NIS2 per telecomunicazioni, provider internet, DNS e servizi fiduciari

Nella NIS2 la regola generale è che si entra dalla media impresa in su. Per una parte delle infrastrutture digitali non è così: operatori di telecomunicazioni, provider internet, fornitori di servizi DNS, registri dei domini di primo livello e prestatori di servizi fiduciari sono dentro a prescindere dalla dimensione (art. 3, c. 5). Un provider con dieci dipendenti, o chi gestisce i DNS dei domini dei clienti, può essere soggetto NIS come un grande operatore nazionale.

Questa guida spiega chi rientra, con quale status, quali regole in più valgono per DNS e servizi fiduciari e cosa cambia nella gestione degli incidenti. La registrazione dei domini per conto dei clienti, altra attività sempre inclusa, ha una guida a parte: e-commerce, marketplace e domini.

Chi è dentro, e con quale status

Lo schema viene dalla FAQ ACN A1.8.1 e dagli articoli 3 e 6 del decreto. Da notare che un operatore di telecomunicazioni diventa essenziale già da media impresa, non solo da grande come negli altri settori dell'allegato I.

Operatori e provider internet

La definizione di servizio di comunicazione elettronica riprende il codice europeo delle comunicazioni elettroniche e comprende tre famiglie: l'accesso a internet, i servizi di comunicazione interpersonale, come la telefonia, e i servizi di trasmissione di segnali, compresi quelli da macchina a macchina e la diffusione radiotelevisiva. Sono esclusi i servizi che forniscono contenuti o ne hanno il controllo editoriale (FAQ A1.8.1). In pratica sono dentro, anche se piccoli:

• i provider che offrono connettività in fibra, radio o mobile al pubblico, compresi i piccoli operatori locali;
• chi offre al pubblico servizi di telefonia;
• chi gestisce una rete pubblica di comunicazione elettronica, anche senza vendere direttamente il servizio agli utenti finali.

Per la giurisdizione gli operatori seguono una regola propria: sono soggetti alla legge di ogni Stato in cui offrono i servizi, non solo di quello in cui hanno sede (art. 5, c. 1, lett. a; FAQ AMB.ES.1).

Gli operatori più grandi, quelli con almeno l'1% degli utenti nazionali o un milione di utenti, hanno due regole in più nella determinazione ACN 379907/2025. Devono mantenere le misure già adottate per i sistemi di accesso critici secondo il decreto ministeriale del 12 dicembre 2018 (art. 6, c. 1) e considerano incidenti significativi almeno i disservizi che superano queste combinazioni di durata e utenti colpiti (art. 6, c. 2):

Per un piccolo provider il riferimento sono invece i livelli di servizio che scrive lui stesso (misura DE.CM-01): un disservizio che li supera è un incidente significativo di tipo IS-3.

DNS e registri dei domini

È fornitore di servizi DNS chi offre, in alternativa, la risoluzione ricorsiva dei nomi di dominio accessibile al pubblico per gli utenti di internet, oppure la risoluzione autoritativa per uso da parte di terzi (art. 2, c. 1, lett. oo). Sono esclusi i server dei nomi radice. La seconda ipotesi è quella che sorprende di più: un'azienda di hosting o una web agency che fa puntare i domini dei clienti ai propri server DNS autoritativi è un fornitore di servizi DNS, e quindi un soggetto essenziale anche se è una microimpresa. Chi gestisce i DNS solo per i propri domini non rientra in questa voce, perché manca l'uso da parte di terzi.

La proposta europea di modifica della NIS2, COM(2026) 13, toglierebbe dall'ambito i micro e piccoli fornitori di servizi DNS. Non è stata adottata: oggi sono dentro.

Per DNS e registri si applica anche il regolamento (UE) 2024/2690, con soglie proprie di incidente significativo. Per un fornitore DNS (art. 5) lo sono, tra l'altro, un servizio di risoluzione completamente indisponibile per più di 30 minuti, un tempo medio di risposta superiore a 10 secondi per più di un'ora, o la compromissione dei dati del servizio autoritativo, salvo errori di configurazione che riguardano meno di 1.000 domini e non più dell'1% di quelli gestiti. Per i registri (art. 6) basta l'indisponibilità completa del servizio autoritativo.

I registri di primo livello hanno inoltre gli obblighi sulla banca dei dati di registrazione dei domini (art. 29), condivisi con chi registra i domini. Nell'aggiornamento annuale un fornitore DNS non deve elencare all'ACN tutti i domini presenti nei suoi DNS, ma solo quelli che ha in uso o in disponibilità per contratto (FAQ IPD.11).

Servizi fiduciari: firme, sigilli, marche temporali

I prestatori di servizi fiduciari secondo il regolamento eIDAS (regolamento (UE) 910/2014, modificato dal 2024/1183) sono dentro a prescindere dalla dimensione: firme e sigilli elettronici, validazione temporale, recapito elettronico certificato, certificati di autenticazione dei siti web e gli altri servizi del regolamento. Lo status dipende dalla qualifica: i qualificati sono sempre essenziali, i non qualificati importanti, salvo che siano grandi imprese (FAQ A1.8.1).

Due regole li distinguono dagli altri soggetti:

• tempi di notifica più stretti: per gli incidenti che incidono sulla fornitura dei servizi fiduciari, la notifica che per tutti arriva entro 72 ore va fatta entro 24 ore (art. 25, c. 6);
• soglie di incidente proprie nel regolamento 2024/2690 (art. 14): per esempio un servizio fiduciario completamente indisponibile per più di 20 minuti, o non disponibile per più di un'ora nell'arco di una settimana, o la compromissione dell'accesso fisico alle aree riservate al personale di fiducia.

Restano gli obblighi verso l'organismo di vigilanza previsto dal regolamento eIDAS, che in Italia è l'AgID.

Autorità di settore e misure

Per tutte le infrastrutture digitali l'autorità di settore è il Ministero delle imprese e del made in Italy (art. 11, c. 2, lett. c); registrazione, vigilanza e sanzioni sono dell'ACN. Le misure da applicare sono quelle di base dell'ACN: 43 misure e 116 requisiti per gli essenziali, 37 e 87 per gli importanti (le misure di sicurezza di base). Per DNS, registri e servizi fiduciari si aggiungono i requisiti tecnici del regolamento 2024/2690, con le sue cadenze annuali.

Ricordate anche il punto di vista dei clienti. Per un'azienda soggetta alla NIS2 la connettività, se non è ridondata, è una fornitura informatica non sostituibile, e va indicata all'ACN tra i fornitori rilevanti (FAQ FRN.4): aspettatevi richieste su continuità del servizio, tempi di ripristino e avvisi in caso di guasto.

Un incidente concreto: i router dei clienti

Un piccolo provider regionale, soggetto importante, scopre che una vulnerabilità del firmware dei router installati presso i clienti è stata sfruttata. Per sei ore una parte degli abbonati resta senza connessione, e su alcuni router gli attaccanti hanno cambiato i DNS, mandando gli utenti su pagine di phishing.

• Il disservizio supera i livelli di servizio scritti dal provider: IS-3.
• Le configurazioni alterate hanno effetti sugli utenti: IS-2, perdita di integrità con impatto verso l'esterno.
• Pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.

Avvisare gli abbonati, con le azioni che possono fare per proteggersi, è una scelta da fare sentito il CSIRT Italia, se opportuno e possibile (art. 25, c. 9-10), e l'ACN può imporla (art. 37, c. 3). Se gli stessi DNS fossero stati quelli autoritativi offerti ai clienti, il provider sarebbe stato anche un fornitore di servizi DNS, con le soglie dell'articolo 5 del regolamento europeo. I tempi e i contenuti delle notifiche sono in la notifica degli incidenti.

Da dove partire

1. Elencate i servizi che offrite a terzi: connettività, telefonia, DNS ricorsivi o autoritativi, servizi fiduciari, interscambio.
2. Ricordate che la dimensione non vi salva: per queste voci conta solo il servizio. Serve però a capire lo status.
3. Preparate la registrazione nella finestra dal 1° gennaio al 28 febbraio, se non l'avete già fatta.
4. Scrivete i livelli di servizio e le soglie di notifica per ciascun servizio, comprese quelle del regolamento europeo se vi riguarda.

La verifica gratuita vi dice in pochi minuti se siete dentro e con quale status. Pilot vi accompagna poi in otto tappe, dalle misure allo scadenzario dei documenti: iniziate gratis. Se preferite essere seguiti, c'è la consulenza NIS2 dello Studio.

Domande frequenti