Adempimenti | DPIA | Vulnerability Assessment | Servizio DPO | Normativa | News | Consulenti | Prezzi | Contattaci
- Numero verde 800 62 89 74
Notifica al CSIRT Italia e al Garante nella piattaforma iusprivacy
Il contesto e il problema
Quando il fascicolo incidenti classifica un incidente come significativo nella scheda NIS2, scattano i termini dell'art. 25, c. 5: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese, relazione mensile se l'incidente è ancora in corso. Se l'incidente tocca anche dati personali, la scheda GDPR fa la propria valutazione: se conclude che la notifica al Garante è dovuta, nasce l'adempimento a 72 ore dal momento in cui il titolare è venuto a conoscenza della violazione (art. 33 GDPR) — una decorrenza diversa da quella NIS — e, se il rischio è elevato, la comunicazione agli interessati (art. 34).
La piattaforma di iusprivacy
Dalla valutazione di significatività discendono gli adempimenti del fascicolo, ciascuno con il suo termine calcolato dalla data di conoscenza e il suo stato. La piattaforma genera automaticamente:
- Pre-notifica — entro 24 ore dalla conoscenza (art. 25, c. 5, lett. a).
- Notifica — entro 72 ore (art. 25, c. 5, lett. b); 24 ore per i prestatori di servizi fiduciari, che la scheda NIS2 riconosce.
- Relazione finale — entro 1 mese (art. 25, c. 5, lett. d).
- Relazione mensile — se l'incidente è ancora in corso (art. 25, c. 5, lett. e).
La notifica materiale si esegue sui canali del CSIRT Italia, non nella piattaforma; le comunicazioni ai destinatari dei servizi, su richiesta dell'ACN, si registrano come adempimenti manuali del fascicolo. La piattaforma traccia gli adempimenti: il momento in cui la notifica è stata fatta, chi l'ha fatta, l'evidenza allegata. Per la scheda GDPR, il pulsante «Verifica la completezza» confronta il fascicolo con le sezioni del modulo del Garante e segnala i dati mancanti.
Cosa ottieni
- I termini calcolati automaticamente dalla data di conoscenza dell'incidente.
- Gli adempimenti tracciati: per ogni notifica, chi l'ha fatta, quando, con quale evidenza.
- Il parallelo NIS2-GDPR: due valutazioni, due orologi, due dossier nello stesso fascicolo; le evidenze si possono condividere, i contenuti delle notifiche no — destinatari e minimizzazione sono diversi.
- Il controllo di completezza della notifica GDPR al Garante, modellato sul modulo ufficiale.
La gestione delle notifiche fa parte del passo 10 del percorso di conformità.
FAQ
D. La piattaforma invia la notifica al CSIRT Italia?
R. No. La piattaforma traccia l'adempimento e conserva l'evidenza. La notifica materiale si esegue sui canali del CSIRT Italia. La pre-notifica delle 24 ore chiede pochissimo — sospetto di atto malevolo? possibile impatto transfrontaliero? — proprio perché deve poter partire subito.
D. I termini si possono modificare?
R. I termini sono calcolati dalla data di conoscenza secondo l'art. 25. Se la data di conoscenza cambia (perché è stata inserita in modo errato), i termini si ricalcolano. Non si modificano manualmente: sono vincoli normativi, non scadenze gestionali.