NIS2: entro quanto
tempo notificare
un incidente al
CSIRT Italia
La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, impone scadenze stringenti per la notifica degli incidenti informatici significativi. Rispettarle non è solo un obbligo di legge — è la differenza tra una gestione controllata e una crisi fuori controllo.
Tre cose che devi fare adesso — prima che le scadenze scadano
Se hai rilevato un incidente informatico nelle ultime ore, il tempo è la variabile critica. Fortgale supporta le aziende soggette a NIS2 nelle tre priorità immediate dell’Incident Response: confermare l’eradicazione degli attaccanti, gestire la notifica al CSIRT e prevenire nuovi attacchi.
Come Fortgale supporta la gestione dell’incidente NIS2
Rispettare le scadenze NIS2 durante un incidente attivo richiede capacità tecniche e organizzative che non si improvvisano. Fortgale affianca le aziende nelle tre fasi critiche: risposta all’incidente, notifica normativa e prevenzione dei ritorni dell’attaccante.
Conferma eradicazione degli attaccanti
Prima di tornare operativi, è necessario certezza forense che gli attaccanti siano stati completamente rimossi dalla rete — endpoint, credenziali, persistence e backdoor incluse. Fortgale conduce l’analisi forense e la verifica di eradicazione con metodologia strutturata.
Notifica NIS2 al CSIRT Italia
Raccogliamo gli IOC, la timeline dell’incidente e le informazioni richieste per la notifica delle 24 ore e delle 72 ore. Supportiamo la compilazione dei report sul portale CSIRT Italia e la redazione della relazione finale dei 30 giorni con root cause analysis inclusa.
Prevenzione di nuovi attacchi
Gli attaccanti tornano. Dopo un incidente, l’infrastruttura compromessa è un bersaglio noto. Il monitoraggio MDR post-incidente e il Feed di Intelligence proprietario Fortgale garantiscono visibilità immediata su eventuali tentativi di reintrusione e nuovi IOC correlati all’attaccante.
La NIS2 e l’obbligo di notifica degli incidenti
La Direttiva NIS2 (EU 2022/2555), recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, ha introdotto obblighi di notifica degli incidenti informatici significativi per decine di migliaia di soggetti italiani — pubblici e privati — operanti in settori considerati critici per la sicurezza nazionale ed economica.
Il punto di ricezione delle notifiche in Italia è il CSIRT Italia (Computer Security Incident Response Team), operante in seno all’Agenzia per la Cybersicurezza Nazionale (ACN). Le notifiche devono essere trasmesse attraverso il portale dedicato e rispettare contenuti e tempistiche specifici per ciascuna fase.
Non rispettare le scadenze — o non notificare un incidente che doveva essere notificato — espone l’organizzazione a sanzioni fino a 10 milioni di euro o al 2% del fatturato globale, oltre a potenziali misure cautelari e responsabilità personali per i dirigenti.
Le 3 scadenze per la notifica al CSIRT Italia
NIS2 articola l’obbligo di notifica in tre fasi progressive. Ogni fase ha contenuti specifici e tempi perentori. Il dies a quo — il giorno zero — decorre dal momento in cui l’organizzazione viene a conoscenza dell’incidente significativo.
- Indicazione che si è verificato un incidente significativo
- Se l’incidente è sospettato di essere doloso (attacco)
- Se ha impatto transfrontaliero su altri Stati UE
- Classificazione iniziale del tipo di incidente
- Classificazione e gravità dell’incidente
- Cause iniziali identificate (se note)
- Indicatori di compromissione (IOC) disponibili
- Sistemi, reti e dati coinvolti
- Numero di utenti o servizi impattati
- Misure di contenimento e mitigazione adottate
- Impatto su altri soggetti o infrastrutture
- Descrizione dettagliata dell’incidente e della sua evoluzione
- Analisi delle cause radice (root cause analysis)
- Impatto effettivo — economico, operativo, reputazionale
- Misure correttive e di remediation implementate
- Misure preventive adottate contro futuri attacchi
- Eventuali responsabilità di terzi nella supply chain
Cos’è un incidente “significativo” secondo NIS2
Non tutti gli incidenti informatici devono essere notificati al CSIRT Italia. L’obbligo scatta solo per gli incidenti che superano determinate soglie di impatto — definite come “significativi” dalla normativa. Valutare correttamente questa soglia è critico: notificare il giusto al momento giusto.
→ Accesso ai sistemi critici compromesso
→ Servizi pubblici interrotti
→ Frode tramite BEC (Business Email Compromise)
→ Furto di dati con valore commerciale
→ Compromissione dati sanitari dei pazienti
→ Attacco a sistema che gestisce infrastrutture terze
→ Propagazione malware a partner europei
→ Servizi SaaS con utenti transfrontalieri
Regola pratica: in caso di dubbio sulla significatività dell’incidente, notificare è sempre la scelta sicura. La mancata notifica di un incidente che avrebbe dovuto essere notificato è sanzionata; una notifica considerata non necessaria non comporta sanzioni. Nei casi incerti, contatta il CSIRT anche in via informale per una valutazione preliminare.
Cosa deve contenere ogni notifica
La qualità delle informazioni trasmesse è determinante sia per il rispetto degli obblighi NIS2, sia per ricevere supporto tempestivo dal CSIRT Italia. Ecco il dettaglio dei campi richiesti in ciascuna fase.
Le sanzioni per mancata o tardiva notifica
Il D.Lgs. 138/2024 prevede sanzioni amministrative significative per i soggetti che non rispettano gli obblighi di notifica NIS2. Le sanzioni si applicano in modo differenziato tra soggetti essenziali e soggetti importanti.
Nota importante: le sanzioni NIS2 si aggiungono — e non sostituiscono — le eventuali sanzioni GDPR per violazione dei dati personali (fino al 4% del fatturato globale), le responsabilità civili verso i soggetti danneggiati dall’incidente, e le conseguenze penali in caso di dolo o grave negligenza. Una corretta gestione della notifica è il primo atto di tutela legale dell’organizzazione.
Come prepararsi alla NIS2 prima di un incidente
La gestione di un incidente NIS2 non si improvvisa. Le organizzazioni che rispondono efficacemente hanno già strutturato, in anticipo, i processi e le capacità che rendono possibile una risposta nei tempi normativi.
Piano di Incident Response NIS2
Un playbook specifico che definisce chi notifica al CSIRT, chi raccoglie gli IOC, chi prepara la documentazione e chi coordina con legale e DPO. Senza questo piano, in un incidente reale si perde tempo prezioso nelle prime ore critiche.
Monitoraggio e rilevazione 24/7
Non puoi notificare un incidente in 24 ore se lo scopri dopo una settimana. Il rilevamento tempestivo è la precondizione di ogni obbligo NIS2. MDR e SIEM con detection avanzata riducono il tempo medio di scoperta da mesi a ore.
Registrazione e log retention
La notifica al CSIRT richiede log, IOC e timeline. Senza log adeguati — firewall, endpoint, autenticazione, email — è impossibile ricostruire la catena d’attacco nei tempi previsti. La log policy è il prerequisito tecnico della compliance NIS2.
Classificazione preventiva degli asset
Sapere in anticipo quali sistemi sono critici accelera la valutazione della significatività dell’incidente. Avere un inventario aggiornato di asset, dati e servizi essenziali permette di rispondere rapidamente alla domanda “è un incidente NIS2 notificabile?”
Contatti CSIRT e canali dedicati
Registrare preventivamente l’organizzazione sul portale CSIRT Italia, testare i canali di notifica e formare il personale responsabile riduce il rischio di errori procedurali nel momento di massima pressione operativa — durante un incidente attivo.
Esercitazioni e tabletop NIS2
Simulare scenari di incidente in un ambiente controllato — ransomware, data breach, supply chain attack — permette di testare il piano di IR, individuare i gap procedurali e formare il team prima che la situazione reale renda ogni errore costoso.
I servizi che rendono possibile la conformità NIS2
Dalla prevenzione al post-incidente, Fortgale offre le capacità operative necessarie per rispettare gli obblighi NIS2 e ridurre il rischio di incidenti notificabili.
Domande frequenti sulla notifica NIS2 al CSIRT Italia
Le domande più comuni che riceviamo dalle aziende durante e prima di un incidente informatico soggetto a NIS2.
Gestisci un incidente o vuoi prepararti prima?
Che si tratti di un incidente attivo da notificare al CSIRT Italia o di una preparazione preventiva agli obblighi NIS2, il team Fortgale è a disposizione. Risposta immediata, supporto tecnico e legale coordinato.
