L’obbligo di notifica degli incidenti all’ACN è l’aspetto della NIS2 che genera più ansia tra i decisori aziendali.
E con ragione: le tempistiche sono strette, la procedura deve essere già pronta quando l’incidente accade, e il panico è il nemico peggiore in quei momenti.
Cos’è un incidente significativo secondo la NIS2
Non tutti gli incidenti vanno notificati. Il D.Lgs. 138/2024 definisce “incidente significativo” un evento che ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie, oppure che ha avuto o può avere ripercussioni su altre persone causando danni materiali o immateriali considerevoli.
Possono rientrare, quando raggiungono le soglie di impatto previste, eventi come attacchi ransomware che compromettono servizi critici, DDoS prolungati, compromissioni della supply chain o incidenti che provocano rilevanti perdite operative, finanziarie o conseguenze su terzi.
Le tre fasi della notifica
Entro 24 ore — Pre-notifica. Da quando il soggetto viene a conoscenza dell’incidente significativo, deve trasmettere al CSIRT Italia una pre-notifica che indichi, ove possibile, se l’incidente possa derivare da atti illegittimi o malevoli e se possa avere un impatto transfrontaliero. Non serve avere tutti i dettagli: è un “alert” iniziale.
Entro 72 ore — Notifica dell’incidente. Entro 72 ore dalla conoscenza dell’incidente significativo deve essere inviata al CSIRT Italia una notifica aggiornata con una prima valutazione di gravità e impatto e, ove disponibili, gli indicatori di compromissione.
Entro 1 mese — Relazione finale. Report completo: descrizione dettagliata dell’incidente, tipo di minaccia o causa, misure di attenuazione adottate, impatto transfrontaliero se applicabile. È il documento che chiude formalmente l’incidente.
Attenzione: la data da cui decorre concretamente l’obbligo di notifica può variare in base all’anno di inserimento nell’elenco dei soggetti NIS. Per i soggetti inseriti per la prima volta nel 2026, l’obbligo decorre dal 1° gennaio 2027.
Cosa fare quando succede: la procedura pratica
Primo: attivare il team di incident response (interno o MSP).
Secondo: contenere l’incidente per limitare la propagazione.
Terzo: valutare se è “significativo” secondo i criteri NIS2.
Quarto: preparare e inviare la pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza dell’incidente significativo.
Quinto: proseguire con indagine e remediation.
Sesto: inviare la notifica completa entro 72 ore.
Settimo: documentare l’incidente e predisporre la relazione finale entro un mese dalla notifica delle 72 ore.
L’errore più grave è non avere una procedura documentata prima dell’incidente. Quando sei sotto attacco non è il momento di capire chi fa cosa e quali sono i tempi. La procedura deve essere scritta, testata e conosciuta da tutti i responsabili.
L’importanza di un partner preparato
Avere un MSP che ha già gestito incidenti reali e conosce la procedura di notifica fa la differenza tra una gestione ordinata e un’emergenza caotica. Un MSP con servizi di monitoraggio e incident response può supportare il rilevamento, il contenimento, la remediation e la raccolta delle informazioni necessarie alla notifica. Il supporto del partner tecnico non trasferisce però le responsabilità previste dalla normativa al soggetto NIS.
Scopri di più
