NIS2 settore spazio: quali infrastrutture a terra rientrano nel D.Lgs. 138/2024

Il centro di controllo di un operatore di satelliti occupa un capannone in un'area industriale alle porte di una città italiana. Quaranta dipendenti, un campo di antenne in affitto e un fornitore di IT gestita che ha diritti di amministratore di dominio da sei anni. Il satellite in orbita è fuori da NIS2. La sala che lo comanda no.

È qui che i consulenti sbagliano. Il settore spazio di NIS2 è stretto, e quasi tutto ciò che si chiama «spazio» ne resta fuori.

Cosa copre davvero il settore spazio di NIS2

L'allegato I, punto 11 della direttiva (UE) 2022/2555 indica un solo tipo di soggetto: gli operatori di infrastrutture di terra, possedute, gestite e operate da Stati membri o da privati, che sostengono la fornitura di servizi spaziali. Sono esclusi i fornitori di reti pubbliche di comunicazione elettronica, che rientrano nelle infrastrutture digitali.

Il considerando 37 spiega la logica. La direttiva copre lo spazio solo nella misura in cui i servizi dipendono da infrastrutture di terra. I veicoli spaziali in sé non sono regolati.

In pratica è il segmento di terra:

• stazioni di terra e siti di antenne
• controllo di missione e centri di operazioni satellitari
• impianti di telemetria, tracciamento e comando (TT&C)
• siti gateway e centri dedicati all'elaborazione dei dati del payload

Costruttori di satelliti, lanciatori e asset in orbita non rientrano in questo tipo di soggetto. Un costruttore può essere coinvolto tramite un altro settore dell'allegato II, ma è un'altra questione.

Dimensione e classificazione: essenziale o importante

Vale la regola generale di dimensione dell'articolo 2, paragrafo 1. Le imprese medie e più grandi rientrano nell'ambito. Piccole e microimprese no, salvo che il diritto nazionale o l'articolo 2, paragrafo 2 le includa.

Lo spazio è nell'allegato I. Un grande operatore è soggetto essenziale (articolo 3, paragrafo 1), uno medio è soggetto importante. La differenza conta per la vigilanza: controlli proattivi per gli essenziali, vigilanza soprattutto reattiva dopo un incidente per gli importanti.

Molte aziende spaziali sono piccole. Una stazione di terra con 30 addetti di norma resta sotto soglia. La stessa società, parte di un gruppo che supera le soglie e con rete condivisa, può non restarci. Verifica la struttura del gruppo prima di rassicurare un cliente.

Gli obblighi sono il pacchetto standard NIS2

NIS2 non ha regole specifiche per lo spazio. Un operatore incluso deve le stesse misure dell'articolo 21 di tutti: analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, sviluppo sicuro, controllo degli accessi, crittografia e MFA.

Tre punti meritano attenzione particolare con questo tipo di cliente:

• Controllo degli accessi sui collegamenti di comando. Gli uplink TT&C sono il bersaglio di maggior valore. L'accesso privilegiato ai sistemi di comando richiede MFA resistente al phishing e log di sessione.
• Concentrazione dei fornitori. Tempo d'antenna, elaborazione cloud e IT gestita arrivano spesso da due o tre fornitori. L'articolo 21, paragrafo 2, lettera d impone di valutarli tutti.
• Sistemi di tipo OT. I controllori d'antenna e gli strumenti di pianificazione girano su software datato. La segmentazione conta più della velocità di patching.

La notifica degli incidenti segue l'articolo 23: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. La nostra guida alle scadenze di notifica spiega la procedura.

Quale autorità vigila su un operatore spaziale

Ogni Stato membro designa le proprie autorità competenti. Le agenzie spaziali nazionali sono partner di politica pubblica, non autorità di vigilanza NIS2. L'ESA è un'organizzazione intergovernativa senza ruolo di vigilanza NIS2.

Ai sensi dell'articolo 26, paragrafo 1, un operatore spaziale dipende dallo Stato membro in cui è stabilito. Un operatore con siti di terra in più paesi può quindi rispondere a più autorità. Il nostro articolo su quale autorità vigila sul tuo cliente spiega le regole. La registrazione è un obbligo distinto nella maggior parte dei paesi, leggi anche il quadro delle scadenze di registrazione.

Italia: D.Lgs. 138/2024 e l'Agenzia per la Cybersicurezza Nazionale

L'Italia ha recepito NIS2 con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 e in vigore dal 16 ottobre 2024. L'ACN è l'autorità NIS competente e punto di contatto unico, e ospita il CSIRT Italia, destinatario delle notifiche di incidenti significativi. Nove ministeri operano come autorità di settore sotto un tavolo coordinato dall'ACN. Quale autorità di settore segua lo spazio va verificato nel decreto e sul sito ACN: non darlo per scontato.

Le notifiche seguono la tempistica della direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese, tramite CSIRT Italia. La finestra di categorizzazione 2026 e le misure di base sono trattate nel nostro articolo sulla scadenza ACN.

Per clienti con sedi all'estero: la Germania applica la NIS2UmsuCG dal 6 dicembre 2025, la Polonia la legge KSC modificata dal 3 aprile 2026, i Paesi Bassi la Cyberbeveiligingswet dal 15 agosto 2026. Francia e Spagna non hanno completato il recepimento e la Commissione ha annunciato l'8 luglio 2026 il deferimento alla Corte di giustizia.

L'EU Space Act potrebbe riscrivere le regole di cybersicurezza dello spazio

La Commissione ha proposto l'EU Space Act il 25 giugno 2025 (COM(2025) 335 final). È una proposta, non una legge. Le tre istituzioni divergono sul rapporto con NIS2.

La Commissione vuole una lex specialis. Per i soggetti NIS2, il suo capitolo sulla cybersicurezza sostituirebbe gli obblighi generali dell'articolo 21, con test di penetrazione basati sulle minacce prima del lancio e almeno ogni tre anni, e un preallarme entro 12 ore per gli asset dell'Unione.

Il testo di compromesso del Consiglio va nella direzione opposta. I soggetti NIS2 restano sotto NIS2 e gli obblighi dello Space Act si applicherebbero soprattutto agli operatori esterni a NIS2, come i piccoli e quelli di paesi terzi. La bozza di relazione della commissione ITRE del Parlamento europeo (marzo 2026) respinge un regime separato e inserirebbe le attività spaziali in NIS2 stessa.

I triloghi non sono iniziati. Un'analisi legale prevede un'adozione non prima di fine 2027 e un'applicazione intorno al 2030. Non costruire un programma cliente su una proposta. Costruiscilo su NIS2 e tieni lo Space Act in osservazione.

Cosa fare con un cliente vicino al settore spaziale

Parti dall'ambito, non dalle misure. Tre domande: il cliente gestisce infrastrutture di terra a supporto di servizi spaziali, raggiunge la soglia dimensionale gruppo incluso, è fornitore di comunicazioni elettroniche?

Se la risposta è sì, sì, no, il cliente rientra nell'ambito. Mappa il segmento di terra come inventario degli asset, poi fai una gap analysis sull'articolo 21, partendo da TT&C e accesso ai comandi. Per una base di partenza prima del primo incontro, usa il quick scan di NIS2Certify.

Lo Space Act richiederà anni. Gli obblighi di registrazione, notifica e verifica di NIS2 valgono già oggi.