InfraFenceInfraFence

Live Security Operations

Inizia

NIS2 e GDPR: lo stesso incidente notificato a CSIRT Italia e Garante

Ultimo aggiornamento:

Un ransomware su un server che contiene i dati dei clienti, per la legge, è due problemi insieme. Per la NIS2 può essere un incidente significativo, da notificare al CSIRT Italia. Per il GDPR è una violazione dei dati personali, da notificare al Garante per la protezione dei dati personali. Due norme, due autorità, due orologi.

Questa pagina mette a confronto i due obblighi, spiega quando lo stesso incidente li fa scattare entrambi e chiude con una checklist pratica.

Bozza: non è consulenza legale. Riassume il D.Lgs. 138/2024, la direttiva (UE) 2022/2555 (NIS2) e il regolamento (UE) 2016/679 (GDPR) a scopo informativo, aggiornata a novembre 2026. Per i tuoi obblighi fai riferimento ai testi ufficiali, all'ACN, al Garante e al tuo consulente o DPO.

I due obblighi a confronto

NIS2 (art. 25 D.Lgs. 138/2024)GDPR (articoli 33 e 34)
Cosa lo fa scattareUn incidente significativo: grave perturbazione operativa o perdite finanziarie per te, o perdite considerevoli per altri. Qualsiasi dato, qualsiasi servizio.Una violazione dei dati personali: una violazione di sicurezza che comporta distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali (art. 4, punto 12).
Chi deve notificareIl soggetto essenziale o importante.Il titolare del trattamento. Il responsabile del trattamento informa il titolare senza ingiustificato ritardo (art. 33, par. 2).
Chi la riceveIl CSIRT Italia.L'autorità di controllo competente, in Italia il Garante; per i trattamenti transfrontalieri, l'autorità capofila (articoli 55 e 56).
TerminiPre-notifica entro 24 ore dalla conoscenza, notifica entro 72 ore, relazione finale entro un mese dalla notifica.Senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza. Oltre, con i motivi del ritardo. Le informazioni si possono fornire in più fasi (art. 33, par. 4).
Quando non serveQuando l'incidente non è significativo.Quando è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Va comunque documentata (art. 33, par. 5).
Chi altro avvisareSe opportuno, sentito il CSIRT Italia, i destinatari dei tuoi servizi colpiti dall'incidente.Gli interessati, senza ingiustificato ritardo, quando il rischio per loro è elevato (art. 34).

Le 72 ore delle due norme sembrano le stesse, ma non sempre partono insieme: la NIS2 conta da quando vieni a conoscenza di un incidente significativo, il GDPR da quando vieni a conoscenza di una violazione dei dati personali. La seconda può emergere più tardi, quando l'analisi mostra che l'attaccante è arrivato a un database.

Quando lo stesso incidente li fa scattare entrambi

Le due valutazioni sono separate, e ciascuna può dare sì o no. Alcuni casi tipici, per un soggetto NIS2:

CasoNIS2GDPR
Un ransomware cifra il server con il database clienti, e i dati sono stati copiati fuoriProbabilmente significativo: grave perturbazione e danni ad altri.Violazione dei dati personali (riservatezza e disponibilità); notifica probabile.
Un ransomware cifra un server con dati personali, ripristinato dal backup in poche ore, nessun segno di esfiltrazioneDipende dalla perturbazione.È comunque una violazione (di disponibilità) da documentare; se notificarla dipende dal rischio, vedi le linee guida EDPB.
Un DDoS ferma il negozio online per un giorno, senza accesso ai datiPuò essere significativo, secondo la perturbazione.Di solito nessuna notifica: nessun dato letto o perso, anche se una perdita di disponibilità dei dati personali può essere una violazione.
Qualcuno entra nella casella email di un dipendente con una password rubataDipende dall'impatto sui tuoi servizi.Violazione dei dati personali se la casella contiene dati personali, cosa che di solito accade.
Brute force SSH bloccato dal firewallDi per sé non è un incidente: al massimo un quasi incidente.Nessuna violazione: non è stato letto nulla.

Le linee guida EDPB 9/2022 spiegano, con esempi, come valutare il rischio di una violazione, anche nei casi di ransomware e di perdita di disponibilità.

La direttiva collega i due sistemi: se l'autorità NIS2 rileva che una violazione degli obblighi può comportare una violazione dei dati personali, informa l'autorità di controllo; e se questa sanziona la condotta in base al GDPR, l'autorità NIS2 non la sanziona di nuovo (art. 35 della direttiva). Questo non sostituisce la tua notifica né all'una né all'altra. Il considerando 106 invita gli Stati a offrire un punto di accesso unico per entrambe le notifiche; a novembre 2025 la Commissione ha proposto un punto di accesso unico europeo e, per il GDPR, la notifica solo delle violazioni ad alto rischio entro 96 ore (proposta Digital Omnibus, COM(2025) 837). A novembre 2026 è ancora una proposta: valgono le regole di questa pagina.

Dove vanno le due notifiche

Se la violazione riguarda trattamenti in altri Paesi, l'EDPB tiene l'elenco di tutte le autorità nazionali di protezione dei dati.

Checklist: un incidente, due notifiche

  1. Contieni e conserva: isola ciò che è compromesso, conserva log e copie prima di ripulire e apri un registro dell'incidente con gli orari in UTC.
  2. Annota quando ne sei venuto a conoscenza, separatamente per l'incidente significativo e per la violazione dei dati personali: sono i due orologi.
  3. Prendi due decisioni, per iscritto: è un incidente significativo (NIS2)? È una violazione dei dati personali, e con quale rischio per le persone (GDPR)? Annota chi ha deciso e perché.
  4. Una sola base di fatti, due notifiche: la stessa cronologia alimenta entrambe, così CSIRT Italia e Garante non ricevono versioni che si contraddicono.
  5. Entro 24 ore: la pre-notifica al CSIRT Italia, se l'incidente è significativo.
  6. Entro 72 ore: la notifica NIS2 e, se c'è un rischio per le persone, la notifica al Garante, coinvolgendo il DPO. Se sul GDPR sei in ritardo, spiega perché.
  7. Avvisa le persone interessate quando il rischio è elevato (art. 34 GDPR) e, se opportuno, i destinatari dei tuoi servizi (NIS2).
  8. Se sei responsabile del trattamento (per esempio un'agenzia che ospita il sito di un cliente), avvisa il titolare senza ingiustificato ritardo: la notifica tocca a lui.
  9. Entro un mese dalla notifica NIS2: la relazione finale, con causa originale e misure.
  10. Registra la violazione nel tuo registro anche se non l'hai notificata (art. 33, par. 5, GDPR) e rivedi cosa cambiare.

Dove ti aiuta InfraFence, e dove no

In Compliance (piani Pro e AutoMode), InfraFence prepara dalla cronologia dei tuoi server sia le bozze NIS2 (pre-notifica, notifica, relazione finale) sia una valutazione della violazione ai sensi dell'art. 33 GDPR. La bozza GDPR valuta se i dati personali sono stati o possono essere stati coinvolti, con gli elementi a favore e contro, stima il rischio e se sembrano necessarie la notifica al Garante e la comunicazione agli interessati, e prepara i contenuti dell'art. 33, par. 3, e la documentazione dell'art. 33, par. 5.

I fatti vengono dalla stessa cronologia per tutte le bozze: attacchi, ban, accessi SSH, file modificati, malware trovato e azioni svolte. Ciò che l'agente non può sapere, come quali dati personali trattano le tue applicazioni, quante persone sono coinvolte e chi è il tuo DPO, resta come segnaposto da completare. Le bozze hanno le versioni e si scaricano in Markdown o si stampano in PDF. Per scriverle, la cronologia e le tue note vengono inviate a un fornitore esterno di generazione di testo, e la pagina te lo dice. Vedi Report mensili e NIS2.

Non decide se c'è una violazione o un incidente significativo e non invia nulla né al CSIRT Italia né al Garante. Le bozze non sono consulenza legale.

Fonti

Domande

Se notifico al CSIRT Italia, devo notificare anche al Garante?
Sì, se l'incidente è anche una violazione dei dati personali con un rischio per le persone. Sono obblighi separati. L'autorità NIS2 può informare il Garante, ma questo non sostituisce la tua notifica.
Le 72 ore sono le stesse nelle due norme?
La durata è la stessa, ma ciascun termine parte da quando vieni a conoscenza di ciò che quella norma riguarda: l'incidente significativo per la NIS2, la violazione dei dati personali per il GDPR. Il GDPR ammette una notifica tardiva con i motivi del ritardo; la NIS2 prevede prima la pre-notifica entro 24 ore.
Il GDPR si applica anche se la mia azienda non è un soggetto NIS2?
Sì. Il GDPR si applica a chi tratta dati personali nell'ambito di uno stabilimento nell'UE e a chi, da fuori, offre beni o servizi a persone nell'UE, qualunque siano dimensioni e settore.
Ospito i siti dei miei clienti. Chi notifica?
Per il GDPR il titolare del trattamento, di solito il tuo cliente; tu, come responsabile, lo avvisi senza ingiustificato ritardo. Per la NIS2 dipende da chi tra te e il cliente è un soggetto NIS2.
I termini cambieranno?
La proposta Digital Omnibus della Commissione, di novembre 2025, porterebbe la notifica GDPR a 96 ore, solo per le violazioni ad alto rischio, tramite un punto di accesso unico europeo. A novembre 2026 è una proposta, non una legge.

Provalo gratis su 1 server

Starter protegge completamente un server, gratis e senza carta di credito.

  1. 01

    Crea un account gratuito, poi apri Server › Aggiungi server per ottenere il token di installazione. È valido per un'ora.

    Crea il token
  2. 02

    Poi esegui questo comando come root sul server:

    curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>
Crea un account gratuitoLeggi la documentazione