Punti chiave
- Un incident response retainer è un contratto firmato prima di un incidente con cui un fornitore si impegna a intervenire entro tempi stabiliti: include tempi di risposta, ore prepagate o a consumo, attività proattive e capacità forense.
- La NIST SP 800-61 Rev. 3 (aprile 2025) prevede che chi gestisce gli incidenti possa essere interno, a contratto o disponibile al bisogno, e chiede che le responsabilità affidate a un fornitore siano definite nel contratto.
- Per i soggetti NIS2 l'art. 25 del D.Lgs. 138/2024 chiede pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza dell'incidente significativo, notifica entro 72 ore e relazione finale entro un mese: le informazioni che servono le produce chi fa risposta e analisi forense.
- La misura ACN RS.MA-01 chiede un piano di risposta eseguito in coordinamento con le terze parti interessate: il ruolo del fornitore del retainer va scritto in quel piano.
- Il retainer non sposta la responsabilità: la notifica resta al soggetto NIS2 e, per le entità finanziarie, DORA (art. 19, par. 5) consente di esternalizzare la segnalazione ma lascia piena responsabilità all'entità.
- SOC gestito e retainer si combinano: il SOC rileva e contiene ogni giorno, il retainer interviene sugli incidenti che superano il servizio quotidiano. Va scritto come si passano le consegne.
Un incident response retainer è un contratto firmato prima di un incidente con cui un fornitore specializzato si impegna a intervenire, entro tempi stabiliti, quando l'incidente arriva. In concreto compri quattro cose: tempi di risposta contrattuali, ore prepagate o tariffe già fissate, attività proattive per arrivare preparati e capacità forense. Il valore sta nel fatto che contratto, accessi e contatti sono già pronti quando l'orologio della notifica parte.
Questa pagina spiega cosa c'è dentro un retainer, come si lega agli obblighi di notifica NIS2 e a un SOC gestito, quali fattori ne determinano il costo e quali domande fare prima di firmare. Se cerchi prima il quadro generale, cioè cos'è l'incident response e quali fasi ha, parti da incident response: cos'è, fasi e piano di risposta.
Perché si firma prima dell'incidente
Chi cerca un team di risposta durante un attacco deve, nelle stesse ore, scegliere un fornitore, negoziare un contratto, firmare un accordo di riservatezza, dare accessi ai sistemi e spiegare a degli sconosciuti com'è fatta l'infrastruttura. Sono ore sottratte al contenimento e alla raccolta delle evidenze. Il retainer sposta tutto questo lavoro a prima.
La pubblicazione NIST SP 800-61 Rev. 3 (aprile 2025), le raccomandazioni del NIST sulla risposta agli incidenti costruite sul Cybersecurity Framework 2.0, descrive tre modi di avere chi gestisce gli incidenti: personale interno, personale a contratto (per esempio un SOC esternalizzato a un fornitore di servizi di sicurezza gestiti) e risorse disponibili al bisogno, come un fornitore di servizi di cybersecurity. Osserva anche che molte organizzazioni combinano gli approcci: gestiscono internamente la risposta di base e chiamano risorse esterne per certi incidenti. Il retainer è il modo di rendere contrattuale quella terza via.
La stessa pubblicazione chiede che le responsabilità affidate a un fornitore siano definite nel contratto: flussi di informazione, coordinamento, autorità di agire per conto dell'organizzazione e limiti a cosa il fornitore può fare. È la traccia giusta per leggere un'offerta di retainer.
Cosa include un incident response retainer
Le offerte cambiano molto da un fornitore all'altro, ma le voci da cercare sono sempre le stesse.
Tempi di risposta contrattuali
È la voce che giustifica il retainer. Un impegno scritto bene distingue almeno:
- il primo contatto: entro quanto un responsabile del fornitore ti richiama dopo la tua chiamata;
- l'intervento da remoto: entro quanto un analista inizia a lavorare sui tuoi sistemi;
- l'intervento in sede, se serve: entro quanto arriva qualcuno, e in quali sedi.
Va scritto cosa fa partire l'orologio (la telefonata, la mail, il ticket), se i tempi valgono anche di notte e nei festivi e se cambiano con la gravità dell'incidente. Un tempo di risposta che vale solo nei giorni lavorativi copre una parte degli incidenti.
Ore prepagate
Molti retainer includono un monte ore acquistato in anticipo, da usare per la risposta. Altri sono a ore zero: paghi la disponibilità garantita e le ore effettive a consumo, con tariffe fissate in contratto. Nel primo caso chiedi cosa succede alle ore non usate a fine anno: scadono, passano all'anno successivo o si possono convertire in attività proattive. Nel secondo, verifica che la tariffa d'emergenza sia scritta e non negoziata durante l'incidente.
Attività proattive
Un retainer serve anche quando non succede niente. Le attività che si trovano più spesso:
- revisione del piano di risposta agli incidenti, con ruoli, contatti ed escalation;
- esercitazioni tabletop: si simula un incidente con IT, direzione, legale e comunicazione, e si verifica chi decide cosa;
- valutazione di prontezza: log disponibili e conservati abbastanza a lungo, backup isolati, accessi d'emergenza;
- compromise assessment: una ricerca di tracce di compromissione già presenti nell'ambiente;
- onboarding tecnico: strumenti di raccolta già distribuiti o pronti da distribuire, accessi già concordati.
Forense e gestione delle evidenze
Contenere l'attacco e capire come è entrato tirano in direzioni diverse: ripristinare subito cancella le tracce. Un retainer serio include la capacità di acquisire le evidenze con catena di custodia, analizzare memoria, dischi e log, e ricostruire la cronologia dell'attacco. Se l'incidente può finire davanti a un giudice, a un'assicurazione o a un'autorità, il lavoro forense deve reggere una verifica di terzi. Cosa comporta è spiegato nella guida alla digital forensics.
Supporto alla notifica e alla comunicazione
Durante un incidente servono informazioni ordinate per chi deve notificare: cronologia, sistemi coinvolti, valutazione dell'impatto, indicatori di compromissione. Chiedi se il fornitore le prepara in un formato utilizzabile per la notifica e se supporta la comunicazione con direzione, legali e clienti. Il fornitore ti consegna le informazioni; la notifica, come vedremo, resta tua.
Il legame con la notifica degli incidenti NIS2
Per i soggetti essenziali e importanti, l'art. 24, comma 2, lettera b) del D.Lgs. 138/2024 mette la gestione degli incidenti, comprese le procedure e gli strumenti per eseguire le notifiche, tra gli elementi minimi delle misure di sicurezza. L'art. 25, comma 5, fissa poi la sequenza verso il CSIRT Italia per gli incidenti significativi:
- pre-notifica entro 24 ore da quando il soggetto è venuto a conoscenza dell'incidente significativo, indicando ove possibile se può derivare da atti illegittimi o malevoli o avere un impatto transfrontaliero;
- notifica entro 72 ore, con una valutazione iniziale di gravità e impatto e, ove disponibili, gli indicatori di compromissione;
- relazione intermedia su richiesta del CSIRT Italia;
- relazione finale entro un mese dalla notifica, con descrizione dettagliata, tipo di minaccia o causa originale, misure di attenuazione e, ove noto, impatto transfrontaliero.
Sono gli stessi tempi dell'art. 23 della direttiva (UE) 2022/2555. Le 24 ore si contano dalla conoscenza dell'incidente, e le informazioni che servono per la notifica a 72 ore e per la relazione finale (indicatori di compromissione, causa originale) sono proprio quelle che produce chi fa risposta e analisi forense. Se il team arriva al secondo giorno, parte di quel tempo è già andata. Il percorso completo è nella guida alla notifica degli incidenti NIS2.
Le misure di base ACN (allegato 1 della determinazione 379907/2025 per i soggetti importanti, allegato 2 per gli essenziali) vanno nella stessa direzione. La misura RS.MA-01 ha questo enunciato: "Il piano di risposta agli incidenti è eseguito in coordinamento con le terze parti interessate una volta dichiarato un incidente." Chiede un piano documentato per la gestione e la notifica degli incidenti, approvato dagli organi di amministrazione e direttivi e riesaminato almeno ogni due anni. Se una terza parte interviene nella risposta, il suo ruolo, i contatti e le modalità di attivazione vanno scritti in quel piano: un retainer è il modo più ordinato di avere qualcosa da scrivere.
Altri due orologi possono partire insieme. Se l'incidente coinvolge dati personali, l'art. 33 del GDPR chiede al titolare di notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore. Per le entità finanziarie vale il Regolamento (UE) 2022/2554 (DORA): l'art. 17 chiede un processo di gestione degli incidenti connessi alle TIC, con procedure di risposta, e l'art. 19, paragrafo 5, consente di esternalizzare gli obblighi di segnalazione a un fornitore terzo, ma l'entità finanziaria resta pienamente responsabile.
Lo stesso principio vale fuori dal settore finanziario: l'art. 25 del D.Lgs. 138/2024 pone l'obbligo di notifica in capo ai soggetti essenziali e importanti. Il fornitore del retainer prepara le informazioni, la decisione e la responsabilità della notifica restano a te.
Retainer e SOC gestito: cosa cambia e come si combinano
Un SOC gestito sorveglia ogni giorno: raccoglie e correla i log, valuta gli allarmi, contiene gli incidenti nei limiti autorizzati. Un retainer interviene quando l'incidente supera quello che il servizio quotidiano copre: un ransomware che si è già propagato, una compromissione da ricostruire a ritroso, un'indagine forense completa.
Le due cose si sovrappongono in parte, e conviene leggerle insieme:
- chi rileva: senza monitoraggio, il retainer parte solo quando qualcuno si accorge dell'incidente, a volte giorni dopo;
- il passaggio di consegne: se SOC e retainer sono di fornitori diversi, va scritto come si passano log, cronologia e indicatori, e chi coordina;
- cosa è già incluso: alcuni servizi SOC comprendono una parte di risposta e di indagine; verifica dove finisce, per non pagare due volte la stessa capacità o, peggio, scoprire un vuoto in mezzo.
Per capire cosa copre il lato quotidiano, la guida a cosa include un servizio SOC gestito passa in rassegna perimetro, SLA e autorizzazioni di risposta.
In tutti e due i casi il fornitore avrà accessi profondi ai tuoi sistemi. Il considerando 86 della direttiva NIS2 cita i fornitori di servizi di sicurezza gestiti "in settori quali la risposta agli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza", ricorda che sono stati a loro volta bersaglio di attacchi e invita i soggetti essenziali e importanti a una maggiore diligenza nella loro selezione. Il retainer va valutato con lo stesso metro degli altri fornitori critici.
Cosa fa variare il costo di un retainer
Non esiste un prezzo di listino che valga per tutti. Le voci che pesano sono:
- i tempi di risposta promessi, e se valgono 24 ore su 24 tutti i giorni;
- il monte ore prepagato, o la scelta di un modello a ore zero;
- il perimetro: numero di sedi, endpoint, ambienti cloud e sistemi OT;
- l'intervento in sede, e in quali città o paesi;
- le attività proattive incluse e la loro frequenza;
- la profondità forense richiesta, compresa la produzione di relazioni utilizzabili in sede legale;
- l'integrazione con un SOC già attivo, che riduce il lavoro di raccolta iniziale.
Verifica anche se l'assicurazione cyber, se ne hai una, indica fornitori convenzionati per la risposta: in quel caso conviene allineare il retainer alla polizza prima di firmare.
Come si sceglie: le domande da fare
- Entro quanto ricevo il primo contatto, entro quanto inizia il lavoro da remoto e, se serve, in sede? Vale di notte e nei festivi?
- Cosa fa partire l'orologio, e chi misura il rispetto dei tempi?
- Le ore non usate scadono, passano all'anno dopo o diventano attività proattive?
- Quali attività proattive sono incluse, e quante volte l'anno?
- Il lavoro forense mantiene la catena di custodia e produce relazioni utilizzabili davanti a terzi?
- Le informazioni che ricevo bastano per la pre-notifica entro 24 ore, la notifica entro 72 e la relazione finale entro un mese?
- Quali azioni può fare il fornitore senza chiedermi il permesso, e chi le autorizza di notte?
- Come si coordina con il mio SOC, con l'IT interno e con l'assicurazione?
- Quali accessi, strumenti e contatti dobbiamo preparare adesso, perché siano pronti il giorno dell'incidente?
Un retainer vale quanto la preparazione che lo accompagna: il contratto senza onboarding, contatti e piano aggiornato resta un numero di telefono.
Se vuoi capire come coprire detection, indagine e contenimento sul tuo perimetro, la pagina sulla cybersecurity gestita di AmagisTech descrive il SOC operativo dall'Italia 24 ore su 24 su Google SecOps, e da lì puoi chiedere una valutazione e una stima su misura.