La NIS2 entra in una fase sempre più operativa. Dopo l’aggiornamento annuale delle informazioni entro il 31 maggio, i soggetti NIS devono affrontare una nuova scadenza: entro il 30 giugno 2026 è necessario completare l’elencazione e la categorizzazione delle attività e dei servizi tramite piattaforma ACN.
È una scadenza diversa dalla precedente e non va considerata una semplice integrazione burocratica.
Questa volta il punto non è solo aggiornare dati aziendali o informazioni generali. Il lavoro richiesto entra nel cuore dell’organizzazione: attività svolte, servizi erogati, processi critici, sistemi informativi, infrastrutture digitali, impatti di una possibile compromissione, continuità operativa e capacità dell’azienda di mantenere il controllo in caso di incidente.
Per MPC Innovation, questo passaggio è particolarmente rilevante perché traduce la NIS2 in un’esigenza concreta di mappatura digitale, governo degli asset, cybersecurity, gestione dei dati e controllo dei processi.
Cosa prevede la scadenza NIS2 del 30 giugno 2026
La Determinazione ACN n. 155238/2026 definisce modalità e criteri per l’elencazione e la categorizzazione delle attività e dei servizi dei soggetti NIS.
In sintesi, le aziende interessate devono costruire un elenco delle proprie attività e dei propri servizi, associandoli alle macro-aree previste dal modello di categorizzazione e attribuendo una categoria di rilevanza.
La categoria di rilevanza misura l’impatto che una possibile compromissione di un’attività o di un servizio potrebbe avere sulla capacità dell’organizzazione di svolgere correttamente le attività e i servizi per cui è stata inserita nel perimetro NIS.
Questo significa che l’azienda deve chiedersi, in modo molto concreto:
- quali attività sono davvero essenziali?
- quali servizi devono continuare a funzionare anche in caso di incidente?
- quali sistemi informativi supportano quelle attività?
- quali dati sono necessari per garantire continuità?
- quali infrastrutture cloud, on-premise o ibride sono coinvolte?
- quali fornitori tecnologici incidono sui servizi critici?
- quali impatti avrebbe una compromissione informatica?
La categorizzazione non è quindi un’etichetta astratta. È una fotografia ragionata dell’organizzazione digitale e operativa dell’impresa.
Perché questa scadenza è importante per le aziende
Molte imprese sono abituate a guardare la cybersecurity come un tema tecnico: antivirus, firewall, backup, accessi, strumenti di protezione.
La NIS2 sposta il baricentro.
La sicurezza digitale non viene più valutata solo in base agli strumenti presenti, ma anche in base alla capacità dell’organizzazione di conoscere se stessa: processi, attività, servizi, dipendenze, dati, sistemi, fornitori e punti di vulnerabilità.
L’elencazione e categorizzazione di attività e servizi serve proprio a questo: rendere visibile ciò che spesso resta frammentato.
In molte aziende, infatti, le informazioni critiche sono distribuite tra reparti, software, cartelle, cloud, fornitori esterni, responsabili interni e procedure non sempre formalizzate. Finché tutto funziona, questa frammentazione può sembrare gestibile. Ma in caso di attacco informatico, fermo sistema, perdita dati o indisponibilità di un fornitore, diventa un fattore di rischio.
La scadenza del 30 giugno obbliga le aziende a fare ordine.
Il punto di vista di MPC Innovation
Per MPC Innovation, la categorizzazione NIS2 non è soltanto un obbligo da rispettare. È un’occasione per trasformare dati, attività e processi aziendali in un sistema più leggibile, tracciabile e governabile.
La domanda centrale non è solo: “abbiamo compilato correttamente la piattaforma?”
La domanda più utile è:
sappiamo davvero quali sistemi, dati e servizi tengono in piedi le nostre attività critiche?
Questa domanda riguarda direttamente il lavoro di MPC: sistemi informativi evoluti, software su misura, cybersecurity, cloud storage, middleware, automazione, dashboard, document intelligence, gestione asset, metadatazione e tracciabilità.
Quando un’azienda deve elencare e categorizzare attività e servizi, spesso scopre che il problema non è solo normativo. Il problema è informativo.
I dati esistono, ma non sempre sono centralizzati.
I processi esistono, ma non sempre sono mappati.
I fornitori esistono, ma non sempre sono valutati in base al loro impatto operativo.
I sistemi esistono, ma non sempre sono collegati a una chiara analisi di criticità.
Le responsabilità esistono, ma non sempre sono supportate da strumenti aggiornabili e tracciabili.
Qui la tecnologia può fare la differenza.
Dalla mappatura manuale al controllo digitale
Affrontare la categorizzazione NIS2 con fogli sparsi, documenti statici e informazioni raccolte manualmente può essere rischioso.
Non perché il documento in sé sia inutile, ma perché la NIS2 richiede una visione che deve restare aggiornata nel tempo. Attività, servizi, sistemi informativi, fornitori, infrastrutture e misure tecniche cambiano. Se la mappatura resta statica, dopo pochi mesi può non rappresentare più la realtà dell’azienda.
Un approccio digitale consente invece di costruire una base dati più ordinata:
- elenco strutturato di attività e servizi;
- collegamento tra attività, asset digitali e sistemi informativi;
- associazione tra servizi critici e infrastrutture tecnologiche;
- tracciamento dei fornitori rilevanti;
- classificazione degli impatti;
- documentazione delle valutazioni;
- dashboard di controllo;
- alert su scadenze, aggiornamenti e azioni correttive;
- collegamento con backup, continuità operativa e vulnerability management.
In questo modo, la categorizzazione non resta un adempimento isolato. Diventa parte di un sistema di governo digitale.
NIS2, sistemi informativi e continuità operativa
Uno degli aspetti più importanti della categorizzazione è il collegamento tra attività aziendali e sistemi informativi.
Un servizio può sembrare organizzativo, produttivo o amministrativo, ma spesso dipende da piattaforme digitali, software gestionali, database, cloud, reti, credenziali, archivi documentali, strumenti di comunicazione e fornitori esterni.
Se uno di questi elementi si blocca o viene compromesso, il servizio può degradare o interrompersi.
Per questo la categorizzazione NIS2 aiuta l’azienda a collegare tre livelli:
attività e servizi → sistemi e dati → impatto operativo
Questa relazione è decisiva per costruire un piano di sicurezza più concreto.
Non tutte le attività hanno lo stesso peso.
Non tutti i sistemi hanno la stessa criticità.
Non tutti i dati generano lo stesso impatto se diventano indisponibili, alterati o esposti.
Capire queste differenze consente di stabilire priorità: dove intervenire prima, quali vulnerabilità correggere, quali backup rafforzare, quali fornitori verificare, quali servizi monitorare con maggiore attenzione.
Perché la categorizzazione interessa anche la filiera
La NIS2 riguarda direttamente i soggetti essenziali e importanti, ma i suoi effetti possono raggiungere anche imprese che operano nella filiera di aziende soggette.
Industria, logistica, impiantistica, servizi tecnici, fornitori IT, manutenzioni, cloud provider, società di supporto operativo e partner tecnologici possono essere coinvolti indirettamente quando un cliente chiede maggiore affidabilità, standard di sicurezza, procedure documentate o evidenze sul controllo dei processi digitali.
Per molte PMI, quindi, il tema può diventare rilevante anche prima di un obbligo diretto.
Un grande committente può chiedere informazioni su sistemi, continuità, dati, fornitori e misure cyber. Una filiera critica può introdurre requisiti più stringenti. Un audit può richiedere evidenze più ordinate.
Per questo la categorizzazione NIS2 va vista anche come segnale di mercato: le imprese più organizzate, tracciabili e digitalmente affidabili saranno più pronte a rispondere a clienti, partner e committenti.
Cosa dovrebbe verificare un’azienda entro il 30 giugno
Prima della scadenza, un soggetto NIS dovrebbe verificare la coerenza tra ciò che comunica sulla piattaforma e ciò che esiste davvero nella propria organizzazione.
Alcuni punti sono particolarmente importanti:
- elenco aggiornato delle attività svolte;
- elenco dei servizi erogati;
- collegamento tra servizi e processi operativi;
- sistemi informativi a supporto;
- dati trattati e archivi coinvolti;
- infrastrutture cloud, on-premise o ibride;
- fornitori tecnologici e servizi esterni rilevanti;
- backup e continuità operativa;
- vulnerabilità note o aree di esposizione;
- documentazione a supporto delle valutazioni;
- responsabilità interne nella gestione di sistemi, dati e servizi.
Il rischio da evitare è compilare la categorizzazione senza avere una vera mappa interna. In quel caso l’adempimento viene svolto, ma l’azienda non ottiene il beneficio più importante: capire dove sono le proprie dipendenze critiche.
Il contributo di MPC Innovation
MPC Innovation può supportare le imprese nella parte tecnologica e operativa di questo percorso, senza sostituirsi alle valutazioni normative specialistiche, ma aiutando l’organizzazione a costruire basi digitali più solide.
Il contributo può riguardare:
- mappatura di sistemi informativi, asset e dati;
- analisi delle infrastrutture cloud, on-premise e ibride;
- assessment cyber e vulnerability management;
- verifica di backup e continuità operativa;
- organizzazione digitale di documenti ed evidenze;
- sviluppo di dashboard e sistemi di controllo;
- integrazione tra gestionali, archivi e piattaforme;
- soluzioni software su misura per la gestione di scadenze, asset, responsabilità e azioni correttive;
- supporto alla costruzione di ambienti digitali tracciabili e aggiornabili.
Il valore non sta solo nella tecnologia, ma nella capacità di trasformare complessità operative in informazioni governabili.
NIS Manager: dalla compliance frammentata al processo governato
Nel percorso MPC, il tema NIS2 si collega naturalmente a NIS Manager, piattaforma evoluta pensata per supportare aziende ed enti nella governance della conformità NIS2.
Uno strumento di questo tipo consente di organizzare asset, misure di sicurezza, responsabilità, documentazione, piani di adeguamento, audit e scadenze in un ambiente centralizzato e tracciabile.
In relazione alla scadenza del 30 giugno, una piattaforma di governance può aiutare l’organizzazione a non trattare la categorizzazione come un’attività episodica, ma come parte di un ciclo continuo: mappare, classificare, aggiornare, controllare, documentare, correggere.
È questo il salto culturale richiesto dalla NIS2: passare da una gestione reattiva della sicurezza a un modello più consapevole, misurabile e aggiornabile.
Una scadenza tecnica, ma anche strategica
La data del 30 giugno 2026 è vicina e richiede attenzione immediata.
Ma il punto più importante va oltre la scadenza.
L’elencazione e categorizzazione di attività e servizi chiede alle aziende di guardare alla propria organizzazione digitale con maggiore lucidità. Non basta sapere quali software si usano. Bisogna capire quali servizi dipendono da quei software, quali dati li alimentano, quali fornitori li supportano e quale impatto avrebbe una compromissione.
Per MPC Innovation, questa è la direzione corretta dell’innovazione applicata: trasformare dati, processi, documenti, asset e infrastrutture in strumenti di controllo, automazione, sicurezza e decisione.
La NIS2 non chiede solo di essere conformi.
Chiede alle imprese di diventare più consapevoli della propria struttura digitale.
E proprio da questa consapevolezza può nascere un’organizzazione più sicura, più tracciabile, più resiliente e più pronta a gestire la complessità.
Cosa fare
La tua azienda deve completare l’elencazione e categorizzazione di attività e servizi entro il 30 giugno 2026?
MPC Innovation può supportarti nella mappatura digitale di sistemi, asset, dati, infrastrutture, fornitori tecnologici, backup, continuità operativa e vulnerabilità.
Un check tecnico prima della scadenza può aiutare a ridurre incertezze, individuare dipendenze critiche e trasformare l’adempimento NIS2 in un’occasione concreta di controllo operativo.
FAQ — NIS2: elencazione e categorizzazione di attività e servizi entro il 30 giugno 2026
1. Che cosa devono fare i soggetti NIS entro il 30 giugno 2026?
Entro il 30 giugno 2026, i soggetti NIS devono completare l’elencazione e la categorizzazione delle proprie attività e dei propri servizi tramite la piattaforma ACN.
Si tratta di un passaggio operativo previsto dalla NIS2 per identificare quali attività e servizi sono rilevanti e quale impatto avrebbe una loro possibile compromissione.
2. La scadenza del 30 giugno è diversa da quella del 31 maggio?
Sì. La scadenza del 31 maggio 2026 riguarda l’aggiornamento annuale delle informazioni.
La scadenza del 30 giugno 2026, invece, riguarda l’elencazione e la categorizzazione di attività e servizi. Sono due adempimenti distinti, anche se collegati tra loro nel percorso NIS2.
3. Che cosa significa elencare attività e servizi ai fini NIS2?
Significa costruire un elenco ordinato delle attività svolte e dei servizi erogati dall’organizzazione, collegandoli alle categorie previste dal modello ACN.
L’obiettivo è capire quali attività e servizi sono davvero rilevanti per la continuità operativa e per la sicurezza digitale dell’azienda.
4. Che cosa significa categorizzare attività e servizi NIS2?
Categorizzare significa attribuire una categoria di rilevanza alle attività e ai servizi elencati.
Questa categoria misura l’impatto che una possibile compromissione potrebbe avere sull’organizzazione, sui servizi erogati, sugli utenti, sui clienti, sulla continuità operativa e sulla sicurezza dei dati.
5. Perché la categorizzazione NIS2 è importante per un’azienda?
La categorizzazione NIS2 aiuta l’azienda a capire quali processi, sistemi informativi, dati, infrastrutture e fornitori sono più critici.
Non è solo un adempimento formale: è uno strumento per ridurre l’incertezza, individuare priorità e rafforzare il controllo sui servizi essenziali o importanti.
6. Quali informazioni servono per preparare la categorizzazione NIS2?
Servono informazioni su attività aziendali, servizi erogati, processi operativi, sistemi informativi, dati trattati, infrastrutture cloud o on-premise, fornitori tecnologici, backup, continuità operativa, vulnerabilità e responsabilità interne.
Più queste informazioni sono ordinate, più la categorizzazione sarà coerente con la realtà aziendale.
7. La categorizzazione NIS2 riguarda solo il reparto IT?
No. Anche se la componente tecnologica è molto importante, la categorizzazione NIS2 riguarda l’intera organizzazione.
Coinvolge direzione, IT, cybersecurity, operations, qualità, compliance, responsabili di processo e, quando necessario, fornitori esterni che supportano servizi o infrastrutture critiche.
8. Qual è il rapporto tra attività, servizi e sistemi informativi?
Le attività e i servizi aziendali spesso dipendono da sistemi informativi, software gestionali, database, cloud, reti, archivi documentali, piattaforme di comunicazione e fornitori IT.
La categorizzazione NIS2 serve anche a collegare questi livelli: servizio → sistema digitale → dato → impatto operativo.
9. Perché i fornitori IT sono rilevanti nella NIS2?
I fornitori IT possono incidere direttamente sulla sicurezza e sulla continuità operativa dell’azienda.
Cloud provider, software house, gestori di infrastrutture, consulenti tecnologici e piattaforme esterne possono diventare punti critici se supportano servizi essenziali o importanti.
10. Cosa rischia un’azienda se categorizza male attività e servizi?
Una categorizzazione incompleta o superficiale può portare a sottovalutare attività critiche, sistemi vulnerabili, dipendenze da fornitori esterni o impatti operativi rilevanti.
Il rischio è avere una rappresentazione non realistica della propria esposizione digitale e delle priorità di sicurezza.
11. La categorizzazione NIS2 può aiutare anche la continuità operativa?
Sì. La categorizzazione aiuta a capire quali servizi devono restare disponibili anche in caso di incidente informatico, fermo sistema, perdita dati o indisponibilità di un fornitore.
Per questo è strettamente collegata a backup, disaster recovery, business continuity e piani di risposta agli incidenti.
12. È sufficiente compilare la piattaforma ACN?
Compilare la piattaforma è necessario, ma non sempre sufficiente dal punto di vista operativo.
L’azienda dovrebbe verificare che le informazioni inserite siano coerenti con la propria organizzazione reale, con i sistemi utilizzati, con i dati trattati e con le dipendenze tecnologiche effettive.
13. Perché conviene usare strumenti digitali per la categorizzazione NIS2?
Perché attività, servizi, asset, fornitori, documenti e misure di sicurezza cambiano nel tempo.
Una gestione solo manuale o frammentata rischia di diventare rapidamente obsoleta. Una piattaforma digitale consente invece di mantenere dati aggiornati, tracciabilità, dashboard, scadenze, responsabilità e azioni correttive.
14. Che ruolo può avere MPC Innovation nella categorizzazione NIS2?
MPC Innovation può supportare le imprese nella parte tecnologica e operativa del percorso: mappatura di sistemi informativi, asset digitali, dati, infrastrutture cloud o on-premise, fornitori IT, backup, vulnerabilità e continuità operativa.
L’obiettivo è trasformare la categorizzazione da attività isolata a processo digitale governabile e aggiornabile.
15. Che cos’è NIS Manager di MPC Innovation?
NIS Manager è una piattaforma evoluta pensata per supportare aziende ed enti nella governance della conformità NIS2.
Consente di organizzare asset, misure di sicurezza, responsabilità, documentazione, piani di adeguamento, audit, scadenze e azioni correttive in un ambiente centralizzato e tracciabile.
16. Come può una piattaforma aiutare nella gestione NIS2?
Una piattaforma può aiutare a collegare attività, servizi, asset, fornitori, misure di sicurezza, documenti e scadenze.
In questo modo l’azienda può monitorare il proprio stato di avanzamento, aggiornare le informazioni nel tempo, ridurre errori manuali e mantenere evidenze utili per verifiche, audit e decisioni interne.
17. La NIS2 riguarda anche aziende non direttamente soggette?
Può riguardarle indirettamente.
Anche imprese non formalmente soggette alla NIS2 possono ricevere richieste da clienti, grandi committenti o partner inseriti in filiere critiche. In questi casi, sicurezza informatica, continuità operativa e tracciabilità digitale possono diventare requisiti commerciali e reputazionali.
18. Quali settori sono più interessati dalla categorizzazione NIS2?
Sono interessati i soggetti essenziali e importanti rientranti nel perimetro NIS, con particolare attenzione a industria, energia, trasporti, logistica, sanità, infrastrutture digitali, servizi tecnici, fornitori critici e imprese con processi operativi fortemente dipendenti da sistemi informativi.
19. Qual è il primo passo per prepararsi alla scadenza del 30 giugno?
Il primo passo è verificare se l’azienda dispone di una mappa aggiornata di attività, servizi, sistemi informativi, dati, fornitori e infrastrutture digitali.
Senza questa base, la categorizzazione rischia di essere incompleta o non pienamente coerente con la realtà operativa.
20. Perché la categorizzazione NIS2 può diventare un vantaggio per l’impresa?
Perché aiuta l’azienda a conoscere meglio la propria struttura digitale, individuare dipendenze critiche, rafforzare la cybersecurity, migliorare la continuità operativa e rendere più tracciabili responsabilità e decisioni.
In questo senso, la NIS2 non è solo un obbligo: può diventare un’occasione per costruire un’organizzazione più sicura, misurabile e governabile.
