Guida NIS2 · 7 min
Notifica degli incidenti NIS2: le scadenze di 24 e 72 ore spiegate
Quando si verifica un incidente significativo, il conto alla rovescia parte subito — e NIS2 fissa una serie di scadenze rigide misurate in ore, non in giorni. Questa guida spiega cosa conta come incidente significativo, il calendario esatto di notifica ai sensi dell'articolo 23 e la situazione che i team trascurano più spesso: quando l'incidente di un fornitore diventa il tuo obbligo di notifica.
Punti chiave
- Un incidente significativo innesca una notifica scaglionata: preallarme entro 24 ore, notifica completa entro 72 ore, relazione finale entro un mese (art. 23).
- "Significativo" indica una grave perturbazione operativa o una perdita finanziaria, o un danno considerevole ad altri — non ogni incidente raggiunge la soglia.
- L'incidente di un fornitore o di una terza parte che perturba il tuo servizio può avviare il tuo conto alla rovescia di 24 ore — la visibilità su di loro fa parte della prontezza.
- Le notifiche vanno al tuo CSIRT nazionale o all'autorità competente; potresti dover informare anche i destinatari dei tuoi servizi.
Cosa conta come incidente "significativo"
Non ogni incidente è notificabile. Ai sensi dell'articolo 23, un incidente è significativo se ha causato o può causare una grave perturbazione operativa dei servizi o una perdita finanziaria per il soggetto, oppure se ha pregiudicato o può pregiudicare altre persone fisiche o giuridiche causando un danno materiale o immateriale considerevole.
La Commissione ha fissato soglie più concrete per alcuni fornitori digitali in un regolamento di esecuzione, ma il principio vale per tutti i settori: valuta in base alla gravità e alla portata dell'impatto, non alla novità tecnica dell'attacco. In caso di dubbio, documenta la tua valutazione — la decisione di non notificare deve essere difendibile quanto quella di notificare.
Il calendario di notifica (articolo 23)
La notifica è scaglionata: prima un segnale rapido, i dettagli dopo. Le scadenze decorrono dal momento in cui vieni a conoscenza dell'incidente significativo.
Entro 24 ore — preallarme
Un primo allarme al tuo CSIRT o all'autorità competente, indicando se si sospetta che l'incidente sia causato da atti illeciti o dolosi, o se possa avere un impatto transfrontaliero.
Entro 72 ore — notifica dell'incidente
Un aggiornamento con una valutazione iniziale: gravità e impatto, e indicatori di compromissione ove disponibili.
Su richiesta — relazione intermedia
Se il CSIRT o l'autorità lo richiede, un aggiornamento sullo stato della gestione dell'incidente.
Entro 1 mese dalla notifica — relazione finale
Una descrizione dettagliata: causa principale e tipo di minaccia, le misure di mitigazione applicate e in corso, ed eventuale impatto transfrontaliero.
Se l'incidente è ancora in corso al traguardo del mese, presenti invece una relazione sullo stato di avanzamento, e la relazione finale entro un mese dalla gestione dell'incidente.
Quando l'incidente di un altro diventa il tuo
L'obbligo di notifica di NIS2 non si limita agli incidenti che hanno origine nei tuoi sistemi. Se un fornitore o prestatore subisce un incidente che causa una perturbazione significativa dei servizi che eroghi, l'obbligo di notificare può ricadere su di te — e il conto alla rovescia di 24 ore parte quando ne vieni a conoscenza, non quando il fornitore te lo comunica finalmente.
Questa è la parte difficile: i fornitori non sempre divulgano gli incidenti rapidamente, e una notifica arrivata una settimana in ritardo ha già consumato la tua scadenza. La prontezza dipende quindi da una visibilità indipendente — sapere quando un fornitore critico compare su un sito di leak ransomware, subisce l'esposizione di credenziali o diventa irraggiungibile, senza aspettare la sua e-mail.
Come essere pronti prima che parta il conto alla rovescia
Rispettare una scadenza di poche ore è una questione di preparazione, non di eroismo. Prima di un incidente, assicurati di saper rispondere:
Fonte: Direttiva (UE) 2022/2555 (NIS2), articolo 23 — oltre al regolamento di esecuzione della Commissione sulle soglie di incidente significativo per alcuni fornitori digitali; consulta il portale di notifica del tuo CSIRT nazionale per il canale esatto.
Come aiuta norppa.io
La parte più difficile del calendario è quella che non controlli: un incidente del fornitore di cui vieni a sapere troppo tardi. norppa.io monitora i tuoi fornitori in continuo — le liste delle vittime di ransomware e le fughe di credenziali sul dark web vengono controllate circa ogni sei ore, con allarme immediato — così un evento del fornitore ti raggiunge in tempo per avviare il tuo conto alla rovescia.
E poiché ogni rilievo è con marca temporale e mappato agli articoli NIS2, lo storico necessario a una notifica a 72 ore o a una relazione finale a un mese — cosa è stato visto, quando, e cosa è stato fatto — è già assemblato anziché ricostruito sotto pressione.