In sintesi
- Pre-notifica entro 24 ore, notifica entro 72, relazione finale entro un mese dalla notifica.
- Le 24 ore partono dalla conoscenza dell'incidente dopo un'analisi anche breve.
- Per i soggetti inseriti nel 2026 la notifica degli incidenti significativi decorre dal 1° gennaio 2027.
- Va definito prima chi qualifica l'incidente e chi invia le notifiche.
Sono le 7:40 di lunedì: il server dei file non risponde e gli utenti trovano file con un'estensione sconosciuta. La domanda che ti verrà posta nelle ore successive è se si tratta di un incidente significativo. La notifica incidente NIS2 ha tempi precisi, e conviene aver deciso prima chi fa cosa.
Le scadenze da ricordare
L'articolo 25 del D.Lgs. 138/2024 prevede, per gli incidenti significativi: una pre-notifica senza ingiustificato ritardo e comunque entro 24 ore da quando si viene a conoscenza dell'incidente, una notifica entro 72 ore, una relazione intermedia su richiesta del CSIRT Italia e una relazione finale entro un mese dalla trasmissione della notifica. Lo riassume NIS2 Europe.
| Fase | Termine | Contenuto |
|---|---|---|
| Pre-notifica | Entro 24 ore dalla conoscenza | Elementi di base per contestualizzare l'incidente |
| Notifica | Entro 72 ore | Valutazione iniziale di gravità e impatto, indicatori di compromissione se disponibili |
| Relazione intermedia | Su richiesta | Stato di avanzamento |
| Relazione finale | Entro un mese dalla notifica | Cause, misure adottate, impatto |
Le 24 ore non partono dall'inizio dell'incidente, ma dal momento in cui il soggetto ne ha conoscenza dopo un'analisi anche breve, come precisa Cyberness.
Da quando vale per te
Il calendario dipende dalla coorte di ingresso nell'elenco NIS. Per i soggetti inseriti per la prima volta nel 2026, ricostruisce Legiscope, la notifica degli incidenti significativi decorre dal 1° gennaio 2027; ai soggetti già presenti nel 2025 continuano ad applicarsi i rispettivi termini. Verifica la tua situazione sul portale ACN.
Cosa si intende per incidente significativo
Un incidente è significativo se causa grave perturbazione operativa, perdite finanziarie o danni ad altri. Non ogni anomalia va notificata; ogni incidente che rientra nei criteri sì, qualunque sia la causa. La decisione di non notificare va motivata per iscritto, con riferimento ai criteri applicati.
Le prime 24 ore, ora per ora
Un piano semplice, da provare almeno una volta l'anno.
- Ore 0-1: contenere. Isola i sistemi coinvolti, conserva i log, avvisa il responsabile della sicurezza.
- Ore 1-3: qualificare. Applica i criteri di significatività e registra la decisione con ora e motivazione.
- Ore 3-6: mobilitare. Convoca direzione, IT, legale e comunicazione; chiama l'eventuale fornitore.
- Ore 6-12: raccogliere. Sistemi colpiti, dati coinvolti, servizi interrotti, indicatori tecnici noti.
- Entro 24 ore: pre-notificare. Il punto di contatto invia la pre-notifica tramite la piattaforma del CSIRT Italia.
Notifica incidente NIS2: il registro delle decisioni e la simulazione
Nelle prime ore si prendono decisioni rapide, e dopo qualche settimana nessuno ricorda perché. Per questo faccio tenere un registro con cinque colonne: ora, fatto accertato, decisione, chi l'ha presa, motivazione. Serve a ricostruire la sequenza per la relazione finale e a dimostrare che l'organizzazione ha agito con metodo.
La simulazione di tre ore, una volta all'anno, ha una struttura semplice. Un facilitatore descrive lo scenario (per esempio la cifratura dei file di un server), distribuisce nuove informazioni a intervalli e osserva le reazioni. Partecipano direzione, IT, legale, comunicazione e punto di contatto. Alla fine si compila un elenco di tre cose che hanno funzionato e tre da migliorare.
Nelle simulazioni tendono a emergere problemi ricorrenti: il punto di contatto non ha le credenziali a portata di mano, nessuno sa chi chiama il fornitore, le informazioni sono sparse in cinque posti, la comunicazione ai dipendenti non è pronta. Sono risolvibili in un'ora, a patto di scoprirli prima dell'incidente vero. Tieni una copia offline della procedura e dei contatti essenziali: se la posta non funziona, il piano non può stare solo lì.
Il doppio binario con la privacy
Se l'incidente coinvolge dati personali scatta anche l'obbligo di valutare la notifica al Garante. I due percorsi hanno tempi e contenuti diversi e vanno gestiti in parallelo con un unico fascicolo dei fatti. Il piano deve nominare chi fa questa valutazione. Conserva tutta la documentazione per un periodo definito internamente: relazione finale, verifiche e miglioramenti si appoggiano su quel materiale.
Cosa fare adesso
Scrivi la procedura in due pagine, indica il punto di contatto sostituto e prova una simulazione di tre ore con la direzione. Il test NIS2 e la checklist NIS2 aiutano a capire dove sei. Per un supporto vedi la pagina consulente NIS2; la voce notifica degli incidenti NIS2 del glossario riassume i termini.
Domande frequenti
Entro quanto tempo va notificato un incidente NIS2?
Pre-notifica entro 24 ore dalla conoscenza dell'incidente significativo e notifica entro 72 ore.
Quando scatta l'obbligo per i soggetti inseriti nel 2026?
Dal 1° gennaio 2027, secondo l'indicazione ACN riportata dalle guide di settore.
Ogni incidente va notificato?
No, solo quelli significativi, cioè che causano grave perturbazione operativa, perdite finanziarie o danni ad altri.
A chi si invia la notifica?
Al CSIRT Italia tramite la piattaforma di notifica, con le credenziali del punto di contatto.