Punti Chiave
- Gli articoli 20 e 21 della Determinazione ACN 127437/2026 regolano la parte procedurale della categorizzazione delle attivita e dei servizi sulla piattaforma ACN (determinazione piattaforma ACN).
- La finestra di categorizzazione va dal 1 maggio al 30 giugno di ogni anno tramite il
Servizio NIS/Categorizzazione(determinazione piattaforma ACN). - La stessa determinazione stabilisce che le categorie di rilevanza sono definite da un modello ACN separato adottato ai sensi dell'articolo 40, comma 5, lettera
i)del Decreto Legislativo 138/2024. Al 15 aprile 2026, tale modello non risultava ancora pubblicato tra le fonti ufficiali utilizzate qui (determinazione piattaforma ACN). - L'avviso ACN del 13 aprile 2026 indica che la determinazione contenente il modello di categorizzazione e il materiale di supporto per la BIA semplificata saranno pubblicati la settimana successiva (news ACN).
- Le entita finanziarie rientranti nel Regolamento (UE) 2022/2554 e anche nel perimetro NIS sono esentate dall'articolo 20, restando comunque possibile l'adesione volontaria (determinazione piattaforma ACN).
Ambito di Questo Articolo
Questo articolo chiarisce cosa si puo gia affermare con certezza sul processo ACN di categorizzazione delle attivita e dei servizi e dove, invece, la documentazione ufficiale non e ancora completa al 15 aprile 2026.
L'obiettivo e pratico:
- definire gli obblighi procedurali gia pubblicati da ACN;
- separare tali obblighi procedurali dal modello di categorizzazione ancora pendente;
- aiutare le organizzazioni a preparare il lavoro sottostante senza inventare la logica di scoring mancante.
Risposta Breve: la Procedura e Pubblicata, il Modello e Ancora Pendente
La documentazione ufficiale gia disponibile definisce come funzionera il processo di categorizzazione sulla piattaforma:
| Domanda | Risposta ufficiale attuale |
|---|---|
| Quando si svolge il processo? | Dal 1 maggio al 30 giugno di ogni anno |
| Quale servizio ACN si usa? | Servizio NIS/Categorizzazione |
| Chi conferma l'invio? | Il punto di contatto |
| L'invio si puo modificare dopo la scadenza? | No, decorso il termine si intende definitivamente acquisito, salvo la disciplina sugli invii tardivi |
| Chi definisce le categorie di rilevanza? | Una determinazione ACN separata che adotta il modello di categorizzazione |
Quello che non e ancora pubblicato integralmente, alla data di questo articolo, e il modello che spiega come attribuire le categorie di rilevanza alle attivita e ai servizi. Lo stesso avviso ACN precisa che tale modello e il relativo materiale di supporto alla BIA semplificata saranno pubblicati nella settimana successiva (news ACN).
Cosa Richiede Gia l'Articolo 20
L'articolo 20 della Determinazione ACN 127437/2026 disciplina il processo per l'elencazione e la categorizzazione delle attivita e dei servizi (determinazione piattaforma ACN).
L'articolo stabilisce gia cinque punti concreti:
- dal 1 maggio al 30 giugno di ogni anno i soggetti NIS comunicano e aggiornano, tramite il
Servizio NIS/Categorizzazione, l'elenco categorizzato delle attivita e dei servizi; - gli utenti compilano l'elenco delle attivita e dei servizi del soggetto attribuendo le categorie di rilevanza definite dal modello ACN separato;
- il punto di contatto conferma le informazioni ai sensi del DPR 445/2000 e le trasmette telematicamente ad ACN;
- una copia per ricevuta viene inviata al domicilio digitale del soggetto;
- decorso il termine, l'elenco categorizzato si intende definitivamente acquisito e non piu modificabile.
Questo basta gia per concludere che la categorizzazione non e un esercizio facoltativo di analisi interna. E un invio formale in piattaforma con finestra annuale definita, un soggetto confermante e una traccia documentale sul domicilio digitale.
Il Pezzo Mancante e il Modello di Categorizzazione, Non l'Obbligo
L'articolo 20 chiarisce espressamente che le categorie di rilevanza sono quelle stabilite dal modello adottato con la determinazione ACN richiamata dall'articolo 40, comma 5, lettera i) del decreto NIS (Decreto Legislativo 138/2024).
Questo e importante perche le organizzazioni devono distinguere tra due livelli diversi:
- l'obbligo di produrre e trasmettere un elenco categorizzato, che e gia pubblicato;
- la metodologia esatta di categorizzazione, che dipende dal modello separato.
Al 15 aprile 2026, ACN ha reso pubblico che la determinazione contenente il modello e il materiale di supporto alla BIA semplificata saranno pubblicati la settimana successiva. Fino a quando quel modello ufficiale non sara disponibile, le organizzazioni non dovrebbero inventare una propria scala di rilevanza presentandola come gia allineata alla metodologia finale di ACN.
ACN Ha Gia Inquadrato l'Esercizio come una BIA Semplificata
L'avviso ACN aggiunge un contesto utile. Indica che la determinazione sul modello di categorizzazione sara pubblicata insieme a materiale informativo per supportare i soggetti nello svolgimento, nei mesi di maggio e giugno, di questa analisi di impatto semplificata, condivisa nei Tavoli settoriali (news ACN).
Questo non fornisce ancora la meccanica di scoring, ma fornisce gia un'indicazione pratica difendibile: l'esercizio di categorizzazione e impostato in chiave di impatto e non come semplice inventario descrittivo delle attivita.
L'Invio Tardivo e Possibile ma Operativamente Sfavorevole
L'articolo 20 disciplina anche cosa accade dopo la finestra ordinaria.
- Una volta chiusa la finestra 1 maggio - 30 giugno, l'elenco categorizzato si intende definitivamente acquisito e non puo piu essere modificato.
- Gli elenchi trasmessi dopo il termine sono considerati tardivi.
- L'ulteriore modifica degli elenchi tardivi e preclusa, salvo che il ritardo dipenda da criticita tecnico-operative documentate non imputabili al soggetto.
Questo e rilevante per la pianificazione interna. Un team che aspetta gli ultimi giorni del portale senza allineare owner di business, owner di servizio e fonti documentali non rischia soltanto un invio frettoloso. Rischia un invio che diventa difficile da correggere successivamente.
Punto di Contatto e Domicilio Digitale Fanno Parte della Catena di Controllo
Il disegno procedurale riprende la logica generale della piattaforma ACN. Il punto di contatto e l'utente che conferma l'invio della categorizzazione e il soggetto riceve la ricevuta tramite domicilio digitale (determinazione piattaforma ACN).
Dal punto di vista della governance, questo significa che la categorizzazione non va trattata come un workshop analitico privo di owner formale. Il risultato e un filing ACN. Serve quindi una catena interna responsabile che parta dall'analisi e arrivi alla conferma del punto di contatto.
L'Articolo 21 Aggiunge un Livello di Verifica Successivo all'Invio
L'articolo 21 disciplina le verifiche di conformita di ACN sugli elenchi categorizzati. ACN prevede di analizzare, a campione:
- gli elenchi categorizzati trasmessi dai soggetti NIS rispetto al modello ufficiale;
- gli elenchi categorizzati trasmessi da soggetti NIS comparabili.
Lo stesso articolo definisce anche la meccanica di revisione:
- ACN fornisce riscontro entro 90 giorni dalla trasmissione dell'elenco categorizzato;
- il termine puo essere prorogato una sola volta fino a un massimo di ulteriori 60 giorni se servono approfondimenti;
- se ACN richiede integrazioni, informazioni aggiuntive o modifiche, il termine si sospende e ricomincia a decorrere dal ricevimento del materiale richiesto;
- le integrazioni o modifiche richieste devono essere rese entro 30 giorni;
- l'omesso o tardivo riscontro puo costituire motivo di rigetto dell'elenco categorizzato.
L'esito viene comunicato tramite i Servizi NIS al domicilio digitale del soggetto, con esito positivo o negativo della verifica.
La Convalida Tacita Conta
L'articolo 21 prevede anche che, in assenza della comunicazione di verifica positiva entro i termini applicabili, l'elenco categorizzato si intende convalidato (determinazione piattaforma ACN).
Sul piano operativo, questo significa che l'invio non resta aperto indefinitamente. Il modello di controllo ACN combina verifica a campione, richieste di integrazione quando necessarie e una conseguenza di convalida definita se non arriva una comunicazione positiva entro la finestra di riesame prevista.
Le Entita Finanziarie DORA Hanno un'Espressa Esenzione
L'articolo 20, comma 6, stabilisce che le entita finanziarie di cui al Regolamento (UE) 2022/2554 che rientrano anche nell'ambito del decreto NIS sono esentate da quanto previsto dall'articolo 20, restando salva l'adesione volontaria (determinazione piattaforma ACN).
Questa esenzione va trattata con precisione. E specifica per l'articolo 20. Non andrebbe estesa automaticamente ad altri adempimenti di piattaforma in assenza di una previsione ufficiale espressa.
Cosa Possono Preparare le Organizzazioni Prima della Pubblicazione del Modello
L'assenza del modello finale di categorizzazione non significa che le organizzazioni debbano restare ferme. C'e gia un lavoro utile che si puo fare senza indovinare i criteri ACN:
- costruire un inventario pulito delle attivita e dei servizi rilevanti per il perimetro NIS del soggetto;
- identificare gli owner interni di ciascuna attivita o servizio;
- raccogliere le informazioni operative e di dipendenza che verosimilmente serviranno a una BIA semplificata;
- allineare punto di contatto, owner di business e team compliance su chi dovra validare l'elenco categorizzato finale;
- predisporre il workflow di filing per la finestra in piattaforma dal 1 maggio al 30 giugno.
La disciplina corretta e fermarsi alla preparazione, senza trasformare ipotesi preparatorie in categorie ACN presentate come definitive prima della pubblicazione ufficiale del modello.
FAQ
L'obbligo di categorizzazione e gia in vigore anche se il modello e ancora pendente?
Si. L'obbligo procedurale e gia definito dagli articoli 20 e 21 della Determinazione ACN 127437/2026. Quello che risulta ancora pendente, al 15 aprile 2026, e la determinazione separata che contiene il modello di categorizzazione (determinazione piattaforma ACN, news ACN).
Quando si apre la finestra di categorizzazione?
L'articolo 20 prevede che il processo si svolga dal 1 maggio al 30 giugno di ogni anno tramite il Servizio NIS/Categorizzazione (determinazione piattaforma ACN).
Chi trasmette l'elenco categorizzato?
Gli utenti compilano l'elenco, ma il punto di contatto conferma le informazioni e le trasmette ad ACN. Una copia per ricevuta viene poi inviata al domicilio digitale del soggetto (determinazione piattaforma ACN).
Le organizzazioni possono gia attribuire categorie finali di rilevanza prima della pubblicazione del modello ACN?
La documentazione ufficiale utilizzata qui non include ancora quel modello. I dettagli sono definiti nella documentazione ufficiale ACN sul modello di categorizzazione annunciata nella news ACN (news ACN).
Conclusione
ACN ha gia pubblicato il quadro procedurale della categorizzazione di attivita e servizi sulla piattaforma NIS: tempistiche, canale di trasmissione, soggetto confermante, effetti del decorso del termine e verifica successiva all'invio. Quello che resta pendente, al 15 aprile 2026, e il modello ufficiale che definisce la logica di categorizzazione. La postura operativa corretta e quindi preparare ora inventario e workflow di governance, allineando i criteri finali soltanto dopo la pubblicazione della determinazione sul modello.