I tre passaggi della notifica
Il D.Lgs. 138/2024 prevede che gli incidenti con impatto significativo siano notificati al CSIRT Italia, il gruppo di risposta agli incidenti che opera presso l’ACN. La notifica non è un singolo atto ma una sequenza.
- 01Entro 24 ore: pre-notifica
Decorre dalla conoscenza dell’incidente. Serve a dare l’allerta, anche con informazioni incomplete.
- 02Entro 72 ore: notifica
Con una valutazione iniziale, la gravità, l’impatto e gli indicatori di compromissione disponibili.
- 03Entro 1 mese: relazione finale
Se l’incidente è ancora in corso, si invia una relazione mensile e poi quella finale.
Non dalla fine dell’analisi. Se chi si accorge del problema non sa a chi segnalarlo, il tempo scorre lo stesso.
La sequenza richiede continuità. Chi invia la pre-notifica deve poter seguire anche la notifica a 72 ore e la relazione finale, o passare il caso a un collega con tutte le informazioni raccolte. Annota fin dall’inizio orari, decisioni e fonti.
Quando un incidente è significativo
Non ogni evento va notificato. In termini generali, un incidente è significativo quando ha causato o può causare un grave impatto: interruzioni rilevanti dei servizi che eroghi, perdite economiche importanti, danni a persone o ad altre organizzazioni.
I criteri puntuali per stabilirlo sono definiti dall’ACN e vanno letti nei testi ufficiali pubblicati su acn.gov.it. Il nostro consiglio: traducili in una tabella interna con esempi riferiti ai tuoi servizi, così la decisione non si improvvisa sotto pressione.
Una tabella utile risponde a domande semplici. Quali servizi sono fermi e per quanto? Quanti utenti o clienti sono coinvolti? Ci sono dati esfiltrati o alterati? L’impatto si estende a terzi? Chi la compila deve poterlo fare in pochi minuti.
Nel dubbio, la scelta prudente è valutare subito con chi ha la responsabilità della notifica. Un incidente può diventare significativo nelle ore successive, man mano che emergono gli effetti.
Ricorda anche che decidere di non notificare è una decisione da documentare. Registra l’evento, i criteri applicati e chi ha valutato: se in seguito qualcuno ti chiede conto, la risposta è già scritta.
Da quando vale l’obbligo
| Soggetti | Obbligo di notifica dal |
|---|---|
| Inseriti nell’elenco NIS nel 2025 | 15 gennaio 2026 |
| Inseriti nell’elenco NIS nel 2026 | 1° gennaio 2027 |
Per i soggetti inseriti nel 2026 c’è un passaggio preliminare: la designazione del referente CSIRT entro il 31 dicembre 2026. Verifica sempre le date nelle comunicazioni ricevute dall’ACN e nel calendario delle scadenze.
Il periodo che precede la decorrenza non è tempo morto. È il momento giusto per scrivere la procedura, nominare i referenti e fare una prima simulazione, così che dal giorno in cui l’obbligo scatta tutto sia già rodato.
Cosa preparare prima
Ventiquattro ore sono poche se si parte da zero. Prepara in anticipo:
- una procedura scritta di gestione e notifica, con ruoli, sostituti e recapiti aggiornati;
- criteri di classificazione degli incidenti con esempi concreti sui tuoi servizi;
- modelli precompilati per pre-notifica, notifica e relazione finale;
- un registro degli incidenti, anche di quelli non notificati, con la motivazione;
- accordi con i fornitori perché ti avvisino subito degli incidenti che ti riguardano;
- un canale verso il vertice: gli organi di amministrazione devono essere informati periodicamente su incidenti e notifiche.
Tutto questo va tenuto in un posto raggiungibile anche quando i sistemi sono fuori uso. Una procedura salvata solo sul file server cifrato da un ransomware non serve a nulla: tieni una copia offline e i recapiti essenziali su carta.
Un incidente informatico può essere anche una violazione di dati personali, con i suoi obblighi verso il Garante. Gestirli con un’unica procedura evita doppioni e contraddizioni.
Prova la procedura prima che serva
Una procedura mai provata ha lacune che emergono nel momento peggiore: il numero del referente non è aggiornato, nessuno sa dove sono i modelli, il fornitore non risponde. Una simulazione a tavolino di mezza giornata, con un caso realistico, le fa emergere a costo zero.
Coinvolgi chi interviene davvero: IT, responsabile della sicurezza, comunicazione, legale, un rappresentante del vertice e, quando possibile, il fornitore principale. Ripeti l’esercizio almeno una volta l’anno e dopo ogni cambiamento rilevante di sistemi o fornitori.
Conserva l’esito delle simulazioni e le azioni correttive: sono evidenze utili in caso di verifica.
Come possiamo aiutarti
Con il servizio di gestione incidenti e continuità scriviamo la procedura di notifica al CSIRT Italia, la integriamo con continuità operativa e disaster recovery e la mettiamo alla prova con simulazioni. Contattaci per partire.
Domande frequenti
Devo notificare anche un tentativo di attacco bloccato?
Dipende dall’impatto. Un tentativo senza conseguenze di norma non è significativo, ma va registrato. Applica i criteri ACN e documenta la valutazione.
Cosa succede se non ho tutte le informazioni entro 24 ore?
La pre-notifica serve proprio a dare l’allerta con le informazioni disponibili. I dettagli arrivano con la notifica entro 72 ore e con la relazione finale.
Un incidente presso un fornitore va notificato?
Se ha un impatto significativo sui tuoi servizi, sì. Per questo i contratti devono obbligare i fornitori ad avvisarti tempestivamente.
Contenuti informativi aggiornati a ottobre 2026: non sostituiscono la lettura dei testi ufficiali né un parere professionale sul caso specifico.