Con il recepimento italiano della Direttiva NIS2 tramite il D.Lgs. 138/2024, gli operatori di telecomunicazioni sono formalmente inquadrati come soggetti essenziali. Il 2026 rappresenta l’anno in cui l’Agenzia per la Cybersicurezza Nazionale (ACN) consoliderà l’attività ispettiva e in cui gli obblighi di notifica saranno pienamente operativi.
Le tempistiche di reporting
Il regime di notifica degli incidenti significativi introduce finestre temporali particolarmente strette, che richiedono una preparazione organizzativa specifica:
- Entro 24 ore dalla scoperta: early warning ad ACN, con indicazione se l’incidente ha origine dolosa o impatto transfrontaliero
- Entro 72 ore: notifica completa con valutazione iniziale della gravità, indicatori di compromissione (IoC) e impatto sui servizi
- Entro 1 mese: report finale con analisi delle cause e misure di mitigazione adottate
Il quadro sanzionatorio
Per i soggetti essenziali sono previste sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo globale, applicando l’importo maggiore. La norma introduce inoltre una responsabilità diretta degli organi di gestione, che possono essere destinatari di provvedimenti individuali in caso di violazioni ripetute o gravi.
Cosa preparare entro il primo trimestre 2026
Un ISP che voglia arrivare pronto alla piena operatività della NIS2 dovrebbe consolidare alcuni elementi minimi:
- Mappatura degli asset di rete e delle dipendenze dalla supply chain, inclusi fornitori di transito e apparati core
- Policy di gestione del rischio approvata formalmente dal board, con evidenze documentali dei processi decisionali
- Piano di incident response testato periodicamente, con runbook specifici per la finestra di notifica delle 24 ore
- Autenticazione multi-fattore su tutti i sistemi di gestione critici e cifratura dei dati sensibili in transito e a riposo
- Formazione documentata del personale tecnico, dei NOC e degli amministratori di sistema
L’aspetto più sottovalutato: la catena decisionale
Nella nostra esperienza operativa, l’ostacolo maggiore per un operatore non è la componente tecnologica, generalmente già presente in forma matura, ma la catena decisionale interna. Rispettare la finestra delle 24 ore richiede che le figure autorizzate a firmare una notifica ad ACN siano identificate ex ante, con deleghe formali e reperibilità garantita anche fuori orario. L’improvvisazione, in questo contesto, si traduce direttamente in ritardo di notifica e quindi in esposizione sanzionatoria.
La compliance NIS2 non è un progetto a termine, ma un processo continuo di governance del rischio cyber che va integrato nei processi operativi dell’ISP.