Incidente NIS2: cosa va fatto entro 24 ore, 72 ore e un mese, e chi lo fa?

Quando un’azienda nel perimetro NIS2 ha evidenza di un incidente significativo, i termini sono fissati dal decreto NIS: una pre-notifica al CSIRT Italia entro 24 ore, una notifica con la valutazione iniziale entro 72 ore, una relazione finale entro un mese dalla notifica. Il cronometro non parte quando inizia l’incidente, ma quando ve ne accorgete. E chi rileva, chi decide e chi notifica va stabilito prima, in un piano approvato dai vertici.

Dopo «siamo dentro?», la domanda pratica per chi è nel perimetro NIS2 è «e se succede qualcosa, cosa dobbiamo fare?». La risposta sta in pochi articoli del D.Lgs. 138/2024 e nelle indicazioni dell’Agenzia per la Cybersicurezza Nazionale (ACN), ma i dettagli contano: da quando si contano le ore, da quale atto si conta il mese, chi firma e chi risponde. Questa guida li mette in fila, nello stesso ordine del video.

Quale incidente va notificato

Non ogni allarme è un incidente da notificare. L’obbligo riguarda l’incidente significativo, che l’art. 25, comma 4, del decreto NIS definisce così: un incidente che ha causato, o è in grado di causare, una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto; oppure che ha avuto, o può avere, ripercussioni su altre persone fisiche o giuridiche, con perdite materiali o immateriali considerevoli. Conta anche l’impatto potenziale, non solo quello già avvenuto.

Per la notifica di base, la determinazione ACN 379907/2025 traduce la definizione in casi concreti, gli incidenti significativi di base degli allegati 3 (soggetti importanti) e 4 (soggetti essenziali). Il soggetto NIS ha evidenza di:

• IS-1 · perdita di riservatezza verso l’esterno di dati digitali di sua proprietà o sotto il suo controllo, anche parziale;
• IS-2 · perdita di integrità di quei dati, con impatto verso l’esterno;
• IS-3 · violazione dei livelli di servizio attesi dei suoi servizi o attività, quelli definiti con la misura DE.CM-01 (per l’ACN riguarda soprattutto la disponibilità);
• IS-4 · solo per i soggetti essenziali: accesso non autorizzato, o con abuso dei privilegi concessi, ai dati digitali di sua proprietà o sotto il suo controllo.

Due conseguenze pratiche. La prima: IS-3 funziona solo se i livelli di servizio attesi sono stati definiti e documentati prima, come chiede la misura DE.CM-01. Senza una soglia scritta, non c’è un modo oggettivo per dire che è stata superata. La seconda: la causa non conta. Per l’ACN rientrano nell’obbligo anche gli incidenti dovuti a eventi naturali, a malfunzionamenti o a errori umani (FAQ ISB.G.2), e per notificare non serve aver già trovato la causa iniziale.

Quando parte il cronometro

Il decreto conta le 24 e le 72 ore «da quando sono venuti a conoscenza dell’incidente significativo». Le Linee guida ACN sul processo di gestione degli incidenti spiegano cosa vuol dire: avere evidenza dell’incidente significa disporre di elementi oggettivi dai quali si evince che si è verificato. L’evidenza arriva di solito dopo l’inizio dell’incidente, e la FAQ ISB.G.4 precisa che basta un’analisi anche sommaria.

Da dove arriva? Le Linee guida indicano tre fonti tipiche: una segnalazione esterna, ad esempio del CSIRT Italia; una segnalazione interna, come un utente che chiama l’help desk per un malfunzionamento; un evento rilevato dai sistemi di monitoraggio.

Qui sta il motivo per cui la rilevazione conta. I termini non si allungano per chi se ne accorge tardi, ma chi se ne accorge presto interviene quando il danno è ancora contenuto, e arriva alla pre-notifica con qualche informazione in più. È un ragionamento operativo, non una regola dell’ACN: la regola chiede di avere strumenti per «rilevare tempestivamente gli incidenti significativi» (DE.CM-01).

24 ore, 72 ore, un mese: le tre scadenze

L’art. 25, comma 5, del decreto fissa la sequenza. Tutte le scadenze sono un limite massimo: la legge chiede di agire «senza ingiustificato ritardo, e comunque entro» i termini indicati.

Quando	Cosa si trasmette al CSIRT Italia	Contenuto minimo
Entro 24 ore dall’evidenza	Pre-notifica	Ove possibile: se l’incidente sembra il risultato di atti illegittimi o malevoli, o se può avere impatto transfrontaliero
Entro 72 ore dall’evidenza	Notifica	Aggiornamento della pre-notifica e valutazione iniziale, con gravità e impatto; ove disponibili, gli indicatori di compromissione
Su richiesta del CSIRT Italia	Relazione intermedia	Gli aggiornamenti pertinenti sulla situazione
Entro un mese dalla notifica	Relazione finale	Descrizione dettagliata con gravità e impatto; tipo di minaccia o causa originale probabile; misure di attenuazione adottate e in corso; impatto transfrontaliero, se noto
Se l’incidente è ancora in corso	Relazione mensile sui progressi	Poi la relazione finale entro un mese dalla conclusione della gestione dell’incidente

Tre dettagli che si sbagliano spesso:

• Le 72 ore non partono dalla pre-notifica. Anche loro si contano dall’evidenza dell’incidente: lo dice il decreto e lo ripetono le Linee guida ACN («entro 72 ore dall’evidenza dell’incidente»).
• Il mese non è “30 giorni dall’incidente”. La relazione finale va trasmessa entro un mese dalla trasmissione della notifica delle 72 ore.
• La pre-notifica si fa con quello che si sa. Le Linee guida ammettono che nelle prime ore non tutte le informazioni sono disponibili: si trasmette la pre-notifica con quelle effettivamente in mano, poi si indaga e si completa con la notifica.

Notificare, inoltre, non peggiora la posizione dell’azienda: per l’art. 25, comma 3, la notifica non espone a una responsabilità maggiore di quella che deriva dall’incidente. E il CSIRT Italia risponde con un riscontro iniziale e, su richiesta, con orientamenti sulle misure di mitigazione, ove possibile entro 24 ore dalla pre-notifica (art. 25, comma 7).

Da quando l’obbligo vale per la vostra azienda

Non esiste un’unica data nazionale. Il termine dipende da quando l’azienda è entrata nell’elenco dei soggetti NIS:

• in elenco dal 2025: l’obbligo di notifica degli incidenti significativi di base scatta nove mesi dopo la ricezione della comunicazione di inserimento (D.Lgs. 138/2024, art. 42, comma 1, lettera c; determinazione ACN 379907/2025, art. 3, comma 2). La data giusta, quindi, si calcola dalla propria comunicazione;
• inseriti per la prima volta nel 2026: secondo l’ACN la notifica decorre dal 1° gennaio 2027 (FAQ ISB.G.3 e Vademecum NIS di settembre 2026).

Chi rileva, chi decide, chi notifica

Alle tre di notte non è il momento di scoprire chi deve fare cosa. Le misure di base chiedono di deciderlo prima, per iscritto.

• Chi rileva: il monitoraggio. La misura DE.CM-01 chiede strumenti tecnici presenti, aggiornati e configurati per rilevare tempestivamente gli incidenti significativi, almeno sui sistemi rilevanti, e livelli di servizio attesi definiti e documentati. Per i soggetti essenziali si aggiungono il monitoraggio di accessi remoti, apparati perimetrali ed eventi amministrativi, e parametri per riconoscere gli accessi non autorizzati.
• Chi decide: chi è indicato nel piano. La misura RS.MA-01 chiede un piano per la gestione degli incidenti e la notifica al CSIRT Italia, con fasi, procedure, ruoli e responsabilità. Le Linee guida ACN precisano che alcune decisioni vanno oltre le competenze di chi notifica e, nei casi più rilevanti, spettano agli organi di amministrazione e direttivi. Uno strumento utile per assegnare i ruoli è una matrice RACI.
• Chi notifica: il referente CSIRT. Lo designa il punto di contatto del soggetto NIS per dialogare con il CSIRT Italia ed effettuare le notifiche. Per l’ACN è una delega operativa, non una delega di responsabilità: per l’art. 23 del decreto, i responsabili restano gli organi di amministrazione e direttivi, che vanno informati degli incidenti e delle notifiche.

Il piano, a sua volta, deve essere approvato dagli organi di amministrazione e direttivi e riesaminato almeno ogni due anni, oltre che dopo un incidente significativo (RS.MA-01). Deve contenere anche le procedure per le relazioni intermedia, finale e mensili, i contatti per le segnalazioni, le regole di comunicazione interna ed esterna e la reportistica.

SOC esterno: cosa fa e cosa resta a voi

Affidare il monitoraggio a un fornitore non sposta l’obbligo. La FAQ ISB.F.1 dell’ACN è esplicita: se un fornitore eroga servizi gestiti di sicurezza, come un Security Operations Center, l’incidente sui sistemi del cliente deve essere notificato dal cliente. Il cliente deve inoltre assicurarsi che il fornitore gli segnali tempestivamente gli eventi di sicurezza che toccano i suoi servizi. In pratica, il contratto con il SOC e il piano di gestione degli incidenti devono parlarsi: chi avvisa chi, con quale canale, entro quanto.

Il caso ITCARMAT: cosa fa il nostro SOC, e cosa resta a voi

ITCARMAT dispone di un SOC proprietario, Smart Care · NOC, dove tecnici specializzati monitorano server, rete, apparati e servizi critici 24 ore su 24, 7 giorni su 7, per rilevare tempestivamente gli incidenti, come chiedono le misure di base NIS2. Il servizio include incident response personalizzata e SLA certificati, con processi UNI EN ISO 9001:2015, e lavora a supporto del rilevamento e delle notifiche entro 24 e 72 ore previste dal D.Lgs. 138/2024. ITCARMAT è certificata ISO/IEC 27001:2022.

Quello che resta a voi, per legge: la decisione e la notifica al CSIRT Italia, tramite il vostro referente CSIRT, e la responsabilità dei vertici. Su questa parte possiamo aiutarvi a prepararvi: affianchiamo le aziende nell’adeguamento con assessment, gap analysis, misure di sicurezza, governance e gestione degli incidenti. Maggiori dettagli sulla pagina del SOC · Smart Care.

Una precisazione utile: le misure di base chiedono di rilevare tempestivamente, non impongono un SOC attivo 24 ore su 24. Come arrivarci (strumenti interni, un servizio gestito o una combinazione) dipende dalla vostra realtà e dal vostro livello di rischio.

FAQ — Domande frequenti sulla notifica degli incidenti NIS2

Ogni incidente informatico va notificato al CSIRT Italia?

No. L’obbligo riguarda solo gli incidenti significativi: quelli che causano, o possono causare, una grave perturbazione dei servizi o perdite finanziarie, oppure perdite considerevoli ad altri (art. 25, comma 4). Per la notifica di base l’ACN ha fissato quattro casi negli allegati 3 e 4 della determinazione 379907/2025: tre per tutti, uno in più per i soggetti essenziali.

Le 72 ore si contano dalla pre-notifica?

No. Sia le 24 sia le 72 ore decorrono da quando l’azienda ha evidenza dell’incidente, cioè elementi oggettivi che si è verificato: basta un’analisi anche sommaria (art. 25, comma 5, Linee guida ACN e FAQ ISB.G.4). La relazione finale ha un altro punto di partenza: va trasmessa entro un mese dalla notifica delle 72 ore.

Se l’incidente è un guasto e non un attacco, va notificato lo stesso?

Sì, se è significativo. Per l’ACN la causa non è rilevante: rientrano nell’obbligo anche gli incidenti dovuti a eventi naturali, malfunzionamenti o errori umani (FAQ ISB.G.2). Per notificare non serve neppure aver trovato la causa iniziale: la pre-notifica si trasmette con le informazioni disponibili e si completa con la notifica.

Con un SOC esterno, la notifica la fa il fornitore?

No. Per l’ACN l’obbligo di notifica resta al soggetto NIS cliente, che deve assicurarsi che il fornitore gli segnali tempestivamente gli eventi rilevati (FAQ ISB.F.1). Il referente CSIRT può essere anche esterno, soluzione che l’ACN non considera preferibile, ma resta una delega operativa: la responsabilità è degli organi di amministrazione e direttivi.

Da quando la mia azienda deve notificare gli incidenti?

Dipende dall’anno di inserimento nell’elenco. Chi è in elenco dal 2025 ha nove mesi dalla ricezione della comunicazione di inserimento (art. 42 del decreto, art. 3 della determinazione 379907/2025). Per chi è entrato per la prima volta nel 2026, l’ACN indica il 1° gennaio 2027 (FAQ ISB.G.3, Vademecum NIS). Non esiste una data nazionale unica.

Cosa deve contenere il piano di gestione degli incidenti?

La misura RS.MA-01 chiede almeno: fasi e procedure di gestione e notifica, con ruoli e responsabilità; procedure per le relazioni intermedia, finale e mensili; contatti per le segnalazioni; comunicazione interna ed esterna, anche verso i vertici; reportistica dell’incidente. Il piano va approvato dagli organi di amministrazione e riesaminato almeno ogni due anni.

Pronti per il primo incidente, prima che arrivi?

Un incidente non si programma; il piano sì. Il primo passo è un check-up NIS2 gratuito, senza impegno: analizziamo il vostro livello di esposizione e lo stato di adeguamento alla direttiva, e indichiamo le azioni realmente necessarie, senza sprechi.

Richiedete un Check-up NIS2 — gratuito, senza impegno. E per capire come funziona il monitoraggio continuo, consultate la pagina del SOC · Smart Care.