Il 2026 sarà, per gli operatori di telecomunicazioni italiani, l’anno in cui la Direttiva NIS2 passerà dalla fase di adeguamento formale a quella di verifica effettiva. Con il recepimento tramite il D.Lgs. 138/2024, gli ISP rientrano nella categoria dei soggetti essenziali, con obblighi rafforzati rispetto alla precedente NIS.
Chi è coinvolto
La normativa si applica ai fornitori di reti pubbliche di comunicazione elettronica e ai fornitori di servizi di comunicazione elettronica accessibili al pubblico, indipendentemente dalla dimensione. Rientrano anche datacenter, provider cloud, CDN e registri di nomi a dominio.
Le misure tecniche minime richieste
L’articolo 21 della Direttiva individua un insieme di misure che devono essere adottate secondo un approccio all-hazards:
- politiche di analisi del rischio e sicurezza dei sistemi informatici;
- gestione degli incidenti e piani di continuità operativa;
- sicurezza della supply chain, con valutazione dei fornitori ICT critici;
- gestione delle vulnerabilità e divulgazione coordinata;
- autenticazione a più fattori, cifratura e controllo degli accessi;
- formazione del personale e igiene informatica di base.
Il reporting degli incidenti: la vera sfida operativa
Il regime di notifica è articolato su tre livelli temporali stringenti:
- Early warning entro 24 ore dalla conoscenza dell’incidente significativo, con indicazione della sospetta natura dolosa o dell’impatto transfrontaliero;
- Notifica di incidente entro 72 ore, con valutazione iniziale, gravità, impatto e indicatori di compromissione;
- Relazione finale entro un mese, con descrizione dettagliata, cause profonde e misure di mitigazione adottate.
Per un ISP significa disporre di processi SOC e procedure di escalation già mappati sul modello ACN, non improvvisati al momento dell’evento.
Sanzioni e responsabilità del management
Per i soggetti essenziali le sanzioni amministrative arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, applicando l’importo più elevato. La Direttiva introduce inoltre una responsabilità personale per gli organi di gestione che non vigilino sull’attuazione delle misure, con possibile sospensione temporanea dagli incarichi dirigenziali.
Cosa fare entro il primo trimestre 2026
Registrazione ACN aggiornata, gap analysis rispetto alle misure dell’articolo 21, piano di remediation con priorità, test dei runbook di incident response e revisione contrattuale con i fornitori critici. La compliance NIS2 non è un progetto una tantum ma un processo continuo di gestione del rischio cyber.