Guida NIS2 · 7 min
Notifica degli incidenti NIS2: i termini di 24 e 72 ore spiegati
Quando un incidente significativo colpisce, l'orologio parte subito, e NIS2 misura i suoi termini in ore, non in giorni. Questa guida espone cosa conta come incidente significativo, la sequenza esatta di notifica ai sensi dell'articolo 23, e il caso su cui i team inciampano di più: il momento in cui l'incidente di un fornitore diventa silenziosamente il tuo obbligo di notifica.
Controlla il tuo dominio ora
Scopri cosa è pubblicamente visibile sulla sicurezza della tua organizzazione, senza registrazione.
Questa anteprima immediata verifica:
- HTTPS raggiungibile
- HSTS abilitato
- Reindirizzamento HTTP → HTTPS
- SPF configurato
- DMARC applicato
- Posta (MX) configurata
Il report completo aggiunge ransomware, dark web, certificati, dati aziendali e oltre 100 altri controlli.
Punti chiave
- Un incidente significativo innesca una notifica scaglionata: preallarme entro 24 ore, notifica completa entro 72 ore, relazione finale entro un mese (art. 23).
- «Significativo» significa grave perturbazione operativa o perdita finanziaria, o danno considerevole ad altri: non ogni incidente supera quell'asticella.
- L'incidente di un fornitore o di una terza parte che perturba il tuo servizio può avviare il tuo orologio di 24 ore: la visibilità su di essi fa parte della prontezza.
- Le notifiche vanno al tuo CSIRT nazionale o all'autorità competente; potresti anche dover informare i destinatari dei tuoi servizi.
Cosa conta come incidente «significativo»
Non ogni incidente è notificabile. Ai sensi dell'articolo 23, un incidente è significativo se ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure se ha colpito o è in grado di colpire altre persone fisiche o giuridiche causando un danno materiale o immateriale considerevole.
La Commissione ha fissato soglie più concrete per alcuni fornitori digitali in un regolamento di esecuzione, ma il principio vale in tutti i settori: giudicate in base alla gravità e alla portata dell'impatto, non a quanto fosse inedito l'attacco. In caso di dubbio, documenta la valutazione: la decisione di non notificare dovrebbe essere difendibile quanto quella di notificare.
Il calendario di notifica (articolo 23)
La notifica è scaglionata: prima un segnale rapido, il dettaglio dopo. Il conto alla rovescia decorre dal momento in cui vieni a conoscenza dell'incidente significativo: non da quando è iniziato.
Entro 24 ore: preallarme
Un primo avviso al tuo CSIRT o all'autorità competente, indicando se l'incidente è sospettato essere doloso o illecito e se potrebbe avere un impatto transfrontaliero.
Entro 72 ore: notifica dell'incidente
Un aggiornamento con una prima valutazione: gravità e impatto, e indicatori di compromissione ove disponibili.
Su richiesta: relazione intermedia
Se il CSIRT o l'autorità lo chiede, un aggiornamento sullo stato della gestione dell'incidente.
Entro 1 mese dalla notifica: relazione finale
Una descrizione dettagliata: causa di fondo e tipo di minaccia, le mitigazioni applicate e in corso, e ogni impatto transfrontaliero.
Se l'incidente è ancora in corso al traguardo del mese, presentate invece una relazione sullo stato di avanzamento, con la relazione finale dovuta entro un mese dalla gestione dell'incidente.
Quando l'incidente di un altro diventa il tuo
L'obbligo di notifica non si ferma agli incidenti che nascono nei tuoi sistemi. Se un fornitore o prestatore di servizi ne subisce uno che perturba in modo significativo i servizi che fornisci, l'obbligo di notificare può ricadere su di te, e l'orologio delle 24 ore parte quando ne vieni a conoscenza, non quando il fornitore finalmente te lo comunica.
È questa la parte difficile: i fornitori non sempre divulgano in fretta, e una notifica che arriva una settimana in ritardo ha già consumato il tuo termine. La prontezza poggia quindi su una visibilità indipendente: sapere quando un fornitore critico compare su un sito di leak ransomware, vede le credenziali trafugate o si spegne, senza aspettare la sua e-mail.
Scopri il tuo punteggio reale e quello dei tuoi fornitori
Gratis · senza carta di credito · senza limiti di tempo
Come essere pronti prima che parta l'orologio
Rispettare un termine di poche ore è un esercizio di preparazione, non di eroismo. Prima che accada qualcosa, assicurati di saper rispondere:
Fonte: Direttiva (UE) 2022/2555 (NIS2), articolo 23 — oltre al regolamento di esecuzione della Commissione sulle soglie di incidente significativo per alcuni fornitori digitali; verifica il portale di notifica del tuo CSIRT nazionale per il canale esatto.
Come aiuta norppa.io
La parte più dura del calendario è quella che non controlla: un incidente di un fornitore di cui vieni a sapere troppo tardi. norppa.io sorveglia i tuoi fornitori in continuo (le comparse su liste di vittime di ransomware vengono ricontrollate all'incirca ogni sei ore, con un avviso immediato) così un evento del fornitore ti raggiunge in tempo per avviare il tuo orologio.
E poiché ogni rilievo è marcato temporalmente e collegato agli articoli NIS2 a cui risponde, la cronologia che una notifica a 72 ore o una relazione finale a un mese richiede (cosa è stato visto, quando, e cosa è stato fatto) è già assemblata anziché ricostruita sotto pressione.