La Determinazione n. 155238 del 20 aprile 2026 dell’Agenzia per la Cybersicurezza Nazionale (ACN) rappresenta uno dei passaggi più importanti nel percorso di attuazione della Direttiva NIS2 in Italia. Il provvedimento introduce infatti le modalità operative per l’elencazione e la categorizzazione delle attività e dei servizi svolti dalle organizzazioni pubbliche e private rientranti nel perimetro NIS. Si tratta di una misura destinata ad avere un impatto significativo sulla governance della sicurezza informatica delle imprese italiane.
L’obiettivo principale della direttiva è quello di consentire alle organizzazioni di classificare attività e servizi secondo il loro livello di rilevanza e criticità. L’ACN ha individuato dieci macro-aree organizzative e quattro livelli di impatto: minimo, basso, medio e alto. Questa classificazione servirà a identificare le componenti più critiche dei sistemi informativi e delle reti, così da applicare misure di sicurezza proporzionate al rischio effettivo.
La logica alla base della determinazione è chiara: non tutte le attività aziendali hanno la stessa importanza strategica o lo stesso grado di esposizione alle minacce cyber. Alcuni servizi, se interrotti o compromessi, potrebbero avere effetti limitati; altri invece potrebbero causare gravi danni economici, operativi o reputazionali, con possibili ripercussioni anche sulla continuità dei servizi essenziali per cittadini e imprese.
La direttiva si inserisce nel più ampio quadro della normativa europea NIS2, recepita in Italia con il decreto legislativo n. 138 del 2024. Tale normativa impone a soggetti pubblici e privati operanti in settori strategici – come energia, trasporti, sanità, telecomunicazioni, finanza e servizi digitali – di adottare misure avanzate di cybersicurezza e di notificare eventuali incidenti significativi.
Con il provvedimento del 20 aprile 2026, l’ACN introduce quindi un approccio più maturo e strutturato alla gestione del rischio cyber. Le organizzazioni non dovranno più limitarsi a rispettare obblighi formali, ma saranno chiamate a sviluppare una vera e propria mappatura delle proprie attività critiche. Questo consentirà di orientare meglio gli investimenti in sicurezza e di concentrare gli sforzi di protezione sui sistemi realmente strategici.
Dal punto di vista operativo, le imprese e gli enti coinvolti devono trasmettere i risultati dell’analisi attraverso la piattaforma ACN nel periodo compreso tra il 1° maggio e il 30 giugno 2026. Tale fase rappresenta un momento cruciale, poiché i dati raccolti costituiranno la base per la futura definizione delle cosiddette “misure di sicurezza a lungo termine”, che l’Agenzia elaborerà secondo criteri di gradualità e proporzionalità.
La direttiva assume inoltre una forte valenza strategica sul piano della governance aziendale. La cybersicurezza non viene più considerata soltanto una questione tecnica affidata ai reparti IT, ma un tema trasversale che coinvolge management, compliance, risk management e supply chain. In questo senso, il provvedimento dell’ACN spinge le organizzazioni italiane verso una maggiore maturità digitale e una cultura della sicurezza più integrata.
In conclusione, la determinazione del 20 aprile 2026 rappresenta un tassello fondamentale nell’evoluzione del sistema nazionale di cybersicurezza. Attraverso la categorizzazione delle attività e dei servizi, l’ACN punta a costruire un modello più resiliente, capace di affrontare le minacce informatiche con strumenti mirati e proporzionati. Per le aziende italiane, si apre una nuova fase in cui la compliance normativa diventa anche un’opportunità per rafforzare competitività, affidabilità e continuità operativa.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio