NIS2 e ISP: cosa fare entro il 2026 tra obblighi e sanzioni

La direttiva NIS2 (UE 2022/2555) ha ridefinito il perimetro della cybersecurity per i fornitori di servizi digitali e di rete. Gli ISP rientrano tra i soggetti essenziali, con obblighi più stringenti rispetto al regime NIS precedente. Il 2026 sarà l'anno in cui Autorità nazionali e ACN passeranno dalla fase di registrazione a quella di verifica e sanzione.

Chi è coinvolto
Tutti gli operatori di comunicazioni elettroniche, indipendentemente dalla dimensione, rientrano nell'ambito di applicazione. A questi si aggiungono datacenter, fornitori di servizi cloud, CDN e gestori di registri di nomi a dominio. La registrazione presso l'ACN è già obbligatoria.

Tempistiche di reporting
Il regime di notifica è uno degli aspetti più impegnativi:

Entro 24 ore dal rilevamento di un incidente significativo: notifica preliminare (early warning) con indicazione di possibile origine dolosa o impatto transfrontaliero.
Entro 72 ore: notifica dettagliata con valutazione iniziale, gravità, IOC.
Entro 1 mese: relazione finale con analisi delle cause e misure adottate.

Sanzioni
Per i soggetti essenziali sono previste sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, applicando l'importo maggiore. La direttiva introduce inoltre la responsabilità personale degli organi di gestione, che possono essere sospesi temporaneamente dalle funzioni dirigenziali in caso di violazioni gravi.

Cosa fare nel 2026

Gap analysis rispetto alle misure minime previste dall'art. 21: gestione del rischio, incident handling, business continuity, supply chain, MFA, crittografia.
Aggiornamento contrattuale con fornitori upstream, wholesale e vendor IT per includere clausole di sicurezza e notifica.
Test dei piani di incident response con simulazioni che rispettino la finestra delle 24 ore.
Formazione del board: la governance del rischio cyber è esplicitamente in capo agli organi direttivi.
Logging e detection: senza visibilità in tempo reale, la notifica entro 24 ore diventa impossibile.

L'approccio Nexim
Trattiamo NIS2 come elemento architetturale: SOC h24, mitigazione DDoS oltre 1 Tbps, datacenter TIER III/IV, segmentazione di rete e procedure di incident response strutturate sui tempi normativi. La conformità non è un layer aggiunto, ma una proprietà del servizio.