Incidente informatico e NIS2: 24 ore, 72 ore, un mese

L'art. 25 del D.Lgs. 138/2024 stabilisce come un soggetto NIS deve notificare un incidente significativo al CSIRT Italia. I tempi sono tre:

• entro 24 ore da quando l'organizzazione ne è venuta a conoscenza, una pre-notifica che indichi, se possibile, se l'incidente è di natura malevola o ha impatto transfrontaliero;
• entro 72 ore, la notifica con una valutazione iniziale di gravità e impatto e, se disponibili, gli indicatori di compromissione;
• entro un mese dalla notifica, una relazione finale con la descrizione dell'incidente, la causa, le misure adottate.

Quando un incidente è significativo

Per il comma 4 lo è quando ha causato, o può causare, una grave perturbazione dei servizi o perdite finanziarie, oppure danni considerevoli ad altre persone. L'ACN ha definito gli incidenti significativi di base negli allegati 3 e 4 della determinazione 379907/2025: perdita di riservatezza di dati verso l'esterno, perdita di integrità con impatto esterno, violazione dei livelli di servizio attesi. Per i soggetti essenziali si aggiunge l'accesso non autorizzato o con abuso dei privilegi.

Il punto debole è il primo minuto

Le 24 ore partono da quando l'organizzazione sa. Se un dipendente nota una cartella condivisa resa pubblica per errore, o un login che non ha fatto, e aspetta il giorno dopo per dirlo, quelle ore sono già passate. La misura ACN RS.MA-01 chiede un piano di gestione degli incidenti con i contatti per le segnalazioni: il personale deve sapere a chi scrivere e cosa raccontare.

Il decreto aggiunge una cosa che vale la pena dire ai colleghi: la notifica non espone l'organizzazione a una responsabilità maggiore di quella che deriva dall'incidente (art. 25, comma 3). E l'art. 26 prevede notifiche volontarie anche per minacce e quasi-incidenti.

Il corso

Il modulo «Incidente: i primi minuti contano», nel percorso NIS2 per il personale, insegna cosa segnalare, come e a chi, con un esercizio su un caso concreto.