Notifica degli incidenti NIS2: tempi e CSIRT Italia

La risposta breve: chi rientra nella NIS2 deve notificare gli incidenti significativi al CSIRT Italia, la squadra nazionale di risposta agli incidenti che opera presso l'ACN, seguendo una sequenza a tre tempi: preallarme entro 24 ore, notifica dell'incidente entro 72 ore e relazione finale entro un mese. Non è un modulo da compilare a incidente chiuso: è un processo che scatta mentre l'evento è ancora in corso, e per reggerlo servono capacità già pronte.

Se arrivi qui senza il quadro d'insieme, la guida completa alla NIS2 spiega norma, perimetro e obblighi. Questa pagina entra nel dettaglio di uno degli adempimenti più operativi, la notifica degli incidenti, e di cosa comporta davvero nella pratica quotidiana. Ricordiamo che la NIS2 è stata recepita in Italia con il D.Lgs 138/2024, con l'ACN come autorità competente.

A chi si notifica: il CSIRT Italia presso l'ACN

Il destinatario delle notifiche è il CSIRT Italia (Computer Security Incident Response Team), la squadra nazionale di risposta agli incidenti informatici che opera all'interno dell'ACN, l'Agenzia per la Cybersicurezza Nazionale. L'ACN è l'autorità competente per la NIS2 in Italia e il punto di contatto unico verso le altre autorità europee; il CSIRT Italia è il braccio operativo che riceve le segnalazioni, le analizza e fornisce supporto durante la gestione dell'evento.

Questo cambia la natura dell'adempimento. La notifica non è una comunicazione verso un ufficio generico, ma verso una struttura tecnica che può interagire con te mentre l'incidente è aperto. E c'è un presupposto che viene prima di tutto: la registrazione del soggetto sulla piattaforma ACN. Senza essere censiti e con i dati aggiornati, i canali di notifica non funzionano. Il tema è approfondito in NIS2 e ACN: ruolo, registrazione e obblighi.

I tre tempi della notifica

La NIS2 non chiede una sola comunicazione, ma scandisce la notifica in tre momenti, con orologi diversi. La logica è lineare: prima si avvisa in fretta che qualcosa di serio sta accadendo, poi si descrive l'evento con più dettaglio, infine si tira una riga a mente fredda su cause, impatto e rimedi.

Preallarme entro 24 ore

Il primo passo è il preallarme, da inviare entro 24 ore da quando ci si accorge dell'incidente significativo. È una segnalazione rapida, non un rapporto completo: serve ad avvertire il CSIRT Italia che è in corso un evento rilevante, anche quando il quadro è ancora parziale e non si conoscono con precisione cause ed estensione. La finestra è stretta di proposito, perché una segnalazione tempestiva permette di attivare per tempo il supporto e di correlare eventi che potrebbero colpire più soggetti nello stesso momento.

Notifica dell'incidente entro 72 ore

Il secondo passo è la notifica dell'incidente vera e propria, entro 72 ore. Qui il livello di dettaglio cresce: si aggiorna la valutazione iniziale, si descrive la natura dell'evento, l'impatto osservato e le misure adottate o in corso. È il momento in cui il preallarme diventa un quadro strutturato, sulla base di quello che nel frattempo l'analisi ha chiarito.

Relazione finale entro un mese

Il terzo passo è la relazione finale, entro un mese. A incidente gestito, si consegna il resoconto completo: cosa è successo, la causa, la gravità e l'impatto effettivo, le misure adottate per il contenimento e il ripristino. È la parte che chiude il ciclo e che, letta nel tempo, alimenta il miglioramento continuo dei presidi.

Vale la pena fissare la sequenza in modo netto, perché è quella che detta i ritmi operativi:

• Entro 24 ore: preallarme, la segnalazione rapida che l'incidente significativo è in corso.
• Entro 72 ore: notifica dell'incidente, con valutazione aggiornata e impatto osservato.
• Entro un mese: relazione finale, con causa, impatto effettivo e misure adottate.

A questa sequenza si aggiunge, quando serve, una relazione intermedia su richiesta del CSIRT Italia e, se l'incidente resta aperto oltre la relazione finale, aggiornamenti periodici fino alla chiusura. Per i soggetti già inseriti in elenco nel 2025, il regime di notifica è pienamente operativo da metà gennaio 2026.

Quando un incidente è "significativo"

Non tutti gli eventi vanno notificati: l'obbligo riguarda gli incidenti significativi. La significatività non è lasciata al buon senso del momento, ma dipende da alcuni criteri di fondo:

• l'impatto operativo, cioè quanto l'evento compromette la continuità o la qualità dei servizi;
• il numero di utenti coinvolti o interessati dall'interruzione o dalla compromissione;
• il potenziale danno, anche in termini di estensione e di possibili effetti a catena.

I criteri puntuali sono definiti dalla normativa e dalle determinazioni dell'ACN, ed è lì che vanno verificati caso per caso. Il punto pratico, però, viene prima della soglia: per decidere in fretta se un evento è significativo, devi già avere sotto controllo cosa sta succedendo nei tuoi sistemi. È qui che la parte documentale della NIS2 incontra la parte operativa, e la seconda pesa più della prima.

Il referente per i rapporti con l'ACN

La NIS2 chiede a ogni soggetto di designare un referente, un punto di contatto per i rapporti con l'ACN. Non è una formalità: è la persona, o il ruolo, che tiene i fili delle comunicazioni con l'autorità, cura le notifiche e fa da riferimento stabile quando scatta un evento. Averlo indicato con chiarezza, con deleghe e recapiti aggiornati, evita il vuoto decisionale nelle prime ore, che sono poi quelle che contano di più.

Un errore frequente è concentrare tutto su una singola persona senza sostituti. Le 24 ore non guardano il calendario: se il referente è irraggiungibile durante un ponte festivo, l'orologio corre lo stesso. Meglio prevedere una catena chiara di reperibilità e responsabilità, così che la notifica parta in tempo a prescindere da chi è di turno.

Perché le finestre 24/72 ore cambiano il modo di lavorare

Qui sta il cuore operativo della questione. Le scadenze di notifica sembrano un tema burocratico, ma in realtà mettono sotto esame la capacità reale dell'organizzazione di accorgersi di un incidente e di reagire. Tre domande lo rendono evidente:

• Chi se ne accorge di notte? Se il monitoraggio copre solo l'orario d'ufficio, un attacco partito nel weekend può restare invisibile ben oltre le 24 ore utili per il preallarme.
• Chi decide che è grave? Serve qualcuno in grado di qualificare l'evento come significativo in tempi rapidi, non a giorni di distanza.
• Chi notifica, e con quali informazioni? Il preallarme e la notifica richiedono dati già ordinati su cosa è successo e con quale impatto.

In altre parole, l'obbligo di notifica è a valle di una capacità che sta a monte: la detection e response continua. Se non ti accorgi dell'incidente, non puoi notificarlo nei tempi, e la finestra delle 24 ore diventa inapplicabile per definizione. Ecco perché, in fase di adeguamento, questa è tra le prime priorità da chiudere: il tema è ripreso nella roadmap di adeguamento NIS2.

C'è anche un modo per misurare quanto sei pronto, prima che arrivi l'incidente vero: guardare i tempi con cui oggi rilevi e contieni un evento. Quanto passa tra l'inizio di un'intrusione e il momento in cui te ne accorgi, e quanto serve poi per rispondere, dice se le finestre 24/72 ore sono alla tua portata o no. L'articolo su MTTR: cos'è e come ridurlo spiega come si misurano e si comprimono questi tempi.

Cosa avere pronto prima dell'incidente

Le tre scadenze non si rispettano improvvisando nel momento della crisi. Si rispettano se il lavoro è stato fatto prima. In concreto, conviene avere pronti alcuni elementi:

• La registrazione ACN aggiornata, con i dati del soggetto e i recapiti corretti, perché è il canale attraverso cui passano le notifiche.
• Il referente e i suoi sostituti, con ruoli, deleghe e reperibilità definiti, così che non ci sia un vuoto nelle prime ore.
• Un processo di gestione degli incidenti scritto e provato, che stabilisca chi qualifica l'evento, chi decide, chi comunica e con quali soglie.
• Un modello di raccolta delle informazioni, per arrivare al preallarme e alla notifica con i dati già ordinati invece di rincorrerli sotto pressione.
• La capacità di detection e response continua, perché senza accorgersi dell'evento le altre voci non servono a nulla.

Messi insieme, questi elementi trasformano la notifica da corsa contro il tempo a passaggio ordinato di un processo già rodato. È la stessa logica della roadmap di adeguamento: rendere operativa e documentata ogni misura prima che serva davvero, non nel momento in cui l'orologio ha già iniziato a correre.

Come aiuta AmagisTech

AmagisTech lavora con il mid-market italiano proprio sulla capacità che rende sostenibili le scadenze di notifica: accorgersi in fretta e reagire. Un conto è sapere che esistono le finestre 24/72 ore, un altro è avere qualcuno che presidia i sistemi 24 ore su 24 e che, quando scatta un evento significativo, ha già i dati per qualificarlo e le informazioni per compilare la notifica. È la differenza tra rincorrere l'orologio e arrivare preparati.

Se vuoi vedere come si presidia questo fronte, parti dai nostri servizi di observability e SecOps. Per il quadro normativo e la registrazione a monte, resta utile il pezzo su ruolo dell'ACN, registrazione e obblighi.

In sintesi: la notifica degli incidenti NIS2 segue tre tempi verso il CSIRT Italia, preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese, e scatta solo per gli incidenti significativi. La parte difficile non è ricordare le scadenze, è avere in casa, o con un partner, la capacità di accorgersi dell'incidente in tempo per rispettarle.