L’obbligo di notifica degli incidenti all’ACN è l’aspetto della NIS2 che genera più ansia tra i decisori aziendali.
E con ragione: le tempistiche sono strette, la procedura deve essere già pronta quando l’incidente accade, e il panico è il nemico peggiore in quei momenti.
Cos’è un incidente significativo secondo la NIS2
Non tutti gli incidenti vanno notificati. Il D.Lgs. 138/2024 definisce “incidente significativo” un evento che ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie, oppure che ha avuto o può avere ripercussioni su altre persone causando danni materiali o immateriali considerevoli.
In pratica rientrano: attacchi ransomware con cifratura di sistemi produttivi, data breach con esfiltrazione di dati sensibili, compromissione di sistemi critici che impatta la continuità, attacchi DDoS che rendono i servizi indisponibili per periodi prolungati, compromissioni della supply chain che si propagano ai clienti.
Le tre fasi della notifica
Entro 24 ore — Pre-notifica. Dal momento del rilevamento, devi inviare una pre-notifica all’ACN indicando: se l’incidente è sospettato di essere causato da atti illegittimi/malevoli, se potrebbe avere impatto transfrontaliero. Non serve avere tutti i dettagli: è un “alert” iniziale.
Entro 72 ore — Notifica completa. Aggiornamento con: valutazione iniziale dell’incidente (gravità, impatto), indicatori di compromissione (IoC) disponibili, dettagli tecnici. Questa è la notifica sostanziale.
Entro 1 mese — Relazione finale. Report completo: descrizione dettagliata dell’incidente, tipo di minaccia o causa, misure di attenuazione adottate, impatto transfrontaliero se applicabile. È il documento che chiude formalmente l’incidente.
Cosa fare quando succede: la procedura pratica
Primo: attivare il team di incident response (interno o MSP).
Secondo: contenere l’incidente per limitare la propagazione.
Terzo: valutare se è “significativo” secondo i criteri NIS2.
Quarto: preparare e inviare la pre-notifica all’ACN entro 24 ore.
Quinto: proseguire con indagine e remediation.
Sesto: inviare la notifica completa entro 72 ore.
Settimo: documentare tutto per la relazione finale a 30 giorni.
L’errore più grave è non avere una procedura documentata prima dell’incidente. Quando sei sotto attacco non è il momento di capire chi fa cosa e quali sono i tempi. La procedura deve essere scritta, testata e conosciuta da tutti i responsabili.
L’importanza di un partner preparato
Avere un MSP che ha già gestito incidenti reali e conosce la procedura di notifica fa la differenza tra una gestione ordinata e un’emergenza caotica. Il MSP monitora 24/7, rileva in tempo reale, gestisce contenimento e remediation, e supporta nella preparazione delle notifiche nei tempi previsti.
