Preallerta entro 24 ore, notifica entro 72, relazione finale entro un mese. Come funziona l'obbligo di notifica degli incidenti significativi e cosa preparare prima perché le scadenze siano rispettabili.
Per le organizzazioni che rientrano nella NIS2, gestire un incidente informatico grave significa anche comunicarlo all'autorità, in tempi precisi. Il decreto legislativo 138/2024 affida al CSIRT Italia, il gruppo di risposta agli incidenti presso l'Agenzia per la Cybersicurezza Nazionale, la ricezione delle notifiche. Con la determinazione ACN 379907/2025 il regime è pienamente operativo dal 15 gennaio 2026.
L'obbligo riguarda gli incidenti significativi, cioè quelli che hanno causato o possono causare gravi perturbazioni dei servizi o perdite economiche per il soggetto, oppure danni rilevanti ad altre persone, fisiche o giuridiche.
Per rendere la valutazione meno soggettiva, la determinazione dell'ACN definisce negli allegati gli incidenti significativi di base, distinti tra soggetti importanti ed essenziali. È il primo documento da conoscere: chi deve decidere se notificare deve averlo letto prima, non durante la crisi.
Le scadenze decorrono dal momento in cui il soggetto viene a conoscenza dell'incidente.
Entro 24 ore: preallerta. Una prima comunicazione sintetica che segnala l'incidente e indica, se possibile, se si sospetta un'azione illecita o malevola e se può avere effetti su altri Paesi.
Entro 72 ore: notifica. Aggiorna la preallerta con una valutazione iniziale dell'incidente, della sua gravità e del suo impatto e, se disponibili, con gli indicatori di compromissione, cioè le tracce tecniche che aiutano a riconoscere l'attacco.
Entro un mese: relazione finale. Descrive l'incidente in modo dettagliato, la causa probabile, le misure adottate e l'eventuale impatto transfrontaliero. Se l'incidente è ancora in corso, si inviano relazioni intermedie e la relazione finale entro un mese dalla chiusura della gestione.
Su richiesta del CSIRT Italia possono essere necessari anche aggiornamenti intermedi.
Ventiquattro ore sono pochissime, soprattutto se l'incidente esplode di notte o nel fine settimana. Per rispettarle, l'organizzazione deve aver deciso in anticipo:
Lo stesso incidente può far scattare altre comunicazioni con tempi diversi:
Il piano di risposta agli incidenti dovrebbe tenerle insieme in un'unica tabella: chi, cosa, entro quando.
La notifica è uno strumento di collaborazione. Il CSIRT Italia può fornire supporto, segnalare indicatori utili, avvisare altri soggetti esposti allo stesso attacco. Una notifica tempestiva, anche incompleta, è sempre preferibile a una perfetta ma tardiva.
Ventiquattro ore, settantadue ore, un mese. Sono tempi rispettabili solo se ruoli, criteri e canali sono stati decisi in anticipo. Per chi guida un soggetto NIS2, preparare la notifica è parte integrante della preparazione agli incidenti.
La direttiva europea sulla sicurezza delle reti riguarda migliaia di aziende ed enti italiani. Una guida essenziale per capire se la tua organizzazione è dentro e cosa deve fare.
Quando i dati personali vengono persi, rubati o diffusi, il GDPR fissa tempi stretti per valutare, notificare al Garante e, nei casi più gravi, informare le persone. Come prepararsi prima che succeda.
Le misure di sicurezza di base devono essere operative e dimostrabili, e l'Agenzia per la Cybersicurezza Nazionale può passare alle verifiche. Cosa significa per chi guida un'organizzazione.