AttestiamoIncidente significativo: cosa fare, ora per ora
Gli obblighi di notifica dell'articolo 25 del D.lgs. 138/2024, in ordine di tempo. Tienila a portata di mano: quando succede qualcosa non c'è tempo per cercare.
Prima di tutto: è un incidente significativo?
Lo è se ha causato o può causare una grave perturbazione dei servizi o perdite economiche per la tua organizzazione, oppure se ha colpito o può colpire altre persone con danni rilevanti. Le specifiche di base dell'ACN elencano i casi da considerare comunque significativi.
A chi si applica. Ai soggetti NIS2, essenziali e importanti.
Da quando. Chi è in elenco dal 2025 notifica già da gennaio 2026. Chi entra in elenco per la prima volta nel 2026 notifica dal 1° gennaio 2027.
A chi. Al CSIRT Italia, presso l'Agenzia per la cybersicurezza nazionale.
Quattro passaggi, tre scadenze
- 24ore
Pre-notifica
Entro 24 ore da quando sei venuto a conoscenza dell'incidente. Indica, se possibile, se può essere frutto di un atto illecito o malevolo e se può avere un impatto in altri Paesi.
Art. 25, comma 5, D.lgs. 138/2024 - 72ore
Notifica
Entro 72 ore dalla conoscenza dell'incidente. Aggiorna la pre-notifica con una prima valutazione di gravità e impatto e, se disponibili, con gli elementi che indicano la compromissione.
Art. 25, comma 5, D.lgs. 138/2024 - Su
richiestaRelazioni intermedie
Se il CSIRT Italia le chiede, invii aggiornamenti sullo stato dell'incidente.
Art. 25, comma 5, D.lgs. 138/2024 - 1mese
Relazione finale
Entro un mese dalla notifica: descrizione dettagliata, tipo di minaccia o causa probabile, misure adottate, eventuale impatto in altri Paesi. Se l'incidente è ancora in corso, invii una relazione sui progressi e la relazione finale entro un mese dalla sua gestione.
Art. 25, comma 5, D.lgs. 138/2024
Il momento giusto per organizzarsi è oggi
Ventiquattro ore passano in fretta se nessuno sa chi deve fare cosa. Questi sono i punti da sistemare a mente fredda.
- Il referente per il CSIRT Italia è designato e sa di esserlo.
- È chiaro chi decide se un incidente è significativo e chi scrive la notifica.
- Hai i contatti di emergenza dei fornitori che gestiscono i tuoi sistemi.
- Annoti cosa succede e a che ora: le scadenze partono da quando ne vieni a conoscenza.
- Sai come raggiungere i clienti o gli utenti che l'incidente potrebbe colpire, se va informato anche chi riceve i tuoi servizi.
- Anche se ti aiuta un fornitore, la responsabilità della notifica resta tua.
Gli incidenti di tutti i tuoi clienti, sotto controllo
In Attestiamo ogni incidente ha il conto alla rovescia di 24 ore, 72 ore e un mese, i testi già impostati e il registro di quanto comunicato. Per consulenti, DPO e MSP.
Guida informativa basata sull'articolo 25 del D.lgs. 138/2024 e sulle determinazioni ACN in vigore al 10 ottobre 2026. Non sostituisce le indicazioni ufficiali dell'ACN né il parere di un professionista.