Cosa si intende per incidente significativo, come deve essere gestito e quali obblighi di notifica prevede la normativa
Introduzione
La gestione degli incidenti è uno dei processi centrali della disciplina NIS. Non ogni evento di sicurezza genera però un obbligo di notifica: occorre innanzitutto stabilire se l’evento integri un incidente e se l’incidente sia significativo secondo i criteri del d.lgs. 138/2024 e delle specifiche ACN applicabili.
Quando questa soglia è raggiunta, iniziano a decorrere termini molto brevi per le comunicazioni a CSIRT Italia. Per questo l’organizzazione deve avere definito in anticipo ruoli, criteri di escalation, reperibilità, raccolta delle evidenze e processo decisionale.
Che cosa si intende per “incidente significativo”
Ai sensi dell’articolo 25 del d.lgs. 138/2024, un incidente è significativo quando:
- ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato;
- ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.
A questi criteri generali si affiancano le specifiche ACN sugli incidenti significativi di base. La Determinazione 379907/2025 distingue i criteri applicabili ai soggetti importanti e ai soggetti essenziali nei relativi allegati.
La qualificazione dell’incidente deve quindi essere effettuata sulla base del quadro effettivamente applicabile al soggetto, evitando sia notifiche automatiche di qualunque anomalia sia valutazioni tardive che possano compromettere il rispetto dei termini.
Le fasi della notifica di un incidente significativo (preallarme, notifica, relazione)
Il processo ordinario previsto dall’articolo 25 si articola in più passaggi.
1. Pre-notifica entro 24 ore
Deve essere trasmessa senza ingiustificato ritardo e comunque entro 24 ore da quando il soggetto è venuto a conoscenza dell’incidente significativo. Ove possibile, indica se l’incidente possa derivare da atti illegittimi o malevoli e se possa avere un impatto transfrontaliero.
2. Notifica entro 72 ore
Deve essere trasmessa senza ingiustificato ritardo e comunque entro 72 ore dalla conoscenza dell’incidente significativo. Aggiorna, ove possibile, le informazioni già comunicate e contiene una valutazione iniziale della gravità e dell’impatto dell’incidente e, se disponibili, gli indicatori di compromissione.
3. Relazione intermedia
CSIRT Italia può richiedere una relazione intermedia con gli aggiornamenti pertinenti sulla situazione.
4. Relazione finale
Deve essere trasmessa entro un mese dalla notifica delle 72 ore e comprende la descrizione dettagliata dell’incidente, la gravità e l’impatto, il tipo di minaccia o la probabile causa originaria, le misure di attenuazione adottate o in corso e, ove noto, l’impatto transfrontaliero.
5. Incidente ancora in corso
Se l’incidente non è concluso al momento in cui dovrebbe essere presentata la relazione finale, sono previste relazioni mensili sui progressi e una relazione finale entro un mese dalla conclusione della gestione dell’incidente.
Per alcune tipologie di soggetto sono previste regole specifiche, che devono essere considerate insieme alle disposizioni generali.
Il ruolo del CSIRT Italia
CSIRT Italia riceve le notifiche e supporta il soggetto nella gestione dell’incidente secondo le funzioni previste dal decreto. A seguito della pre-notifica fornisce un riscontro iniziale e, su richiesta, può fornire orientamenti sulle possibili misure tecniche di mitigazione e ulteriore supporto tecnico.
Il Referente CSIRT del soggetto NIS ha il compito di interloquire con CSIRT Italia ed effettuare per conto dell’organizzazione le notifiche previste dal decreto. Il processo interno di gestione dell’incidente deve invece definire autonomamente responsabilità tecniche, organizzative, decisionali e di escalation.
Come preparare l’organizzazione alla gestione degli incidenti
Per rendere effettivamente gestibile il termine delle 24 ore non basta predisporre un modulo di notifica. Occorre costruire un processo che permetta di individuare l’evento, valutarne rapidamente la rilevanza, coinvolgere le persone competenti e raccogliere le informazioni necessarie.
- procedure interne chiare, aggiornate e formalizzate;
- un flusso operativo che definisca ruoli, responsabilità e passaggi;
- un registro degli incidenti;
- un gruppo interno di risposta (IRT) o un partner esterno;
- strumenti di monitoraggio e rilevazione;
- capacità di logging, raccolta e conservazione delle evidenze utili alla valutazione dell’incidente;
- misure di coordinamento con la supply chain.
È importante che tutto il personale coinvolto sia adeguatamente formato.
Errori comuni da evitare
Tra gli errori più frequenti:
- valutare troppo tardi la rilevanza dell’incidente;
- comunicare informazioni incomplete o tardive;
- mancanza di tracce documentali;
- non nominare il Referente CSIRT entro le scadenze;
- non avere procedure interne aggiornate;
- non coordinare la comunicazione con la dirigenza.
Come iSimply può supportare la gestione degli incidenti NIS
Il nostro supporto include:
- predisposizione delle procedure interne di gestione incidenti;
- definizione dei flussi di escalation;
- formazione del personale coinvolto;
- supporto al Referente CSIRT;
- assistenza nella compilazione delle notifiche;
- supporto in caso di incidenti reali;
- predisposizione della relazione finale.
Hai bisogno di supporto per strutturare la gestione degli incidenti significativi o per assistere il tuo Referente CSIRT?
Contattaci per un confronto operativo
Tel 0125 1899500