Home › Incidente significativo NIS2: criteri per riconoscerlo

Incidente significativo NIS2: criteri per riconoscerlo

Per capire l'incidente significativo NIS2 criteri alla mano, bisogna partire da due condizioni alternative. L'incidente è significativo se ha causato, o può causare, una grave perturbazione operativa dei servizi o una perdita finanziaria per l'entità. Lo è anche se ha colpito, o può colpire, altre persone fisiche o giuridiche con danni materiali o immateriali considerevoli.

Basta una sola condizione, e conta anche l'impatto potenziale, non solo quello già avvenuto. In questa guida vediamo come tradurre questi criteri in una procedura concreta.

Incidente significativo NIS2: criteri di base

La direttiva NIS2, recepita in Italia dal D.Lgs. 138/2024, non fornisce una soglia numerica valida per tutti. Definisce invece criteri generali che ogni organizzazione deve interpretare in rapporto ai propri servizi. Per questo serve una procedura scritta, che renda la valutazione ripetibile e difendibile.

Grave perturbazione operativa o perdita finanziaria

Il primo criterio guarda all'impatto sull'organizzazione. Una perturbazione è "grave" quando compromette in modo rilevante l'erogazione dei servizi essenziali o importanti, oppure genera costi che l'entità non può considerare ordinari.

Esempi tipici sono un ransomware che blocca i sistemi di produzione o l'indisponibilità prolungata di una piattaforma usata dai clienti. Che cosa significhi "grave" per voi dipende dai servizi critici, dai tempi di ripristino accettabili e dalla vostra tolleranza al danno, e va definito in anticipo.

Danni considerevoli a terzi

Il secondo criterio guarda fuori dall'organizzazione: clienti, utenti, partner o cittadini. Un incidente che espone dati personali, interrompe un servizio da cui altri dipendono o causa danni economici a terzi può essere significativo anche se per voi l'impatto interno è contenuto.

I danni immateriali comprendono, per esempio, la perdita di riservatezza o il pregiudizio alla reputazione di persone coinvolte.

Chi deve aderire a NIS2 e quindi applicare questi criteri

Gli obblighi riguardano i soggetti essenziali e importanti che operano nei settori elencati negli allegati della normativa. In generale rientrano le organizzazioni di dimensione media e grande, con alcune eccezioni per soggetti di particolare criticità indipendentemente dalle dimensioni.

In Italia l'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità di riferimento e prevede la registrazione dei soggetti sulla propria piattaforma. Per verificare se siete in ambito, controllate settore, dimensione e servizi svolti sul testo vigente e sulle indicazioni dell'ACN, senza affidarvi a semplificazioni.

Chi è in ambito deve notificare gli incidenti significativi. Anche chi non lo è direttamente può essere coinvolto in modo indiretto, come fornitore di un soggetto obbligato.

Come tradurre i criteri in una procedura di classificazione

La procedura serve a decidere in poche ore, spesso sotto pressione, se un evento va notificato. Per questo i criteri generali vanno scomposti in indicatori osservabili. Sono utili per esempio questi:

• Servizi coinvolti: quali servizi essenziali o importanti sono interrotti o degradati.
• Durata: da quanto tempo dura il disservizio e quanto si stima durerà.
• Estensione: numero di utenti, sedi, clienti o sistemi interessati.
• Dati: se sono stati compromessi riservatezza, integrità o disponibilità di dati sensibili o critici.
• Impatto economico: costi diretti stimati, penali contrattuali, perdita di ricavi.
• Effetti a catena: dipendenze di altri soggetti dal vostro servizio, anche in altri Stati membri.
• Origine presunta: attività dolosa, errore, guasto o evento esterno.

Per ogni indicatore definite livelli (basso, medio, alto) con soglie coerenti con la vostra analisi dei rischi. Nessuna soglia è universale: le vostre vanno ricavate dal bilancio dell'impatto sui servizi e dalla politica di gestione del rischio cyber.

Ricordate che il criterio considera anche l'incidente "in grado di" causare effetti gravi. La procedura deve quindi prevedere una stima prudenziale, non attendere la certezza del danno.

Tempi di notifica: cosa prevede il modello NIS2

Una volta classificato l'incidente come significativo, scattano scadenze ravvicinate. Il modello europeo, recepito in Italia, prevede tre passaggi:

1. Pre-notifica senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza dell'incidente significativo.
2. Notifica entro 72 ore, con una valutazione iniziale di gravità e impatto.
3. Relazione finale entro un mese dalla notifica, con cause, misure adottate e impatto transfrontaliero.

La notifica va indirizzata al CSIRT Italia, secondo le modalità operative indicate dall'ACN. Moduli, soglie specifiche per settore e date di applicazione degli obblighi possono essere aggiornati da determinazioni dell'Agenzia. Verificate quindi sempre le fonti ufficiali aggiornate prima di fissare la procedura.

Per alcune categorie di fornitori digitali esistono inoltre criteri di dettaglio stabiliti da un regolamento di esecuzione europeo. Se rientrate in uno di quei casi, controllate se quel testo si applica a voi.

Ruoli e responsabilità: chi decide e chi risponde

I ruoli e responsabilità di sicurezza informatica NIS2 devono essere chiari prima dell'incidente. La procedura dovrebbe indicare chi rileva e segnala, chi classifica, chi redige e invia le notifiche e chi autorizza le comunicazioni esterne. Servono anche dei sostituti, perché un incidente può avvenire di notte o durante le ferie.

Le responsabilità degli organi di amministrazione NIS2 sono rilevanti: la direzione approva le misure di gestione del rischio, ne supervisiona l'attuazione e può essere chiamata a rispondere in caso di violazioni. Per questo è opportuno che almeno i casi di gravità alta prevedano un'informativa immediata al vertice, e che la direzione riceva formazione specifica.

Per un quadro d'insieme dei documenti da predisporre, vedi la guida alle procedure NIS2: politiche e procedure da redigere.

Fornitori e catena di approvvigionamento: criteri di valutazione

Molti incidenti significativi nascono da un fornitore: un servizio cloud, un software gestito o un manutentore con accessi privilegiati. La vostra procedura deve quindi prevedere obblighi di segnalazione tempestiva da parte dei fornitori, con tempi compatibili con le vostre scadenze di notifica.

Alla domanda su quali criteri usare per valutare i fornitori, la risposta è che devono dipendere dalla criticità del servizio. Questi elementi sono di norma utili:

• importanza del fornitore per i vostri servizi essenziali;
• livello di accesso a sistemi e dati;
• pratiche di sicurezza dichiarate e verificabili;
• capacità di gestire e comunicare gli incidenti;
• clausole contrattuali su notifica, audit e cooperazione;
• dipendenza da altri subfornitori.

Approfondisci il tema nella guida sulla sicurezza della catena di fornitura nella NIS 2.

Collegare la classificazione alle altre politiche

La classificazione funziona solo se l'incidente viene rilevato in tempo. Servono quindi un monitoraggio degli eventi di sicurezza, un inventario aggiornato che indichi quali asset sostengono i servizi critici e canali semplici con cui il personale segnala anomalie.

Anche la formazione conta: molti incidenti iniziano da un'email malevola, e riconoscerla in fretta riduce l'impatto. Ne parla l'articolo sul phishing e la formazione del personale richiesta dalla NIS 2.

Collegate infine la procedura al piano di continuità operativa, perché la gravità si misura anche rispetto ai tempi di ripristino accettabili. Una vulnerabilità sfruttata è una causa frequente di incidente: la procedura di gestione delle vulnerabilità secondo la NIS 2 aiuta a ridurre il rischio a monte.

Errori comuni nella gestione dell'incidente significativo

• Aspettare la certezza dell'impatto prima di avviare la valutazione.
• Definire soglie troppo vaghe, che lasciano ogni decisione all'improvvisazione.
• Non documentare le valutazioni negative, utili in caso di verifica.
• Dimenticare i contatti di emergenza e i sostituti.
• Non provare mai la procedura con una simulazione.

Testare almeno una volta l'intero percorso, dalla segnalazione alla bozza di notifica, mostra subito dove mancano informazioni o responsabilità.

Conclusione

I criteri dell'incidente significativo NIS2 sono pochi ma richiedono interpretazione: gravità operativa e finanziaria, danni a terzi e impatto anche solo potenziale. Una procedura chiara, con indicatori, ruoli e tempi definiti, trasforma questi concetti in decisioni rapide e documentate.

Se volete impostare questo percorso insieme alle altre politiche richieste, potete approfondire l'approccio di DirettivaNIS2 all'adeguamento della vostra organizzazione.

Domande frequenti