Non basta aver aggiornato le informazioni a maggio: ora serve capire quali attività sono davvero critiche per l’azienda
NIS2, 30 giugno 2026: una scadenza da non confondere con maggio
Per molte aziende la NIS2 è ancora percepita come un tema generico di cybersecurity.
Qualcosa che riguarda “i tecnici”, “l’IT”, “i server”, “gli antivirus”, oppure le grandi organizzazioni strutturate.
Ma il percorso NIS2 sta diventando sempre più operativo.
Dopo le precedenti fasi di registrazione, aggiornamento delle informazioni e definizione degli obblighi di base, arriva una scadenza molto concreta: entro il 30 giugno 2026 i soggetti NIS devono completare l’elencazione e la categorizzazione delle proprie attività e dei propri servizi tramite piattaforma ACN.
Questa non è una formalità.
È il momento in cui l’organizzazione deve iniziare a rispondere a una domanda decisiva:
quali attività e quali servizi, se compromessi, possono davvero creare un impatto serio sull’azienda, sui clienti, sulla continuità operativa o sulla filiera?
Il punto non è solo “fare un elenco”.
Il punto è capire cosa è realmente critico.
Cosa significa elencare e categorizzare attività e servizi
La categorizzazione NIS serve a classificare attività e servizi in base alla loro rilevanza e al possibile impatto di una compromissione.
In parole semplici, l’azienda deve individuare le proprie attività e i propri servizi rilevanti, organizzarli secondo le modalità previste e attribuire una categoria coerente con il livello di impatto.
Questo passaggio consente di distinguere ciò che è ordinario da ciò che è critico.
Un conto è avere un sistema informatico secondario momentaneamente non disponibile.
Un altro conto è vedere compromesso un servizio essenziale per produzione, logistica, assistenza clienti, gestione dati, continuità operativa, sicurezza degli impianti o rapporto con grandi committenti.
La NIS2 spinge le aziende a smettere di ragionare in modo generico.
Non basta dire: “Abbiamo un gestionale”, “abbiamo un cloud”, “abbiamo un fornitore IT”.
Bisogna capire:
- quali attività sono essenziali;
- quali servizi sostengono il funzionamento dell’azienda;
- quali sistemi informativi li supportano;
- quali dati sono coinvolti;
- quali fornitori incidono sulla continuità;
- quali conseguenze avrebbe una compromissione;
- quali misure di sicurezza sono coerenti con quel livello di rischio.
Questa è la differenza tra una compliance solo documentale e una governance cyber realmente utile.
Perché questa scadenza è diversa da quella del 31 maggio
Uno degli errori più rischiosi è pensare che, dopo l’aggiornamento delle informazioni di maggio, il tema NIS2 sia già stato chiuso.
Non è così.
La scadenza del 30 giugno 2026 è una sotto-scadenza autonoma e operativa.
Il precedente aggiornamento informativo serve a mantenere coerente la posizione del soggetto NIS rispetto a dati, referenti, asset e informazioni richieste.
La categorizzazione, invece, richiede una lettura più interna e sostanziale dell’organizzazione.
Qui non si tratta solo di aggiornare una fotografia.
Si tratta di comprendere quali attività e servizi sono rilevanti, quale impatto avrebbe una loro compromissione e come questo orienta le successive misure di sicurezza.
Per questo la scadenza del 30 giugno deve essere trattata come rossa.
Non perché debba generare panico, ma perché richiede lavoro reale: analisi, confronto tra direzione, IT, compliance, qualità, privacy, operations e fornitori.
Perché conta per imprenditori, amministratori e direzione aziendale
La categorizzazione NIS non è un esercizio tecnico isolato.
È una decisione organizzativa.
Classificare un’attività o un servizio significa riconoscere quale impatto potrebbe avere un incidente su:
- continuità aziendale;
- produzione;
- consegne;
- clienti;
- contratti;
- dati;
- privacy;
- sicurezza;
- fornitori;
- reputazione;
- rapporti con filiere e committenti.
Per questo la direzione aziendale non può limitarsi a delegare tutto all’IT.
Il tecnico può aiutare a leggere sistemi, reti, applicazioni, backup, accessi e vulnerabilità.
Ma la valutazione dell’impatto richiede anche una conoscenza aziendale più ampia: cosa genera valore, cosa blocca il servizio, cosa espone l’impresa, cosa può creare danno economico, contrattuale o reputazionale.
La domanda vera è semplice:
se questa attività si ferma o viene compromessa, cosa succede davvero all’azienda?
Il collegamento con Privacy e GDPR
La categorizzazione NIS2 si collega anche alla privacy.
Molte attività e molti servizi aziendali trattano dati personali: clienti, dipendenti, fornitori, utenti, pazienti, cittadini, candidati, visitatori, clienti finali.
Se un servizio rilevante viene compromesso, può verificarsi anche una violazione dei dati personali.
In quel caso non si parla solo di incidente cyber.
Si può parlare anche di data breach, con possibili obblighi di valutazione, documentazione, notifica e comunicazione.
Ecco perché NIS2 e GDPR non dovrebbero essere gestiti in modo separato.
L’azienda deve sapere:
- quali attività trattano dati personali;
- quali sistemi supportano quei trattamenti;
- quali fornitori hanno accesso ai dati;
- quali misure proteggono riservatezza, integrità e disponibilità;
- chi valuta un eventuale data breach;
- chi coordina la gestione dell’incidente;
- quali evidenze documentali dimostrano l’organizzazione adottata.
La sicurezza non è più solo tecnica.
È gestione del rischio, continuità e responsabilità dimostrabile.
Perché il tema interessa anche le filiere industriali e tecniche
La NIS2 riguarda direttamente soggetti essenziali e importanti, ma può coinvolgere indirettamente molte altre imprese.
Un’azienda industriale, logistica, impiantistica o di servizi tecnici potrebbe non essere direttamente soggetta alla normativa, ma lavorare per clienti strutturati, grandi committenti, soggetti pubblici, imprese critiche o filiere sensibili.
In questi casi il tema può arrivare attraverso:
- richieste contrattuali;
- qualifiche fornitori;
- audit;
- questionari cyber;
- requisiti di continuità operativa;
- richieste di evidenze documentali;
- obblighi di sicurezza richiesti dal committente.
Per le imprese del mondo industriale, metalmeccanico, logistico, impiantistico e dei servizi tecnici, la NIS2 può quindi diventare anche un tema di competitività.
Chi sa dimostrare maggiore ordine su sicurezza, dati, fornitori e continuità può rafforzare il proprio posizionamento verso clienti e filiere.
Chi arriva impreparato rischia invece di trovarsi in difficoltà quando il committente chiederà prove, procedure o requisiti più chiari.
Cosa devono controllare subito i soggetti NIS
Davanti alla scadenza del 30 giugno, le organizzazioni interessate dovrebbero muoversi con metodo.
Il primo passaggio è verificare se l’elenco delle attività e dei servizi è stato predisposto correttamente.
Il secondo è capire se la categorizzazione è coerente con l’impatto reale.
Il terzo è verificare se esistono evidenze a supporto delle scelte compiute.
In pratica, l’azienda dovrebbe chiedersi:
- abbiamo individuato tutte le attività e i servizi rilevanti?
- abbiamo coinvolto le funzioni interne corrette?
- abbiamo considerato produzione, operations, IT, qualità, privacy, compliance e fornitori?
- sappiamo quali sistemi informativi supportano ciascun servizio?
- sappiamo quali dati sono coinvolti?
- abbiamo valutato l’impatto di una compromissione?
- la categoria attribuita è coerente con il rischio reale?
- eventuali scelte diverse dai modelli predefiniti sono motivate e documentate?
- l’elenco è coerente con l’aggiornamento informazioni già effettuato?
- siamo pronti a collegare questa categorizzazione alle misure di sicurezza successive?
Se molte risposte non sono chiare, la scadenza non va sottovalutata.
L’errore da evitare: fare la categorizzazione “a tavolino”
Il rischio più grande è trattare la categorizzazione come un adempimento da compilare rapidamente.
Una categorizzazione fatta male può creare problemi in due direzioni.
Da un lato, può sottostimare attività e servizi realmente critici, lasciando scoperte aree importanti.
Dall’altro, può sovrastimare tutto, generando confusione, costi, priorità sbilanciate e misure non proporzionate.
La logica corretta è diversa: individuare ciò che è veramente rilevante, motivare le scelte, collegare il livello di impatto alle misure di sicurezza e costruire una documentazione difendibile.
Non serve appesantire l’azienda.
Serve renderla più consapevole.
Il valore di un check NIS2 entro il 30 giugno
Per molte imprese, la domanda non è più “la NIS2 ci riguarda?”.
La domanda diventa:
abbiamo fatto bene ciò che dovevamo fare entro il 30 giugno?
Un check NIS2 può aiutare l’azienda a verificare:
- correttezza dell’elenco attività e servizi;
- coerenza della categorizzazione;
- collegamento con sistemi informativi e dati;
- impatto su continuità operativa e processi critici;
- ruolo dei fornitori;
- connessione con privacy/GDPR;
- evidenze documentali;
- coerenza con le misure di sicurezza già adottate o da adottare;
- priorità di intervento dopo la scadenza.
Questo è particolarmente importante per chi non ha ancora un quadro chiaro o per chi ha affrontato la NIS2 solo come tema IT.
La categorizzazione è un passaggio in cui tecnica, organizzazione e governance devono dialogare.
La lettura ICP: dalla scadenza alla governance
Per ICP, questa scadenza non è solo un adempimento normativo.
È una leva concreta per aiutare le aziende a costruire un sistema più ordinato di gestione del rischio.
La categorizzazione delle attività e dei servizi consente di mettere insieme:
- compliance NIS2;
- cybersecurity;
- privacy/GDPR;
- continuità operativa;
- controllo dei fornitori;
- responsabilità della direzione;
- documentazione;
- misure tecniche e organizzative;
- qualità dei processi.
In questa fase, il valore non è produrre carta.
Il valore è aiutare l’azienda a capire cosa deve proteggere prima, meglio e con maggiore evidenza.
Conclusione: il 30 giugno non è una data formale
La scadenza del 30 giugno 2026 deve essere letta per quello che è: un passaggio operativo nel percorso NIS2.
Non basta aver aggiornato informazioni.
Non basta aver parlato di cybersecurity.
Non basta avere un fornitore IT.
Ora serve elencare e categorizzare attività e servizi, comprendere l’impatto di una possibile compromissione e collegare questa analisi alle misure di sicurezza e alla governance aziendale.
Per le aziende coinvolte, aspettare gli ultimi giorni significa aumentare il rischio di compilazioni frettolose, valutazioni incomplete e documentazione debole.
Meglio agire subito, con metodo.
ICP Innovazione Consulenza Progetti S.r.l. supporta le aziende nel percorso NIS2 con attività di analisi, verifica e accompagnamento operativo.
In vista della scadenza del 30 giugno 2026, ICP può aiutare l’azienda a effettuare un check su:
- elenco attività e servizi;
- categorizzazione e impatti;
- sistemi informativi rilevanti;
- dati e privacy/GDPR;
- fornitori e continuità operativa;
- misure tecniche e organizzative;
- documentazione ed evidenze.
Per evitare errori, ritardi o valutazioni incomplete, è opportuno verificare subito la propria posizione e la correttezza delle attività svolte.
Contattare ICP per un primo confronto sul check NIS2 entro il 30 giugno.
NIS2 30 giugno 2026, categorizzazione NIS, elencazione attività e servizi NIS, ACN NIS2, soggetti NIS, misure sicurezza NIS2, cybersecurity aziende, NIS2 imprese industriali, compliance cyber
FAQ – NIS2, elencazione e categorizzazione attività e servizi
1. Che cosa devono fare i soggetti NIS entro il 30 giugno 2026?
Entro il 30 giugno 2026, i soggetti NIS devono completare l’elencazione e categorizzazione delle proprie attività e dei propri servizi tramite piattaforma ACN. In pratica, devono individuare quali attività e servizi sono rilevanti e classificarli in base all’impatto che una loro compromissione potrebbe avere sull’organizzazione, sui clienti, sui servizi erogati e sulla continuità operativa.
2. La scadenza del 30 giugno 2026 è diversa da quella del 31 maggio?
Sì. La scadenza del 31 maggio 2026 riguarda l’aggiornamento annuale delle informazioni da parte dei soggetti NIS, dove applicabile. La scadenza del 30 giugno 2026, invece, riguarda un passaggio distinto: l’elencazione e categorizzazione di attività e servizi. Non va quindi considerata una semplice prosecuzione formale dell’aggiornamento di maggio.
3. Che cosa significa “categorizzare” attività e servizi?
Categorizzare significa attribuire ad attività e servizi una classe di rilevanza in base al possibile impatto di una compromissione. L’azienda deve chiedersi cosa accadrebbe se una determinata attività o un determinato servizio venisse interrotto, alterato, reso indisponibile o compromesso da un incidente cyber.
4. La categorizzazione NIS2 riguarda solo l’IT?
No. L’IT è fondamentale, ma la categorizzazione non è solo un’attività tecnica. Coinvolge anche direzione aziendale, compliance, qualità, privacy, operations, fornitori e responsabili dei processi critici. Per valutare correttamente l’impatto di un servizio compromesso serve conoscere come funziona davvero l’azienda.
5. Perché questa scadenza è importante per la direzione aziendale?
Perché la categorizzazione aiuta a capire quali attività sono davvero critiche per la continuità dell’impresa. Non si tratta solo di sicurezza informatica, ma di responsabilità organizzativa: produzione, servizi, clienti, contratti, fornitori, dati e reputazione possono essere coinvolti da un incidente.
6. Cosa rischia un’azienda se sottovaluta questa attività?
Il rischio principale è arrivare a una categorizzazione incompleta, non coerente o non documentata. Questo può generare difficoltà in caso di verifica, incidente o successiva applicazione delle misure di sicurezza. Una classificazione errata può anche portare l’azienda a proteggere male ciò che è davvero critico.
7. Anche le aziende non direttamente soggette alla NIS2 devono preoccuparsi?
Sì, almeno in alcuni casi. Un’azienda non direttamente soggetta alla NIS2 può essere coinvolta indirettamente come fornitore, partner tecnico, outsourcer o impresa inserita in una filiera critica. Grandi clienti, soggetti pubblici o committenti strutturati potrebbero chiedere evidenze, controlli o requisiti di sicurezza più chiari.
8. Qual è il collegamento tra NIS2 e Privacy/GDPR?
Molte attività e servizi aziendali trattano dati personali. Se un servizio rilevante viene compromesso, l’incidente può avere anche conseguenze privacy e diventare un possibile data breach. Per questo NIS2 e GDPR dovrebbero essere gestiti in modo coordinato, soprattutto su dati, accessi, fornitori, procedure, misure tecniche e documentazione.
9. Quali funzioni aziendali dovrebbero essere coinvolte?
Oltre all’IT, dovrebbero essere coinvolti almeno direzione aziendale, responsabili operations, compliance, qualità, privacy/DPO se presente, responsabili dei fornitori e figure che conoscono i processi critici. La categorizzazione richiede una valutazione dell’impatto reale, non solo una lettura tecnica dei sistemi.
10. Quali domande dovrebbe farsi subito un soggetto NIS?
Le domande principali sono: abbiamo individuato tutte le attività e i servizi rilevanti? Sappiamo quali sistemi li supportano? Conosciamo i fornitori coinvolti? Abbiamo valutato l’impatto di una compromissione? La categorizzazione è coerente con il rischio reale? Abbiamo documentato le scelte fatte?
11. La categorizzazione incide sulle misure di sicurezza successive?
Sì. Una buona categorizzazione aiuta a orientare le misure di sicurezza, le priorità di intervento, la gestione degli incidenti, il controllo dei fornitori e la continuità operativa. Se l’azienda sbaglia a classificare attività e servizi, rischia di impostare male anche le misure successive.
12. Cosa può fare ICP per supportare le aziende?
ICP può supportare l’azienda con un check NIS2 finalizzato a verificare l’elenco delle attività e dei servizi, la coerenza della categorizzazione, il collegamento con sistemi informativi, dati, fornitori, privacy/GDPR, continuità operativa, misure tecniche e documentazione. L’obiettivo è aiutare l’impresa ad arrivare alla scadenza del 30 giugno con un’impostazione ordinata, coerente e dimostrabile.
