La direttiva NIS2 introduce un obbligo di segnalazione degli incidenti di sicurezza informatica con tempistiche molto stringenti. Per le aziende italiane, l'interlocutore è l'ACN tramite il CSIRT Italia. Non rispettare queste scadenze espone a sanzioni significative — fino al 2% del fatturato mondiale.
Le tempistiche obbligatorie
La NIS2 impone un processo di segnalazione in tre fasi:
Fase 1: Preallarme — 24 ore
Entro 24 ore dalla scoperta dell'incidente significativo, dovete inviare un preallarme al CSIRT Italia. Questo primo rapporto deve includere:
- Descrizione sommaria dell'incidente
- Valutazione preliminare della natura (attacco informatico, guasto, errore umano)
- Impatto transfrontaliero potenziale
- Indicatori di compromissione (IoC) disponibili
Non è necessario avere tutte le informazioni — il preallarme serve a attivare il coordinamento con le autorità.
Fase 2: Notifica completa — 72 ore
Entro 72 ore dalla scoperta, dovete trasmettere una notifica completa che aggiorna il preallarme con:
- Valutazione dettagliata dell'incidente (gravità, impatto)
- Natura e causa probabile dell'incidente
- Misure di mitigazione adottate e previste
- Impatto transfrontaliero confermato o escluso
Fase 3: Relazione finale — 1 mese
Entro un mese dalla notifica completa, dovete presentare una relazione finale contenente:
- Descrizione dettagliata dell'incidente e della sua causa principale (root cause)
- Misure di mitigazione applicate
- Impatto effettivo (operativo, finanziario, reputazionale)
- Lezioni apprese e azioni correttive pianificate
Cos'è un "incidente significativo"?
Non tutti gli incidenti richiedono la segnalazione. La NIS2 definisce un incidente significativo quando provoca:
- Perturbazione grave del funzionamento dei servizi
- Perdite finanziarie significative per il soggetto coinvolto
- Danni a persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli
Esempi concreti in Italia
| Incidente | Significativo? | Motivo |
|---|---|---|
| Ransomware che blocca l'ERP per 3 giorni | ✅ Sì | Perturbazione grave dei servizi |
| Furto di 50.000 record clienti | ✅ Sì | Danni a persone fisiche |
| Tentativo di phishing bloccato | ❌ No | Nessun impatto effettivo |
| DDoS di 2 ore su sito vetrina | ⚠️ Dipende | Valutare impatto sui servizi |
| Esfiltrazione dati di ricerca | ✅ Sì | Perdita finanziaria/proprietà intellettuale |
Come segnalare al CSIRT Italia
1. Canale di comunicazione
Il CSIRT Italia (Computer Security Incident Response Team) è il punto di contatto nazionale. La segnalazione avviene tramite:
- Piattaforma online dell'ACN — canale preferenziale
- Email sicura al CSIRT Italia per emergenze
- Telefono per incidenti critici in corso
2. Contenuto del preallarme (template)
PREALLARME INCIDENTE NIS2
Data/ora scoperta: [GG/MM/AAAA HH:MM]
Soggetto segnalante: [Ragione sociale]
Codice identificativo ACN: [se disponibile]
DESCRIZIONE SOMMARIA:
[Cosa è successo in 3-5 righe]
TIPO DI INCIDENTE:
☐ Attacco ransomware
☐ Violazione dei dati (data breach)
☐ Attacco DDoS
☐ Compromissione della catena di fornitura
☐ Sfruttamento di vulnerabilità
☐ Altro: [specificare]
IMPATTO PRELIMINARE:
- Servizi coinvolti: [elenco]
- Sistemi interessati: [numero/tipo]
- Dati potenzialmente compromessi: [sì/no, tipo]
- Impatto transfrontaliero: [sì/no/in valutazione]
MISURE IMMEDIATE ADOTTATE:
[Azioni intraprese]
INDICATORI DI COMPROMISSIONE (IoC):
[IP, hash, domini, se disponibili]
Preparazione: cosa fare PRIMA dell'incidente
Il momento peggiore per creare una procedura di segnalazione è durante un incidente. Ecco cosa preparare:
Piano di risposta agli incidenti
Documentate chi fa cosa, quando e come. Il piano deve includere:
- Responsabile della segnalazione — chi contatta l'ACN (di solito il CISO o il DPO)
- Catena di escalation — dal SOC al management alla segnalazione
- Modelli precompilati — template di preallarme e notifica
- Contatti CSIRT Italia — salvati e accessibili 24/7
- Registro degli incidenti — per tracciare tutte le segnalazioni
Esercitazioni periodiche
Simulate un incidente almeno una volta l'anno. Misurate:
- Tempo di rilevamento (MTTD)
- Tempo dalla rilevazione alla segnalazione
- Completezza delle informazioni nel preallarme
- Coordinamento tra team interni
Strumenti di rilevamento
Non potete segnalare ciò che non rilevate. Assicuratevi di avere:
- Monitoraggio continuo dei sistemi (SIEM)
- Scansione regolare delle vulnerabilità
- Analisi dei log in tempo reale
- Sistemi di rilevamento delle intrusioni (IDS/IPS)
Errori fatali da evitare
Aspettare di avere tutte le informazioni — Il preallarme serve proprio a segnalare rapidamente con le informazioni disponibili. Non aspettate l'analisi completa.
Segnalare troppo tardi — Le 24 ore decorrono dalla scoperta dell'incidente, non dalla conferma. Se sospettate un incidente, il timer è partito.
Minimizzare l'incidente — Sottostimare l'impatto nella segnalazione iniziale e poi doverlo rivalutare al rialzo è peggio che segnalare correttamente dall'inizio.
Non documentare le azioni — Ogni decisione e azione durante la gestione dell'incidente deve essere tracciata con timestamp.
Rapporto con il GDPR
Se l’incidente comporta una violazione di dati personali che non è improbabile presenti un rischio per le persone, il titolare notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza (art. 33 GDPR). Le due segnalazioni restano distinte:
| Aspetto | NIS2 (ACN) | GDPR (Garante) |
|---|---|---|
| Cosa | Incidente sicurezza | Violazione dati personali |
| Quando | 24h preallarme + 72h notifica | Ove possibile entro 72h dalla conoscenza della violazione notificabile |
| A chi | CSIRT Italia / ACN | Garante Privacy |
| Focus | Continuità servizi | Protezione dati personali |
Se un incidente è significativo ai fini NIS2 e integra una violazione di dati personali notificabile ai sensi dell’articolo 33 GDPR, occorrono entrambe le notifiche; la sola presenza di dati personali non basta.
Conclusione
La segnalazione degli incidenti non è solo un obbligo normativo — è un meccanismo che protegge l'intero ecosistema digitale italiano. Preparatevi prima che l'incidente accada, e le 24 ore saranno gestibili.
Scansiona il tuo sito web gratis con WarDek — OWASP, NIS2, GDPR, AI Act in un'unica scansione.