Gestione e notifica degli incidenti

Il contesto e il problema

Uno degli obblighi più stringenti e operativamente critici della NIS2 è la notifica degli incidenti significativi. L'art. 25 del Decreto NIS impone ai soggetti essenziali e importanti di notificare al CSIRT Italia ogni incidente con impatto significativo sulla fornitura dei loro servizi, secondo una tempistica scandita e non derogabile.

Un incidente è significativo quando ha causato o è idoneo a causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure quando si è ripercosso o può ripercuotersi su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli. Al ricorrere di questi presupposti scatta un flusso di notifica a più fasi:

Pre-notifica (preallarme) entro 24 ore da quando si è venuti a conoscenza dell'incidente, indicando ove possibile se sia riconducibile ad atti illegittimi o malevoli o se possa avere impatto transfrontaliero.
Notifica dell'incidente entro 72 ore, con la valutazione iniziale di gravità e impatto e, ove disponibili, gli indicatori di compromissione.
Relazione intermedia, su richiesta del CSIRT Italia, con gli aggiornamenti pertinenti.
Relazione finale entro un mese dalla notifica, con descrizione dettagliata dell'incidente, causa originaria (root cause), misure di attenuazione ed eventuale impatto transfrontaliero. Se l'incidente è ancora in corso, è prevista una relazione mensile sui progressi e una relazione finale entro un mese dalla conclusione della gestione.

Il problema è evidente: 24 e 72 ore sono finestre strettissime. Senza procedure predefinite, ruoli chiari e template pronti, il rispetto dei termini è di fatto impossibile — con conseguente esposizione sanzionatoria, dato che l'inosservanza degli obblighi di notifica ex art. 25 rientra tra le violazioni sanzionate dall'art. 38.

Il servizio di IusPrivacy

IusPrivacy predispone e mette a regime il processo di gestione e notifica degli incidenti, affinché l'organizzazione sia pronta a reagire nei tempi imposti dalla legge:

Procedura di incident management con criteri di rilevazione, classificazione della significatività e attivazione delle notifiche — compresa la decisione motivata di non notificare, documentata con criteri, evidenze e approvatore, perché anche l'esito negativo deve essere difendibile a posteriori.
Definizione di ruoli e catena di escalation, dal team tecnico agli organi di vertice (che devono essere informati tempestivamente).
Template di pre-notifica, notifica e relazione finale allineati ai contenuti richiesti dall'art. 25 e dalla piattaforma ACN.
Gestione dell'interlocuzione con il CSIRT Italia, incluse le comunicazioni ai destinatari dei servizi ove opportuno.
Coordinamento con i profili GDPR, quando l'incidente costituisce anche una violazione di dati personali: la notifica al Garante non discende automaticamente dal coinvolgimento di dati personali, ma da una valutazione autonoma del rischio (art. 33 GDPR) e, se il rischio è elevato, dalla comunicazione agli interessati (art. 34).

Cosa ottieni

Una procedura di gestione degli incidenti operativa e testabile.
Un set di template per le notifiche nelle diverse fasi (24h / 72h / relazione finale).
Una matrice ruoli/escalation con tempi e responsabilità.
Il supporto nella gestione dell'incidente reale e nell'interlocuzione con l'Autorità.

⏱️ Stato scadenza — L'obbligo di notifica degli incidenti significativi è in vigore per la platea ordinaria a partire da gennaio 2026: è quindi già pienamente operativo. Per i soggetti inseriti per la prima volta nel 2026 l'obbligo di notifica degli incidenti significativi di base decorre dal 1° gennaio 2027. I soggetti che rientrano anche nel perimetro PSNC/NIS1 possono essere già assoggettati a obblighi di notifica per effetto della disciplina previgente.

Sapresti gestire una notifica in 24 ore? Prepariamo la tua organizzazione a reagire nei tempi di legge, con procedure e template pronti all'uso.

FAQ

D. Da quando decorrono le 24 e le 72 ore?

R. I termini decorrono da quando il soggetto "è venuto a conoscenza" dell'incidente significativo, cioè da quando dispone di elementi oggettivi che lo qualificano come tale: non dal momento in cui l'evento è accaduto, né necessariamente dalla prima rilevazione tecnica di un'anomalia. Accadimento, rilevazione e conoscenza vanno registrati separatamente, e il calcolo dei termini si fa sulla conoscenza. Definire con chiarezza questo momento e la catena di rilevazione interna è essenziale: per questo servono procedure e ruoli predefiniti.

D. Come faccio a capire se un incidente è "significativo"?

R. La legge fissa criteri (grave perturbazione dei servizi, perdite finanziarie, ripercussioni considerevoli su terzi). La procedura di incident management traduce questi criteri in indicatori operativi, così da decidere rapidamente se e quando notificare.

D. La notifica mi espone a maggiori responsabilità?

R. No. Il Decreto NIS prevede espressamente che la notifica non esponga il soggetto a una responsabilità maggiore rispetto a quella derivante dall'incidente stesso. Omettere la notifica, invece, costituisce una violazione autonomamente sanzionabile.

D. Un incidente NIS2 è anche un data breach GDPR?

R. Può esserlo, ma non necessariamente: i due regimi hanno presupposti e destinatari diversi (CSIRT Italia per la NIS2, Garante per il GDPR). Quando le due discipline si sovrappongono, iusprivacy coordina le notifiche per rispettare entrambi i quadri.