Notifica degli incidenti NIS2: tempi e CSIRT Italia

La risposta breve: chi rientra nella NIS2 deve notificare gli incidenti significativi al CSIRT Italia, la squadra nazionale di risposta agli incidenti che opera presso l'ACN, seguendo una sequenza a tre tempi: preallarme entro 24 ore, notifica dell'incidente entro 72 ore e relazione finale entro un mese. Non è un modulo da compilare a incidente chiuso: è un processo che scatta mentre l'evento è ancora in corso, e per reggerlo servono capacità già pronte.

Se arrivi qui senza il quadro d'insieme, la guida completa alla NIS2 spiega norma, perimetro e obblighi. Questa pagina entra nel dettaglio di uno degli adempimenti più operativi, la notifica degli incidenti, e di cosa comporta davvero nella pratica quotidiana. Ricordiamo che la NIS2 è stata recepita in Italia con il D.Lgs 138/2024, con l'ACN come autorità competente.

A chi si notifica: il CSIRT Italia presso l'ACN

Il destinatario delle notifiche è il CSIRT Italia (Computer Security Incident Response Team), la squadra nazionale di risposta agli incidenti informatici che opera all'interno dell'ACN, l'Agenzia per la Cybersicurezza Nazionale. L'ACN è l'autorità competente per la NIS2 in Italia e il punto di contatto unico verso le altre autorità europee; il CSIRT Italia è il braccio operativo che riceve le segnalazioni, le analizza e fornisce supporto durante la gestione dell'evento.

Questo cambia la natura dell'adempimento. La notifica non è una comunicazione verso un ufficio generico, ma verso una struttura tecnica che può interagire con te mentre l'incidente è aperto. E c'è un presupposto che viene prima di tutto: la registrazione del soggetto sulla piattaforma ACN. Senza essere censiti e con i dati aggiornati, i canali di notifica non funzionano. Il tema è approfondito in NIS2 e ACN: ruolo, registrazione e obblighi.

I tre tempi della notifica

La NIS2 non chiede una sola comunicazione, ma scandisce la notifica in tre momenti, con orologi diversi. La logica è lineare: prima si avvisa in fretta che qualcosa di serio sta accadendo, poi si descrive l'evento con più dettaglio, infine si tira una riga a mente fredda su cause, impatto e rimedi.

Preallarme entro 24 ore

Il primo passo è il preallarme, da inviare entro 24 ore da quando ci si accorge dell'incidente significativo. È una segnalazione rapida, non un rapporto completo: serve ad avvertire il CSIRT Italia che è in corso un evento rilevante, anche quando il quadro è ancora parziale e non si conoscono con precisione cause ed estensione. La finestra è stretta di proposito, perché una segnalazione tempestiva permette di attivare per tempo il supporto e di correlare eventi che potrebbero colpire più soggetti nello stesso momento.

Notifica dell'incidente entro 72 ore

Il secondo passo è la notifica dell'incidente vera e propria, entro 72 ore. Qui il livello di dettaglio cresce: si aggiorna la valutazione iniziale, si descrive la natura dell'evento, l'impatto osservato e le misure adottate o in corso. È il momento in cui il preallarme diventa un quadro strutturato, sulla base di quello che nel frattempo l'analisi ha chiarito. Se l'incidente coinvolge dati personali può scattare anche la notifica al Garante prevista dal GDPR, un obbligo distinto con tempi e contenuti propri: lo trattiamo insieme alle misure di sicurezza dell'articolo 32 del GDPR.

Relazione finale entro un mese

Il terzo passo è la relazione finale, entro un mese. A incidente gestito, si consegna il resoconto completo: cosa è successo, la causa, la gravità e l'impatto effettivo, le misure adottate per il contenimento e il ripristino. È la parte che chiude il ciclo e che, letta nel tempo, alimenta il miglioramento continuo dei presidi. Ricostruire la causa con prove che reggano è il lavoro della digital forensics.

Vale la pena fissare la sequenza in modo netto, perché è quella che detta i ritmi operativi:

• Entro 24 ore: preallarme, la segnalazione rapida che l'incidente significativo è in corso.
• Entro 72 ore: notifica dell'incidente, con valutazione aggiornata e impatto osservato.
• Entro un mese: relazione finale, con causa, impatto effettivo e misure adottate.

A questa sequenza si aggiunge, quando serve, una relazione intermedia su richiesta del CSIRT Italia e, se l'incidente resta aperto oltre la relazione finale, aggiornamenti periodici fino alla chiusura. Per i soggetti già inseriti in elenco nel 2025, il regime di notifica è pienamente operativo da metà gennaio 2026.

Quando un incidente è "significativo"

Non tutti gli eventi vanno notificati: l'obbligo riguarda gli incidenti significativi. La significatività non è lasciata al buon senso del momento, ma dipende da alcuni criteri di fondo:

• l'impatto operativo, cioè quanto l'evento compromette la continuità o la qualità dei servizi;
• il numero di utenti coinvolti o interessati dall'interruzione o dalla compromissione;
• il potenziale danno, anche in termini di estensione e di possibili effetti a catena.

I criteri puntuali sono definiti dalla normativa e dalle determinazioni dell'ACN, ed è lì che vanno verificati caso per caso. Il punto pratico, però, viene prima della soglia: per decidere in fretta se un evento è significativo, devi già avere sotto controllo cosa sta succedendo nei tuoi sistemi. È qui che la parte documentale della NIS2 incontra la parte operativa, e la seconda pesa più della prima.

L'evento che più spesso richiede questa valutazione rapida è un messaggio di phishing andato a buon fine: cosa succede dopo il click e cosa fare nelle prime ore sta in phishing: significato e cosa comporta per un'azienda.

Chi notifica: il referente CSIRT, non il punto di contatto

Chi tiene i rapporti con l'ACN e chi notifica gli incidenti sono, sulla carta, due figure distinte. Le definisce la Determinazione ACN 127437/2026. Il punto di contatto (art. 4) è la persona fisica designata dal soggetto NIS per curare l'attuazione del decreto: effettua la registrazione sulla piattaforma e interloquisce con l'ACN come Autorità nazionale competente. Il referente CSIRT (art. 7) è la persona fisica designata dal punto di contatto per interloquire con il CSIRT Italia ed effettuare le notifiche degli incidenti. Va designato entro il 31 dicembre dell'anno in cui il soggetto è inserito nell'elenco NIS, e deve avere almeno competenze di base in sicurezza informatica e gestione degli incidenti, oltre a una conoscenza approfondita dei sistemi informativi e di rete del soggetto.

Per le scadenze di questa pagina conta quindi il referente CSIRT: è lui a inviare preallarme, notifica e relazione finale. Il punto di contatto può notificare al suo posto solo in via eccezionale, se il referente e i suoi sostituti sono indisponibili (art. 4, comma 9). Le entità finanziarie soggette al regolamento DORA sono esentate dall'articolo 7, salva l'adesione volontaria (comma 6). Chi può fare il referente, se può essere un esterno e come si designa è spiegato nella scheda sul referente CSIRT NIS2.

Un errore frequente è concentrare tutto su una singola persona. La determinazione consente di designare uno o più sostituti del referente CSIRT (art. 7, commi 3 e 4), che possono svolgerne le funzioni per suo conto. Sono facoltativi, ma le 24 ore non guardano il calendario: se il referente è irraggiungibile durante un ponte festivo, l'orologio corre lo stesso. Meglio prevedere una catena chiara di reperibilità e responsabilità, così che la notifica parta in tempo a prescindere da chi è di turno.

Perché le finestre 24/72 ore cambiano il modo di lavorare

Qui sta il cuore operativo della questione. Le scadenze di notifica sembrano un tema burocratico, ma in realtà mettono sotto esame la capacità reale dell'organizzazione di accorgersi di un incidente e di reagire. Tre domande lo rendono evidente:

• Chi se ne accorge di notte? Se il monitoraggio copre solo l'orario d'ufficio, un attacco partito nel weekend può restare invisibile ben oltre le 24 ore utili per il preallarme.
• Chi decide che è grave? Serve qualcuno in grado di qualificare l'evento come significativo in tempi rapidi, non a giorni di distanza.
• Chi notifica, e con quali informazioni? Il preallarme e la notifica richiedono dati già ordinati su cosa è successo e con quale impatto.

In altre parole, l'obbligo di notifica è a valle di una capacità che sta a monte: la detection e response continua. Se non ti accorgi dell'incidente, non puoi notificarlo nei tempi, e la finestra delle 24 ore diventa inapplicabile per definizione. Ecco perché, in fase di adeguamento, questa è tra le prime priorità da chiudere: il tema è ripreso nella roadmap di adeguamento NIS2.

C'è anche un modo per misurare quanto sei pronto, prima che arrivi l'incidente vero: guardare i tempi con cui oggi rilevi e contieni un evento. Quanto passa tra l'inizio di un'intrusione e il momento in cui te ne accorgi, e quanto serve poi per rispondere, dice se le finestre 24/72 ore sono alla tua portata o no. L'articolo su MTTR: cos'è e come ridurlo spiega come si misurano e si comprimono questi tempi.

Cosa avere pronto prima dell'incidente

Le tre scadenze non si rispettano improvvisando nel momento della crisi. Si rispettano se il lavoro è stato fatto prima. In concreto, conviene avere pronti alcuni elementi:

• La registrazione ACN aggiornata, con i dati del soggetto e i recapiti corretti, perché è il canale attraverso cui passano le notifiche.
• Il referente CSIRT e i suoi sostituti, con ruoli, deleghe e reperibilità definiti, così che non ci sia un vuoto nelle prime ore. Chi può esserlo e come si designa è spiegato in referente CSIRT NIS2.
• Un processo di gestione degli incidenti scritto e provato, che stabilisca chi qualifica l'evento, chi decide, chi comunica e con quali soglie. Quando l'incidente diventa una crisi aziendale, le decisioni passano al comitato previsto dal crisis management.
• Un modello di raccolta delle informazioni, per arrivare al preallarme e alla notifica con i dati già ordinati invece di rincorrerli sotto pressione. Se l'incidente tocca anche dati personali, può scattare in parallelo la notifica al Garante prevista dal GDPR: come si organizza è in procedura data breach e registro.
• La capacità di detection e response continua, perché senza accorgersi dell'evento le altre voci non servono a nulla.

Messi insieme, questi elementi trasformano la notifica da corsa contro il tempo a passaggio ordinato di un processo già rodato. È la stessa logica della roadmap di adeguamento: rendere operativa e documentata ogni misura prima che serva davvero, non nel momento in cui l'orologio ha già iniziato a correre.

Come aiuta AmagisTech

AmagisTech lavora con il mid-market italiano proprio sulla capacità che rende sostenibili le scadenze di notifica: accorgersi in fretta e reagire. Un conto è sapere che esistono le finestre 24/72 ore, un altro è avere qualcuno che presidia i sistemi 24 ore su 24 e che, quando scatta un evento significativo, ha già i dati per qualificarlo e le informazioni per compilare la notifica. È la differenza tra rincorrere l'orologio e arrivare preparati.

Se vuoi vedere come si presidia questo fronte, parti dai nostri servizi di observability e SecOps. Per il quadro normativo e la registrazione a monte, resta utile il pezzo su ruolo dell'ACN, registrazione e obblighi.

In sintesi: la notifica degli incidenti NIS2 segue tre tempi verso il CSIRT Italia, preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese, e scatta solo per gli incidenti significativi. La parte difficile non è ricordare le scadenze, è avere in casa, o con un partner, la capacità di accorgersi dell'incidente in tempo per rispettarle.