CSIRT: cos'è, come funziona in Italia e ruolo NIS2

CSIRT è l'acronimo di Computer Security Incident Response Team: una squadra che riceve, analizza e gestisce gli incidenti informatici per una comunità definita. In Italia quella nazionale è il CSIRT Italia, che opera presso l'ACN: l'articolo 15 del D.Lgs. 138/2024 ne definisce compiti e requisiti, l'articolo 25 ne fa il destinatario delle notifiche di incidente significativo.

Da qui in avanti vediamo cosa fa concretamente un CSIRT, com'è organizzato quello italiano, che rapporto ha con la rete europea dei CSIRT e con ENISA, in cosa si distingue da un SOC e cosa cambia, in pratica, per un'azienda che rientra nel perimetro NIS2.

Cosa significa CSIRT

L'acronimo sta per Computer Security Incident Response Team, squadra di risposta agli incidenti di sicurezza informatica. La definizione minima tiene insieme due elementi:

• una capacità tecnica, cioè persone e strumenti in grado di analizzare un attacco mentre è in corso e di dire cosa sta succedendo;
• una comunità di riferimento, il gruppo di organizzazioni a cui quella capacità è messa a disposizione, che può essere un settore, un'azienda con più sedi o, nel caso dei CSIRT nazionali, un intero Paese.

La denominazione italiana della struttura nazionale la trovi nel titolo dell'articolo 15 del D.Lgs. 4 settembre 2024, n. 138, il decreto che ha recepito la direttiva NIS2: "Gruppo nazionale di risposta agli incidenti di sicurezza informatica - CSIRT Italia". È utile saperlo, perché nei testi normativi ricorre la formula estesa mentre nella pratica quotidiana si usa quasi sempre la sigla.

CSIRT e CERT: che differenza c'è

Nell'uso comune i due acronimi indicano lo stesso tipo di squadra, e capita di trovarli usati come sinonimi. In Italia la distinzione utile è di ruolo, non di funzione: il D.Lgs. 138/2024 designa un solo CSIRT nazionale e, all'articolo 15 comma 5, stabilisce che in caso di eventi malevoli le strutture pubbliche con funzione di computer emergency response team (CERT) collaborino con il CSIRT Italia, anche per un coordinamento più efficace della risposta. Tradotto: esistono più squadre, ma il punto di raccolta nazionale è uno solo.

Cosa fa un CSIRT: i compiti, come li scrive la norma

L'articolo 15 del D.Lgs. 138/2024 elenca i compiti del CSIRT Italia, e quell'elenco è anche il modo più concreto per capire cosa fa un CSIRT in generale. In sintesi:

• Monitora e analizza minacce, vulnerabilità e incidenti a livello nazionale, e su richiesta assiste i soggetti essenziali e importanti nel monitoraggio dei loro sistemi.
• Emette preallarmi, allerte e bollettini e divulga informazioni su minacce, vulnerabilità e incidenti ai soggetti interessati, dove possibile in tempo prossimo al reale.
• Fornisce risposta agli incidenti e assistenza ai soggetti coinvolti.
• Raccoglie e analizza dati forensi, produce analisi dinamica dei rischi e consapevolezza situazionale sulla sicurezza informatica.
• Effettua scansioni, su richiesta del soggetto interessato oppure in forma proattiva e non intrusiva sui sistemi accessibili al pubblico, per individuare configurazioni insicure e vulnerabilità e informare chi le espone.
• Partecipa alla rete europea dei CSIRT nazionali e fornisce assistenza reciproca agli altri membri.
• Coordina la divulgazione delle vulnerabilità: l'articolo 16 designa il CSIRT Italia coordinatore della divulgazione coordinata, con il ruolo di intermediario tra chi segnala una vulnerabilità e il fornitore del prodotto o servizio interessato, con la possibilità di segnalare in forma anonima.

Lo stesso articolo chiede al CSIRT requisiti che raccontano bene la natura del servizio: canali di comunicazione ad alta disponibilità senza singoli punti di malfunzionamento, sistemi ridondanti e spazi di lavoro di backup, locali e sistemi in siti sicuri. Una squadra di risposta che cade quando cade il Paese non serve a nulla, ed è scritto nero su bianco.

Il CSIRT Italia: dove sta e cosa vede

Il CSIRT Italia opera presso l'ACN, l'Agenzia per la Cybersicurezza Nazionale, come indicato dalla stessa Agenzia nelle pagine istituzionali dedicate alla struttura. Il decreto NIS ne definisce i compiti facendo salvo quanto già previsto dal decreto-legge 14 giugno 2021, n. 82, convertito dalla legge 4 agosto 2021, n. 109, cioè la norma che ha costruito l'assetto della cybersicurezza nazionale attorno all'Agenzia.

La collocazione non è un dettaglio organizzativo. L'ACN è anche l'Autorità nazionale competente NIS e il Punto di contatto unico verso la Commissione europea, le autorità degli altri Stati membri ed ENISA (articolo 10 del D.Lgs. 138/2024). Mettere la capacità tecnica di risposta e la funzione istituzionale sotto lo stesso tetto significa che chi legge tecnicamente un attacco e chi tiene i rapporti con l'Europa parlano fra loro senza passaggi intermedi.

I numeri del 2025, per capire la scala

La Relazione annuale al Parlamento 2025 dell'ACN dà la misura di cosa passi da quella struttura. Nel 2025 il CSIRT Italia ha trattato 2.729 eventi cyber, in crescita di circa il 38% rispetto al 2024, di cui 615 classificati come incidenti con impatto confermato, con un aumento più contenuto, intorno al 7%. Le vittime complessive sono state 3.907, di cui 1.901 univoche.

Sul fronte dell'allertamento, sempre secondo la Relazione, nello stesso anno sono state inviate 46.867 comunicazioni ai soggetti interessati e pubblicati 738 alert e bollettini sul portale pubblico, mentre gli interventi di supporto diretto alle vittime sono stati 55 e le notifiche di incidente ricevute 661.

Due letture, entrambe utili. La prima: il divario tra eventi in forte crescita e incidenti che crescono molto meno dice che una parte dell'aumento è visibilità, non solo attacchi in più. La seconda, più operativa: gran parte del lavoro di un CSIRT nazionale non è la gestione della crisi, è l'avviso che arriva prima. Bollettini, alert e segnalazioni puntuali sono materiale gratuito e pubblico, e molte aziende non lo leggono.

La rete europea dei CSIRT e il ruolo di ENISA

Nessun CSIRT nazionale lavora da solo. Esiste una rete europea dei CSIRT (CSIRTs Network) che, come indica il sito ufficiale della rete, riunisce i CSIRT designati dagli Stati membri e CERT-EU, con la Commissione europea come osservatore. È nata nel 2016 con la prima direttiva NIS ed è stata rafforzata dalla NIS2 per rendere più rapida ed efficace la cooperazione operativa tra Paesi. Il segretariato, le infrastrutture e gli strumenti che la fanno funzionare sono forniti da ENISA, l'Agenzia dell'Unione europea per la cybersicurezza.

Cosa ci si scambia, in concreto, lo elenca l'articolo 20 del D.Lgs. 138/2024, che disciplina la partecipazione del CSIRT Italia: informazioni su incidenti, minacce, rischi e vulnerabilità associate; assistenza ai CSIRT di altri Stati membri per incidenti che interessano due o più Paesi; risposta coordinata su richiesta di un membro interessato; interoperabilità di specifiche e protocolli per lo scambio di informazioni.

Perché a un'azienda dovrebbe interessare. Perché gli attacchi seguono i fornitori, non i confini: una campagna che colpisce un vendor in Germania arriva ai suoi clienti italiani nel giro di ore. La rete esiste per far viaggiare l'informazione alla stessa velocità, e un bollettino del CSIRT Italia su una vulnerabilità sfruttata attivamente spesso nasce da una segnalazione entrata da un altro Stato membro.

CSIRT e SOC non sono la stessa cosa

È la confusione più frequente, e vale la pena scioglierla. Un SOC è il presidio operativo di un'organizzazione: monitora i suoi sistemi, idealmente 24 ore su 24, fa triage degli alert e reagisce. Un CSIRT è una squadra di risposta al servizio di una comunità, e nel caso del CSIRT Italia quella comunità è il Paese intero.

Ne discende una conseguenza che conviene mettere a verbale prima di un incidente: il CSIRT nazionale non è il tuo SOC. Riceve la tua notifica, ti dà assistenza ove possibile, ti manda allerte e bollettini, ma non è la struttura che si accorge per te che un attaccante è entrato nei tuoi sistemi alle tre di notte di sabato. Quella parte resta tua, interna o affidata a un partner.

Cosa cambia per un'azienda con la NIS2

Se rientri nel perimetro NIS2, il CSIRT Italia smette di essere una sigla istituzionale e diventa un interlocutore con cui hai obblighi precisi. Tre punti, in ordine di come si presentano.

• È il destinatario delle notifiche. L'articolo 25 del D.Lgs. 138/2024 prevede una pre-notifica entro 24 ore da quando si è venuti a conoscenza dell'incidente significativo, la notifica dell'incidente entro 72 ore e una relazione finale entro un mese. Tempi, contenuti e criteri di significatività li abbiamo messi in fila in notifica degli incidenti NIS2.
• Presuppone che qualcuno risponda. La registrazione sulla piattaforma dell'ACN e la designazione del referente per i rapporti con l'Agenzia sono adempimenti a monte, che rendono utilizzabili i canali di notifica: il percorso è descritto in ACN e NIS2: ruolo, registrazione e obblighi.
• Funziona in due direzioni. Il flusso non è solo verso l'alto: preallarmi, allerte, bollettini e segnalazioni di vulnerabilità arrivano dal CSIRT verso i soggetti. Chi non ha un processo per leggerli e trasformarli in azioni di patching perde la parte del servizio che costa zero.

Il punto dolente è sempre lo stesso, ed è tecnico prima che normativo. Le 24 ore non partono dall'incidente, partono da quando ne vieni a conoscenza, e un'organizzazione che se ne accorge dopo tre settimane non ha un problema di modulistica: ha un problema di rilevamento. Le finestre di notifica reggono solo se esiste a monte una capacità di detection e response continua, e non a caso l'articolo 24 del D.Lgs. 138/2024 mette la gestione degli incidenti, comprese le procedure e gli strumenti per eseguire le notifiche, fra le misure minime di gestione del rischio. Il quadro completo di obblighi e perimetro sta nella guida completa alla NIS2.

In sintesi

Un CSIRT è una squadra di risposta agli incidenti al servizio di una comunità definita. Quello nazionale italiano è il CSIRT Italia, opera presso l'ACN, ha compiti fissati dall'articolo 15 del D.Lgs. 138/2024 che vanno dal monitoraggio ai bollettini fino al coordinamento della divulgazione delle vulnerabilità, e partecipa alla rete europea dei CSIRT il cui segretariato è assicurato da ENISA. Per un'azienda nel perimetro NIS2 è il destinatario delle notifiche di incidente significativo, secondo l'articolo 25 del D.Lgs. 138/2024.

La conclusione pratica è meno normativa di quanto sembri: sapere a chi si notifica è la parte facile. La parte difficile è accorgersi dell'incidente abbastanza presto perché la notifica abbia senso. Se vuoi capire come si costruisce quel presidio nel mid-market italiano, parti dai nostri servizi NIS2.