Uno degli obblighi più operativi introdotti dalla NIS2 è la notifica degli incidenti significativi. L'Art. 23 del D.Lgs. 138/2024 stabilisce tempi stringenti: chi non rispetta i termini rischia sanzioni anche in assenza di colpa per l'incidente stesso.
Cosa è un incidente "significativo"
Un incidente è significativo quando causa o può causare:
- Una grave perturbazione operativa dei servizi
- Perdite finanziarie per il soggetto interessato
- Danni considerevoli ad altre persone fisiche o giuridiche
In pratica: ransomware attivo, data breach con dati esfiltrati, interruzione prolungata di servizi critici, compromissione di sistemi di controllo sono tutti eventi che rientrano nella definizione.
I tre livelli di notifica
Prenotifica — entro 24 ore
Deve contenere: tipologia dell'incidente, stima dell'impatto, sistemi coinvolti, misure di contenimento adottate. Non è necessario avere tutte le informazioni — ciò che conta è rispettare il termine.
Notifica completa — entro 72 ore
Deve includere: natura dell'incidente, causa probabile, sistemi e dati coinvolti, numero di utenti potenzialmente colpiti, misure adottate e pianificate, eventuale coinvolgimento di altri soggetti NIS2.
Relazione finale — entro 1 mese
Deve contenere: descrizione dettagliata dell'incidente, root cause analysis, misure correttive implementate, lezioni apprese, aggiornamenti ai sistemi di sicurezza.
A chi notificare
La notifica va inviata al CSIRT Italia tramite il portale dedicato: csirt.gov.it. In caso di incidente che coinvolge anche dati personali, è necessaria anche la notifica al Garante Privacy entro 72 ore (Art. 33 GDPR).
Come prepararsi in anticipo
L'errore più comune è non avere un Incident Response Plan pronto prima che accada qualcosa. Predisporre in anticipo i template di notifica, definire chi nel team ha l'autorità di inviare la notifica, e simulare almeno una volta all'anno la procedura di incident response sono le azioni preventive più efficaci.
