Notifica di incidente significativo

I passaggi

L'art. 25, comma 5 prevede:

1. [Pre-notifica](/glossario/pre-notifica) entro 24 ore da quando sei venuto a conoscenza dell'incidente;
2. notifica entro 72 ore, con una valutazione iniziale di gravità e impatto e, se disponibili, gli indicatori di compromissione;
3. relazione intermedia, solo se il CSIRT la chiede;
4. relazione finale entro un mese dalla notifica: descrizione dettagliata, causa originale (root cause), misure adottate, eventuale impatto transfrontaliero;
5. se a quel punto l'incidente è ancora in corso: relazione mensile sui progressi e relazione finale entro un mese dalla chiusura.

I prestatori di servizi fiduciari hanno 24 ore anche per la notifica completa (comma 6).

In pratica

Il cronometro parte dall'evidenza dell'incidente: quando hai elementi oggettivi che si è verificato, non quando è iniziato. Si notifica sul portale segnalazioni.acn.gov.it, tramite il referente CSIRT. Notificare non aumenta la tua responsabilità rispetto a quella che deriva dall'incidente (comma 3). Gli organi di amministrazione vanno informati degli incidenti e delle notifiche.

Da quando: per i soggetti entrati nell'elenco nel 2025 l'obbligo decorre da 9 mesi dopo la comunicazione ACN (gennaio 2026); per i nuovi soggetti 2026, dal 1° gennaio 2027.

Riferimento normativo

Art. 25 D.Lgs. 138/2024; Allegati 3 e 4 della Det. ACN 379907/2025; Det. ACN 127434/2026.

Termini collegati

• Incidente significativo
• Pre-notifica
• CSIRT Italia
• Organi di amministrazione

Per approfondire

• Notifica degli incidenti NIS2: 24 ore, 72 ore e un mese

Fonti

• D.Lgs. 138/2024, art. 25, Normattiva
• ACN, FAQ misure e notifiche di base (ISB.G.3, ISB.G.4)
• ACN, Linee guida «Definizione del processo di gestione degli incidenti di sicurezza informatica» (v1.1, aprile 2026), sezione Modalità e specifiche di base
• ACN, notizia del 13 aprile 2026 sulla Det. 127434/2026