Notifica incidente NIS2 all'ACN: tempi, 24 ore e procedura
La notifica incidente NIS2 è l'obbligo, per i soggetti essenziali e importanti, di segnalare gli incidenti significativi al CSIRT Italia, il gruppo operativo dell'Agenzia per la cybersicurezza nazionale (ACN). Il primo passo è una pre-notifica entro 24 ore da quando l'organizzazione viene a conoscenza dell'incidente. Seguono una notifica più completa entro 72 ore e una relazione finale.
In questa guida vediamo come leggere le scadenze, cosa inviare in ciascuna fase e come costruire una procedura interna che funzioni davvero quando il tempo stringe.
Notifica incidente NIS2: le scadenze in sintesi
Il meccanismo è a tappe progressive. Lo schema deriva dalla direttiva europea ed è recepito dal D.Lgs. 138/2024. Prima di fissare la procedura, controlla sempre le indicazioni operative ACN aggiornate: modalità di invio, campi richiesti e decorrenza dell'obbligo per la tua categoria possono essere precisati da determinazioni successive.
| Fase | Termine | Contenuto essenziale |
|---|---|---|
| Pre-notifica | Entro 24 ore dalla conoscenza dell'incidente | Segnalazione iniziale, sospetto di atti illeciti o dolosi, possibile impatto transfrontaliero |
| Notifica | Entro 72 ore dalla conoscenza | Valutazione iniziale di gravità e impatto, indicatori di compromissione se disponibili |
| Relazione intermedia | Su richiesta dell'autorità | Aggiornamenti sullo stato della gestione |
| Relazione finale | Entro un mese dalla notifica | Descrizione dettagliata, causa originaria, misure adottate e in corso, impatto transfrontaliero |
Se l'incidente è ancora in corso alla scadenza della relazione finale, si invia una relazione sui progressi e si chiude con quella definitiva a gestione conclusa.
Quando scatta l'obbligo: l'incidente significativo
Non ogni evento di sicurezza va notificato. L'obbligo riguarda gli incidenti significativi, cioè quelli che causano o possono causare una grave perturbazione operativa dei servizi o perdite finanziarie rilevanti, oppure che incidono su altre persone con danni materiali o immateriali considerevoli.
Le soglie concrete e la tassonomia degli incidenti sono definite dall'ACN, quindi vanno prese da lì e non improvvisate. Per un approfondimento sui criteri di valutazione, leggi la guida sull'incidente significativo NIS2 e su come riconoscerlo.
Nella pratica conviene tradurre i criteri in una scheda di classificazione interna, con domande semplici a cui chi presidia i sistemi può rispondere in pochi minuti.
Le 24 ore: da quando decorrono e cosa si invia
Il conteggio parte da quando l'organizzazione viene a conoscenza dell'incidente significativo, non da quando l'evento è iniziato. Il punto delicato è stabilire il momento in cui un'anomalia diventa un incidente significativo: documentalo, perché in caso di controllo dovrai dimostrare la tua ricostruzione.
La pre-notifica è volutamente leggera. Serve a dare un allarme tempestivo, non una diagnosi. In genere indica:
- che è in corso un presunto incidente significativo;
- se si sospetta che sia causato da atti illeciti o dolosi;
- se potrebbe avere effetti oltre i confini nazionali;
- i riferimenti del soggetto e del contatto che gestisce l'evento.
Le 24 ore non si fermano nei weekend né nei festivi. Questo rende essenziale una reperibilità organizzata, con persone abilitate all'invio anche fuori orario.
Cosa aggiungere nella notifica a 72 ore
Con la notifica si aggiorna e si completa la pre-notifica. Si inserisce una prima valutazione di gravità e impatto e, dove disponibili, gli indicatori di compromissione. È il momento in cui i log, il monitoraggio e le prime analisi forensi diventano preziosi, e qui aiuta un buon sistema di monitoraggio degli eventi di sicurezza.
Chi deve notificare gli incidenti
L'obbligo ricade sui soggetti che rientrano nel perimetro NIS2 come essenziali o importanti. In sintesi sono organizzazioni pubbliche e private, di norma medie e grandi, che operano nei settori degli allegati alla normativa, con alcune eccezioni a prescindere dalla dimensione. Per capire se ti riguarda, parti da settore, dimensione e servizi erogati, e verifica la registrazione sulla piattaforma ACN.
Se vuoi un quadro generale prima di scendere nel dettaglio, trovi le definizioni e gli obblighi nell'articolo su cos'è la NIS 2, a chi si applica e quali obblighi prevede.
Come costruire la procedura interna di notifica
Una procedura efficace non è un documento da archiviare: è un percorso che qualcuno sa eseguire alle tre di notte. Questi sono gli elementi da prevedere.
Ruoli e responsabilità
Indica chi rileva, chi classifica, chi decide l'invio e chi firma la comunicazione. Nomina dei sostituti per ogni ruolo. Gli organi di amministrazione devono essere informati e restano responsabili della supervisione delle misure di gestione del rischio, per cui è utile definire quando e come ricevono l'escalation.
Classificazione e decisione
Inserisci una checklist per stabilire se l'evento è significativo, con orario di presa di conoscenza registrato e decisione motivata. Anche la scelta di non notificare va tracciata.
Modelli e canali pronti
Prepara in anticipo modelli di pre-notifica, notifica e relazione finale, con i campi richiesti dall'ACN. Verifica che i referenti abbiano le credenziali per accedere al canale di invio e che i contatti siano aggiornati.
Fornitori e clienti
Molti incidenti nascono nella catena di fornitura. I contratti con i fornitori ICT dovrebbero obbligarli ad avvisarti tempestivamente, altrimenti le tue 24 ore possono esaurirsi prima ancora che tu sappia dell'evento. Un buon punto di partenza è la valutazione dei fornitori ICT con questionario. Valuta anche quando informare i destinatari dei tuoi servizi, se potenzialmente colpiti da una minaccia significativa.
Raccordo con la gestione della crisi
La notifica è una parte della risposta, non la risposta intera. Collega la procedura al piano di gestione della crisi, al ripristino dei servizi e alla continuità operativa. Un approfondimento utile è la guida alla gestione della crisi cyber.
Errori frequenti da evitare
- Aspettare di avere tutto chiaro. La pre-notifica esiste per segnalare subito con informazioni parziali.
- Nessun sostituto designato. Se l'unico referente è irraggiungibile, la scadenza salta.
- Log incompleti o non conservati. Senza tracce è difficile compilare notifica e relazione finale.
- Procedura mai provata. Una simulazione periodica fa emergere accessi scaduti, modelli mancanti e dubbi sulle responsabilità.
- Dimenticare l'aspetto privacy. Se sono coinvolti dati personali, possono esserci obblighi paralleli verso altre autorità, da coordinare con il DPO.
Prova la procedura almeno con un esercizio da tavolo all'anno e conserva le evidenze: serviranno anche in sede di audit.
Conclusione
La notifica incidente NIS2 si regge su tempi precisi: 24 ore per la pre-notifica, 72 per la notifica, un mese per la relazione finale. Rispettarli dipende meno dalla tecnologia e più da ruoli chiari, criteri di classificazione condivisi e modelli già pronti.
Se vuoi integrare questa procedura nel tuo sistema di politiche e gestione del rischio, puoi partire dalle risorse del percorso di adeguamento NIS 2 di DirettivaNIS2 e valutare un confronto sulle tue esigenze specifiche.
Domande frequenti
Chi deve aderire a NIS2?
Le organizzazioni pubbliche e private medie e grandi che operano nei settori elencati negli allegati della normativa, classificate come soggetti essenziali o importanti. Alcune realtà rientrano a prescindere dalla dimensione. Per capire se si è coinvolti servono codice ATECO, dimensione e servizi erogati, da confrontare con le indicazioni ACN.
Le 24 ore valgono anche nei weekend e nei festivi?
Il termine è espresso in ore dal momento in cui si viene a conoscenza dell'incidente significativo, quindi non si ferma nei giorni non lavorativi. Per questo la procedura deve prevedere reperibilità e deleghe chiare, così che qualcuno sia autorizzato a inviare la pre-notifica anche fuori orario.
Cosa succede se non ho tutte le informazioni entro 24 ore?
La pre-notifica serve proprio a segnalare subito l'evento con le informazioni disponibili, senza attendere un'analisi completa. I dettagli su gravità, impatto e indicatori di compromissione vengono forniti nella notifica successiva e poi nella relazione finale. Meglio inviare un quadro parziale nei tempi che uno completo in ritardo.
Si può segnalare un incidente non significativo?
Sì, la normativa prevede anche la notifica volontaria di eventi che non raggiungono la soglia di significatività, inclusi quasi-incidenti e minacce. Non è un obbligo e non comporta oneri aggiuntivi per chi la invia, ma contribuisce alla conoscenza collettiva delle minacce. Conviene regolarla nella procedura interna.