La Direttiva NIS2 (UE 2022/2555), recepita in Italia con il D.Lgs. 138/2024, entra nel 2026 nella sua fase pienamente operativa. Per gli Internet Service Provider e gli operatori di telecomunicazioni, classificati come soggetti essenziali, gli obblighi non sono più teorici: ACN ha strumenti di verifica, ispezione e sanzione già attivi.
Chi è coinvolto
Rientrano nel perimetro tutti gli operatori di reti pubbliche di comunicazione elettronica e i fornitori di servizi di comunicazione elettronica accessibili al pubblico, indipendentemente dalla dimensione. Per gli ISP la classificazione come soggetto essenziale è automatica, con conseguente applicazione del regime sanzionatorio più severo.
Gli obblighi operativi per il 2026
- Registrazione sulla piattaforma ACN e aggiornamento annuale dei dati, con nomina del referente NIS e del sostituto.
- Reporting incidenti su tre finestre temporali: pre-notifica entro 24 ore dalla conoscenza, notifica dettagliata entro 72 ore, relazione finale entro 30 giorni.
- Misure tecniche e organizzative minime: gestione del rischio, sicurezza della supply chain, MFA, segmentazione di rete, cifratura, gestione vulnerabilità, backup verificati, piani di continuità operativa e disaster recovery testati.
- Formazione degli organi di amministrazione, che rispondono direttamente della compliance.
Sanzioni
Per i soggetti essenziali le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, applicando il valore più elevato. È prevista anche la possibile responsabilità personale degli amministratori e la sospensione temporanea di ruoli dirigenziali in caso di violazioni gravi e reiterate.
Cosa significa per un ISP
La compliance NIS2 non è un esercizio documentale. Richiede l’integrazione tra ingegneria di rete, SOC, procedure di incident response e governance. Un ISP deve poter dimostrare, con log immutabili e runbook verificati, che l’infrastruttura regge scenari di attacco reali — dal DDoS volumetrico al compromise della supply chain software.
Il percorso operativo consigliato
- Gap analysis rispetto alle misure minime previste dalle determinazioni ACN.
- Definizione del piano di remediation con priorità sui rischi ad alto impatto.
- Implementazione di un SIEM/SOC capace di sostenere il timing di reporting.
- Testing periodico dei piani di continuità e delle procedure di notifica.
Il 2026 non è una scadenza: è l’inizio di un regime di verifica continua. Prepararsi ora significa evitare che il primo incidente diventi anche la prima sanzione.