Gestione e notifica degli incidenti

Perché serve prepararsi prima

Gli incidenti con impatto significativo vanno notificati al CSIRT Italia in tre passaggi: pre-notifica entro 24 ore dalla conoscenza dell’incidente, notifica entro 72 ore con valutazione iniziale, gravità, impatto e indicatori di compromissione, relazione finale entro un mese (o relazione mensile se l’incidente è ancora in corso).

Per i soggetti inseriti nel 2025 l’obbligo è in vigore dal 15 gennaio 2026; per quelli inseriti nel 2026 scatta dal 1° gennaio 2027. Il dettaglio è in Notifica degli incidenti NIS2.

Ventiquattro ore passano in fretta. Bisogna sapere chi decide se un evento è significativo, chi scrive la pre-notifica, chi informa il vertice e chi parla con fornitori e clienti.

La procedura deve anche tenere insieme obblighi diversi. Lo stesso evento può essere un incidente significativo per la NIS2 e una violazione di dati personali per il GDPR, con destinatari e contenuti in parte diversi. Conviene saperlo prima.

Come lavoriamo

Le procedure devono funzionare anche di notte, nel fine settimana, con il responsabile IT in ferie. Per questo prevediamo sostituti, recapiti alternativi e copie dei modelli consultabili anche quando i sistemi sono fuori uso.

1. 01
   Procedura di gestione

   Definiamo il ciclo completo: rilevazione, classificazione, contenimento, ripristino, notifica, chiusura e lezioni apprese.

2. 02
   Ruoli e catena decisionale

   Chi valuta la significatività, chi firma la notifica, chi tiene i contatti con il CSIRT Italia, chi informa l’organo di amministrazione. Con sostituti e recapiti.

3. 03
   Playbook per scenario

   Istruzioni operative per i casi più probabili per te: ransomware, furto di credenziali, guasto di un fornitore, interruzione di corrente, allagamento di un locale tecnico.

4. 04
   Modelli di notifica

   Bozze già impostate per pre-notifica, notifica e relazione finale, con i campi da compilare e le informazioni da raccogliere fin dalla prima ora.

5. 05
   Esercitazione tabletop

   Simuliamo un incidente attorno a un tavolo con IT, direzione e comunicazione. Misuriamo i tempi, troviamo i punti deboli e aggiorniamo le procedure.

Lo scenario dell’esercitazione lo costruiamo sulla tua organizzazione: i tuoi sistemi, i tuoi fornitori, le tue sedi. Introduciamo complicazioni realistiche, come un responsabile irraggiungibile o un fornitore che non risponde, per vedere come reagisce la catena decisionale. Alla fine ripercorriamo i tempi di ogni passaggio e li confrontiamo con le 24 e 72 ore previste.

Cosa ricevi

• La procedura di gestione e notifica degli incidenti, approvabile dal vertice.
• I playbook per gli scenari prioritari.
• I modelli per pre-notifica, notifica e relazione finale al CSIRT Italia.
• Un registro degli incidenti con i campi utili alla notifica e al riesame.
• Il verbale dell’esercitazione con le azioni di miglioramento.
• Il raccordo con la procedura di data breach del GDPR, per gestire un evento con un’unica regia.

I modelli di notifica non sostituiscono le istruzioni dell’ACN e del CSIRT Italia: le seguono, e vanno aggiornati quando cambiano. Li manteniamo allineati nel tempo.

Continuità operativa e ripristino

Gestire un incidente significa anche tornare operativi. Colleghiamo la procedura a continuità operativa, backup e disaster recovery: cosa si ripristina per primo, in quanto tempo, da dove. Un test di ripristino fatto prima vale più di qualunque documento.

Gli scenari non sono solo informatici. Un’interruzione di corrente prolungata o l’allagamento di un locale tecnico possono fermare i servizi quanto un attacco, e vanno gestiti con la stessa procedura.

Per ogni servizio rilevante definiamo con te cosa serve per riprendere l’attività: sistemi, dati, persone, fornitori, sedi alternative. È il collegamento tra il piano di risposta agli incidenti e i piani di continuità operativa e disaster recovery.

Chi coinvolgiamo in azienda

• Direzione: decide nei casi dubbi e viene informata su incidenti e notifiche.
• IT e fornitori IT: rilevazione, contenimento, raccolta degli indicatori di compromissione, ripristino.
• Ufficio tecnico o facility: eventi fisici come interruzioni di corrente, incendi, allagamenti.
• Legale e DPO: obblighi verso i clienti e valutazione di un possibile data breach.
• Comunicazione e assistenza clienti: messaggi coerenti con quanto notificato.
• Punto di contatto ACN e referente CSIRT: i riferimenti per i rapporti con l’autorità.

Gli errori più comuni

• Aspettare un quadro completo prima della pre-notifica e superare le 24 ore.
• Non registrare il momento in cui l’organizzazione è venuta a conoscenza dell’incidente.
• Gestire separatamente notifica NIS2 e data breach GDPR, con informazioni che non coincidono.
• Tenere procedure e contatti solo su sistemi che, durante l’incidente, non sono accessibili.
• Dimenticare gli incidenti fisici: anche l’allagamento della sala server è un incidente.
• Chiudere l’incidente senza analisi delle cause e senza aggiornare i playbook.

Quasi tutti questi errori emergono durante un’esercitazione tabletop. È uno dei motivi per cui la proponiamo come parte del servizio e non come attività facoltativa: è il modo più economico per scoprire cosa non funziona prima che serva davvero.

Per chi è

Per i soggetti essenziali e importanti che devono notificare, e per i fornitori di soggetti NIS2 a cui i clienti chiedono di comunicare tempestivamente gli incidenti.

È utile anche a chi ha già una procedura ma non l’ha mai provata. Un’esercitazione mostra in fretta cosa manca: un numero di telefono, una delega, un accesso al portale.

Domande frequenti