NIS2
Glossario
art. 25, comma 4, D.Lgs. 138/2024
Aggiornato il 23 settembre 2026
di Victor Mita
Incidente significativo
Un incidente significativo è un incidente informatico che ha causato, o può causare, una grave perturbazione dei servizi o perdite finanziarie per il soggetto, oppure perdite considerevoli ad altre persone o aziende: è l'incidente che la NIS2 obbliga a notificare.
Cosa dice la norma
Per il decreto, incidente è qualsiasi evento che compromette disponibilità, autenticità, integrità o riservatezza di dati o servizi (art. 2, lett. t): anche un guasto o un errore umano, non solo un attacco. Diventa significativo alle condizioni dell'art. 25, comma 4. Per la fase attuale l'ACN ha tradotto la regola generale in tipologie di base, in cui conta avere *evidenza* del fatto:
- IS-1: perdita di riservatezza, verso l'esterno, di dati digitali di cui hai la proprietà o il controllo;
- IS-2: perdita di integrità, con impatto verso l'esterno, degli stessi dati;
- IS-3: violazione dei livelli di servizio attesi dei tuoi servizi o attività, come definiti ai sensi della misura DE.CM-01;
- IS-4: solo per i soggetti essenziali: accesso non autorizzato, o con abuso dei privilegi concessi, a quei dati.
I soggetti importanti notificano IS-1, IS-2 e IS-3.
In pratica
IS-3 funziona solo se hai scritto prima i tuoi livelli di servizio attesi. L'esempio della Guida ACN: se un sistema di prenotazione deve essere disponibile il 99% del tempo su base giornaliera, oltre 14 minuti e 24 secondi di fermo in un giorno c'è violazione. Senza quei numeri non sai quando scatta l'obbligo, e le 24 ore della pre-notifica partono comunque dall'evidenza.
Gli incidenti che non rientrano nelle tipologie, i quasi-incidenti e le minacce si possono notificare su base volontaria (art. 26).
Riferimento normativo
Art. 2, comma 1, lett. t) e u), art. 25, comma 4, e art. 26 D.Lgs. 138/2024; Allegati 3 e 4 della Det. ACN 379907/2025.