Questa guida è destinata a direttori della sicurezza, responsabili compliance e ingegneri infrastrutture di operatori di telecomunicazioni, ISP e provider di servizi di distribuzione contenuti in Italia. Apprenderete gli obblighi concreti della NIS2 sulla sicurezza delle infrastrutture di rete critiche e le scadenze vincolanti fino a ottobre 2026.
Rientrano negli obblighi NIS2 gli operatori di telecomunicazioni con almeno 10.000 utenti finali, i fornitori di servizi Internet con infrastruttura di rete in Italia, gli operatori di reti mobili pubbliche e i provider di reti di distribuzione contenuti (CDN) che forniscono servizi critici nel territorio italiano. Anche gli operatori più piccoli con infrastrutture strategiche possono essere classificati come entità essenziali dall'Autorità per la Cibersicurezza Nazionale.
Dovete implementare protezioni sugli elementi critici della vostra rete: router principali, sistemi di risoluzione DNS, gateway di confine e punti di interconnessione. Ciò include segmentazione di rete, monitoring in tempo reale del traffico anomalo e controlli di accesso privilegiato su tutti i dispositivi critici. Ogni modifica alla configurazione BGP, DNS o all'instradamento deve essere registrata e sottoposta a approvazione.
Implementate RPKI (Resource Public Key Infrastructure) e ASPA (Autonomous System Provider Authorization) per prevenire il dirottamento di rotte BGP. Configurate filtri aggressivi per rifiutare annunci di rotte che non corrispondono al vostro numero di sistema autonomo e a quelli dei vostri peer diretti. Verificate settimanalmente l'efficacia dei filtri attraverso strumenti di validazione RPKI.
Dovete notificare all'Autorità per la Cibersicurezza Nazionale entro 24 ore dal rilevamento qualsiasi incidente di sicurezza che causi disservizi ai servizi critici e che interessi oltre il 5% della vostra base di abbonati finali o oltre 100.000 utenti. La notifica deve includere: tipo di incidente, numero di utenti colpiti, durata dell'interruzione e misure correttive immediate intraprese.
Valutate e monitorate la sicurezza dei vostri fornitori di apparati critici (router, switch, stazioni radio base, attrezzature DNS). Stabilite contratti che obblighino i fornitori a comunicare le vulnerabilità entro 48 ore dal rilevamento, a garantire firmware con supporto di sicurezza almeno per 5 anni e a sottomettersi a audit di sicurezza annuali. Identificate e catalogate tutti i componenti con licenze software scadute o firmware non più supportati.
Proteggete i sistemi di lawful interception con autenticazione multi-fattore, criptografia end-to-end e segregazione di rete ristretta. Mantenete audit trail completi di tutti gli accessi ai dati di intercettazione. Garantite che il personale autorizzato all'accesso passi clearance di sicurezza nazionale annuali e riceva formazione specifica sulla gestione di informazioni sensibili.
La soglia principale è il possesso di almeno 10.000 utenti finali in Italia. Tuttavia, anche operatori più piccoli che gestiscono infrastrutture critiche (ad esempio, DNS pubblico, backbone internazionale, interconnessioni strategiche) possono essere designati come entità essenziali dall'Autorità per la Cibersicurezza Nazionale secondo criteri di criticità. L'ACN comunicherà la classificazione ufficiale mediante decreto entro il 30 giugno 2025.
Le sanzioni amministrative per la mancata conformità NIS2 variano da 50.000 a 5.000.000 di euro per entità essenziali (Articolo 41 D.Lgs. 138/2024). Violazioni di obblighi specifici come la segnalazione di incidenti o la sicurezza BGP comportano sanzioni aggravate fino a 10 milioni di euro. Gli operatori che non avviano misure concrete di conformità entro il 2025 rischiano azioni esecutive dell'ACN.
La documentazione deve includere: inventario completo dei sistemi autonomi e peer BGP, configurazione RPKI con data di validazione, log delle rotte rifiutate negli ultimi 12 mesi, policy di filtrazione del prefisso e risultati di test di penetrazione su BGP hijacking. L'audit deve essere condotto da un valutatore di sicurezza ICT riconosciuto dall'ACN e il rapporto deve essere conservato per almeno 2 anni.