NIS2 art. 23: notifica degli incidenti significativi, dal preallarme a 24 ore alla relazione finale

Chi notifica, a chi e che cosa

L'art. 23(1) della direttiva NIS2 chiede ai soggetti essenziali e importanti di notificare senza indebito ritardo al CSIRT, o dove previsto all'autorità competente, ogni incidente che ha un impatto significativo sulla fornitura dei loro servizi. In Italia le notifiche sono indirizzate al CSIRT Italia, istituito presso l'Agenzia per la Cybersicurezza Nazionale.

Ove opportuno, il soggetto informa anche i destinatari dei propri servizi degli incidenti significativi che possono pregiudicare la fornitura di tali servizi. In caso di minaccia informatica significativa, l'art. 23(2) chiede di comunicare ai destinatari potenzialmente interessati le misure che possono adottare in risposta.

La direttiva precisa che il solo fatto di notificare non espone il soggetto a una maggiore responsabilità.

Quando un incidente è significativo: art. 23(3)

L'art. 23(3) considera significativo un incidente che:

• ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato;
• si è ripercosso o è in grado di ripercuotersi su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.

Come leggere i criteri

Entrambi i criteri comprendono l'impatto potenziale ("è in grado di"): un incidente può essere significativo anche se il danno non si è ancora prodotto. La direttiva consente alla Commissione di specificare ulteriormente i casi con atti di esecuzione, e le autorità nazionali possono fornire indicazioni proprie: i criteri interni di classificazione vanno allineati alla versione vigente di questi documenti.

Un criterio interno utilizzabile traduce "grave" e "considerevole" in soglie misurabili per l'organizzazione: durata dell'indisponibilità di un servizio, numero di utenti coinvolti, dati compromessi, perdita economica stimata.

Le comunicazioni previste dall'art. 23(4)

Da quando decorrono i termini

• Preallarme e notifica decorrono dal momento in cui il soggetto viene a conoscenza dell'incidente significativo. Conviene registrare data, ora e autore della decisione di significatività.
• Il termine di un mese per la relazione finale decorre dalla notifica dell'incidente (72 ore), non dall'incidente stesso.
• Il CSIRT risponde senza indebito ritardo e, ove possibile, entro 24 ore dal preallarme, con un riscontro iniziale e, su richiesta, orientamenti o consulenza operativa (art. 23(5)).

Obblighi paralleli da coordinare

• GDPR art. 33: se l'incidente comporta una violazione di dati personali, il titolare notifica l'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore. È una notifica distinta, con destinatario e contenuto propri.
• DORA: le entità finanziarie segnalano gli incidenti gravi connessi alle TIC secondo l'art. 19 del regolamento DORA, che per questi aspetti prevale come normativa settoriale.
• Contratti: clienti e partner possono avere diritto a una comunicazione entro termini contrattuali propri, spesso più brevi.

Checklist: preparare il processo

• Criteri di significatività scritti, con soglie misurabili, approvati e allineati alle indicazioni nazionali vigenti.
• Ruoli definiti: chi classifica, chi decide la significatività, chi firma e invia ciascuna comunicazione, con sostituti.
• Accesso al canale di notifica verificato in anticipo, con credenziali disponibili a più di una persona.
• Modelli pronti per preallarme, notifica e relazione finale, con i campi richiesti dall'art. 23(4).
• Registro degli incidenti con orari di rilevazione, conoscenza, decisione e invio di ciascuna comunicazione.
• Raccordo con il responsabile della protezione dei dati per le violazioni di dati personali.
• Elenco dei destinatari dei servizi da informare e modelli di comunicazione per loro.
• Esercitazione almeno annuale che misuri i tempi effettivi rispetto a 24 ore, 72 ore e un mese.
• Verifica dei termini di notifica previsti nei contratti con i fornitori critici, perché la conoscenza di un incidente può arrivare da loro.

In EVIDEVO

In Incidenti e notifiche ogni incidente registra la classificazione, la decisione sulla significatività con data e autore e le scadenze di preallarme, notifica e relazione finale calcolate da quel momento. Le violazioni di dati personali seguono nello stesso registro il conteggio delle 72 ore previsto dall'art. 33 del GDPR.