Notifica degli incidenti NIS2: le scadenze 24h, 72h e 1 mese al CSIRT Italia
Come funziona l'obbligo di notifica degli incidenti significativi previsto dalla NIS2: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Chi, cosa e quando.
Uno degli obblighi più concreti — e con scadenze più stringenti — della NIS2 è la notifica degli incidenti significativi. In Italia il riferimento è il D.Lgs 138/2024 (art. 25), che recepisce l'art. 23 della direttiva. Chi è soggetto alla NIS2 deve saper riconoscere un incidente significativo e attivare la notifica entro tempi molto ridotti.
Le tre scadenze
I termini decorrono dal momento in cui il soggetto viene a conoscenza dell'incidente significativo:
| Adempimento | Termine | Contenuto |
|---|---|---|
| Preallarme | entro 24 ore | Segnalazione iniziale: se l'incidente sospetta origine dolosa o può avere impatto transfrontaliero. |
| Notifica | entro 72 ore | Valutazione aggiornata dell'incidente, gravità, impatto e indicatori di compromissione. |
| Relazione finale | entro 1 mese | Descrizione dettagliata, tipo di minaccia, misure adottate e impatto effettivo. |
Se l'incidente è ancora in corso al momento della relazione, si trasmette una relazione sullo stato di avanzamento e quella finale entro un mese dalla gestione dell'incidente.
Quando un incidente è "significativo"
Non ogni anomalia va notificata. La NIS2 considera significativo un incidente che:
- ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie;
- si è ripercosso o può ripercuotersi su altre persone fisiche o giuridiche causando danni materiali o immateriali considerevoli.
La valutazione della significatività è una decisione del soggetto, che va documentata. È qui che molti si bloccano: senza un processo, il rischio è accorgersi troppo tardi che sarebbe scattato l'obbligo. Per questo conviene definire in anticipo i criteri e assegnare la responsabilità della valutazione.
Perché 24 ore sono pochissime
Ventiquattro ore sembrano tante finché non sei nel mezzo di un attacco. In quel momento stai contenendo, ripristinando, comunicando internamente — e il cronometro della notifica corre in parallelo. Arrivare preparati significa avere:
- criteri chiari per decidere se l'incidente è significativo;
- un responsabile della valutazione e della notifica, con un sostituto;
- i canali e le informazioni pronte, così da non perdere tempo a cercarle;
- una timeline dove annotare ogni azione: è la base della relazione finale.
Attenzione: la NIS2 non è il GDPR
Se l'incidente coinvolge dati personali, oltre alla notifica NIS2 al CSIRT può scattare anche la notifica al Garante per la protezione dei dati personali entro 72 ore (art. 33 GDPR). Sono due adempimenti distinti, con autorità e finalità diverse, che possono coesistere sullo stesso evento.
Come aiuta una piattaforma di governance
Un tool non sostituisce le tue decisioni né effettua la notifica al posto tuo — quella va fatta sui canali ufficiali del CSIRT Italia. Ma può tenere i tempi al posto della memoria: far partire i timer 24h / 72h / 1 mese dal momento in cui registri l'incidente, mostrare il countdown, tracciare gli adempimenti effettuati e mantenere una timeline append-only che diventa la spina dorsale della relazione finale.
È esattamente ciò che fa il modulo incidenti di NIS2 Assistance. Per capire dove sei oggi sulla gestione degli incidenti e sulle altre aree dell'art. 21, puoi partire dal Readiness Self-Assessment gratuito.
Se stai ancora inquadrando gli obblighi generali, leggi anche NIS2 per le PMI.
Questo contenuto ha finalità informative e non costituisce consulenza legale. I criteri di significatività e le modalità di notifica sono definiti dalla normativa e dalle indicazioni dell'ACN: verifica sempre i riferimenti ufficiali.