Inventario degli apparati, gestione degli accessi, monitoraggio, backup e procedure di incident management: cosa serve concretamente a un ISP per affrontare la NIS2? Nel webinar organizzato da Vayu e Complaion il 12 ottobre 2026 abbiamo approfondito gli aspetti normativi e mostrato alcune soluzioni tecniche per tradurre i requisiti in attività operative. Sono disponibili la registrazione completa e una checklist preliminare per fare il punto sulla propria organizzazione.
NIS2: non è soltanto una questione di conformità
Per gli operatori ISP, WISP e Telco, adeguarsi alla NIS2 significa affrontare una serie di requisiti che coinvolgono la gestione delle infrastrutture, dei processi e della sicurezza aziendale.
Ma significa anche porsi alcune domande concrete: sappiamo esattamente quali apparati fanno parte della nostra rete? Chi può accedervi e con quali permessi? Le configurazioni sono protette da backup? In caso di incidente, siamo in grado di ricostruire cosa è successo e intervenire nei tempi previsti?
Sono alcuni dei temi che abbiamo affrontato il 12 ottobre 2026, durante il webinar organizzato da Vayu insieme al partner Complaion, con gli interventi di:
- Marco Cortinovis, COO e Lead Auditor di Complaion, che ha approfondito obblighi, scadenze, gestione del rischio e procedure di adeguamento.
- Davide Stefanoni, Senior Network Engineer di Vayu, che ha mostrato come affrontare alcuni requisiti attraverso interventi concreti sull’infrastruttura di rete.
Il messaggio emerso dall’incontro è chiaro: l’adeguamento non deve necessariamente partire dall’introduzione di nuovi strumenti, ma dalla conoscenza di ciò che l’azienda già possiede e gestisce.
Da dove partire? Prima conoscere, poi intervenire
Uno dei passaggi centrali del webinar ha riguardato il metodo da seguire per affrontare l’adeguamento.
Il primo passo è fare una fotografia dell’organizzazione: identificare i servizi erogati, i processi utilizzati, gli asset coinvolti e i rischi associati.
Da questa analisi diventa possibile individuare ciò che è già adeguatamente presidiato, quello che richiede miglioramenti e le misure da implementare con maggiore priorità.
Come spiegato da Marco Cortinovis, un percorso strutturato prevede la mappatura dei servizi e dei processi, l’analisi dei rischi, la definizione delle misure di sicurezza, la formalizzazione delle procedure e la verifica periodica della loro applicazione.
Un aspetto particolarmente importante riguarda le evidenze: non è sufficiente dichiarare di aver adottato una misura. Occorre poter dimostrare che venga effettivamente applicata e mantenuta nel tempo.
Questo approccio permette di evitare interventi poco mirati e di concentrare le risorse sulle aree che presentano le criticità maggiori.
Cinque aspetti operativi da verificare nella propria infrastruttura
Durante il webinar, Davide Stefanoni ha approfondito cinque ambiti che gli operatori Telco dovrebbero considerare nel proprio percorso di adeguamento.
1. Inventario: sapere cosa c’è nella propria rete
Un inventario aggiornato e completo degli apparati è il punto di partenza per qualsiasi valutazione del rischio. Molti operatori dispongono già di gestionali, sistemi di monitoraggio o documentazione tecnica che contengono queste informazioni. Il problema, spesso, è che i dati sono distribuiti tra strumenti diversi e non sempre vengono mantenuti aggiornati.
Consolidare l’inventario permette di identificare gli asset critici e applicare misure di sicurezza proporzionate alla loro importanza. Un core router, per esempio, richiede un livello di protezione diverso rispetto a un apparato periferico con un impatto limitato sulla continuità del servizio.
2. Gestione degli accessi: superare le credenziali condivise
Un’altra criticità frequente nelle reti ISP riguarda l’utilizzo di credenziali amministrative condivise tra più tecnici. Quando più persone accedono agli apparati con lo stesso account, ricostruire chi ha effettuato una modifica può diventare difficile. Durante il webinar abbiamo approfondito l’importanza di introdurre accessi nominali, autorizzazioni basate sui ruoli e sistemi di autenticazione centralizzata, anche attraverso protocolli come RADIUS e TACACS+.
L’obiettivo è sapere chi può accedere a ciascun apparato, con quali privilegi e, dove supportato dalla tecnologia utilizzata, quali operazioni sono state effettuate.
3. Monitoraggio e log: raccogliere informazioni realmente utilizzabili
Molti ISP hanno già sistemi di monitoraggio della rete, ma questo non significa necessariamente avere tutte le informazioni necessarie per gestire un incidente. Strumenti diversi possono generare segnalazioni sovrapposte, mentre i log conservati localmente sugli apparati possono andare persi in seguito a un riavvio. Diventa quindi importante verificare che il sistema di monitoraggio individui correttamente le anomalie e che i log rilevanti vengano raccolti e conservati in modo adeguato, per consentire successive analisi.
Un ulteriore aspetto riguarda il controllo delle versioni firmware e delle vulnerabilità note, per programmare aggiornamenti o altre misure di mitigazione.
4. Backup e resilienza: essere pronti a ripristinare la rete
Disporre di un backup non basta, occorre sapere se le configurazioni sono aggiornate, se possono essere recuperate e se le procedure di ripristino consentono di rispettare i tempi previsti. Durante l’incontro abbiamo affrontato anche il tema della resilienza architetturale: identificare i punti critici non ridondati, valutare i possibili single point of failure e verificare periodicamente l’efficacia delle procedure di recovery.
La continuità operativa dipende tanto dalla progettazione dell’infrastruttura quanto dalla capacità di ripristinarla quando qualcosa non funziona.
5. Incident management: procedure chiare e responsabilità definite
In caso di incidente significativo, l’operatore deve essere in grado di riconoscere l’evento, valutarne l’impatto, attivare le persone competenti e rispettare gli obblighi di notifica applicabili. Per i soggetti tenuti alla notifica, il percorso prevede una prima comunicazione entro 24 ore, una notifica successiva entro 72 ore e una relazione finale secondo le tempistiche previste dalla normativa.
Servono quindi procedure documentate, ruoli assegnati e persone preparate ad affrontare situazioni di emergenza. Le procedure devono inoltre essere conosciute e testate: un documento che nessuno sa applicare difficilmente sarà sufficiente quando si verificherà un problema reale.
Radius4ISP: alcuni esempi concreti di sicurezza operativa
Nella seconda parte del webinar, Davide Stefanoni ha mostrato alcune funzionalità di Radius4ISP, la piattaforma Vayu per la gestione tecnica delle reti ISP. Gli esempi presentati hanno riguardato:
- Inventario centralizzato degli apparati, per conoscere e gestire i dispositivi presenti nell’infrastruttura.
- Backup e versioning delle configurazioni, per mantenere uno storico delle modifiche e supportare le attività di ripristino.
- Compliance delle configurazioni, attraverso controlli rispetto a regole e template predefiniti, con alert in caso di anomalie e possibilità di azioni correttive automatiche configurate.
- Gestione centralizzata degli accessi, con utenze nominali, permessi differenziati e tracciamento delle autenticazioni.
- Audit degli accessi e dei comandi, dove supportato dagli apparati e dai protocolli utilizzati, per aumentare la tracciabilità delle operazioni tecniche.
Si tratta di funzionalità che possono contribuire all’attuazione di alcune misure di sicurezza richieste dalla NIS2, integrandosi con le procedure e i processi aziendali.
Naturalmente, l’utilizzo di un software non determina da solo la conformità alla normativa: la valutazione deve riguardare l’organizzazione nel suo complesso e le misure effettivamente adottate.
Le domande degli operatori: firewall, CPE, DNS e fornitori
La sessione finale del webinar è stata dedicata alle domande dei partecipanti, che hanno portato all’attenzione situazioni concrete.
Bastano un firewall e un antivirus aggiornato per essere conformi?
No. Sono strumenti importanti, ma non coprono tutti gli aspetti richiesti: inventario, analisi dei rischi, gestione degli accessi, log, procedure, continuità operativa e governance.
Se abbiamo già un sistema di monitoraggio, dobbiamo sostituirlo?
Non necessariamente. Occorre prima verificare quali requisiti siano già coperti dagli strumenti esistenti e individuare eventuali lacune. Può essere più utile migliorare ciò che funziona e intervenire sulle aree ancora scoperte.
Cosa succede se viene compromessa una CPE installata presso un cliente?
È necessario valutare il perimetro del servizio, le responsabilità contrattuali, le modalità di gestione dell’apparato e l’impatto dell’evento. Non ogni compromissione determina automaticamente un obbligo di notifica NIS2.
Chi offre servizi DNS rientra nella NIS2?
La tipologia di servizio DNS erogato e il ruolo effettivamente svolto dall’operatore sono aspetti rilevanti per determinare l’applicabilità della normativa e la classificazione del soggetto. Anche la distinzione tra erogazione diretta e semplice rivendita richiede un’attenta verifica.
Perché clienti e partner chiedono questionari sulla sicurezza?
Perché la gestione del rischio riguarda anche la catena di fornitura. Un operatore può quindi essere chiamato a documentare le proprie misure di sicurezza nell’ambito dei processi di valutazione dei suoi clienti.
Sono questioni che dimostrano quanto sia importante partire dalle caratteristiche effettive dell’organizzazione, evitando soluzioni identiche per realtà differenti.
NIS2: le scadenze da tenere presenti
Il percorso di adeguamento prevede tempistiche diverse a seconda dell’anno di inserimento nell’elenco dei soggetti NIS e degli obblighi applicabili.
| Soggetti interessati | Scadenza |
|---|---|
| Inseriti nell’elenco NIS nel 2025 e confermati nel 2026 | Misure di sicurezza di base entro 18 mesi dalla comunicazione di inserimento, generalmente tra ottobre e novembre 2026 |
| Inseriti nell’elenco NIS nel 2025 e confermati nel 2026 | Obblighi di notifica degli incidenti significativi di base a partire da 9 mesi dalla comunicazione ricevuta |
| Inseriti per la prima volta nell’elenco NIS nel 2026 | Obblighi di notifica degli incidenti significativi di base dal 1° gennaio 2027 |
| Inseriti per la prima volta nell’elenco NIS nel 2026 | Adozione delle misure di sicurezza di base entro il 31 luglio 2027 |
Le scadenze devono essere verificate rispetto alla situazione del singolo operatore e alle comunicazioni ufficiali ricevute dall’Agenzia per la Cybersicurezza Nazionale.
Per approfondire: Agenzia per la Cybersicurezza Nazionale.
Riguarda il webinar NIS2 di Vayu e Complaion
Vuoi approfondire le indicazioni normative, gli esempi tecnici e le risposte alle domande degli operatori?
Abbiamo messo a disposizione la registrazione completa del webinar del 12 ottobre 2026, con gli interventi di Marco Cortinovis e Davide Stefanoni.
▶️ Guarda la registrazione completa:
Checklist NIS2 per operatori Telco: 8 domande per capire da dove partire
Per aiutare gli operatori a fare una prima valutazione della propria situazione, Vayu e Complaion hanno preparato una checklist preliminare NIS2.
Otto domande per verificare alcuni elementi fondamentali: applicabilità della normativa, responsabilità interne, valutazione del rischio, gestione degli incidenti, backup, controllo degli apparati, sicurezza dei fornitori e preparazione delle persone.
È uno strumento semplice, che non sostituisce un assessment specialistico, ma aiuta a individuare i temi da approfondire.
📄 [Scarica gratuitamente la checklist NIS2 per operatori Telco]
Dalla checklist a un piano di azione concreto
L’adeguamento alla NIS2 richiede competenze normative, organizzative e tecnologiche. La collaborazione tra Vayu e Complaion nasce proprio per mettere insieme queste competenze: Complaion supporta l’analisi del rischio, la definizione delle procedure e le attività di verifica; Vayu affianca gli operatori nell’analisi dell’infrastruttura e nell’individuazione e implementazione degli interventi tecnici necessari.
Il punto di partenza non è aggiungere complessità, ma comprendere che cosa funziona già, quali requisiti sono presidiati e dove è necessario intervenire.
Vuoi fare il punto sulla situazione della tua azienda?
Partiamo dalla checklist: prenota un confronto preliminare con gli esperti Vayu e Complaion per analizzare il tuo contesto e individuare le aree che meritano un approfondimento.