Per i soggetti cui l’obbligo di notifica NIS è già applicabile, un incidente significativo richiede una pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica. La decorrenza va verificata per coorte: la determinazione ACN 127434/2026 stabilisce che, per i soggetti inseriti per la prima volta nell’elenco NIS nel 2026, la notifica degli incidenti significativi di base decorre dal 1° gennaio 2027; ai soggetti già inseriti nel 2025 continuano ad applicarsi i rispettivi termini. Sono gli obblighi introdotti in Italia dal D.Lgs. 138/2024 e gestiti attraverso la piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN). La sfida operativa non è solo rispettare le scadenze, ma capire cosa conta come incidente significativo e come coordinare questa notifica con quella al Garante quando sono coinvolti dati personali.
Questa guida ricostruisce il workflow, le soglie e il doppio binario NIS2-GDPR.
Punti essenziali
- Prima di calcolare i termini: verificare anno di prima inclusione nell’elenco NIS e l’eventuale disciplina settoriale; per la coorte 2026 il termine iniziale è il 1° gennaio 2027.
- 24 ore: pre-notifica al CSIRT Italia dalla conoscenza dell’incidente significativo, una volta operativo l’obbligo.
- 72 ore: notifica dell’incidente con valutazione iniziale di gravità e impatto.
- 1 mese: relazione finale con analisi delle cause, misure adottate e impatto transfrontaliero.
- Un incidente è significativo se causa grave perturbazione operativa, perdite finanziarie o danni ad altri.
- Se vi è anche una violazione di dati personali, l’art. 33 GDPR richiede una valutazione separata: si notifica al Garante salvo che sia improbabile un rischio per i diritti e le libertà delle persone.
Le tre scadenze in dettaglio
Il modello NIS2 è a tappe: si comunica presto e poco, poi si aggiorna. Questo evita che l’obbligo di notifica rallenti la risposta tecnica all’incidente.
| Fase | Termine | Contenuto |
|---|---|---|
| Pre-allarme (early warning) | Entro 24 ore dalla scoperta | Sospetto di illiceità/malevolenza, possibile impatto transfrontaliero |
| Notifica | Entro 72 ore dalla scoperta | Valutazione iniziale: gravità, impatto, indicatori di compromissione |
| Relazione intermedia | Su richiesta del CSIRT | Aggiornamenti sullo stato |
| Relazione finale | Entro 1 mese dalla notifica | Cause, gravità, misure di mitigazione, impatto transfrontaliero |
Il conteggio parte da quando il soggetto viene a conoscenza dell’incidente significativo, non necessariamente dalla prima traccia tecnica né dal completamento dell’indagine. Per questo il rilevamento tempestivo — monitoraggio, log, alerting — è il presupposto della conformità: non si può notificare entro 24 ore un incidente che si scopre dopo settimane.
Cos’è un «incidente significativo»
Non ogni anomalia va notificata. La NIS2 richiede la notifica dei soli incidenti significativi, ossia quelli che:
- hanno causato o possono causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto;
- hanno avuto o possono avere ripercussioni su altre persone fisiche o giuridiche, causando danni considerevoli.
Le soglie quantitative di dettaglio sono definite dagli atti di esecuzione europei per alcune categorie (in particolare fornitori digitali) e dalle determinazioni dell’ACN. In pratica il soggetto deve dotarsi di una procedura di classificazione interna che, di fronte a un evento, stabilisca rapidamente se scatta l’obbligo. Questa procedura si integra con le misure di gestione degli incidenti previste dall’art. 21 e descritte nella guida alla NIS2 in Italia e al D.Lgs. 138/2024.
Il doppio binario NIS2-GDPR
È il punto che manda in crisi le organizzazioni. Un attacco ransomware che interrompe un servizio e sottrae dati dei clienti può integrare sia un incidente significativo NIS2 sia una violazione di dati personali. Occorre valutare distintamente la significatività per il servizio e il rischio per le persone; solo se sono superate le rispettive soglie scattano entrambe le notifiche.
| Profilo | NIS2 (ACN / CSIRT Italia) | GDPR (Garante) |
|---|---|---|
| Oggetto | Sicurezza di reti e sistemi | Dati personali |
| Autorità | ACN – CSIRT Italia | Garante privacy |
| Prima scadenza | Pre-allarme entro 24 ore | Notifica entro 72 ore |
| Soglia | Incidente significativo | Rischio per i diritti degli interessati |
| Base normativa | D.Lgs. 138/2024 | Art. 33 Regolamento (UE) 2016/679 |
Quando entrambe le soglie sono superate, i due obblighi non si assorbono: vanno adempiuti entrambi, con tempistiche proprie. La procedura interna deve prevedere una doppia valutazione al momento della scoperta. Il flusso lato GDPR è dettagliato nella guida alla notifica di violazione dei dati al Garante; per il quadro delle differenze tra i due regimi si veda NIS2 vs GDPR. Tenere aggiornato il registro delle violazioni aiuta a documentare entrambe le catene di notifica.
Come prepararsi prima dell’incidente
La notifica si vince prima. Un soggetto in ambito dovrebbe avere pronti:
- Un punto di contatto designato e registrato sulla piattaforma ACN, raggiungibile h24.
- Una procedura di incident response con ruoli, soglie di classificazione e template di notifica precompilati.
- Rilevamento e logging adeguati, per scoprire gli incidenti in tempo utile a rispettare le 24 ore.
- Un registro degli incidenti che documenti valutazioni e comunicazioni.
- Il coordinamento con il DPO per la valutazione parallela ex art. 33: chi ricopre il ruolo trova i riferimenti nei compiti del DPO/RPD.
Nel valutare un software per la conformità NIS2, verificate che consenta di conservare decisioni, versioni delle comunicazioni e orari senza sostituire il giudizio della squadra incident response.
Cosa scrivere in ciascuna comunicazione
Il contenuto delle tre comunicazioni cresce con l’avanzare dell’analisi. Il pre-allarme è essenziale: basta indicare che si è verificato un incidente potenzialmente significativo, se si sospetta un’azione malevola o illecita e se può avere un impatto transfrontaliero. Non serve — e non ci si aspetta — un’analisi completa a 24 ore dalla scoperta.
La notifica a 72 ore aggiunge la valutazione iniziale di gravità e impatto, gli indicatori di compromissione noti e le prime misure di contenimento adottate. La relazione finale chiude il ciclo con la descrizione dettagliata dell’incidente, le cause profonde, la gravità effettiva, l’impatto sui servizi e sugli utenti e le misure di mitigazione e prevenzione messe in campo. Se l’incidente è ancora in corso alla scadenza mensile, l’art. 25, comma 5, lettera e), del decreto italiano prevede una relazione mensile sui progressi e la finale entro un mese dalla conclusione della gestione.
Il ruolo del CSIRT Italia
Il CSIRT Italia, incardinato nell’ACN, non è solo il destinatario delle notifiche: fornisce supporto, indicazioni tecniche e, quando opportuno, allerte al resto dell’ecosistema. Notificare tempestivamente non è quindi solo un obbligo, ma anche un canale di assistenza durante la gestione della crisi. Il soggetto che collabora in modo trasparente con il CSIRT si trova in una posizione migliore anche rispetto all’eventuale valutazione sanzionatoria, perché la cooperazione con l’autorità è un elemento considerato nella graduazione delle misure. Mantenere aggiornati recapiti e canali di contatto sulla piattaforma ACN è quindi un presidio operativo, non una formalità: nel momento dell’incidente non c’è tempo per verificare chi debba notificare e con quali credenziali accedere ai sistemi dell’Agenzia.
FAQ
Entro quanto tempo va notificato un incidente NIS2 in Italia?
Quando l’obbligo è operativo per quel soggetto, la pre-notifica al CSIRT Italia va inviata entro 24 ore dalla conoscenza dell’incidente significativo, seguita dalla notifica entro 72 ore e dalla relazione finale entro un mese dalla notifica. I soggetti inseriti per la prima volta nell’elenco NIS nel 2026 iniziano la notifica degli incidenti significativi di base il 1° gennaio 2027, secondo la determinazione ACN 127434/2026. Il termine decorre dal momento in cui il soggetto viene a conoscenza dell’incidente, non da quando l’incidente si verifica.
Cosa si intende per incidente significativo?
Un incidente è significativo quando ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure quando produce ripercussioni rilevanti su altre persone fisiche o giuridiche. Le soglie di dettaglio derivano dagli atti di esecuzione UE e dalle determinazioni dell’ACN.
Devo notificare sia all’ACN sia al Garante?
Solo se sono soddisfatte entrambe le condizioni: incidente significativo per il soggetto NIS e violazione di dati personali non improbabile che comporti un rischio per le persone. La notifica NIS2 al CSIRT Italia e quella ex art. 33 GDPR al Garante sono obblighi distinti, con autorità e tempistiche proprie. La procedura interna deve prevedere una doppia valutazione al momento della scoperta.
A chi si invia la notifica NIS2?
Al CSIRT Italia, attraverso la piattaforma digitale dell’Agenzia per la Cybersicurezza Nazionale. Il soggetto deve aver registrato un punto di contatto in fase di iscrizione ed essere in grado di utilizzare i canali telematici dell’ACN per l’invio del pre-allarme e delle successive comunicazioni.
Vedi anche: un registro delle violazioni per documentare gli incidenti, utile anche ai fini della notifica GDPR; per capire chi è tenuto a notificare, vedi la distinzione tra soggetti essenziali e importanti.
Fonti ufficiali: Agenzia per la Cybersicurezza Nazionale · Direttiva (UE) 2022/2555 (NIS2) su EUR-Lex
Prima domanda: il soggetto e il servizio rientrano nel decreto?
L’obbligo del decreto legislativo 138/2024 riguarda i soggetti essenziali e importanti nel suo perimetro, secondo la decorrenza della coorte di iscrizione. Per un’entità inserita per la prima volta nell’elenco nel 2026, la determinazione ACN 127434/2026 fa decorrere la notifica degli incidenti significativi di base dal 1° gennaio 2027; il referente CSIRT va designato nei termini indicati dall’ACN. Per una già iscritta nel 2025, non si può utilizzare il termine differito della nuova coorte. Una società che subisce un attacco non deve presumere di essere automaticamente soggetta alla NIS2; al contrario, l’iscrizione e la classificazione non autorizzano a notificare solo quando il sistema principale è fermo. Occorre collegare l’evento ai servizi dell’entità, ai settori e alle informazioni comunicate ad ACN. Il primo foglio di una procedura dovrebbe riportare ragione sociale, servizi coperti, referente e suo sostituto, recapiti aggiornati e credenziali di accesso ai canali ufficiali. La guida sui soggetti essenziali e importanti serve a impostare questo inventario; la verifica decisiva resta sul testo normativo e sulle comunicazioni dell’autorità relative al soggetto.
La significatività non coincide con una perdita di dati personali. Un’interruzione che impedisce di fornire un servizio essenziale può essere significativa senza alcuna esfiltrazione; un invio errato di dati personali può essere un data breach GDPR pur non disturbando i servizi NIS. L’articolo 25, comma 4, usa due criteri alternativi: grave perturbazione operativa o perdite finanziarie del soggetto, e perdite materiali o immateriali considerevoli per altri. Non aspettate un danno definitivamente quantificato quando l’incidente è in grado di causarlo. Documentate l’ipotesi disponibile e la fonte dell’informazione, poi rivedetela man mano che emergono log e conferme.
Quando prevale una disciplina settoriale
Per le entità finanziarie coperte dal regolamento DORA 2022/2554, l’articolo 1, paragrafo 2, lo qualifica come atto settoriale ai sensi dell’articolo 4 NIS2. La Commissione europea chiarisce che le disposizioni DORA sulla gestione e segnalazione degli incidenti TIC maggiori si applicano in luogo dei corrispondenti obblighi NIS2 per le entità finanziarie coperte. Non inviate quindi un secondo pacchetto 24/72 ore al CSIRT solo perché l’entità opera anche in un settore NIS: verificate il perimetro DORA, il tipo di incidente e l’autorità di settore. Il GDPR resta da valutare separatamente quando sono coinvolti dati personali.
Una linea temporale utile anche con informazioni incomplete
Alle 09:00 il monitoraggio segnala un’anomalia; alle 10:30 il team conferma che un servizio è indisponibile e che l’evento può soddisfare la soglia di significatività. Il secondo momento, se è quello in cui il soggetto viene a conoscenza dell’incidente significativo, è il riferimento per il computo delle 24 e 72 ore. Non rinviate l’orologio fino alla ricostruzione della causa o alla conferma che l’attaccante abbia avuto accesso. Annotate entrambi gli orari, chi ha concluso la valutazione e gli elementi che la supportano. Se la classificazione cambia, registrate quando e perché. Questa cronologia consente di spiegare una decisione tempestiva anche se successivamente si scopre che la prima ipotesi tecnica era sbagliata.
Preparate una scheda breve per il preavviso: soggetto, servizio, momento della conoscenza, impatto noto, ragione per cui l’incidente appare significativo, possibile origine malevola e possibile effetto transfrontaliero. Scrivete «in corso di verifica» dove i dati mancano; non inventate un numero di utenti o una causa. Nelle successive 72 ore aggiungete l’analisi iniziale di gravità, impatto e indicatori di compromissione disponibili. Conservate la ricevuta di invio e la versione esatta di ogni messaggio. Una conservazione dei log di sicurezza può tradurre queste fasi in compiti assegnati, purché la squadra sappia applicarle anche fuori orario.
Il decreto prevede una relazione intermedia su richiesta del CSIRT Italia. La finale arriva entro un mese dalla notifica delle 72 ore, non entro un mese dal primo allarme. Se l’incidente continua, in Italia la relazione sui progressi è mensile e la finale segue entro un mese dalla conclusione della gestione. Per alcuni prestatori di servizi fiduciari l’articolo 25, comma 6, anticipa a 24 ore anche la notifica dell’incidente: la tabella generale 24/72 ore non va applicata meccanicamente a quella categoria. Il testo del decreto in Gazzetta Ufficiale è la fonte per queste distinzioni.
Classificare un caso senza trasformare ogni evento in notifica
Un servizio cloud mostra un’indisponibilità di alcuni minuti. La squadra verifica il numero di utenti, la durata, l’effetto su clienti critici e la causa apparente. Se il soggetto rientra tra le categorie digitali nominate nel regolamento di esecuzione 2024/2690, consulta anche le soglie specifiche applicabili a quella categoria. Non si può estendere una soglia prevista per i fornitori cloud a un ospedale o a un produttore industriale. Per gli altri soggetti si usano la definizione nazionale, gli atti ACN pertinenti e la valutazione dei servizi effettivamente forniti.
Se la soglia non appare raggiunta, conservate comunque una scheda: fatto, servizio, durata, impatto, criterio esaminato, decisione e responsabile. Riaperte la valutazione quando un cliente segnala danni, quando emergono indicatori di esfiltrazione o quando più eventi con una causa comune modificano il quadro. Una decisione iniziale di non notificare non è una dispensa permanente. Il registro degli incidenti e il registro delle violazioni di dati possono usare lo stesso identificativo evento, ma devono mantenere distinte le conclusioni NIS e GDPR.
Valutazione GDPR in parallelo
Il GDPR definisce la violazione dei dati personali all’articolo 4, punto 12: distruzione, perdita, modifica, divulgazione non autorizzata o accesso non autorizzato a dati trasmessi, conservati o altrimenti trattati. Un attacco alla disponibilità può quindi costituire una violazione anche senza furto dei file, se i dati personali diventano indisponibili. Il titolare valuta il rischio per i diritti e le libertà; l’articolo 33 richiede notifica all’autorità salvo che il rischio sia improbabile. Il termine è, ove possibile, 72 ore da quando il titolare viene a conoscenza della violazione e un ritardo richiede motivazione. L’articolo 34 aggiunge la comunicazione alle persone in caso di rischio elevato, con eccezioni previste dal regolamento.
Un responsabile del trattamento informa il titolare senza ingiustificato ritardo: non sostituisce automaticamente il titolare nella notifica al Garante. In una crisi con più clienti, stabilite chi è titolare per ciascun insieme di dati, chi possiede le informazioni minime e a chi inviare gli aggiornamenti. La guida alla notifica di violazione al Garante approfondisce questa catena; la comunicazione agli interessati è una decisione separata quando il rischio è elevato. Evitate di copiare integralmente nel canale NIS informazioni personali non necessarie, o di assumere che il preavviso NIS soddisfi l’articolo 33: destinatario, oggetto e soglia sono diversi.
Coordinamento e prova dopo l’incidente
Il responsabile tecnico gestisce contenimento e continuità, il referente NIS cura la comunicazione al CSIRT, il DPO fornisce consulenza sulla valutazione GDPR e la direzione approva le decisioni che le spettano. Nominate sostituti, provate le credenziali e predisponete una modalità di lavoro se la posta e l’identità aziendale sono compromesse. Un’esercitazione concreta dovrebbe simulare un sabato sera: chi riceve l’allarme, chi calcola i termini, chi può accedere alla piattaforma, dove sono i documenti di supporto e come si invia una correzione.
A chiusura, conservate cronologia, comunicazioni, ricevute, decisioni di soglia, indicatori di compromissione e misure correttive in un fascicolo accessibile alle persone autorizzate. La relazione finale deve distinguere fatti accertati, ipotesi e azioni ancora aperte. La continuità operativa va provata insieme alla capacità di comunicare durante il guasto. Le lezioni apprese possono aggiornare misure NIS2 e analisi del rischio, ma non cancellano il dovere di documentare la valutazione originaria.
Fonti ufficiali: D.Lgs. 138/2024, art. 25; ACN, determinazione 127434/2026 e decorrenza per la coorte 2026; direttiva NIS2, art. 23; regolamento di esecuzione 2024/2690; GDPR, artt. 4, 33 e 34.