NIS2 telecomunicazioni: obblighi e cosa cambia

Sì, il settore rientra, e rientra senza soglie. Fornitori di reti pubbliche di comunicazione elettronica e fornitori di servizi di comunicazione elettronica accessibili al pubblico stanno nel settore 8 dell'Allegato I del D.Lgs. 138/2024, le infrastrutture digitali, e l'art. 3 c. 5 lett. b) li include indipendentemente dalle loro dimensioni. Da media impresa si è già soggetto essenziale. L'autorità è l'ACN.

La domanda vera, però, è un'altra: il Codice delle comunicazioni elettroniche regolava già la sicurezza delle reti e imponeva già di comunicare gli incidenti significativi. Il punto non è se fare sicurezza, ma quale parte del lavoro fatto resta valida e a chi si risponde adesso.

Dove sta il settore negli allegati del D.Lgs. 138/2024

L'Allegato I elenca i settori ad alta criticità. Il settore 8 è quello delle infrastrutture digitali, e fra le tipologie compaiono, alla lettera, "Fornitori di reti pubbliche di comunicazione elettronica" e "Fornitori di servizi di comunicazione elettronica accessibili al pubblico", accanto a DNS, registri dei nomi di dominio, cloud, data center e prestatori di servizi fiduciari.

Le definizioni non sono nuove: l'art. 2 c. 1 lett. fff) e ggg) rinviano alla direttiva (UE) 2018/1972. E un dettaglio evita una doppia contabilità: nel settore 10, lo spazio, la tipologia porta l'inciso "esclusi i fornitori di reti pubbliche di comunicazione elettronica".

La dimensione non decide se rientri, decide come

Per la maggior parte dei settori la porta d'ingresso è l'art. 3 c. 2: il decreto si applica ai soggetti degli allegati I e II che superano i massimali per le piccole imprese ai sensi dell'articolo 2, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE. Quel paragrafo definisce la piccola impresa come "un'impresa che occupa meno di 50 persone e realizza un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di EUR": fra il criterio degli effettivi e quello finanziario c'è una e, fra fatturato e bilancio c'è una o.

Per le telecomunicazioni quella soglia non filtra nessuno: l'art. 3 c. 5 lett. b) applica il decreto a questi fornitori indipendentemente dalle dimensioni. Un operatore locale con venti dipendenti è dentro come uno nazionale.

Essenziale o importante

• Grande impresa. Chi sta nell'Allegato I e supera i massimali per le medie imprese dell'articolo 2, paragrafo 1, della raccomandazione 2003/361/CE è soggetto essenziale (art. 6 c. 1 lett. a).
• Media impresa. Negli altri settori dell'Allegato I sarebbe soggetto importante. Qui no: l'art. 6 c. 1 lett. c) considera essenziali i fornitori di cui all'art. 3 c. 5 lett. b) "che si considerano medie imprese ai sensi dell'articolo 2 dell'allegato alla raccomandazione 2003/361/CE".
• Sotto la media impresa. Si resta nel perimetro come soggetto importante: l'art. 6 c. 3 qualifica importanti tutti i soggetti dell'art. 3 non considerati essenziali.

Sul conteggio, l'art. 3 c. 4 richiama l'articolo 6, paragrafo 2, dell'allegato alla raccomandazione per imprese collegate e associate, con una salvaguardia quando ciò non sia proporzionato: una società piccola dentro un gruppo grande può risultare grande. I criteri generali sono in a chi si applica la NIS2.

Cosa cambia fra le due qualifiche

• Misure di base. La Determinazione ACN n. 379907 del 19 dicembre 2025 le stabilisce in quattro allegati asimmetrici: 1 per gli importanti, 2 per gli essenziali, 3 e 4 per gli incidenti significativi di base. Secondo la Guida alla lettura dell'ACN sono 37 misure con 87 requisiti per gli importanti e 43 misure con 116 requisiti per gli essenziali.
• Vigilanza. Verso gli importanti i poteri di verifica e ispettivi si applicano solo quando l'ACN riceve elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni (art. 36 c. 2). Per gli essenziali quel presupposto non serve.
• Sanzioni. Per gli essenziali il massimo è 10 milioni di euro o il 2% del fatturato mondiale se superiore, per gli importanti 7 milioni o l'1,4% (art. 38 c. 9), come in sanzioni NIS2.

Registrazione e termini della coorte in corso

La registrazione è annuale e a finestra fissa: l'art. 7 la colloca dal 1° gennaio al 28 febbraio, l'ACN redige l'elenco entro il 31 marzo e comunica in piattaforma inserimento, permanenza o espunzione, e dal 15 aprile al 31 maggio si aggiornano indirizzamento IP, nomi di dominio e nominativi. Il percorso è in ACN e NIS2: ruolo, registrazione e obblighi.

Per chi è entrato in elenco per la prima volta nel 2026 valgono i termini della Determinazione ACN n. 127434/2026 del 13 aprile 2026:

1. Referente CSIRT entro il 31 dicembre 2026. L'art. 7 della Determinazione ACN n. 127437/2026 chiede che sia designato dal punto di contatto entro la fine dell'anno di inserimento, con almeno competenze di base in gestione degli incidenti.
2. Notifica degli incidenti significativi di base dal 1° gennaio 2027 (art. 1 c. 2).
3. Misure di sicurezza di base entro il 31 luglio 2027 (art. 1 c. 1). Chi era in elenco dal 2025 resta sui termini dell'art. 3 della 379907/2025: diciotto mesi per le misure e nove per la notifica dalla comunicazione di inserimento.

Il regime transitorio scritto apposta per gli operatori telco

È il punto che risponde alla domanda iniziale. La Determinazione 379907/2025 definisce all'art. 1 lett. s) gli operatori telco: i soggetti NIS che forniscono reti pubbliche o servizi di comunicazione elettronica accessibili al pubblico ai sensi del D.Lgs. 259/2003 a un numero di utenti pari o superiore, anche alternativamente, all'1% della base nazionale secondo l'Osservatorio trimestrale dell'Autorità per le garanzie nelle comunicazioni, oppure a un milione.

Per questi soggetti l'art. 6 c. 1 prevede che, limitatamente ai sistemi informativi e di rete telco, essi "assicurano il mantenimento delle misure di sicurezza e di integrità delle reti e dei servizi già adottate prima dell'entrata in vigore del decreto NIS ai sensi del decreto del Ministro dello sviluppo economico del 12 dicembre 2018".

Quel decreto, in Gazzetta Ufficiale n. 17 del 21 gennaio 2019 con il titolo "Misure di sicurezza ed integrità delle reti di comunicazione elettronica e notifica degli incidenti significativi", è il regime preesistente: politica di sicurezza approvata dalla direzione, gestione del rischio sugli asset critici, ruoli e responsabilità, requisiti verso le terze parti, formazione, sicurezza fisica e logica. Si applicava, all'art. 3 c. 2, alla stessa utenza che l'ACN ha poi ripreso.

Il lavoro fatto non si butta, ma va letto per quello che è: un presidio da mantenere sui sistemi di rete telco, che convive con le misure dell'allegato 1 o 2 senza sostituirle.

Le soglie di incidente che il settore si porta dietro

L'art. 6 c. 2 stabilisce che, nel definire il livello di servizio atteso degli allegati 3 e 4, gli operatori telco considerano incidenti significativi di base almeno cinque casi, combinazioni di durata del disservizio e utenti colpiti sul totale nazionale del servizio: oltre un'ora e più del 15%, oltre due ore e più del 10%, oltre quattro ore e più del 5%, oltre sei ore e più del 2%, oltre otto ore e più dell'1%. Sono le stesse soglie dell'art. 5 c. 2 del decreto ministeriale del 2018.

I tempi della notifica cambiano, e non di poco

Il vecchio impianto chiedeva una segnalazione entro ventiquattro ore dalla rilevazione e un rapporto entro cinque giorni. L'art. 25 c. 5 introduce una catena diversa, verso il CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore con valutazione iniziale di gravità e impatto, relazione intermedia su richiesta e relazione finale entro un mese.

Cambia anche il metro. L'art. 25 c. 4 è più largo di una soglia di disservizio: conta l'incidente che ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie, oppure ripercussioni su altre persone con perdite considerevoli. Le soglie telco sono un minimo, non un tetto. E le 24 ore decorrono da quando si viene a conoscenza: chi se ne accorge tardi ha un problema di rilevamento, non di modulistica. I dettagli sono in notifica degli incidenti NIS2.

Cosa è stato abrogato del Codice delle comunicazioni elettroniche

L'art. 41 c. 3 del D.Lgs. 138/2024 interviene sul D.Lgs. 1° agosto 2003, n. 259 e dispone che "l'articolo 30, comma 26, e gli articoli 40 e 41 sono abrogati". Non è abrogato il Codice: sono abrogati i suoi articoli sulla sicurezza. L'art. 40 individuava le misure e i casi di incidente significativo, l'art. 41 reggeva attuazione e controllo con istruzioni vincolanti e verifiche a onere dell'impresa, l'art. 30 c. 26 puniva l'inosservanza con sanzioni fino a 1.800.000 euro. Oggi il riferimento sanzionatorio è l'art. 38 del decreto NIS.

La cerniera fra i due mondi è l'art. 41 c. 4: i provvedimenti attuativi degli articoli 40 e 41 del Codice continuano ad applicarsi fino all'adozione delle determinazioni di cui all'art. 40 c. 5 lett. l). Quelle determinazioni sono arrivate: la 379907/2025 aggiorna e sostituisce la precedente n. 164179 del 14 aprile 2025 e si applica dal 15 gennaio 2026. Un documento interno che rimanda ancora alla 164179 è superato.

E AGCOM?

Il D.Lgs. 138/2024 non designa l'Autorità per le garanzie nelle comunicazioni come Autorità di settore NIS. L'art. 11 c. 2 lett. c) n. 1 affida le infrastrutture digitali al Ministero delle imprese e del made in Italy, l'Autorità nazionale competente NIS è l'ACN e le notifiche vanno al CSIRT Italia. AGCOM resta nel meccanismo in un punto preciso: il dato del suo Osservatorio è la base di calcolo con cui la determinazione stabilisce chi è operatore telco, e quindi chi eredita il regime transitorio.

Cosa fare, e in che ordine

1. Fissa la qualifica, essenziale o importante, con i massimali della raccomandazione 2003/361/CE e le imprese collegate: da qui dipende quale allegato si applica.
2. Designa referente CSIRT e sostituto: è chi farà materialmente la notifica alle tre di notte.
3. Mappa i sistemi di rete telco, quelli per l'accesso alla rete fissa o mobile individuati come critici perché in grado di servire l'1% dell'utenza nazionale per quel servizio o un milione di utenti.
4. Fai il delta contro l'allegato 1 o 2. Catena di approvvigionamento, crittografia, autenticazione a più fattori e valutazione dell'efficacia sono elementi dell'art. 24 c. 2 da verificare uno per uno, e sopra ci va l'art. 23: le modalità di implementazione le approvano gli organi di amministrazione e direttivi, che ne rispondono.

In sintesi

Per un operatore di comunicazione elettronica la NIS2 non arriva su un terreno vuoto. Il settore è nell'Allegato I, rientra a prescindere dalla dimensione e da media impresa è già essenziale: la prima verifica non è sul perimetro, è sulla qualifica. Gli articoli del Codice sulla sicurezza sono abrogati, ma le misure del decreto del 2018 restano da mantenere sui sistemi di rete telco, con le cinque soglie di incidente che il settore conosce già. Sopra ci vanno l'art. 25 e l'allegato della propria categoria. Il quadro d'insieme è nella guida completa alla NIS2.

Se il punto aperto è accorgersi di un incidente entro il tempo che la norma dà per notificarlo, guarda come lavoriamo sui servizi NIS2.