Notifica degli incidenti NIS2: 24 ore, 72 ore e un mese

Quali incidenti vanno notificati al CSIRT Italia, da quando parte il tempo, cosa scrivere in ogni fase e un flusso pratico da preparare prima che serva.

In breve

Se un incidente significativo colpisce la tua azienda, devi inviare al CSIRT Italia una pre-notifica entro 24 ore da quando ne hai evidenza, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica (art. 25 del D.Lgs. 138/2024). Quali incidenti siano significativi lo stabilisce l’ACN con quattro fattispecie precise, IS-1, IS-2, IS-3 e IS-4, l’ultima solo per i soggetti essenziali. Le notifiche si inviano dal portale segnalazioni.acn.gov.it.

Da quando vale l’obbligo

L’obbligo dipende dall’anno in cui sei entrato nell’elenco dei soggetti NIS (FAQ ISB.G.3):

Entrati nel 2025: nove mesi dalla ricezione della comunicazione di inserimento. Per chi l’ha ricevuta ad aprile 2025 l’ACN indica gennaio 2026: l’obbligo è già in vigore.
Entrati per la prima volta nel 2026: l’obbligo decorre dal 1° gennaio 2027.

Le misure di sicurezza hanno invece un termine più lungo: le trovi nella guida alla scadenza di ottobre 2026.

Quali incidenti sono significativi

Il decreto dà una definizione generale: un incidente è significativo se ha causato o può causare una grave perturbazione dei servizi o perdite finanziarie, oppure se ha colpito o può colpire altre persone con perdite considerevoli (art. 25, comma 4). Per renderla applicabile, la Determinazione ACN 379907/2025 la traduce in quattro fattispecie (Allegato 3 per gli importanti, Allegato 4 per gli essenziali). Hai un incidente da notificare quando hai evidenza di:

IS-1: perdita di riservatezza, verso l’esterno, di dati digitali di tua proprietà o sotto il tuo controllo, anche parziale.
IS-2: perdita di integrità, con impatto verso l’esterno, degli stessi dati.
IS-3: violazione dei livelli di servizio attesi dei tuoi servizi o delle tue attività, come li hai definiti con la misura DE.CM-01.
IS-4, solo per i soggetti essenziali: accesso non autorizzato, o con abuso dei privilegi concessi, a quei dati.

Due precisazioni dell’ACN evitano molti dubbi. La causa non conta: un’alluvione, un guasto o un errore umano sono incidenti da notificare quanto un attacco, se producono uno di questi effetti (FAQ ISB.G.2). E l’IS-3 funziona solo se i livelli di servizio attesi sono scritti prima: se non hai definito cosa significa «servizio degradato», non puoi riconoscere il momento in cui devi notificare.

Gli incidenti non significativi, i quasi-incidenti e le minacce si possono notificare su base volontaria (art. 26). La notifica, obbligatoria o volontaria, non ti espone a una responsabilità maggiore di quella che deriva dall’incidente (art. 25, comma 3).

Quando parte il tempo

Le 24 e le 72 ore non partono dal momento in cui l’incidente avviene, ma da quando ne hai evidenza: quando disponi, dopo un’analisi anche sommaria, di elementi oggettivi che mostrano che si è verificata una delle fattispecie (FAQ ISB.G.4). L’evidenza arriva di solito da:

segnalazioni esterne, per esempio del CSIRT Italia;
segnalazioni interne, come un utente che chiama l’help desk per un malfunzionamento;
eventi rilevati dai sistemi di monitoraggio.

Conviene annotare subito data e ora dell’evidenza e chi l’ha rilevata: è il riferimento da cui si contano tutti i termini.

Le scadenze, fase per fase

L’art. 25, comma 5 fissa i tempi e i contenuti:

Pre-notifica, entro 24 ore. Senza ingiustificato ritardo. Dice, se possibile, se l’incidente può derivare da atti illegittimi o malevoli e se può avere un impatto transfrontaliero. Si invia con le informazioni che hai: le linee guida ACN sulla gestione degli incidenti riconoscono che all’inizio molti dati non sono ancora disponibili.
Notifica, entro 72 ore. Aggiorna la pre-notifica e aggiunge una valutazione iniziale di gravità e impatto e, se li hai, gli indicatori di compromissione.
Relazione intermedia, se richiesta. Solo su richiesta del CSIRT Italia, con gli aggiornamenti rilevanti.
Relazione finale, entro un mese dalla notifica. Descrizione dettagliata con gravità e impatto, tipo di minaccia o causa originale, misure di attenuazione adottate e in corso, impatto transfrontaliero se noto.
Se l’incidente è ancora in corso quando scade la relazione finale: una relazione mensile sui progressi e la relazione finale entro un mese dalla chiusura della gestione.

Il CSIRT Italia, dal canto suo, risponde senza ingiustificato ritardo e, ove possibile, entro 24 ore dalla pre-notifica, con un primo riscontro e, se lo chiedi, indicazioni per mitigare (art. 25, comma 7).

Chi notifica, e dove

Le notifiche le invia il referente CSIRT, la persona che il soggetto NIS designa per parlare con il CSIRT Italia, o un suo sostituto. Il canale è il portale segnalazioni.acn.gov.it, e l’ACN ha pubblicato una guida alla notifica.

Se l’incidente riguarda un fornitore, l’ACN distingue i casi nelle FAQ ISB.F.1, F.2 e F.3. Se l’incidente avviene sui tuoi sistemi, anche se gestiti da un fornitore, la notifica spetta a te. Se avviene sui sistemi di un fornitore che è a sua volta soggetto NIS, notifica il fornitore, e anche tu se per te è significativo. Se il fornitore soggetto NIS ti eroga servizi cloud e l’incidente colpisce i tuoi sistemi, notificate di regola entrambi, salvo IaaS e hosting della tua infrastruttura, dove notifichi solo tu.

Se l’incidente comporta una violazione di dati personali c’è un obbligo separato: la notifica al Garante privacy, senza ingiustificato ritardo e, ove possibile, entro 72 ore, a meno che sia improbabile un rischio per le persone (Garante per la protezione dei dati personali). Una notifica non sostituisce l’altra.

Un flusso pratico da preparare adesso

La misura RS.MA-01 chiede un piano per la gestione degli incidenti e la notifica al CSIRT Italia, approvato dagli organi di amministrazione (Allegato 1). In pratica deve permetterti di fare questo senza improvvisare:

Rilevare. Chi riceve una segnalazione sa a chi passarla, a qualsiasi ora.
Registrare l’evidenza. Data, ora, fonte, prima descrizione.
Classificare. Una persona con il mandato decide se l’evento rientra in IS-1, IS-2, IS-3 o IS-4. Se la risposta è no, lo scrive e spiega perché.
Pre-notificare entro 24 ore con quello che sai, senza aspettare di sapere tutto.
Informare i vertici. Gli organi di amministrazione vanno informati degli incidenti e delle notifiche (art. 23, comma 3); il piano dice chi prende le decisioni che il referente CSIRT non può prendere da solo.
Indagare e notificare entro 72 ore, con valutazione di gravità e impatto.
Comunicare all’esterno quando serve: ai destinatari dei tuoi servizi, se l’incidente può colpirli, sentito il CSIRT Italia (misura RS.CO-02); al Garante, se ci sono dati personali.
Chiudere con la relazione finale entro un mese dalla notifica e aggiornare il piano con le lezioni apprese.

Tieni pronti i contatti, le credenziali di accesso al portale, un modello di pre-notifica e un registro degli incidenti. Sono anche le prove che l’ACN può chiederti: le trovi nella guida su ispezioni ACN ed evidenze. Per il quadro generale sugli obblighi, c’è la guida alla NIS2.

Come ti aiuta Epic Assess

In Epic Assess registri l’incidente, indichi se è da notificare e in quale fattispecie rientra, da IS-1 a IS-4, e la piattaforma calcola le scadenze di pre-notifica e notifica a partire dal momento dell’evidenza. Prepara bozze pre-compilate della pre-notifica e della notifica: le rivedi, le completi e le invii tu dal portale ACN, perché la piattaforma non trasmette nulla al CSIRT Italia. Lo storico delle notifiche resta collegato alle evidenze e finisce nel pacchetto per le ispezioni.

Fonti

Torna alle risorse