Referente CSIRT NIS2: chi è, chi lo nomina, entro quando

Il referente CSIRT è la persona fisica che, per un soggetto NIS2, interloquisce con il CSIRT Italia ed effettua le notifiche degli incidenti. Lo designa il punto di contatto sul Portale dei servizi ACN, entro il 31 dicembre dell'anno in cui il soggetto è inserito nell'elenco NIS, come stabilisce l'articolo 7 della Determinazione ACN 127437/2026. Deve avere almeno competenze di base nella gestione degli incidenti e conoscere a fondo i sistemi dell'organizzazione.

Sotto: cosa fa, chi può esserlo, come si designa e in cosa si distingue dal punto di contatto.

Da dove nasce la figura del referente CSIRT

Il D.Lgs. 138/2024, che ha recepito la NIS2, non nomina il referente CSIRT. Chiede al soggetto un punto di contatto al momento della registrazione (art. 7, comma 1, lettera c), un sostituto del punto di contatto nell'aggiornamento di primavera (art. 7, comma 4, lettera d), e affida all'ACN il compito di stabilire termini, modalità e procedimenti di utilizzo della piattaforma digitale (art. 7, comma 6). È dentro questa delega che l'Agenzia ha definito il referente CSIRT.

L'atto vigente è la Determinazione ACN 127437/2026, firmata il 13 aprile 2026 e applicabile dal 15 aprile 2026, che all'articolo 24 dichiara di aggiornare e sostituire la precedente Determinazione 379887 del 19 dicembre 2025. La figura era stata introdotta già nel 2025, come ricorda il comunicato ACN del 22 novembre 2025; oggi sta all'articolo 7, intitolato al referente CSIRT e ai suoi sostituti.

Cosa fa il referente CSIRT

L'articolo 7, comma 2, gli assegna due compiti, da svolgere per conto del soggetto NIS:

• Interloquire con il CSIRT Italia, la struttura nazionale di risposta agli incidenti che opera presso l'ACN. Se ti serve il quadro di chi è e cosa fa, lo trovi in CSIRT: cos'è e come funziona in Italia.
• Effettuare le notifiche degli articoli 25 e 26 del D.Lgs. 138/2024: quelle obbligatorie degli incidenti significativi e quelle volontarie, per incidenti diversi da quelli significativi, minacce informatiche e quasi-incidenti.

In concreto apre la notifica e la porta avanti nelle sue fasi. L'articolo 25, comma 5, del decreto le scandisce: una pre-notifica entro 24 ore da quando si è venuti a conoscenza dell'incidente significativo, una notifica entro 72 ore con una valutazione iniziale di gravità e impatto, eventuali relazioni intermedie su richiesta del CSIRT Italia, una relazione finale entro un mese dalla notifica. Contenuti e criteri di significatività sono in notifica degli incidenti NIS2.

C'è un punto che l'ACN mette per iscritto nelle sue FAQ NIS (sezione Ruoli e procedure, RCS.2): la designazione del referente CSIRT è una delega operativa, non una delega di responsabilità. Delle violazioni rispondono gli organi di amministrazione e direttivi, secondo l'articolo 23 del decreto. Nominare il referente non sposta il rischio dal consiglio di amministrazione a una persona dell'IT.

Chi può essere il referente CSIRT: i requisiti

L'articolo 7, comma 5, fissa il minimo: il referente e i suoi sostituti possiedono almeno competenze di base in materia di sicurezza informatica e di gestione degli incidenti informatici, e una conoscenza approfondita dei sistemi informativi e di rete del soggetto per cui operano. La determinazione non chiede titoli né certificazioni.

Le FAQ dell'ACN (RCS.1 e RCS.3) aggiungono tre chiarimenti utili a chi deve scegliere:

• Può essere un esterno. L'ACN lo considera auspicabilmente interno, ma osserva che, a differenza del punto di contatto, la determinazione non ne vieta l'esternalizzazione, e porta come esempio il responsabile del SOC o della gestione IT affidata a un fornitore. Non ci sono limiti di cittadinanza, e con il CSIRT Italia si può interloquire anche in inglese, fermo che la lingua delle comunicazioni ufficiali è l'italiano.
• Può coincidere con il punto di contatto nelle organizzazioni di dimensioni contenute. In quel caso la persona deve essere interna, perché il punto di contatto non si esternalizza.
• Nelle organizzazioni complesse il requisito della conoscenza dei sistemi si può soddisfare con un modello operativo che consenta al referente di disporne anche indirettamente, attivando caso per caso il personale che la possiede.

Nota di metodo: queste FAQ citano la Determinazione 379887/2025, oggi sostituita, ma requisiti e compiti coincidono con l'articolo 7 della 127437/2026, che è l'atto da citare.

Il sostituto referente CSIRT

I sostituti sono facoltativi: l'articolo 7, comma 3, prevede che se ne possano designare uno o più, con la stessa procedura, per assicurare che i compiti del referente siano svolti in tempo, con particolare riferimento alla notifica degli incidenti significativi. Il comma 4 li autorizza a supportare il referente e a svolgere le sue funzioni per suo conto.

Facoltativo sulla carta, meno nella pratica: la pre-notifica ha 24 ore e un incidente non sceglie il giorno. Senza sostituto, un referente in ferie lascia la catena appesa a un'eccezione. La determinazione la prevede all'articolo 4, comma 9: in via eccezionale, se il referente e i suoi sostituti sono indisponibili, le notifiche può effettuarle il punto di contatto. Un'eccezione, appunto, non un piano ordinario.

Referente CSIRT, punto di contatto e sostituto: chi fa cosa

Le tre figure si confondono spesso. Le differenze, dalla determinazione:

• Punto di contatto (art. 4). Persona fisica designata dal soggetto NIS che cura l'attuazione del decreto, effettua la registrazione e interloquisce con l'ACN come Autorità nazionale competente. Può essere il rappresentante legale, un procuratore generale censito nel registro delle imprese o un dipendente delegato dal rappresentante legale; in un gruppo, anche il dipendente di un'altra impresa del gruppo che rientra nella NIS2. Riferisce direttamente al vertice e agli organi di amministrazione.
• Sostituto punto di contatto (art. 5). Persona fisica distinta dal punto di contatto, designata con le stesse modalità entro il 31 maggio dell'anno di inserimento in elenco. Può fare sulla piattaforma le stesse azioni del punto di contatto, tranne la registrazione. L'obbligo cade solo se il punto di contatto è l'unica persona fisica che opera nell'organizzazione.
• Referente CSIRT e sostituti (art. 7). Li designa il punto di contatto, non il soggetto direttamente. Il loro interlocutore è il CSIRT Italia e il loro compito è la notifica.

Tradotto: il punto di contatto parla con l'ACN per gli adempimenti, il referente CSIRT parla con il CSIRT Italia quando c'è un incidente. Registrazione e ruolo dell'Agenzia sono trattati in ACN e NIS2: ruolo, registrazione e obblighi.

Pubbliche amministrazioni: attenzione al nome simile

Nelle amministrazioni soggette alla legge 28 giugno 2024, n. 90 esiste un'altra figura, il referente per la cybersicurezza dell'articolo 8, comma 2, di quella legge. L'articolo 4, comma 8, della 127437/2026 prevede che, per i soggetti dell'articolo 1, comma 1, della legge 90/2024 che rientrano nella NIS2, la designazione del punto di contatto possa soddisfare l'obbligo di "nomina e comunicazione" del referente per la cybersicurezza. Il raccordo è quindi fra punto di contatto NIS e referente per la cybersicurezza: il referente CSIRT resta disciplinato dall'articolo 7.

Entro quando va designato

La regola è nell'articolo 7, comma 1: entro il 31 dicembre dell'anno in cui il soggetto NIS è stato inserito nell'elenco ai sensi dell'articolo 7, comma 3, lettera a), del decreto. Due casi pratici:

• Soggetti in elenco dal 2025. Il comunicato ACN del 22 novembre 2025 indicava il 31 dicembre 2025 come termine entro cui i punti di contatto potevano designare il referente. Se nel profilo del tuo soggetto il referente ancora non compare, non è un'attività da pianificare: è da chiudere.
• Soggetti inseriti in elenco nel 2026. Il termine è il 31 dicembre 2026, e la ragione è concreta: la Determinazione ACN 127434/2026 (art. 1, comma 2) fa decorrere per loro l'obbligo di notifica degli incidenti significativi dal 1° gennaio 2027. L'ACN, nel comunicato del 13 aprile 2026, ne trae la conseguenza che il referente CSIRT va designato entro fine 2026.

Dopo la designazione il dato va tenuto vivo: nell'aggiornamento annuale, dal 15 aprile al 31 maggio, gli utenti verificano anche i dati identificativi del referente CSIRT e degli eventuali sostituti (art. 16, comma 3, lettera f). Il calendario completo è in scadenze e adempimenti NIS2.

Chi è esentato

Le entità finanziarie soggette al Regolamento (UE) 2022/2554, cioè DORA, che rientrano nella NIS2 sono esentate dall'articolo 7, fatta salva l'adesione volontaria (comma 6). Come si incastrano le due norme lo spieghiamo in DORA e NIS2: le differenze.

Come si designa, passo per passo

1. Il punto di contatto entra nel Portale dei servizi ACN e, nella funzionalità di aggiornamento dati dei Servizi NIS, apre la sezione dedicata al referente CSIRT (FAQ ACN RCS.5 e comunicato del 22 novembre 2025).
2. Inserisce codice fiscale e indirizzo email del referente e degli eventuali sostituti. Secondo la stessa FAQ non va caricata alcuna documentazione.
3. Il referente completa il censimento della propria utenza sul Portale. L'articolo 8 della 127437/2026 prevede l'autenticazione con CIE o SPID personale e il completamento dell'anagrafica con recapiti di servizio.
4. Si controlla che la designazione risulti nel profilo del soggetto, e la si ricontrolla a ogni aggiornamento annuale.

Le schermate del Portale possono cambiare, il riferimento stabile resta l'articolo 7.

Cosa conviene decidere prima di scrivere un nome

La designazione si fa in pochi minuti. Il lavoro vero è rendere quel nome utilizzabile quando serve:

• Chi si accorge dell'incidente, e come lo sa il referente? Le 24 ore decorrono da quando si viene a conoscenza dell'incidente significativo. Se il rilevamento è lento il referente non ha niente da notificare in tempo; se il rilevamento c'è ma l'informazione non gli arriva, il risultato è lo stesso.
• Il referente è reperibile fuori orario? E il sostituto? Un nome solo, raggiungibile in orario d'ufficio, copre una parte della settimana.
• Chi decide che l'incidente è significativo? Nella FAQ RCS.2 l'ACN chiede di definire ruoli, responsabilità e procedure per queste decisioni, che nei casi più gravi spettano agli organi di amministrazione, e richiama la misura RS.MA-01 delle specifiche di base (Determinazione 379907/2025) sul piano di risposta agli incidenti.
• Se il referente è esterno, per esempio del fornitore del SOC, il contratto prevede reperibilità, accesso alle informazioni necessarie e un passaggio di consegne se il fornitore cambia?

Il referente CSIRT è l'ultimo anello di una catena che parte dal rilevamento. Se la catena è corta e presidiata, la notifica è un modulo da compilare; se non lo è, nessuna nomina la accorcia. Il quadro completo degli obblighi è nella guida completa alla NIS2, e se non hai ancora chiaro se e come rientri, il check NIS2 è un punto di partenza rapido.

In sintesi

Il referente CSIRT, designato dal punto di contatto sul Portale ACN, interloquisce con il CSIRT Italia ed effettua le notifiche NIS2. Va designato entro il 31 dicembre dell'anno di inserimento in elenco, può essere esterno e può avere sostituti. La responsabilità resta agli organi di amministrazione.

Se stai decidendo chi nominare e come renderlo operativo, dal rilevamento alla notifica, puoi vedere come lavoriamo nei servizi NIS2.