Pre-notifica NIS2 entro 24 ore: cosa inviare al CSIRT Italia

L'art. 25 del D.Lgs. 138/2024, che recepisce l'art. 23 della direttiva (UE) 2022/2555, chiede ai soggetti essenziali e importanti di notificare al CSIRT Italia ogni incidente significativo, senza ingiustificato ritardo e in più fasi (comma 5):

Due dettagli cambiano il modo di lavorare. Il termine decorre da quando vieni a conoscenza dell'incidente significativo, non da quando è iniziato l'attacco. E le 24 ore sono un tetto massimo: la regola è "senza ingiustificato ritardo". Entro 24 ore dalla pre-notifica, ove possibile, il CSIRT Italia risponde con un primo riscontro e, se lo chiedi, con indicazioni sulle misure di mitigazione (comma 7). Per i prestatori di servizi fiduciari anche la notifica va fatta entro 24 ore (comma 6).

Per il comma 4 dell'art. 25 un incidente è significativo se:

• ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto; oppure
• ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche, causando perdite materiali o immateriali considerevoli.

L'ACN ha tradotto questa definizione in casi concreti, gli "incidenti significativi di base", con la determinazione 379907/2025, che si applica dal 15 gennaio 2026 e sostituisce la determinazione 164179/2025 (pagina ACN sulle specifiche di base):

Le definizioni complete sono negli allegati 3 (soggetti importanti) e 4 (soggetti essenziali). L'obbligo di notificare questi incidenti scatta nove mesi dopo la ricezione della comunicazione di inserimento nell'elenco dei soggetti NIS (art. 3, comma 2, della determinazione): le FAQ dell'ACN spiegano come si calcola.

Per alcuni fornitori digitali (DNS, registri TLD, cloud, data center, CDN, fornitori di servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca, social network e servizi fiduciari) vale anche il Regolamento di esecuzione (UE) 2024/2690, direttamente applicabile: per esempio, una perdita finanziaria diretta oltre 500.000 euro o il 5% del fatturato annuo, se inferiore (art. 3), o un servizio gestito del tutto indisponibile per più di 30 minuti (art. 10).

In ogni caso, decidere se un incidente è significativo spetta a te. E un attacco bloccato non è automaticamente un incidente: la direttiva chiama "quasi incidente" un evento che è stato evitato (art. 6), e lo puoi segnalare su base volontaria.

La legge chiede poco: se l'incidente sembra il risultato di atti illegittimi o malevoli e se può avere un impatto in altri Paesi. In pratica, perché il CSIRT Italia possa aiutarti, una pre-notifica utile contiene:

1. Chi sei: il soggetto, il settore e un referente raggiungibile a qualsiasi ora.
2. Quando: data e ora del rilevamento e della presa di conoscenza, in UTC o con il fuso orario.
3. Cosa hai visto finora: poche righe di fatti, come accessi anomali a un server, file cifrati, un servizio fermo, dati inviati a un indirizzo sconosciuto.
4. Causa sospetta: se sospetti atti illegittimi o malevoli, e perché.
5. Impatto transfrontaliero: se servizi, clienti o sistemi in altri Stati membri possono essere coinvolti.
6. Misure già prese: isolamento, cambio di password e chiavi, indirizzi bloccati, ripristino da backup.
7. Prossimi passi, e se chiedi orientamenti o supporto tecnico al CSIRT Italia.

Prima la tempestività, poi la completezza: scrivi quello che sai, indica cosa non sai ancora e completa con la notifica entro 72 ore. Una pre-notifica che arriva tardi perché cercava di essere perfetta non serve allo scopo.

In Italia tutte le notifiche obbligatorie vanno al CSIRT Italia, istituito presso l'Agenzia per la cybersicurezza nazionale (ACN), secondo le modalità indicate dall'ACN sul portale NIS. Se l'incidente può avere natura criminale, il CSIRT Italia ti orienta anche sulla segnalazione all'organo centrale del Ministero dell'interno per la sicurezza e per la regolarità dei servizi di telecomunicazione (art. 25, comma 8).

Se operi anche in altri Stati membri, ognuno applica la NIS2 con la propria legge, i propri moduli e talvolta fasi diverse: la Commissione europea tiene una pagina per Paese con i riferimenti nazionali. Di regola sei soggetto alla legge del Paese in cui sei stabilito; fornitori di servizi gestiti, cloud, data center e alcuni altri fornitori digitali rientrano in quella del Paese del loro stabilimento principale nell'Unione (art. 26 della direttiva).

Le 24 ore sono poche solo se te ne accorgi tardi, o se devi ricostruire a mano cosa è successo. Quello che rende la scadenza realistica va preparato prima dell'incidente:

• Avvisi che arrivano a una persona: gli eventi critici finiscono su un canale che qualcuno legge, anche di notte e nel fine settimana, non in una casella che nessuno apre.
• Una sola cronologia: gli eventi di tutti i server in un unico posto, con orari, indirizzi di origine, accessi e azioni svolte. Così le prime righe della pre-notifica si leggono, non si raccolgono dai log.
• Chi decide, deciso prima: chi valuta se l'incidente è significativo e chi firma e invia la notifica.
• Il canale verso l'ACN pronto: registrazione sul portale ACN completata, accessi provati, contatti del CSIRT Italia a portata di mano.
• I fornitori nel giro: se un fornitore gestisce i tuoi server, il contratto dice in quanto tempo ti avvisa. Il suo ritardo fa parte delle tue 24 ore.

InfraFence copre i server Linux su cui gira il suo agente:

• Avvisi: via email in tutti i piani; Slack, Discord, Telegram e webhook firmati dal piano Basic, con gravità minima e categorie per canale. Vedi Avvisi.
• La cronologia: attacchi, ban, accessi SSH, file modificati, malware trovato e ogni azione svolta da una persona o da AutoMode, con approvazioni e annullamenti. Vedi Eventi e attività.
• Bozze delle notifiche: in Compliance (piani Pro e AutoMode) prepari la bozza di pre-notifica, notifica e relazione finale NIS2 partendo da un incidente degli ultimi 7 giorni o da un intervallo fino a 31 giorni, con le tue note e nella lingua che scegli. La bozza tiene distinti i tentativi bloccati da una compromissione accertata e lascia come segnaposto da completare ciò che non può sapere, come i dati dell'azienda e l'impatto sul business. Le bozze hanno le versioni e si scaricano in Markdown o si stampano in PDF. Vedi Report mensili e NIS2.

Le bozze seguono la struttura dell'art. 25, non un modulo dell'ACN: copia il testo nei campi richiesti. Per scrivere la bozza, la cronologia e le tue note vengono inviate a un fornitore esterno di generazione di testo, e la pagina te lo dice prima di iniziare.

Cosa non fa: non decide se un incidente è significativo, non invia nulla all'ACN né al CSIRT Italia e vede solo i server su cui gira l'agente. Lo storico degli eventi è di 30 giorni su Starter e di 90 giorni sui piani a pagamento. Le bozze non sono consulenza legale e da sole non ti rendono conforme. Se sono coinvolti dati personali, leggi anche NIS2 e GDPR.

• D.Lgs. 4 settembre 2024, n. 138, su Normattiva: art. 25.
• Determinazione ACN 379907/2025 e i suoi allegato 3 e allegato 4.
• ACN, FAQ su misure di sicurezza e notifica di incidenti e portale NIS.
• Direttiva (UE) 2022/2555 (NIS2), su EUR-Lex: articoli 6, 23, 26 e 30.
• Regolamento di esecuzione (UE) 2024/2690, su EUR-Lex: articoli 3, 4 e 10.
• Commissione europea, il recepimento della NIS2 nei Paesi UE.