Notifica degli incidenti NIS2 al CSIRT Italia: tempi e casi
Quali incidenti vanno notificati, chi li notifica e in quanto tempo: 24 ore, 72 ore, un mese. Con i quattro tipi di incidente fissati dall'ACN.
Quando succede un incidente informatico serio, un soggetto NIS2 deve avvisare il CSIRT Italia, la squadra di pronto intervento dell'ACN, con tempi stretti: 24 ore, 72 ore, un mese (art. 25). È uno degli obblighi più concreti della legge, e uno di quelli in cui si sbaglia più facilmente, perché in quei momenti si pensa a tutt'altro.
Vediamo quali incidenti vanno notificati, chi lo fa, come e quando, e cosa preparare prima.
Quali incidenti vanno notificati
La legge chiede di notificare gli incidenti significativi: quelli che hanno causato, o possono causare, una grave perturbazione dei servizi o perdite economiche per l'azienda, oppure danni considerevoli ad altre persone (art. 25, c. 4). Per rendere la definizione concreta, l'ACN ha fissato gli incidenti significativi di base negli allegati 3 e 4 della determinazione 379907/2025:
| Tipo | Cosa significa | Per chi |
|---|---|---|
| IS-1 Perdita di riservatezza verso l'esterno | Avete la prova che dati digitali vostri, o che controllate anche in parte, sono usciti o sono stati esposti a chi non doveva vederli. Esempio: un attaccante copia i documenti dal server | essenziali e importanti |
| IS-2 Perdita di integrità con impatto verso l'esterno | Dati modificati senza autorizzazione, con effetti fuori dall'azienda. Esempio: il sito web alterato da un attaccante | essenziali e importanti |
| IS-3 Violazione dei livelli di servizio attesi | Un servizio o un'attività scende sotto il livello di servizio che avete scritto voi stessi (misura DE.CM-01). Esempio: il gestionale resta fermo oltre il limite che avevate fissato | essenziali e importanti |
| IS-4 Accesso non autorizzato o abuso dei privilegi | Qualcuno è entrato nei dati senza permesso, oppure chi aveva le credenziali le ha usate per scopi non consentiti | solo essenziali |
Due regole dell'ACN da tenere a mente. La causa non conta: vanno notificati anche gli incidenti dovuti a guasti, errori umani o eventi naturali, se rientrano in uno dei tipi (FAQ ISB.G.2). E per l'IS-3 servono livelli di servizio scritti: senza, non potete nemmeno capire quando scatta l'obbligo.
I tempi: 24 ore, 72 ore, un mese
| Fase | Entro | Cosa contiene |
|---|---|---|
| Pre-notifica | senza ingiustificato ritardo e comunque entro 24 ore da quando ne siete venuti a conoscenza | Le informazioni che avete e, se possibile, se l'incidente sembra dovuto ad atti illegittimi o malevoli o può avere effetti in altri Stati |
| Notifica | entro 72 ore dalla conoscenza | L'aggiornamento della pre-notifica, una prima valutazione di gravità e impatto, gli indicatori di compromissione se li avete |
| Relazione intermedia | solo se la chiede il CSIRT Italia | Gli aggiornamenti utili |
| Relazione finale | entro un mese dalla notifica | Descrizione dettagliata, gravità e impatto, causa probabile, misure adottate e in corso, effetti in altri Stati |
| Se l'incidente è ancora in corso | una relazione al mese, poi la finale entro un mese dalla chiusura | I progressi, poi gli stessi contenuti della relazione finale |
Il tempo parte da quando avete evidenza dell'incidente, cioè elementi oggettivi raccolti anche con un'analisi sommaria: una segnalazione esterna (anche dello stesso CSIRT), una chiamata all'help desk, un allarme del monitoraggio (FAQ ISB.G.4). Non da quando l'incidente è cominciato, e nemmeno da quando avete finito di capirlo. I prestatori di servizi fiduciari, per i loro servizi fiduciari, hanno 24 ore anche per la notifica (art. 25, c. 6).
Chi notifica e come
La notifica la fa il referente CSIRT o uno dei suoi sostituti; in via eccezionale, se nessuno di loro è disponibile, il punto di contatto (det. 314287/2026, artt. 4 e 7). Per questo il referente va designato prima che scatti l'obbligo, entro il 31 dicembre dell'anno di ingresso nell'elenco: vedi registrazione e punto di contatto.
Il canale è il Portale dei servizi ACN (portale.acn.gov.it), nella maschera dedicata alle notifiche NIS. Il CSIRT Italia risponde entro 24 ore dalla pre-notifica, se possibile, e su richiesta vi aiuta a gestire l'incidente (art. 25, c. 7). Il suo numero di telefono h24 non è pubblico: tenete a portata di mano gli accessi al portale e la PEC.
Se l'incidente passa da un fornitore
Succede spesso, e l'ACN ha dato indicazioni precise:
- se l'incidente colpisce i vostri sistemi gestiti dal fornitore IT o da un servizio di monitoraggio esterno, notificate voi; il fornitore vi aiuta e deve avvisarvi subito degli eventi che vi riguardano (FAQ ISB.F.1);
- se l'incidente avviene sui sistemi di un fornitore che è a sua volta soggetto NIS, notifica lui; notificate anche voi se, per voi, l'effetto rientra in uno dei tipi IS. Per i servizi cloud notificano entrambi, salvo l'infrastruttura in affitto (IaaS) o l'hosting dei vostri sistemi, dove notificate solo voi (FAQ ISB.F.2 e ISB.F.3).
Per questo i contratti con i fornitori devono prevedere l'obbligo di avvisarvi in fretta: ne parliamo in NIS2 e fornitori.
Gli altri obblighi collegati
- Il Garante privacy. Se l'incidente è anche una violazione di dati personali, va notificato al Garante entro 72 ore secondo il GDPR (art. 33), salvo che sia improbabile un rischio per le persone. Sono due notifiche diverse, a due autorità diverse.
- I clienti. Se l'incidente può danneggiare chi usa i vostri servizi, va avvisato senza ingiustificato ritardo, se opportuno e possibile e sentito il CSIRT Italia; l'ACN può anche ordinarlo (art. 25, c. 9-10; art. 37).
- Il consiglio di amministrazione. Va informato degli incidenti e delle notifiche, periodicamente o subito se serve (art. 23, c. 3).
- La denuncia. La notifica al CSIRT non vale come denuncia: se c'è un reato, rivolgetevi alla Polizia o all'autorità giudiziaria.
La notifica, dice la legge, non vi espone a una responsabilità maggiore di quella che deriva dall'incidente stesso (art. 25, c. 3). Potete anche notificare in modo volontario incidenti minori, quasi-incidenti e minacce (art. 26).
Da quando vale e cosa preparare
Per chi è entrato nell'elenco nel 2025 l'obbligo vale da nove mesi dopo la comunicazione di inserimento (gennaio 2026 per le PEC di aprile 2025); per chi è entrato per la prima volta nel 2026 vale dal 1° gennaio 2027 (det. 127434/2026). Le altre date sono in scadenze 2026-2027. Prima di quel giorno vi servono:
- Il referente CSIRT e almeno un sostituto, designati sul portale, per coprire ferie e notti.
- I livelli di servizio attesi dei vostri servizi principali, messi per iscritto (DE.CM-01).
- Un piano di gestione degli incidenti con ruoli, contatti, moduli e la procedura di notifica, approvato dall'organo di amministrazione (RS.MA-01).
- Un registro degli incidenti, anche di quelli non notificati, per decidere a mente fredda cosa è significativo e cosa no.
- Le clausole con i fornitori sull'obbligo di avvisarvi subito.
Nella settima tappa Pilot vi aiuta a preparare piano, ruoli e registro, e quando segnate un incidente vi mostra subito le scadenze delle 24 ore, delle 72 ore e del mese. Iniziate gratis.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
