La nuova determina del 13 aprile 2026
Il 13 aprile 2026, ACN ha pubblicato due nuove Determinazioni del Direttore Generale
La prima, la n. 127437/2026, aggiorna e sostituisce la precedente n. 379887 del 19 dicembre 2025, e introduce l’obbligo di svolgere il processo di elencazione e categorizzazione delle attività e dei servizi, nonché di indicare i fornitori rilevanti NIS nell’aggiornamento annuale delle informazioni.
Mentre la seconda, la n. 127434/2026, stabilisce i termini entro cui i soggetti iscritti per la prima volta nell’elenco NIS nel 2026 dovranno adempiere agli obblighi di notifica degli incidenti e di adozione delle misure di sicurezza.
Non si tratta di un aggiornamento burocratico. La pubblicazione segna il passaggio dalla teoria all’operatività. ACN non si limita più a identificare i soggetti, ma impone un modello strutturato di gestione, affinché la cybersicurezza diventi governance, responsabilità e capacità dimostrabile.
La finestra operativa: 1° maggio - 30 giugno 2026
L’adempimento, previsto dall’art. 30 del Decreto NIS2 e applicabile a partire dal 2026, dovrà essere svolto annualmente tra il 1° maggio e il 30 giugno, tramite la piattaforma dell’ACN, a seguito della comunicazione di inserimento nell’elenco dei soggetti NIS.
La scadenza non è prorogabile. Decorso il termine del 30 giugno, l’elenco categorizzato delle attività e dei servizi si intende definitivamente acquisito e non più modificabile, salvo i casi di ritardo dovuti a documentate criticità tecnico-operative non imputabili al soggetto.
Cosa devono fare concretamente le organizzazioni
Il processo richiede che ogni soggetto NIS, tramite il Punto di Contatto, acceda al Portale ACN e svolga le seguenti attività:
- Elencare tutte le attività e i servizi svolti – sia quelli interni che quelli erogati verso terzi.
- Associarli a una delle 10 macro-aree previste dal modello ACN – compresa una voce residuale “Altri servizi e attività” per coprire le casistiche non rientranti nelle categorie principali.
- Attribuire a ciascun servizio o attività una categoria di rilevanza, scegliendo tra quattro livelli: Minimo, Basso, Medio, Alto.
Successivamente, tra il 1° maggio e il 30 giugno, il Punto di Contatto potrà caricare sul Portale l’elenco dei servizi, attribuendo a ciascuno una categoria di rilevanza, tramite il modello ACN e una BIA semplificata.
La categoria di rilevanza esprime l’impatto che una compromissione di quel servizio o sistema avrebbe sulla capacità del soggetto di svolgere le proprie funzioni NIS. Una valutazione imprecisa o non documentata non reggerebbe al contraddittorio con ACN.
A cosa serve davvero la categorizzazione
La categorizzazione non è un adempimento da spuntare in una lista. È la fondamenta su cui si regge tutto il percorso di conformità NIS2 a lungo termine.
Questo passaggio aprirà la strada a una differenziazione più granulare dei livelli di sicurezza richiesti nella fase successiva all’ottobre 2026.
Nella fase “a lungo termine”, entreranno in gioco obblighi potenzialmente più ambiziosi, anche settorializzati, proporzionati in base alla categorizzazione delle attività e dei servizi.
Il collegamento con la supply chain
Le nuove Determinazioni introducono anche un obbligo parallelo, altrettanto rilevante: i soggetti NIS sono tenuti a individuare e comunicare i fornitori terzi rilevanti, la cui indisponibilità o compromissione potrebbe incidere in modo significativo sui servizi erogati. Rientrano nell’elenco i fornitori ICT e quelli non fungibili, cioè non sostituibili in tempi ragionevoli.
Questo ci ricorda che la natura di queste relazioni è un vero e proprio ecosistema.
Cosa fare adesso
Il tempo tra oggi e il 1° maggio non è tempo di attesa. È il tempo per:
- Verificare il proprio inserimento nell’elenco NIS 2026 e l’allegato di riferimento (1 o 2).
- Mappare le attività e i servizi in modo completo, incluse le erogazioni verso terzi che spesso vengono dimenticate.
- Costruire la BIA semplificata che supporta l’attribuzione delle categorie di rilevanza.
- Documentare le scelte in modo che reggano a eventuali verifiche o richieste di modifica da parte di ACN.
- Verificare l’aggiornamento della sezione fornitori rilevanti nel portale, la cui finestra scade il 31 maggio.
Sarà necessario gestire elenchi argomentati, mappature della supply chain e categorizzazioni dei servizi che devono reggere ad eventuali ispezioni.
Rexilience è pronta a supportarti ora che la NIS2 è entrata nella sua fase più concreta!