Notifica degli incidenti NIS2: i termini di 24 e 72 ore spiegati

Cosa conta come incidente «significativo»

Non ogni incidente è notificabile. Ai sensi dell'articolo 23, un incidente è significativo se ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure se ha colpito o è in grado di colpire altre persone fisiche o giuridiche causando un danno materiale o immateriale considerevole.

La Commissione ha fissato soglie più concrete per alcuni fornitori digitali in un regolamento di esecuzione, ma il principio vale in tutti i settori: giudicate in base alla gravità e alla portata dell'impatto, non a quanto fosse inedito l'attacco. In caso di dubbio, documentate la valutazione: la decisione di non notificare dovrebbe essere difendibile quanto quella di notificare.

Il calendario di notifica (articolo 23)

La notifica è scaglionata: prima un segnale rapido, il dettaglio dopo. Ogni termine decorre dal momento in cui venite a conoscenza dell'incidente significativo: non da quando è iniziato.

Quando l'incidente di un altro diventa il vostro

L'obbligo di notifica non si ferma agli incidenti che nascono nei vostri sistemi. Se un fornitore o prestatore di servizi ne subisce uno che perturba in modo significativo i servizi che fornite, l'obbligo di notificare può ricadere su di voi, e l'orologio delle 24 ore parte quando ne venite a conoscenza, non quando il fornitore finalmente ve lo comunica.

È questa la parte difficile: i fornitori non sempre divulgano in fretta, e una notifica che arriva una settimana in ritardo ha già consumato il vostro termine. La prontezza poggia quindi su una visibilità indipendente: sapere quando un fornitore critico compare su un sito di leak ransomware, vede le credenziali trafugate o si spegne, senza aspettare la sua e-mail.

Come essere pronti prima che parta l'orologio

Rispettare un termine di poche ore è un esercizio di preparazione, non di eroismo. Prima che accada qualcosa, assicuratevi di saper rispondere:

Come aiuta norppa.io

La parte più dura del calendario è quella che non controllate: un incidente di un fornitore di cui venite a sapere troppo tardi. norppa.io sorveglia i vostri fornitori in continuo (le comparse su liste di vittime di ransomware e le fughe di credenziali nel dark web vengono ricontrollate all'incirca ogni sei ore, con un avviso immediato) così un evento del fornitore vi raggiunge in tempo per avviare il vostro orologio.

E poiché ogni rilievo è marcato temporalmente e collegato agli articoli NIS2 a cui risponde, la cronologia che una notifica a 72 ore o una relazione finale a un mese richiede (cosa è stato visto, quando, e cosa è stato fatto) è già assemblata anziché ricostruita sotto pressione.