Pubblica Amministrazione ed Enti Pubblici:
  • Amministrazioni Centrali e Territoriali: erogano atti legislativi, servizi di anagrafe (ANPR), gestione tributi, assistenza sociale, istruzione, trasporto locale e prenotazioni sanitarie (CUP). Le funzioni di monitoraggio garantiscono la disponibilità e la sicurezza dei portali istituzionali contro attacchi DDoS, l’integrità delle banche dati, la difesa da intrusioni (IDS) e la supervisione dei sensori urbani (IoT/Smart City).
  • Enti di Regolazione, Associazioni e Istituti di Ricerca: forniscono iscrizioni ad albi, visure, formazione e servizi di supercalcolo HPC, presidiando la confidenzialità dei procedimenti, la sicurezza delle identità e la catena di custodia inalterata dei dati scientifici.