Con il recepimento della direttiva NIS2 in Italia, soggetti essenziali e importanti hanno un obbligo operativo preciso: comunicare al CSIRT Italia gli incidenti significativi seguendo una sequenza di notifiche a tempo. Non basta accorgersi del problema; bisogna saperlo segnalare nei termini giusti e con il contenuto giusto. Questa guida riassume la procedura prevista dal D.Lgs. 138/2024 e dalle indicazioni dell’Agenzia per la Cybersicurezza Nazionale (ACN), distinguendo i fatti normativi dalle indicazioni pratiche.
Chi deve notificare e da quando
L’obbligo riguarda i soggetti essenziali e i soggetti importanti inseriti negli elenchi NIS. Le scadenze non sono uguali per tutti: dipendono dall’anno di iscrizione. Secondo le indicazioni dell’ACN, per i soggetti registrati nel corso del 2026 gli obblighi di notifica degli incidenti significativi decorrono dal 1º gennaio 2027. La piena operatività del processo di notifica è stata fissata con la determinazione ACN n. 379907 del 19 dicembre 2025, con avvio dal 15 gennaio 2026. È quindi importante verificare sul portale ACN la propria data di decorrenza, perché cambia in base allo stato di registrazione del singolo soggetto.
Un passaggio organizzativo preliminare è la nomina del referente per il CSIRT: è la persona di riferimento per i rapporti con il CSIRT Italia e va designata prima ancora che si verifichi un incidente. Su questo si innestano anche le misure di sicurezza NIS2, che costituiscono il presupposto per gestire e poi notificare correttamente un evento.
Quando un incidente è “significativo”
La notifica scatta solo per gli incidenti significativi, non per ogni anomalia. La causa è irrilevante: un incidente va notificato se rientra nei criteri, che si tratti di un attacco informatico, di un guasto accidentale o di un evento naturale. Le Linee Guida ACN individuano alcune categorie di riferimento:
- IS-1 – compromissione della riservatezza dei dati digitali con impatto sui servizi o sulle attività.
- IS-2 – compromissione dell’integrità dei dati digitali con impatto verso l’esterno.
- IS-3 – violazione dei livelli di servizio attesi, ossia un problema di disponibilità.
- IS-4 – accesso non autorizzato o abuso di privilegi sui dati digitali, categoria prevista per i soli soggetti essenziali.
I soggetti importanti fanno riferimento alle prime tre tipologie, i soggetti essenziali a tutte e quattro. Per i dettagli e le soglie aggiornate conviene fare riferimento direttamente alla versione vigente delle Linee Guida ACN.
La sequenza di notifica: 24 ore, 72 ore, un mese
Il cuore dell’adempimento, disciplinato dall’art. 25 del D.Lgs. 138/2024, è una sequenza a più fasi. Il riferimento temporale non è l’inizio dell’attacco, ma il momento dell’evidenza dell’incidente, cioè quando il soggetto dispone di elementi oggettivi che lo confermano.
1) Pre-notifica (early warning) – entro 24 ore
Senza ingiustificato ritardo e comunque entro 24 ore da quando si è avuta evidenza dell’incidente significativo, il soggetto trasmette la pre-notifica. È una comunicazione essenziale e rapida: serve a segnalare l’evento e, secondo le indicazioni, a indicare almeno se l’incidente possa derivare da atti illegittimi o malevoli e se possa avere un impatto transfrontaliero. Non è richiesta in questa fase un’analisi completa: l’obiettivo è informare tempestivamente il CSIRT Italia.
2) Notifica – entro 72 ore
Senza ingiustificato ritardo e comunque entro 72 ore dall’evidenza, il soggetto trasmette la notifica vera e propria. Qui il contenuto si arricchisce: aggiornamento delle informazioni già fornite, una valutazione iniziale dell’incidente con indicazione di gravità e impatto e, se disponibili, gli indicatori di compromissione (IoC). È la fase in cui si passa dalla segnalazione d’allerta a una descrizione strutturata di quanto sta accadendo.
3) Relazione finale – entro un mese
Entro un mese dalla notifica il soggetto trasmette la relazione finale. Secondo le indicazioni dovrebbe contenere almeno: una descrizione dettagliata dell’incidente con gravità e impatto, il tipo di minaccia o la causa originaria (root cause) che lo ha probabilmente innescato, le misure di attenuazione adottate e in corso e, ove noto, l’impatto transfrontaliero. Se alla scadenza la gestione è ancora aperta, le indicazioni dell’ACN prevedono relazioni di avanzamento periodiche e la relazione finale entro un mese dalla chiusura dell’incidente. Il CSIRT Italia può inoltre richiedere relazioni intermedie.
Il canale: portale ACN e CSIRT Italia
Le notifiche si trasmettono attraverso il canale ufficiale messo a disposizione dall’ACN, ossia la piattaforma di notifica dedicata, e sono indirizzate al CSIRT Italia, struttura dell’Agenzia che riceve e gestisce le segnalazioni. Per usare la piattaforma è necessaria la registrazione del soggetto e l’individuazione delle persone abilitate, a partire dal referente per il CSIRT. È una buona pratica preparare in anticipo gli accessi e provare il flusso, per non scoprire problemi tecnici proprio nelle ore di un incidente reale.
Come arrivare pronti
Gli adempimenti diventano sostenibili solo se la procedura è definita prima dell’emergenza. Alcuni accorgimenti concreti:
- Definire una procedura interna di gestione incidenti che colleghi rilevazione, classificazione (IS-1…IS-4) e attivazione delle notifiche.
- Stabilire chi decide che un incidente è “significativo” e chi materialmente compila e invia sul portale.
- Predisporre modelli di pre-notifica e notifica con i campi attesi, così da non perdere tempo entro le 24 e le 72 ore.
- Tenere traccia di date e orari dell’evidenza: è il momento da cui decorrono i termini.
- Verificare periodicamente, sul portale ACN, scadenze e versioni aggiornate delle Linee Guida.
La logica della NIS2 è chiara: rapidità nell’allertare, gradualità nel dettaglio. Si parte da poche informazioni essenziali entro 24 ore e si arriva a un quadro completo con la relazione finale.
Questa è una guida di orientamento, non un parere legale: per gli adempimenti verifica sempre le indicazioni ufficiali dell’ACN.