Obbligo di notifica NIS2: quando scatta e come ridurlo.

Un incidente è significativo quando causa o può causare grave perturbazione operativa, perdite finanziarie rilevanti, o danni significativi a persone fisiche o giuridiche terze. I parametri includono: numero di utenti colpiti, durata dell'interruzione, impatto geografico e criticità del servizio. In caso di dubbio, notificare: la mancata notifica è sanzionata, una notifica non necessaria no.

Sanzioni fino a 10 milioni di euro o il 2% del fatturato globale per i soggetti essenziali, fino a 7 milioni o l'1,4% per i soggetti importanti. ACN può disporre misure cautelari, limitazione temporanea delle attività e sanzioni personali ai dirigenti responsabili con interdizione dai ruoli direttivi.

La notifica è un obbligo di legge, non una protezione automatica. Notificare correttamente nei tempi previsti dimostra la conformità e può attenuare le sanzioni. Per i dati personali, la notifica al CSIRT si affianca, senza sostituirsi, a quella al Garante Privacy ex GDPR art. 33 (entro 72 ore).

Classificazione e gravità, cause iniziali, indicatori di compromissione (IOC), sistemi e dati coinvolti, misure di contenimento, numero di utenti/servizi impattati, impatto transfrontaliero. Avere un team tecnico che raccoglie le informazioni in parallelo alla risposta operativa è fondamentale.

Le PMI con meno di 50 dipendenti e meno di 10 milioni di fatturato sono generalmente escluse, salvo operino in settori ad alta criticità o siano identificate come soggetti critici da ACN. Le medie imprese (50-249 dipendenti, 10-50M€) rientrano tra i soggetti importanti.

Dipende dalla significatività. Se il contenimento tempestivo impedisce perturbazione grave, perdite rilevanti e danni a terzi, l'evento può non raggiungere la soglia e non far scattare l'obbligo. La valutazione resta in capo al soggetto e va documentata con evidenze tecniche: timeline, IOC, azioni di contenimento. Con TTD mediano <15 minuti e TTC mediano <30 minuti, gran parte degli eventi viene fermata prima di produrre gli impatti che rendono un incidente notificabile.

No. La NIS2 prescrive misure di gestione del rischio (art. 21 della Direttiva (UE) 2022/2555) e scadenze di notifica (art. 23), non l'acquisto di un servizio o di un fornitore. Rilevare, classificare, contenere e documentare un incidente entro quei tempi richiede però una capacità continua, che un'organizzazione può costruire internamente o affidare a un servizio gestito.

Dal momento in cui l'organizzazione viene a conoscenza dell'incidente significativo, non da quando ne ha la certezza o ha concluso l'analisi. Rilevare tardi sposta in avanti l'inizio del termine, ma lascia all'attaccante più tempo per produrre gli impatti che rendono l'incidente significativo: per questo la capacità di rilevare rientra tra le misure di gestione degli incidenti previste dall'art. 21.

Secondo l'art. 23 della Direttiva (UE) 2022/2555 la relazione finale, da trasmettere entro un mese dalla notifica dell'incidente, contiene una descrizione dettagliata dell'incidente con gravità e impatto, il tipo di minaccia o la causa che lo ha probabilmente innescato, le misure di attenuazione adottate e in corso e, se presente, l'impatto transfrontaliero.