Per un soggetto NIS scoprire un incidente non è solo un problema operativo: scattano subito una serie di obblighi di comunicazione verso il CSIRT Italia, con tempistiche stringenti. La Determinazione ACN n. 379907 del 19 dicembre 2025, in vigore dal 15 gennaio 2026, ha codificato il quadro che già il D.lgs 138/2024 (recepimento NIS2) anticipava.
Vediamo cosa significa concretamente per chi deve attivare la procedura di notifica.
Le tre fasi della notifica — e i tempi
| Fase | Quando | Cosa serve |
|---|---|---|
| Pre-notifica | Entro 24 ore | Elementi informativi di base che permettono al CSIRT di contestualizzare l’incidente |
| Notifica | Entro 72 ore | Ulteriori elementi raccolti durante l’analisi iniziale |
| Relazione intermedia | Su richiesta | Stato di avanzamento se l’incidente è ancora aperto |
| Relazione finale | Entro 1 mese dalla notifica (o dalla chiusura, se più tardi) | Quadro completo, cause radice, misure adottate |
Tre dettagli che vengono spesso ignorati nella prima lettura del testo:
- Le 24 ore non partono dall’inizio dell’incidente, ma da quando il soggetto NIS ne viene a conoscenza dopo un’analisi anche breve dei fatti.
- Se l’incidente resta aperto oltre il mese, scattano relazioni mensili di avanzamento e la finale entro un mese dalla chiusura definitiva.
- La causa è irrilevante: catastrofe naturale, errore umano, attacco intenzionale, guasto hardware. Se l’incidente è significativo si notifica.
Cos’è un “incidente significativo”
Qui sta la parte difficile. La Determinazione ACN definisce quattro categorie di significatività — IS-1 a IS-4 — descritte in Allegato 3 (soggetti importanti) e Allegato 4 (soggetti essenziali):
- IS-1 e IS-2 — Riservatezza e integrità: violazioni di dati o sistemi che compromettono la confidenzialità o l’integrità dei servizi essenziali
- IS-3 — Disponibilità: interruzione o degrado significativo della disponibilità del servizio
- IS-4 — Accesso non autorizzato: solo per soggetti essenziali — abuso di privilegi o accessi non legittimi a sistemi critici
Le soglie esatte (volume utenti impattati, durata interruzione, ecc.) sono nei due allegati: la differenza tra un evento “interno” da gestire in silenzio e un incidente da notificare passa esattamente da quei numeri.
Soggetti essenziali vs soggetti importanti
La distinzione non è cosmetica:
- I soggetti importanti applicano le misure di sicurezza dell’Allegato 1 e si confrontano con la categoria di significatività dell’Allegato 3 (tre soglie).
- I soggetti essenziali applicano l’Allegato 2 (più stringente) e l’Allegato 4 (quattro soglie, inclusa la IS-4 sugli accessi).
La fascia di appartenenza si conosce dopo la categorizzazione sul Portale ACN (la cui prima finestra annuale si chiude il 30 giugno). Operativamente, un soggetto essenziale ha un perimetro di obblighi sensibilmente più ampio.
Il canale ufficiale — CSIRT Italia
Tutte le notifiche viaggiano attraverso la piattaforma del CSIRT Italia, accessibile dal Portale ACN con le credenziali del Punto di Contatto NIS designato dal soggetto. Non c’è un’alternativa via PEC o email: il flusso è centralizzato sul portale.
Questo significa due cose pratiche:
- Il Punto di Contatto deve avere accesso operativo al portale prima che capiti un incidente, non al primo bisogno.
- L’organizzazione deve avere un’escalation chiara per allertare il Punto di Contatto entro poche ore dalla rilevazione (perché 24 ore non sono molte se le si scopre venerdì sera).
Tempistiche di adeguamento per le misure di sicurezza
Per chi è stato inserito nell’elenco NIS:
- Inserimento nel 2025: 18 mesi dalla notifica di inserimento per adottare le misure di base.
- Inserimento nel 2026 (per la prima volta): scadenza unica al 31 luglio 2027.
L’asimmetria è voluta: chi è entrato per primo aveva il quadro normativo ancora in evoluzione e ha un orizzonte personalizzato, le coorti successive si allineano su una data condivisa.
Sanzioni — non ancora un importo ma un meccanismo chiaro
Il D.lgs 138/2024 prevede sanzioni amministrative per il mancato rispetto degli obblighi di notifica, con massimali differenziati tra soggetti essenziali e soggetti importanti (con riferimento al fatturato annuo a livello globale). La Determinazione ACN non aggiunge importi ma è abilitante: il mancato rispetto delle 24 o delle 72 ore è oggettivamente verificabile sulla piattaforma CSIRT, e questo cambia il rischio di accertamento.
Cosa fare ora, in pratica
- Verifica chi è il Punto di Contatto NIS della tua organizzazione e che abbia accesso operativo al Portale ACN.
- Mappa i servizi essenziali e definisci le soglie interne di “incidente significativo” — meglio se più conservative degli allegati ACN, per non rischiare di sottostimare.
- Procedurizza l’escalation: chi rileva, chi decide la qualificazione, chi compila la pre-notifica. Le 24 ore decorrono dalla rilevazione, non dal CdA.
- Fai un’esercitazione almeno una volta, ipotizzando un caso reale (ransomware, perdita di dati, indisponibilità). Una pre-notifica scritta sotto stress alle 22:00 di sabato è diversa da una compilata a freddo.
- Documenta tutto: la relazione finale dovrà ricostruire la timeline a posteriori, e senza log si scrive male.
Riferimenti normativi
- D.lgs 138/2024 (recepimento Direttiva NIS2) — art. 25 obblighi di notifica
- Determinazione ACN n. 379907 del 19 dicembre 2025 — misure di sicurezza di base e specifiche di notifica
- FAQ ACN — Misure di sicurezza e notifica di incidenti: acn.gov.it