[et_pb_section fb_built=\u00bb1″ custom_padding_last_edited=\u00bbon|phone\u00bb admin_label=\u00bbsection\u00bb _builder_version=\u00bb4.27.6″ custom_padding=\u00bb20px||||false|false\u00bb custom_padding_tablet=\u00bb20px||||false|false\u00bb custom_padding_phone=\u00bb30px||||false|false\u00bb da_disable_devices=\u00bboff|off|off\u00bb global_colors_info=\u00bb{}\u00bb da_is_popup=\u00bboff\u00bb da_exit_intent=\u00bboff\u00bb da_has_close=\u00bbon\u00bb da_alt_close=\u00bboff\u00bb da_dark_close=\u00bboff\u00bb da_not_modal=\u00bbon\u00bb da_is_singular=\u00bboff\u00bb da_with_loader=\u00bboff\u00bb da_has_shadow=\u00bbon\u00bb][et_pb_row custom_padding_last_edited=\u00bbon|phone\u00bb admin_label=\u00bbfila\u00bb _builder_version=\u00bb4.27.6″ background_size=\u00bbinitial\u00bb background_position=\u00bbtop_left\u00bb background_repeat=\u00bbrepeat\u00bb custom_padding_tablet=\u00bb\u00bb custom_padding_phone=\u00bb0px||||false|false\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_column type=\u00bb4_4″ _builder_version=\u00bb4.16″ custom_padding=\u00bb|||\u00bb global_colors_info=\u00bb{}\u00bb custom_padding__hover=\u00bb|||\u00bb][et_pb_text admin_label=\u00bbText\u00bb _builder_version=\u00bb4.27.9″ background_size=\u00bbinitial\u00bb background_position=\u00bbtop_left\u00bb background_repeat=\u00bbrepeat\u00bb global_colors_info=\u00bb{}\u00bb]<\/p>\n
Inventario degli apparati, gestione degli accessi, monitoraggio, backup e procedure di incident management: cosa serve concretamente a un ISP per affrontare la NIS2? Nel webinar organizzato da Vayu e Complaion il 12 ottobre 2026 abbiamo approfondito gli aspetti normativi e mostrato alcune soluzioni tecniche per tradurre i requisiti in attivit\u00e0 operative. Sono disponibili la registrazione completa e una checklist preliminare per fare il punto sulla propria organizzazione.<\/p>\n
Per gli operatori ISP, WISP e Telco, adeguarsi alla NIS2 significa affrontare una serie di requisiti che coinvolgono la gestione delle infrastrutture, dei processi e della sicurezza aziendale.<\/p>\n
Ma significa anche porsi alcune domande concrete: sappiamo esattamente quali apparati fanno parte della nostra rete? Chi pu\u00f2 accedervi e con quali permessi? Le configurazioni sono protette da backup? In caso di incidente, siamo in grado di ricostruire cosa \u00e8 successo e intervenire nei tempi previsti?<\/p>\n
Sono alcuni dei temi che abbiamo affrontato il 12 ottobre 2026<\/strong>, durante il webinar organizzato da Vayu insieme al partner Complaion<\/strong>, con gli interventi di:<\/p>\n Il messaggio emerso dall’incontro \u00e8 chiaro: l’adeguamento non deve necessariamente partire dall’introduzione di nuovi strumenti, ma dalla conoscenza di ci\u00f2 che l’azienda gi\u00e0 possiede e gestisce.<\/strong><\/p>\n Uno dei passaggi centrali del webinar ha riguardato il metodo da seguire per affrontare l’adeguamento.<\/p>\n Il primo passo \u00e8 fare una fotografia dell’organizzazione: identificare i servizi erogati, i processi utilizzati, gli asset coinvolti e i rischi associati.<\/p>\n Da questa analisi diventa possibile individuare ci\u00f2 che \u00e8 gi\u00e0 adeguatamente presidiato, quello che richiede miglioramenti e le misure da implementare con maggiore priorit\u00e0.<\/p>\n Come spiegato da Marco Cortinovis, un percorso strutturato prevede la mappatura dei servizi e dei processi, l’analisi dei rischi, la definizione delle misure di sicurezza, la formalizzazione delle procedure e la verifica periodica della loro applicazione.<\/p>\n Un aspetto particolarmente importante riguarda le evidenze<\/strong>: non \u00e8 sufficiente dichiarare di aver adottato una misura. Occorre poter dimostrare che venga effettivamente applicata e mantenuta nel tempo.<\/p>\n Questo approccio permette di evitare interventi poco mirati e di concentrare le risorse sulle aree che presentano le criticit\u00e0 maggiori.<\/p>\n Durante il webinar, Davide Stefanoni ha approfondito cinque ambiti che gli operatori Telco dovrebbero considerare nel proprio percorso di adeguamento.<\/p>\n Un inventario aggiornato e completo degli apparati \u00e8 il punto di partenza per qualsiasi valutazione del rischio. Molti operatori dispongono gi\u00e0 di gestionali, sistemi di monitoraggio o documentazione tecnica che contengono queste informazioni. Il problema, spesso, \u00e8 che i dati sono distribuiti tra strumenti diversi e non sempre vengono mantenuti aggiornati.<\/p>\n Consolidare l’inventario permette di identificare gli asset critici e applicare misure di sicurezza proporzionate alla loro importanza. Un core router, per esempio, richiede un livello di protezione diverso rispetto a un apparato periferico con un impatto limitato sulla continuit\u00e0 del servizio.<\/p>\n Un’altra criticit\u00e0 frequente nelle reti ISP riguarda l’utilizzo di credenziali amministrative condivise tra pi\u00f9 tecnici. Quando pi\u00f9 persone accedono agli apparati con lo stesso account, ricostruire chi ha effettuato una modifica pu\u00f2 diventare difficile. Durante il webinar abbiamo approfondito l’importanza di introdurre accessi nominali, autorizzazioni basate sui ruoli e sistemi di autenticazione centralizzata<\/strong>, anche attraverso protocolli come RADIUS e TACACS+.<\/p>\n L’obiettivo \u00e8 sapere chi pu\u00f2 accedere a ciascun apparato, con quali privilegi e, dove supportato dalla tecnologia utilizzata, quali operazioni sono state effettuate.<\/p>\n Molti ISP hanno gi\u00e0 sistemi di monitoraggio della rete, ma questo non significa necessariamente avere tutte le informazioni necessarie per gestire un incidente. Strumenti diversi possono generare segnalazioni sovrapposte, mentre i log conservati localmente sugli apparati possono andare persi in seguito a un riavvio. Diventa quindi importante verificare che il sistema di monitoraggio individui correttamente le anomalie e che i log rilevanti vengano raccolti e conservati in modo adeguato, per consentire successive analisi.<\/p>\n Un ulteriore aspetto riguarda il controllo delle versioni firmware e delle vulnerabilit\u00e0 note, per programmare aggiornamenti o altre misure di mitigazione.<\/p>\n Disporre di un backup non basta, occorre sapere se le configurazioni sono aggiornate, se possono essere recuperate e se le procedure di ripristino consentono di rispettare i tempi previsti.\u00a0Durante l’incontro abbiamo affrontato anche il tema della resilienza architetturale: identificare i punti critici non ridondati, valutare i possibili single point of failure e verificare periodicamente l’efficacia delle procedure di recovery.<\/p>\n La continuit\u00e0 operativa dipende tanto dalla progettazione dell’infrastruttura quanto dalla capacit\u00e0 di ripristinarla quando qualcosa non funziona.<\/strong><\/p>\n In caso di incidente significativo, l’operatore deve essere in grado di riconoscere l’evento, valutarne l’impatto, attivare le persone competenti e rispettare gli obblighi di notifica applicabili.\u00a0Per i soggetti tenuti alla notifica, il percorso prevede una prima comunicazione entro 24 ore, una notifica successiva entro 72 ore e una relazione finale secondo le tempistiche previste dalla normativa.<\/p>\n Servono quindi procedure documentate, ruoli assegnati e persone preparate ad affrontare situazioni di emergenza. Le procedure devono inoltre essere conosciute e testate: un documento che nessuno sa applicare difficilmente sar\u00e0 sufficiente quando si verificher\u00e0 un problema reale.<\/p>\n Nella seconda parte del webinar, Davide Stefanoni ha mostrato alcune funzionalit\u00e0 di Radius4ISP<\/strong>, la piattaforma Vayu per la gestione tecnica delle reti ISP. Gli esempi presentati hanno riguardato:<\/p>\n Si tratta di funzionalit\u00e0 che possono contribuire all’attuazione di alcune misure di sicurezza richieste dalla NIS2, integrandosi con le procedure e i processi aziendali.<\/p>\n Naturalmente, l’utilizzo di un software non determina da solo la conformit\u00e0 alla normativa<\/strong>: la valutazione deve riguardare l’organizzazione nel suo complesso e le misure effettivamente adottate.<\/p>\n La sessione finale del webinar \u00e8 stata dedicata alle domande dei partecipanti, che hanno portato all’attenzione situazioni concrete.<\/p>\n Bastano un firewall e un antivirus aggiornato per essere conformi?<\/strong><\/p>\n No. Sono strumenti importanti, ma non coprono tutti gli aspetti richiesti: inventario, analisi dei rischi, gestione degli accessi, log, procedure, continuit\u00e0 operativa e governance.<\/p>\n Se abbiamo gi\u00e0 un sistema di monitoraggio, dobbiamo sostituirlo?<\/strong><\/p>\n Non necessariamente. Occorre prima verificare quali requisiti siano gi\u00e0 coperti dagli strumenti esistenti e individuare eventuali lacune. Pu\u00f2 essere pi\u00f9 utile migliorare ci\u00f2 che funziona e intervenire sulle aree ancora scoperte.<\/p>\n Cosa succede se viene compromessa una CPE installata presso un cliente?<\/strong><\/p>\n \u00c8 necessario valutare il perimetro del servizio, le responsabilit\u00e0 contrattuali, le modalit\u00e0 di gestione dell’apparato e l’impatto dell’evento. Non ogni compromissione determina automaticamente un obbligo di notifica NIS2.<\/p>\n Chi offre servizi DNS rientra nella NIS2?<\/strong><\/p>\n La tipologia di servizio DNS erogato e il ruolo effettivamente svolto dall’operatore sono aspetti rilevanti per determinare l’applicabilit\u00e0 della normativa e la classificazione del soggetto. Anche la distinzione tra erogazione diretta e semplice rivendita richiede un’attenta verifica.<\/p>\n Perch\u00e9 clienti e partner chiedono questionari sulla sicurezza?<\/strong><\/p>\n Perch\u00e9 la gestione del rischio riguarda anche la catena di fornitura. Un operatore pu\u00f2 quindi essere chiamato a documentare le proprie misure di sicurezza nell’ambito dei processi di valutazione dei suoi clienti.<\/p>\n Sono questioni che dimostrano quanto sia importante partire dalle caratteristiche effettive dell’organizzazione, evitando soluzioni identiche per realt\u00e0 differenti.<\/p>\n Il percorso di adeguamento prevede tempistiche diverse a seconda dell’anno di inserimento nell’elenco dei soggetti NIS e degli obblighi applicabili.<\/p>\n Le scadenze devono essere verificate rispetto alla situazione del singolo operatore e alle comunicazioni ufficiali ricevute dall’Agenzia per la Cybersicurezza Nazionale.<\/p>\n\n
Da dove partire? Prima conoscere, poi intervenire<\/h2>\n
Cinque aspetti operativi da verificare nella propria infrastruttura<\/h2>\n
1. Inventario: sapere cosa c’\u00e8 nella propria rete<\/h3>\n
2. Gestione degli accessi: superare le credenziali condivise<\/h3>\n
3. Monitoraggio e log: raccogliere informazioni realmente utilizzabili<\/h3>\n
4. Backup e resilienza: essere pronti a ripristinare la rete<\/h3>\n
5. Incident management: procedure chiare e responsabilit\u00e0 definite<\/h3>\n
Radius4ISP: alcuni esempi concreti di sicurezza operativa<\/h2>\n
\n
Le domande degli operatori: firewall, CPE, DNS e fornitori<\/h2>\n
NIS2: le scadenze da tenere presenti<\/h2>\n
\n\n
\n Soggetti interessati<\/th>\n Scadenza<\/th>\n<\/tr>\n \n Inseriti nell’elenco NIS nel 2025 e confermati nel 2026<\/td>\n Misure di sicurezza di base entro 18 mesi dalla comunicazione di inserimento, generalmente tra ottobre e novembre 2026<\/td>\n<\/tr>\n \n Inseriti nell’elenco NIS nel 2025 e confermati nel 2026<\/td>\n Obblighi di notifica degli incidenti significativi di base a partire da 9 mesi dalla comunicazione ricevuta<\/td>\n<\/tr>\n \n Inseriti per la prima volta nell’elenco NIS nel 2026<\/td>\n Obblighi di notifica degli incidenti significativi di base dal 1\u00b0 gennaio 2027<\/strong><\/td>\n<\/tr>\n \n Inseriti per la prima volta nell’elenco NIS nel 2026<\/td>\n Adozione delle misure di sicurezza di base entro il 31 luglio 2027<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n