01 ·
Ricezione notifiche obbligatorie
Punto di contatto unico per la notifica degli incidenti significativi dei soggetti NIS2 (D.Lgs. 138/2024) e dei soggetti del Perimetro Cibernetico (DPCM 81/2021).
CSIRT Italia · cos'è e cosa fa esattamente.
Risposta diretta
Il CSIRT Italia (Computer Security Incident Response Team Italia) è la struttura nazionale di risposta agli incidenti di sicurezza informatica. Dipende dall'Agenzia per la Cybersicurezza Nazionale (ACN): riceve le notifiche degli incidenti significativi previsti da NIS2 (D.Lgs. 138/2024) e dal Perimetro di Sicurezza Nazionale Cibernetica (DPCM 81/2021), coordina la risposta tecnica e pubblica alert e bollettini. Si contatta dal portale csirt.gov.it (canale di riferimento per le notifiche NIS2) e via PEC a csirt@pec.acn.gov.it.
Riferimenti normativi
NIS2 · D.Lgs. 138/2024
DPCM 81/2021 · Perimetro
GDPR · Garante 72h
DORA · entità finanziarie
Il ruolo del CSIRT
Sei aree di responsabilità.
Il CSIRT Italia non è un help desk: è la cerniera tra incidenti aziendali e situational awareness nazionale. Ogni notifica entra in un meccanismo che combina supporto operativo immediato e raccolta strutturata per la difesa del sistema-Paese.
02 ·
Coordinamento risposta tecnica
Supporto operativo agli enti colpiti, condivisione di IOC, analisi forense di alto livello, coordinamento con CSIRT europei e con la rete FIRST.
03 ·
Alert & bollettini
Pubblicazione di alert su vulnerabilità critiche, campagne ransomware in corso, infrastrutture C2, raccomandazioni di hardening per i settori obbligati.
04 ·
Situational awareness
Raccolta strutturata di IOC dalle notifiche per costruire una visione nazionale delle minacce attive contro l'Italia. Alimenta la threat intelligence pubblica e settoriale.
05 ·
Cooperazione internazionale
Membro della rete CSIRT EU (NIS Cooperation Group), nodo italiano in FIRST, coordinamento con ENISA e con i CSIRT nazionali degli altri Paesi UE per minacce transfrontaliere.
06 ·
Cyber diplomacy
Punto di contatto per attività di cyber diplomacy, attribuzioni pubbliche di campagne state-sponsored, supporto al MAECI nelle relazioni internazionali su tematiche cyber.
Chi deve notificare
Settori obbligati alla notifica CSIRT.
L'elenco completo dei soggetti tenuti alla notifica al CSIRT Italia ai sensi del D.Lgs. 138/2024 (NIS2). Le categorie "essenziali" hanno soglie più basse e sanzioni più severe rispetto alle "importanti". Rientrare in un settore obbligato non dice quanto l'organizzazione sia pronta a notificare: lo misura una gap analysis NIS2.
NIS2 essenziale
Energia
Elettricità, gas, oil.
NIS2 essenziale
Trasporti
Aerei, marittimi, ferroviari, stradali.
NIS2 essenziale
Sanità
Strutture sanitarie, laboratori, dispositivi medici.
NIS2 essenziale
Finanza & banche
Istituti bancari, mercati finanziari, infrastrutture di pagamento.
NIS2 essenziale
Acque
Acqua potabile e gestione acque reflue.
NIS2 essenziale
Infrastrutture digitali
Cloud provider, DNS, IXP, data center, registri TLD.
NIS2 essenziale
PA
Amministrazioni centrali e locali sopra soglia.
NIS2 essenziale
Spazio
Operatori di servizi spaziali e infrastrutture di terra.
NIS2 importante
Manifatturiero
Manifattura critica e industria 4.0.
NIS2 importante
Gestione rifiuti
Servizi di raccolta, smaltimento, trattamento.
NIS2 importante
Chimica & food
Produzione, distribuzione, sicurezza alimentare.
NIS2 importante
Servizi digitali
Marketplace, motori di ricerca, social network.
Confronto · CSIRT vs altri attori
Chi fa cosa nel cyber italiano.
Le sigle si sovrappongono spesso. Una mappa rapida tra CSIRT, SOC, Garante, ACN e Polizia Postale: ognuno ha un perimetro preciso e momenti di attivazione distinti.
| Ruolo | Di chi è | Cosa fa | Quando si attiva |
|---|---|---|---|
| CSIRT Italia | ACN · Stato | Riceve notifiche, coordina risposta, alert nazionali | Incidente significativo NIS2 / Perimetro |
| SOC aziendale | Azienda o MSSP | Monitora 24·7, rileva, contiene, indaga | Continuamente, su tutta l'infrastruttura |
| Garante Privacy | Autorità indipendente | Riceve notifiche violazioni dati personali | Data breach con dati personali (72h) |
| ACN | Stato · cybersicurezza | Strategia nazionale, NIS2, Perimetro · CSIRT al suo interno | Vigilanza continua, controlli, sanzioni |
| Polizia Postale | Forze dell'ordine | Indagini penali, sequestri, arresti | Reato informatico, querela parte lesa |
Il punto che sfugge a molti
Il CSIRT Italia riceve la notifica e coordina: non gestisce l'incidente al posto vostro. Rilevare l'attacco, contenerlo, raccogliere le evidenze e produrre le tre notifiche nei termini (24 ore, 72 ore, 30 giorni) resta un obbligo dell'azienda colpita.
Le scadenze si rispettano solo se rilevamento, classificazione, contenimento e conservazione delle evidenze funzionano già prima dell'incidente: il giorno della notifica non c'è il tempo di costruirli. La pagina sull'obbligo mette in fila cosa deve già funzionare per rispettare le 24 ore, con l'evidenza da produrre per ogni scadenza. Se l'incidente è in corso: cosa fare subito.
Per gli intermediari vigilati la notifica DORA non va al CSIRT ma a Banca d'Italia, Consob o IVASS, con termini propri (4 ore dalla classificazione, 72 ore, un mese). Per gli stessi intermediari, nel 2026, si aggiunge la Relazione del CdA richiesta dalla Comunicazione Banca d'Italia del 17 luglio 2026 su IA e resilienza, da trasmettere entro il 31 dicembre.
Approfondimenti
Da "cos'è il CSIRT" a "come notificare".
Guida operativa
Notifica incidente CSIRT
Procedure, scadenze 24h · 72h · 30gg, contenuti minimi, modulistica e flusso operativo.
Vai alla guida →Compliance
NIS2 · D.Lgs. 138/2024
Tutto sulla NIS2: ambito di applicazione, obblighi, governance, sanzioni e tempistiche di adeguamento.
Scopri →Settore finanziario
DORA · panoramica
Per banche, assicurazioni e intermediari la notifica non va al CSIRT ma alle autorità di settore: scadenze, pilastri e TLPT.
Scopri →FAQ · CSIRT Italia
Le domande più frequenti su CSIRT Italia.
Cos'è il CSIRT Italia?
Il CSIRT Italia (Computer Security Incident Response Team Italia) è la struttura nazionale di risposta agli incidenti di sicurezza informatica. Opera all'interno dell'Agenzia per la Cybersicurezza Nazionale (ACN) ed è il punto di contatto unico per la notifica degli incidenti significativi previsti dalla NIS2 (D.Lgs. 138/2024) e dal Perimetro di Sicurezza Nazionale Cibernetica (DPCM 81/2021). Riceve le notifiche, coordina la risposta tecnica, pubblica alert e bollettini e cura la cooperazione con la rete CSIRT europea.
Cosa significa CSIRT?
CSIRT è l'acronimo di Computer Security Incident Response Team, squadra di risposta agli incidenti di sicurezza informatica. Riceve segnalazioni, analizza incidenti, coordina la risposta, distribuisce alert nazionali. Esistono CSIRT nazionali, settoriali e aziendali; in Italia il CSIRT nazionale è gestito da ACN.
Qual è la PEC del CSIRT Italia?
La PEC del CSIRT Italia è csirt@pec.acn.gov.it. Gli altri canali ufficiali sono il portale csirt.gov.it (registrazione preventiva e notifiche strutturate), l'email ordinaria csirt@acn.gov.it e il numero di emergenza H24 +39 06 5482 2100. Per le notifiche obbligatorie NIS2 il canale di riferimento è il portale; PEC, email e telefono servono per emergenze, supporto operativo e comunicazioni formali.
Chi deve notificare al CSIRT?
I soggetti qualificati come essenziali o importanti ai sensi del D.Lgs. 138/2024 (NIS2): energia, trasporti, sanità, finanza, infrastrutture digitali, manifatturiero, spazio, acque, gestione rifiuti, PA. Si aggiungono i soggetti del Perimetro di Sicurezza Nazionale Cibernetica (DPCM 81/2021), con soglie più stringenti (6 ore per incidenti ad alto impatto). Verifica via portale ACN. Per capire se la vostra organizzazione è soggetta e con quali obblighi: NIS2 spiegata e obbligo di notifica NIS2.
Entro quanto va notificato un incidente NIS2?
Tre scadenze: pre-notifica entro 24 ore da quando si viene a conoscenza dell'incidente significativo, notifica entro 72 ore con la valutazione iniziale di gravità e impatto, relazione finale entro un mese (30 giorni). I soggetti del Perimetro Cibernetico hanno termini più stretti (6 ore per gli incidenti ad alto impatto). Le soglie e la procedura sono nella pagina sull'obbligo di notifica NIS2.
Che differenza c'è tra CSIRT, CERT e SOC?
CERT (Computer Emergency Response Team) è un marchio registrato della Carnegie Mellon University: un'organizzazione può chiamarsi CERT solo se autorizzata. CSIRT è il termine generico, non vincolato a marchi; funzionalmente le due sigle indicano lo stesso tipo di struttura e in Italia quella nazionale si chiama CSIRT Italia. Il SOC (Security Operations Center) è invece una funzione aziendale o un servizio gestito che monitora 24·7 l'infrastruttura, rileva e contiene gli incidenti: livello operativo aziendale, mentre il CSIRT è il livello nazionale di coordinamento. È il SOC che rileva, contiene e prepara le evidenze per l'eventuale notifica: vedi cos'è un SOC.
Il CSIRT Italia sostituisce il Garante Privacy?
No. Le due notifiche sono indipendenti. Il CSIRT Italia gestisce gli incidenti rilevanti per la sicurezza informatica nazionale (NIS2, Perimetro Cibernetico). Il Garante Privacy riceve le notifiche di violazione di dati personali ai sensi dell'art. 33 GDPR, entro 72 ore. Un incidente ransomware con esfiltrazione di dati personali può richiedere entrambe le notifiche, oltre eventualmente a quella DORA per le entità finanziarie, che va alle autorità di settore (Banca d'Italia, Consob o IVASS).
Incidente in corso
Il CSIRT riceve la notifica. Contenere l'incidente resta a voi.
Il team incident response Fortgale opera dal SOC di Milano, 24·7·365, dal 2017: contenimento, evidenze e supporto alla notifica al CSIRT Italia nei termini NIS2.