Notifica degli incidenti NIS2: quando scatta e cosa fare entro 24 ore
Ventiquattro ore per la pre-notifica, settantadue per la notifica, un mese per la relazione finale. I termini decorrono da quando si viene a conoscenza dell'incidente, e la decisione più difficile si prende subito: stabilire se quell'evento sia significativo.
In breve — La notifica degli incidenti NIS2 va trasmessa al CSIRT Italia quando l’incidente è significativo, cioè quando provoca o rischia di provocare una grave perturbazione dei servizi, perdite finanziarie considerevoli o ripercussioni su terzi. I termini decorrono da quando il soggetto ne viene a conoscenza: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Per i prestatori di servizi fiduciari la notifica scende a 24 ore.
1. L’obbligo di notificare gli incidenti
La notifica degli incidenti è uno dei quattro obblighi che la NIS2 pone ai soggetti iscritti nell’elenco tenuto dall’Agenzia per la cybersicurezza nazionale: chi subisce un incidente significativo deve segnalarlo al CSIRT Italia entro termini che si contano in ore, non in giorni. L’obbligo è disciplinato dall’art. 25 del d.lgs. 138/2024 e vale allo stesso modo per i soggetti essenziali e per quelli importanti.
Non tutti gli incidenti di cybersicurezza, però, vanno notificati. La prima decisione da prendere — spesso in poche ore e con informazioni incomplete — è se quell’evento rientri fra quelli significativi, ed è da lì che conviene partire. Di seguito vediamo quando un incidente è significativo, entro quali termini va segnalato, che cosa deve contenere la notifica e che cosa si rischia se non viene trasmessa.
2. Quando un incidente è significativo
L’obbligo di notifica al CSIRT Italia scatta solo per gli incidenti significativi. Per l’art. 25, comma 4, del d.lgs. 138/2024 un incidente è significativo quando ricorre almeno una di due condizioni:
- ha causato o è in grado di causare una grave perturbazione dei servizi o perdite finanziarie considerevoli per il soggetto interessato;
- oppure si è ripercosso o è in grado di ripercuotersi su altre persone, fisiche o giuridiche, causando perdite materiali o immateriali considerevoli.
In pratica · nel dubbio si notifica
«In grado di causare» significa che non occorre attendere il danno: basta che l’evento possa produrlo, e la valutazione va quindi fatta proprio quando l’estensione del problema è ancora sconosciuta. «Considerevoli», dal canto suo, non ha una soglia numerica e rimette tutto a un giudizio, che in quel momento nessuno ha il tempo di soppesare con calma.
Per questo il criterio che suggeriamo è quello del dubbio: se l’incidente ha fermato un servizio rilevante, ha toccato dati di terzi o non se ne conosce ancora la portata, conviene notificare. La pre-notifica delle prime ventiquattro ore è un’allerta, non una ricostruzione, e non impegna a una qualificazione definitiva: si può sempre precisare dopo, mentre un termine scaduto non si recupera.
Il decreto distingue inoltre tre nozioni che conviene tenere separate, perché solo una comporta l’obbligo di notifica:
- l’incidente è «un evento che compromette la disponibilità, l’autenticità, l’integrità o la riservatezza di dati conservati, trasmessi o elaborati»;
- il quasi incidente è «un evento che avrebbe potuto configurare un incidente senza che quest’ultimo si sia tuttavia verificato», compreso il caso in cui sia stato efficacemente evitato: non va notificato, ma è il segnale che una misura ha funzionato o che una vulnerabilità esiste;
- l’incidente su vasta scala è quello che supera la capacità di risposta di uno Stato membro o che ha un impatto significativo su almeno due Stati membri.
3. I termini: 24 ore, 72 ore, un mese
I termini non decorrono dal momento in cui l’incidente si verifica, ma da quando il soggetto ne viene a conoscenza: è un punto decisivo, perché sposta l’attenzione sui sistemi di rilevamento e sulla tracciabilità del momento in cui qualcuno, in azienda, ha saputo.
- entro 24 ore — la pre-notifica, da trasmettere senza ingiustificato ritardo: è un primo avviso che segnala l’esistenza dell’incidente;
- entro 72 ore — la notifica vera e propria, con la ricostruzione di quanto accaduto;
- su richiesta del CSIRT Italia — una relazione intermedia sugli aggiornamenti rilevanti della situazione;
- entro un mese dalla notifica — la relazione finale.
Per i prestatori di servizi fiduciari il termine della notifica è più stretto: ventiquattro ore anziché settantadue, in ragione del ruolo che svolgono nelle transazioni elettroniche.
Il CSIRT Italia, dal canto suo, è tenuto a fornire un riscontro iniziale sull’incidente entro ventiquattro ore dalla pre-notifica e, se richiesto, orientamenti sulle misure tecniche di mitigazione: il rapporto, quindi, non è a senso unico.
4. A chi si notifica e attraverso quale canale
Le notifiche vanno al CSIRT Italia, la struttura dell’Agenzia per la cybersicurezza nazionale che riceve le segnalazioni e coordina la risposta. L’interlocuzione passa dal referente CSIRT, la figura che il soggetto designa a questo scopo e che non va confusa con il punto di contatto: il primo gestisce gli incidenti, il secondo tiene i rapporti generali con l’Agenzia, e a differenza del punto di contatto il referente CSIRT può essere esternalizzato.
Chi è entrato nell’elenco NIS nel 2026 deve designare il referente entro la fine dell’anno, perché l’obbligo di notifica decorre dal 1° gennaio 2027: il calendario completo è nella guida alle scadenze NIS2.
5. Che cosa deve contenere la notifica
La pre-notifica delle prime ventiquattro ore è sintetica: segnala che un incidente è in corso e indica se si sospetta che derivi da atti illegittimi o malevoli o se possa avere un impatto transfrontaliero. Serve a mettere in allerta, non a spiegare.
La notifica delle settantadue ore aggiorna la precedente e aggiunge una valutazione iniziale dell’incidente, della sua gravità e dell’impatto, con gli indicatori di compromissione quando sono disponibili. La relazione finale, entro un mese, chiude il quadro: descrizione dettagliata, tipologia della minaccia e causa che ha probabilmente innescato l’evento, misure di attenuazione applicate e in corso, ed eventuali ripercussioni transfrontaliere.
C’è poi una facoltà che conviene conoscere prima di doverla esercitare: il soggetto può informare i destinatari dei propri servizi degli incidenti significativi che possono ripercuotersi sulla fornitura, ma lo fa dopo aver consultato il CSIRT Italia. È una comunicazione che tocca la reputazione e va coordinata, non improvvisata.
6. Gli incidenti ancora in corso e le relazioni periodiche
Non tutti gli incidenti si chiudono in un mese. Quando a quella scadenza l’evento è ancora in corso, il soggetto non trasmette la relazione finale ma una relazione sui progressi, e poi la relazione finale entro un mese dalla gestione definitiva dell’incidente.
È la situazione tipica delle compromissioni estese, dove il ripristino richiede settimane e l’indagine interna prosegue. Il punto da tenere presente è che l’obbligo non si esaurisce con la prima comunicazione: finché l’incidente è aperto, il rapporto con il CSIRT Italia è periodico, e ogni relazione entra a far parte della documentazione su cui sarà valutata la condotta dell’organizzazione.
7. Che cosa si rischia se non si notifica
La mancata notifica è una violazione autonoma, sanzionata ai sensi dell’art. 38 del d.lgs. 138/2024: per i soggetti essenziali privati la sanzione arriva fino a 10 milioni di euro o al 2 per cento del fatturato annuo mondiale, per quelli importanti fino a 7 milioni o all‘1,4 per cento. Non è quindi un adempimento che si possa rinviare in attesa di capire meglio.
Il rischio, però, non si esaurisce nella sanzione. Un incidente non notificato e poi emerso — perché i dati compaiono online, perché lo segnala un cliente o perché lo rileva l’Autorità — mette l’organizzazione in una posizione peggiore di quella di partenza: alla violazione sostanziale si somma l’omissione, e la buona fede diventa difficile da sostenere. Se poi l’evento integra un reato, il CSIRT Italia orienta il soggetto verso la segnalazione all’autorità competente in materia di sicurezza delle telecomunicazioni.
Va considerato infine il concorso con altri obblighi: se l’incidente ha riguardato dati personali, accanto alla notifica al CSIRT Italia resta la notifica al Garante privacy, con termini e presupposti propri. Sono due procedimenti distinti che viaggiano in parallelo.
8. Prepararsi prima: il piano di gestione degli incidenti
Ventiquattro ore sono poche se nel momento dell’incidente bisogna ancora stabilire chi decide, chi scrive e chi firma. È la ragione per cui fra le misure di sicurezza di base ce n’è una dedicata proprio al piano di gestione degli incidenti, che deve indicare fasi e procedure di gestione e notifica, ruoli, responsabilità e tempi di attivazione, i contatti per la segnalazione e le modalità di comunicazione interna ed esterna.
Il piano non serve a essere conformi sulla carta: serve perché nel momento in cui il sistema è fermo nessuno abbia dubbi su chi chiama il CSIRT Italia, chi raccoglie gli indicatori tecnici, chi valuta se l’incidente è significativo e chi autorizza la comunicazione ai clienti. Le altre misure che compongono l’adeguamento sono nella guida sugli obblighi NIS2 e le misure di sicurezza.
9. Come ti assiste lo Studio
Lo Studio Legale Calzoni assiste imprese, società pubbliche e amministrazioni nella gestione degli incidenti significativi, a partire dalla valutazione che conta di più e che va fatta in poche ore: stabilire se l’evento sia significativo e vada notificato. Redigiamo la pre-notifica, la notifica e la relazione finale, curiamo l’interlocuzione con il CSIRT Italia e coordiniamo la comunicazione ai destinatari dei servizi quando è opportuna.
Quando l’incidente ha toccato dati personali seguiamo in parallelo gli adempimenti verso il Garante, e quando ne derivano contestazioni assistiamo l’organizzazione e gli organi di amministrazione nel procedimento sanzionatorio. A monte, prepariamo il piano di gestione degli incidenti e le procedure interne che permettono di rispettare i termini. Tutti i servizi sono nella pagina dedicata alla consulenza in materia di cybersicurezza.
Domande frequenti
Quando un incidente va notificato ai sensi della NIS2? Quando è significativo: ha causato o è in grado di causare una grave perturbazione dei servizi o perdite finanziarie considerevoli, oppure si è ripercosso su altre persone causando perdite materiali o immateriali considerevoli.
Che differenza c’è tra incidente e quasi incidente? L’incidente compromette disponibilità, autenticità, integrità o riservatezza dei dati; il quasi incidente è l’evento che avrebbe potuto causarlo ma non si è verificato, anche perché efficacemente evitato. Solo il primo, se significativo, va notificato.
Entro quanto tempo va notificato un incidente NIS2? Pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese dalla notifica. I termini decorrono da quando il soggetto viene a conoscenza dell’incidente, non da quando l’incidente si verifica.
A chi si notifica l’incidente? Al CSIRT Italia, attraverso il referente CSIRT designato dal soggetto. È una figura diversa dal punto di contatto e, a differenza di quest’ultimo, può essere esternalizzata.
Che cosa succede se l’incidente è ancora in corso dopo un mese? Al posto della relazione finale si trasmette una relazione sui progressi, e la relazione finale va inviata entro un mese dalla gestione definitiva dell’incidente.
Bisogna informare i clienti dell’incidente? È una facoltà, non un obbligo generalizzato: il soggetto può informare i destinatari dei servizi degli incidenti che possono ripercuotersi sulla fornitura, dopo aver consultato il CSIRT Italia.
Che cosa si rischia se non si notifica? Le sanzioni dell’art. 38 del d.lgs. 138/2024, fino a 10 milioni di euro o al 2 per cento del fatturato per i soggetti essenziali. A questo si aggiunge l’aggravamento della posizione se l’incidente emerge per altra via.
I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.