Con il 2026 la direttiva NIS2, recepita in Italia dal D.Lgs. 138/2024, entra nella fase di piena applicazione operativa. Per gli ISP e i fornitori di reti pubbliche di comunicazione elettronica non si tratta di un adempimento formale: sono classificati come soggetti essenziali, con obblighi rafforzati e controlli attesi da parte dell’Agenzia per la Cybersicurezza Nazionale (ACN).
Chi è coinvolto
Rientrano nel perimetro gli operatori di telecomunicazioni, i data center provider, i fornitori di servizi cloud, CDN, DNS e IXP. La classificazione come soggetto essenziale o importante dipende da dimensione aziendale e criticità del servizio, ma per la maggior parte degli ISP italiani l’inquadramento come essenziale è la regola.
Obblighi di reporting: la finestra delle 24 ore
Il regime di notifica è articolato su tre livelli temporali:
- Pre-allerta entro 24 ore dalla scoperta di un incidente significativo
- Notifica completa entro 72 ore, con valutazione iniziale di gravità e impatto
- Relazione finale entro 30 giorni, con analisi dettagliata e misure correttive
La finestra delle 24 ore impone processi di detection e triage strutturati, non gestibili in modo ad hoc.
Misure tecniche e organizzative
L’articolo 24 del decreto elenca misure minime obbligatorie: analisi del rischio, gestione degli incidenti, business continuity, sicurezza della supply chain, cifratura, controllo accessi, MFA, formazione del personale e sicurezza delle risorse umane. Ogni misura deve essere documentata e verificabile.
Responsabilità del management
Gli organi amministrativi approvano le misure di gestione del rischio e ne sorvegliano l’attuazione. È prevista formazione obbligatoria per dirigenti e responsabilità personali in caso di violazioni.
Sanzioni
Per i soggetti essenziali le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore. Sono previste anche misure non pecuniarie come la sospensione temporanea di certificazioni e funzioni dirigenziali.
Cosa fare nel 2026
- Verificare la registrazione presso ACN e l’aggiornamento dei dati
- Mappare asset, servizi critici e fornitori
- Definire runbook di incident response allineati alle scadenze di notifica
- Rafforzare logging, SIEM e capacità di detection
- Formalizzare requisiti di sicurezza contrattuali verso la supply chain
- Pianificare audit interni e test di continuità operativa
La conformità NIS2 non è un progetto puntuale ma un modello operativo continuo. Per gli ISP significa portare la sicurezza al livello dei processi di rete e dei servizi erogati ai clienti.