La categorizzazione delle attività e dei servizi ha costretto i soggetti NIS a guardare la propria organizzazione da una prospettiva inedita: non più soltanto cosa fanno, ma cosa accadrebbe se ciò che fanno venisse compromesso.
Chiusa la fase di comunicazione, si apre però la questione che conta davvero.
La domanda da porsi è se quelle informazioni resteranno un documento isolato, custodito come prova dell’adempimento, aggiornato annualmente con scarsa convinzione, oppure entreranno nel sistema di gestione dei rischi e orienteranno priorità, investimenti e misure.
Il valore del lavoro svolto non dipenderà dalla qualità formale di ciò che è stato trasmesso. Dipenderà dall’uso che ogni organizzazione deciderà di farne.
Indice degli argomenti
Dopo la scadenza: il vero rischio è credere che il lavoro sia finito
La scadenza è passata. Si è predisposto il documento, elencato le attività, attribuito le categorie, comunicato le informazioni.
In molte organizzazioni circola in questi giorni la sensazione rassicurante del lavoro concluso: spuntata la casella, il fascicolo è a posto, si può tornare alle urgenze quotidiane.
È esattamente in questa sensazione che si nasconde il rischio più grande. Considerare la categorizzazione una pratica chiusa significa:
- ridurre un’attività potenzialmente strategica a un adempimento amministrativo;
- avere costruito, con fatica, una rappresentazione delle funzioni dell’organizzazione e della loro rilevanza, per poi lasciarla invecchiare in una cartella senza che quella conoscenza migliori di un millimetro il sistema di sicurezza.
La vera domanda, oggi, non riguarda più ciò che si è fatto entro il termine, ma ciò che accadrà dopo: il documento è da archiviare oppure entrerà nel processo decisionale? Resterà separato dall’analisi dei rischi oppure ne diventerà uno dei punti di partenza?
La risposta a queste domande distinguerà le organizzazioni che hanno adempiuto da quelle che hanno compreso.
Le reali richieste
Conviene ripartire dall’oggetto, perché attorno alla categorizzazione si sono accumulati molti equivoci.
La Determinazione ACN n. 155238 del 20 aprile 2026 ha definito il modello per l’elencazione, la caratterizzazione e la categorizzazione delle attività e dei servizi dei soggetti NIS: dieci macro-aree entro cui organizzare ciò che l’organizzazione fa, e quattro categorie di rilevanza – impatto minimo, basso, medio, alto – con cui qualificarlo.
La categoria esprime l’impatto che la compromissione di un’attività o di un servizio potrebbe produrre sulla capacità del soggetto di svolgere le proprie funzioni o di continuare a erogare i propri servizi.
Per ciascuna macro-area l’Agenzia ha individuato una categoria preassegnata, che il soggetto può modificare quando ritiene che non rappresenti correttamente il proprio contesto, purché motivi la scelta.
Che cosa non è la categorizzazione
Il punto delicato, quello da cui dipende tutto il seguito di questa tetralogia, è capire che cosa la categorizzazione non è.
Non è un’analisi dei rischi.
La categoria di rilevanza descrive la gravità potenziale della compromissione ma non considera – o non lo fa con lo stesso approfondimento – la probabilità degli eventi, le vulnerabilità presenti, l’efficacia delle misure già adottate, il rischio residuo.
La categorizzazione non sostituisce dunque l’analisi dei rischi, ma le fornisce un punto di riferimento, indicandole quali attività meritano maggiore attenzione in ragione degli effetti che una loro compromissione potrebbe produrre.
Confondere la categoria di rilevanza con il livello di rischio interno genera corrispondenze artificiali e può compromettere la coerenza dell’intero sistema.
Le due valutazioni devono dialogare; non devono necessariamente produrre lo stesso numero.
Un documento in cerca di destinazione
Dopo la comunicazione delle informazioni, ogni organizzazione si trova davanti a un bivio, di quelli che non impongono una decisione esplicita e proprio per questo vengono valutati, quando valutati, per inerzia.
La prima strada è conservare la categorizzazione come documento autonomo, distinto dalle valutazioni interne: si archivia il file, l’analisi dei rischi continua a seguire il metodo di sempre, le funzioni proseguono le attività senza toccare processi, criteri o priorità.
È la soluzione che richiede meno lavoro nell’immediato ed è anche la più debole. Infatti produce due rappresentazioni parallele della stessa organizzazione: da una parte ciò che si è comunicato all’Autorità, dall’altra ciò che l’organizzazione utilizza realmente per valutare i rischi e decidere come proteggersi.
Finché nessuno mette a confronto i due sistemi, il problema resta invisibile ed emergerà il giorno in cui occorrerà dimostrare il collegamento tra le attività dichiarate rilevanti, i rischi valutati e le misure adottate – in un’ispezione, dopo un incidente, davanti a una richiesta di chiarimenti.
In quel momento l’organizzazione potrebbe scoprire di possedere molte informazioni, forse anche in contrasto tra loro, e nessuna architettura capace di tenerle insieme.
La categorizzazione NIS 2 come elemento del sistema di gestione
La seconda strada usa la categorizzazione come elemento del sistema di gestione.
Le attività e i servizi individuati entrano nella mappa organizzativa e così:
- confronto delle categorie con gli impatti dell’analisi dei rischi;
- i responsabili si associano alle attività;
- si ricostruiscono le dipendenze e si riesaminano le misure esistenti;
- si portano le eventuali incoerenze a valutazione.
Questa strada chiede un lavoro iniziale e restituisce un vantaggio che vale l’investimento perché riduce la distanza tra ciò che l’organizzazione dichiara e ciò che l’organizzazione fa.
Integrare non significa aggiungere un altro documento
Qui occorre sgombrare il campo da un fraintendimento ricorrente. In molte realtà si pratica l’integrazione così: si prende il documento trasmesso, lo si inserisce nel sistema di gestione, si aggiunge un riferimento nella politica di sicurezza e si dichiara conclusa l’attività.
Questa, però, non è integrazione, ma archiviazione coordinata.
Integrare significa creare relazioni. Ogni attività o servizio deve poter essere collegato:
- ai processi che ne consentono l’esecuzione;
- alle informazioni necessarie; agli asset che lo supportano;
- alle persone che ne assicurano il funzionamento;
- ai fornitori dai quali dipende;
- agli eventi che possono comprometterlo;
- alle misure adottate;
- ai rischi residui e alle decisioni assunte.
Dalla categorizzazione NIS 2 ad ACN all’analisi dei rischi e viceversa
Il valore non risiede nell’avere più documenti; risiede nella possibilità di passare da un’informazione all’altra senza perdere il significato.
Un servizio con categoria di rilevanza alta deve trovare una rappresentazione coerente nel sistema interno, e coerente non significa identica.
Quel servizio potrebbe essere protetto da misure molto efficaci, avere un’esposizione limitata, presentare una probabilità bassa: il rischio residuo può legittimamente risultare diverso dalla categoria.
La differenza, però, deve essere spiegabile.
L’organizzazione deve saper dimostrare perché un’attività con un impatto potenzialmente elevato presenta, dopo l’applicazione delle misure, quel determinato livello di rischio.
La coerenza non richiede numeri uguali, ma una logica ricostruibile in entrambi i sensi di marcia ovvero passare dalla categorizzazione comunicata ad ACN all’analisi dei rischi e viceversa.
È una distinzione che tornerà, come un basso continuo, in tutti gli articoli di questa serie.
Dalla categorizzazione alle priorità
Che cosa può ottenere, concretamente, chi imbocca la seconda strada? Una categorizzazione utilizzata bene migliora una quantità sorprendente di decisioni perché:
- aiuta a stabilire quali attività richiedono maggiore attenzione e a indirizzare l’aggiornamento dell’analisi dei rischi;
- fa emergere servizi critici che il sistema interno non rappresentava adeguatamente, come per esempio, dipendenze concentrate su un unico fornitore, infrastrutture condivise da più attività rilevanti;
- orienta le prove di continuità operativa, la frequenza dei controlli, gli investimenti, la qualità delle informazioni destinate al vertice.
Il risultato più prezioso riguarda però il governo delle priorità.
Nessuna organizzazione dispone di risorse illimitate: occorre decidere dove intervenire prima, e una rappresentazione chiara della rilevanza delle attività protegge da due errori speculari.
Il primo consiste nel distribuire le risorse in modo uniforme, come se tutti i servizi avessero la stessa importanza; il secondo nel proteggere soltanto gli asset più visibili o più costosi, ignorando le funzioni che da essi dipendono.
Il rischio dei due sistemi paralleli
Tra gli errori possibili, uno merita un avvertimento particolare, perché l’abbiamo visto ripetersi con la regolarità di una legge fisica: costruire un sistema per il regolatore e un altro per la gestione interna.
Il primo contiene le informazioni richieste mentre il secondo quelle utilizzate davvero.
I due sistemi crescono in parallelo, con terminologie diverse, valori diversi, responsabili diversi, tempi di aggiornamento diversi.
Con il passare dei mesi la distanza aumenta: ogni nuova richiesta impone una riconciliazione, ogni verifica diventa più complessa, ogni modifica va riportata in più luoghi.
Questa stratificazione aumenta soltanto il lavoro e la carta, non la sicurezza.
La soluzione non consiste nel sostituire il sistema interno con il modello ACN.
Consiste, invece, nel costruire un unico impianto capace di sostenere più prospettive.
Il modello dell’organizzazione può conservare la propria struttura, le proprie matrici, le proprie scale consolidate. Deve però garantire che le attività e i servizi categorizzati vi trovino una collocazione chiara.
La categorizzazione deve diventare un livello della mappa, non un archivio separato.
Per chi parte da zero è un perimetro, non un traguardo
C’è infine un caso in cui la categorizzazione vale ancora di più: quello delle organizzazioni meno mature.
Molti soggetti conoscono le proprie applicazioni, i propri fornitori, le proprie strutture, ma non possiedono una rappresentazione unitaria delle attività e delle loro dipendenze.
Per loro la categorizzazione offre il primo perimetro: aiuta a costruire un catalogo, rende visibili responsabilità rimaste o da sempre considerate, per i sistemi ancora meno maturi, implicite, crea un linguaggio comune tra le funzioni tecniche e il vertice.
Attenzione, però, a non scambiarla per un’analisi dei rischi già pronta.
Dopo avere individuato attività e servizi resta da capire quali eventi possono comprometterli, quali vulnerabilità possono favorire quegli eventi, quali asset risultano coinvolti, quali misure esistono già e quale rischio rimane.
La categorizzazione apre il percorso, ma non lo conclude.
La categorizzazione NIS2 può restare in un documento oppure entrare nelle decisioni
La scadenza del 30 giugno ha chiuso una fase formale, ma non il lavoro.
La categorizzazione ha prodotto una rappresentazione nuova dell’organizzazione, associando ogni attività e ogni servizio a una valutazione della gravità potenziale della sua compromissione.
Ora quella conoscenza cerca una destinazione: può restare in un documento oppure entrare nelle decisioni, e la differenza è tutta qui.
Un documento trasmesso non protegge un servizio.
Può farlo soltanto un’organizzazione capace di trasformare le informazioni contenute in quel documento in responsabilità, priorità, misure e verifiche.
L’integrazione non chiede di abbandonare il sistema esistente, ma di renderlo capace di rappresentare ciò che è stato comunicato ad ACN e di spiegare le eventuali differenze.
La categorizzazione ha indicato quali attività meritano maggiore attenzione.
Non ha però stabilito come analizzare i rischi che le minacciano – e qui comincia il passaggio successivo, che è anche una scelta di sguardo: da dove osservare il rischio? Dagli asset, dai processi, dai servizi o dagli scenari di minaccia?
Nel prossimo capitolo, metteremo a confronto i principali approcci, i loro vantaggi, i loro limiti e i criteri per scegliere un metodo capace di sostenere efficacemente il percorso NIS 2.
Partecipa alla community