Questa guida illustra gli obblighi specifici per operatori di telecomunicazioni classificati come entità essenziali secondo l'Annex I della NIS2. Scoprirai come implementare la sicurezza dell'infrastruttura di rete, gestire la catena di fornitura e rispettare i termini di notifica degli incidenti secondo il D.Lgs. 138/2024.
Rientrano in questa categoria gli operatori di telecomunicazioni che forniscono servizi di accesso pubblico, trasmissione di dati o interconnessione di rete in Italia. Sono inclusi i principali ISP, gli operatori di telefonia mobile, i provider di reti di distribuzione di contenuti (CDN) e gli operatori di reti core che servono una popolazione significativa di utenti finali. La classificazione come entità essenziale è automatica per gli operatori storici e per coloro che gestiscono infrastrutture critiche di backbone nazionale.
Implementare controlli di sicurezza specifici su router core, sistemi di routing BGP e risolutori DNS autoritativi. Ciò include la filtratura delle rotte BGP contro il dirottamento, l'implementazione di RPKI (Resource Public Key Infrastructure) e la segregazione della rete di gestione dai percorsi dati. Ogni operatore deve documentare la topologia di rete e i meccanismi di protezione contro anomalie di routing e attacchi DDoS volumetrici.
Segnalare all'ACN (Agenzia per la Cybersicurezza Nazionale) entro 24 ore qualunque incidente di sicurezza che incida su oltre il 25% della popolazione di abbonati o che causi un'interruzione superiore a 30 minuti. Entro 72 ore è richiesto un rapporto dettagliato comprensivo di causa radice, impatto, misure correttive e timeline di ripristino. Il mancato rispetto dei termini di notifica espone a penalità fino a €10 milioni o il 2% del fatturato annuale.
Valutare e monitorare continuamente i vendor di equipaggiamenti critici (router, switch, antenne base station) rispetto a rischi di sicurezza, vulnerabilità note e integrità del firmware. Implementare procedimenti formali di verifica degli aggiornamenti di sicurezza prima del deployment in produzione e mantenere un inventario aggiornato di versioni firmware in uso su dispositivi critici. È obbligatorio escludere dalla rete apparati per i quali il produttore ha cessato il supporto di sicurezza.
Garantire che i sistemi di intercettazione legittima (LI) siano isolati dalla rete operativa mediante segmentazione rigorosa e autenticazione multifattoriale per l'accesso. Implementare logging e auditing di tutte le operazioni di intercettazione e garantire che le credenziali di accesso siano gestite secondo principi zero-trust. La documentazione dei controlli di accesso deve essere disponibile per le verifiche dell'ACN.
Attivare sistemi di monitoraggio real-time su dispositivi di rete critica e segmenti di backbone, con capacità di rilevare anomalie di traffico, tentativi di accesso non autorizzato e comportamenti anomali del protocollo. Implementare un processo formale di gestione delle vulnerabilità che includa scansioni periodiche, valutazione del rischio e patching pianificato, con tempi di risoluzione differenziati secondo la severità. Documentare tutti gli strumenti di monitoring e i loro parametri di configurazione.
La notifica entro 24 ore deve essere una comunicazione tempestiva all'ACN che confermi l'occorrenza di un incidente di sicurezza che incide su oltre il 25% della popolazione di abbonati o causa interruzione superiore a 30 minuti, anche se i dettagli non sono ancora completi. Il rapporto completo entro 72 ore deve contenere causa radice, impatto quantificato, misure correttive implementate e timeline di ripristino del servizio. Entrambi i termini sono obbligatori e il mancato rispetto espone a penalità fino a €10 milioni.
La popolazione di abbonati rilevante per il calcolo è quella effettivamente servita dalla risorsa critica interessata dall'incidente. Un operatore mobile deve calcolare la percentuale sulla base degli abbonati nella copertura dell'area geografica colpita dall'interruzione; un ISP deve considerare gli utenti collegati al segmento di rete guasto. È consigliabile mantenere metriche automatiche di calcolo durante un incidente per accelerare la decisione di notifica e documentare il metodo di calcolo nell'incident response plan.
Per entità essenziali come gli operatori telecom, le penalità amministrative possono raggiungere fino a €10 milioni o il 2% del fatturato annuale globale per violazioni gravi (mancata notifica incidenti, assenza di controlli infrastrutturali critici). Violazioni meno gravi di misure importanti (es. gap nel monitoraggio non critici) possono incorrere in penalità fino a €7 milioni o l'1,4% del fatturato. La registrazione presso l'ACN tra 1 gennaio e 28 febbraio ogni anno è prerequisito per evitare ulteriori sanzioni.