Notifica incidenti NIS2: 24, 72 ore e 1 mese

La direttiva NIS2 introduce obblighi stringenti di notifica degli incidenti significativi a carico dei soggetti essenziali e importanti. Le tempistiche sono serrate — preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese — e conoscerle in anticipo è l'unico modo per rispettarle quando il cronometro è già partito.

Questa guida spiega che cos'è la notifica degli incidenti secondo NIS2, chi è obbligato, quali incidenti vanno comunicati, le tre scadenze e a chi va inviata la notifica in Italia.

Che cos'è la notifica degli incidenti NIS2

NIS2 è la Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138. Tra i suoi pilastri c'è un obbligo armonizzato di notifica degli incidenti significativi alle autorità competenti, secondo un processo strutturato in più fasi.

L'obiettivo è duplice: permettere all'autorità di avere visibilità tempestiva sugli incidenti che colpiscono servizi critici e favorire una risposta coordinata, anche tramite l'eventuale allertamento di altri soggetti potenzialmente coinvolti. Rispetto alla precedente direttiva NIS, NIS2 amplia la platea dei soggetti obbligati, uniforma i criteri di significatività e scandisce con precisione le scadenze della notifica.

Chi è obbligato a notificare

NIS2 e il D.Lgs. 138/2024 distinguono due categorie di soggetti tenuti agli obblighi, inclusa la notifica degli incidenti:

• Soggetti essenziali — organizzazioni di maggiore criticità o dimensione che operano in settori ad alta criticità (energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua, infrastrutture digitali, pubblica amministrazione, e altri).
• Soggetti importanti — organizzazioni che ricadono nell'ambito della direttiva ma con un profilo di criticità o dimensione inferiore rispetto ai soggetti essenziali.

La classificazione determina principalmente l'intensità della vigilanza e il regime sanzionatorio, ma gli obblighi di notifica degli incidenti significativi si applicano a entrambe le categorie. In Italia l'ambito di applicazione e l'inclusione dei singoli soggetti sono gestiti attraverso il processo di registrazione presso l'ACN previsto dal decreto di recepimento.

Quali incidenti vanno notificati

Vanno notificati gli incidenti significativi, ossia quelli con un impatto rilevante sulla fornitura dei servizi. NIS2 considera significativo un incidente quando, in particolare:

• ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato; oppure
• si è ripercosso o è in grado di ripercuotersi su altre persone fisiche o giuridiche causando danni materiali o immateriali considerevoli.

La direttiva e gli atti attuativi armonizzano i criteri per qualificare la significatività, così da rendere uniforme la soglia di notifica tra i diversi soggetti e Stati membri. Restano da gestire internamente la classificazione e la valutazione di gravità dell'evento: è da quella valutazione che parte il conteggio delle ore.

Le tempistiche: 24, 72 ore e 1 mese

NIS2 prevede una notifica in più fasi, ciascuna con una scadenza precisa che decorre dal momento in cui il soggetto viene a conoscenza dell'incidente significativo.

1. Preallarme — entro 24 ore

Un early warning (preallarme) entro 24 ore, con le prime informazioni essenziali. In questa fase si indica, ove possibile, se l'incidente è sospettato di derivare da atti illegittimi o malevoli o se può avere un impatto transfrontaliero. Non serve un'analisi completa: serve allertare rapidamente.

2. Notifica dell'incidente — entro 72 ore

Entro 72 ore, una notifica più completa che aggiorna le informazioni del preallarme e fornisce una valutazione iniziale dell'incidente, inclusi la gravità, l'impatto e, ove disponibili, gli indicatori di compromissione.

3. Relazione finale — entro un mese

Entro un mese dalla notifica, una relazione finale con una descrizione dettagliata dell'incidente, la sua gravità e i suoi effetti, il tipo di minaccia o causa che lo ha probabilmente innescato e le misure di mitigazione adottate e in corso. Se al termine del mese l'incidente è ancora in corso, è prevista una relazione sui progressi e una relazione finale entro un mese dalla sua gestione conclusiva.

A chi si invia la notifica (ACN / CSIRT Italia)

In Italia l'autorità nazionale competente in materia di cybersicurezza e di attuazione della NIS2 è l'ACN — Agenzia per la Cybersicurezza Nazionale. Le notifiche degli incidenti significativi sono gestite attraverso il CSIRT Italia (Computer Security Incident Response Team), incardinato presso l'ACN, che è il punto di riferimento operativo per il ricevimento delle comunicazioni e per il supporto nella risposta.

In pratica, i soggetti essenziali e importanti trasmettono preallarme, notifica e relazione finale tramite i canali e le piattaforme messi a disposizione dall'ACN/CSIRT Italia, secondo le modalità definite dall'Agenzia. Per questo è fondamentale avere, prima dell'incidente, ruoli e contatti già definiti e l'accesso alle credenziali e alle procedure di trasmissione.

Perché le tempistiche sono difficili

Il vincolo delle 24 ore mette sotto pressione l'organizzazione: servono ruoli chiari, procedure pronte e accesso immediato alle informazioni rilevanti. Quando documentazione, contatti ed evidenze sono dispersi tra fogli di calcolo, cartelle e caselle e-mail, anche solo raccogliere i dati per il preallarme diventa complicato — e il conteggio delle ore non si ferma.

Domande frequenti

Da quando decorrono le 24 e le 72 ore?

I termini decorrono dal momento in cui il soggetto viene a conoscenza dell'incidente significativo, non dall'inizio dell'evento. Per questo sono cruciali capacità di rilevamento e una valutazione di significatività rapida e documentata.

Le 72 ore sostituiscono il preallarme delle 24 ore?

No. Sono due fasi distinte e successive: prima il preallarme entro 24 ore con le informazioni essenziali, poi la notifica entro 72 ore con la valutazione iniziale. La relazione finale entro un mese chiude il processo.

A chi vanno inviate le notifiche in Italia?

All'ACN, attraverso il CSIRT Italia, utilizzando i canali e le piattaforme indicati dall'Agenzia. Conviene predisporre in anticipo accessi, contatti e modelli di comunicazione.

Qual è la differenza tra soggetti essenziali e importanti per la notifica?

Entrambe le categorie sono soggette agli obblighi di notifica degli incidenti significativi. La distinzione incide soprattutto sull'intensità della vigilanza e sul regime sanzionatorio, non sull'esistenza dell'obbligo di notifica.

Come prepararsi alla notifica degli incidenti NIS2

La preparazione è tutto: procedure di gestione degli incidenti definite, un registro aggiornato di asset e responsabilità, contatti verso ACN/CSIRT Italia pronti e documentazione immediatamente consultabile. Consolidare policy, contatti, criteri di significatività ed evidenze in un'unica base di conoscenza verificabile — invece di ricostruirli a mano mentre il cronometro corre — è esattamente il tipo di lavoro che la piattaforma SinergIA automatizza: agenti AI che consultano le fonti, verificano le evidenze e aiutano a comporre le comunicazioni nelle tre fasi, con risposte tracciabili fino al documento e alla riga di origine.

Il cuore di questo approccio è il RAG privato: la conoscenza resta nella tua knowledge base isolata, conforme al GDPR e con dati trattati in UE, e ogni risposta cita la fonte esatta. Per i team Sicurezza e Compliance significa passare dall'improvvisazione sotto pressione al presidio continuo, con preallarme, notifica e relazione finale supportati da evidenze già pronte.

Approfondisci la direttiva NIS2.

Per il quadro d'insieme sull'AI agentica applicata alla compliance bancaria, vedi Cos'è l'AI agentica.

---

Questa guida ha scopo informativo e non costituisce consulenza legale. Per l'applicazione degli obblighi di notifica alla tua organizzazione, fai riferimento al testo ufficiale della Direttiva (UE) 2022/2555, al D.Lgs. 138/2024 e alle indicazioni dell'ACN e del CSIRT Italia.