Notifica degli incidenti: 24 ore per la pre-notifica, 72 per la notifica
L’obbligo di notifica degli incidenti significativi al CSIRT Italia è attivo da gennaio 2026 per i soggetti già in elenco, e decorre dal 1° gennaio 2027 per quelli inseriti nel 2026. La pre-notifica va trasmessa entro 24 ore dalla conoscenza dell’incidente, la notifica entro 72 ore, seguita dalla relazione finale.
A chi si rivolge
Tutti i soggetti NIS. È l’obbligo con la finestra temporale più stretta e quindi quello meno compatibile con l’improvvisazione.
Il problema
Ventiquattro ore sono poche se nel momento dell’incidente bisogna ancora stabilire chi decide, cosa si qualifica come significativo e chi ha le credenziali per accedere alla piattaforma. La procedura va scritta e provata prima.
Cosa facciamo
- Piano di gestione degli incidenti e procedura di notifica
- Criteri di classificazione dell’incidente significativo calati sui servizi del cliente
- Registro incidenti e modulistica precompilata
- Addestramento del team e simulazioni
- Reperibilità e supporto alla notifica: affiancamento operativo nelle 24 e 72 ore, redazione dei modelli, interlocuzione con l’Agenzia
- Gestione dell’emergenza: contenimento, analisi, segnalazioni di abuso a registrar e provider, richieste di takedown per domini fraudolenti, coordinamento con i fornitori IT
Cosa consegniamo
- Piano di gestione degli incidenti approvato
- Criteri di significatività documentati
- Registro incidenti operativo
- Presidio attivo nelle finestre di notifica (in abbonamento)
Riferimento normativo
Det. ACN 379907/2025, Allegati 3 e 4 sugli incidenti significativi di base; Det. ACN 127434/2026 per la decorrenza dei soggetti inseriti nel 2026.
FAQ
Cosa conta come incidente significativo?
I criteri sono definiti dalla normativa ma vanno tradotti sui servizi specifici dell’organizzazione: la soglia di un terminal non è quella di un fornitore di servizi digitali.
La notifica NIS sostituisce quella al Garante?
No. Se l’incidente coinvolge dati personali restano due obblighi distinti, con destinatari e tempistiche diverse.
Chi decide se un incidente è significativo?
Deve essere stabilito prima, con criteri scritti: nelle 24 ore della pre-notifica non c’è tempo per discuterne da zero.