Notifica incidenti NIS2: preallarme 24 ore, notifica 72 ore

Quando un incidente informatico colpisce l'azienda, le prime ore sono le più confuse: si cerca di capire cosa è successo, di ripristinare i servizi, di avvisare le persone giuste. Per i soggetti NIS2 c'è un elemento in più: tempistiche di notifica stringenti. Chi non si è preparato prima rischia di mancarle proprio nel momento peggiore.

Quali incidenti vanno notificati

La NIS2, recepita in Italia con il D.Lgs. 138/2024, chiede ai soggetti essenziali e importanti di notificare gli incidenti significativi. In termini generali, un incidente è significativo quando:

• ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto;
• ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche, causando danni materiali o immateriali considerevoli.

I criteri di dettaglio e le modalità operative sono definiti dall'ACN, che li può aggiornare nel tempo: vanno verificati sul sito dell'Agenzia e tradotti in regole interne chiare, così che chi gestisce l'incidente non debba interpretarli sotto pressione.

Le notifiche sono indirizzate al CSIRT Italia, il gruppo di risposta agli incidenti che opera presso l'ACN.

Le tre scadenze: 24 ore, 72 ore, un mese

Le tempistiche decorrono dal momento in cui l'azienda viene a conoscenza dell'incidente significativo:

1. Preallarme entro 24 ore. Una prima segnalazione essenziale: cosa sta succedendo, se si sospetta un'azione illecita o malevola, se l'incidente può avere un impatto su altri Paesi.
2. Notifica entro 72 ore. Aggiorna il preallarme con una prima valutazione dell'incidente: gravità, impatto e, se disponibili, indicatori di compromissione.
3. Relazione finale entro un mese dalla notifica. Descrive l'incidente in dettaglio, la causa probabile, le misure di mitigazione adottate e in corso, l'eventuale impatto transfrontaliero.

Se a un mese l'incidente è ancora in corso, si invia una relazione sui progressi e la relazione finale segue entro un mese dalla gestione dell'incidente. Su richiesta del CSIRT possono essere necessari aggiornamenti intermedi.

Il problema reale: accorgersene in tempo

Le 24 ore partono dalla conoscenza dell'incidente. Se un attacco resta invisibile per giorni, il problema non è la notifica: è la capacità di rilevamento. Per questo la notifica è strettamente legata ad altre misure:

• raccolta centralizzata dei log di server, firewall, posta e servizi cloud;
• monitoraggio degli eventi, idealmente con un Log Management (SIEM) e qualcuno che ne legga gli allarmi;
• protezione degli endpoint con capacità di rilevamento e risposta;
• canali chiari per le segnalazioni dei dipendenti, per esempio quando qualcuno nota un'email sospetta o un comportamento anomalo del PC.

Come prepararsi prima che succeda

Un'azienda pronta ha già deciso, a mente fredda, alcune cose fondamentali.

Ruoli

Chi valuta se un incidente è significativo? Chi materialmente invia la notifica? Chi informa la direzione? Servono nomi e sostituti.

Procedura scritta

Una procedura breve, che si possa seguire anche alle due di notte: come si classifica l'evento, quali informazioni raccogliere, quali modelli usare, come documentare le decisioni.

Informazioni pronte

Inventario dei sistemi, contatti dei fornitori critici, accessi alla piattaforma di notifica, recapiti del punto di contatto NIS2.

Raccordo con il GDPR

Se l'incidente coinvolge dati personali può scattare anche la notifica al Garante prevista dall'art. 33 del GDPR, entro 72 ore. Sono due adempimenti distinti, con destinatari diversi, da coordinare. Approfondiamo in questo articolo sul data breach.

Esercitazioni

Simulare almeno una volta all'anno uno scenario realistico, per esempio un ransomware, permette di scoprire i punti deboli della procedura prima che servano davvero.

Checklist operativa

• ☐ Criteri interni per riconoscere un incidente significativo
• ☐ Responsabili e sostituti per valutazione e notifica
• ☐ Accesso verificato agli strumenti di notifica
• ☐ Modelli pronti per preallarme, notifica e relazione finale
• ☐ Log centralizzati e monitoraggio attivo
• ☐ Coordinamento previsto con la notifica GDPR
• ☐ Registro degli incidenti e delle decisioni prese
• ☐ Esercitazione svolta e lezioni apprese documentate

Come può aiutarti Area GUI

Area GUI può aiutarti a costruire la capacità di rilevamento e la procedura di gestione degli incidenti, con monitoraggio tramite Log Management (SIEM) e sicurezza gestita degli endpoint. Per inquadrare gli obblighi complessivi visita la pagina NIS2 o contattaci.