Incidente significativo in parole semplici

Che cos’è un incidente significativo?

Un incidente significativo (significant incident) è un Incidente con conseguenze gravi: interruzioni prolungate, ampia fuoriuscita di dati o un gran numero di utenti coinvolti. È solo questa gravità a rendere un incidente soggetto a notifica. Il termine indica dunque la soglia che decide se la catena di notifica prevista dalla NIS2 si attivi oppure no: un incidente ordinario resta una questione interna, un incidente significativo diventa un obbligo verso l’autorità.

Quando un incidente è «significativo»

Contano fra l’altro la durata del disservizio, il numero di persone o clienti coinvolti, i possibili danni economici, la fuoriuscita di dati sensibili e gli effetti su altri soggetti o sulla fornitura di servizi. Poiché la NIS2 non fissa un punteggio rigido, ma lascia al soggetto il compito di valutare la significatività in base alle circostanze, conviene tradurre questi fattori in soglie proprie e documentate già prima della prima emergenza: altrimenti, proprio nel termine già stretto delle 24 ore, minuti preziosi vanno persi in discussioni interne.

Lista di controllo: l’incidente è significativo?

Di norma basta un sì chiaro per far scattare la catena di notifica. Nel dubbio: notificare.

• Grave disservizio operativo? Servizio centrale fuori uso a lungo o fortemente compromesso → piuttosto sì. Disservizio breve, risolto in autonomia e senza effetti sui clienti → piuttosto no.
• Danno economico rilevante? Perdita di fatturato, riscatto o costi di ripristino percepibili per il soggetto → Sì. Costi trascurabili → No.
• Terzi coinvolti? Sono toccati clienti, fornitori, altri soggetti o la fornitura di servizi alla collettività → Sì. Effetti circoscritti all’interno → No.
• Fuoriuscita di dati sensibili? Dati personali o critici per l’attività sono usciti o sono stati manipolati → Sì. Nessun accesso ai dati riscontrabile → No.
• Molti soggetti colpiti o attacco ripetuto? Numero elevato di utenti coinvolti oppure attacco doloso o ripetuto → Sì. Caso isolato senza effetti diffusi → No.

Conseguenza: obblighi di notifica

In presenza di un incidente significativo scattano i tre livelli degli obblighi di notifica con pre-notifica (24 ore), notifica (72 ore) e Relazione finale (1 mese). In Italia questa catena passa dalla piattaforma ACN. L’incidente già verificatosi va distinto dalla minaccia informatica significativa, cioè da un pericolo che non ha ancora prodotto un danno.

Due casi, una sola soglia

Scenario: un commerciante online si accorge che, attraverso una vulnerabilità, sono usciti i dati dei clienti di circa 40.000 account. Fuoriuscita di dati e molti soggetti coinvolti: due sì netti nella lista di controllo. Il team classifica l’incidente come significativo nel giro di pochi minuti e avvia la catena di notifica. Un breve picco di carico sul negozio online il giorno prima, invece, è rimasto sotto ogni soglia, non ha inciso su alcun cliente ed è stato soltanto registrato internamente. Stesso metro di giudizio, due esiti opposti.

Che cosa fare concretamente?

Non appena la lista di controllo segna un sì, ogni minuto conta. Questi passi non devono mancare nella procedura:

• Documentare la classificazione: annotare brevemente il momento del rilevamento e il criterio decisivo; sarà in seguito la prova di una valutazione tempestiva.
• Trasmettere la pre-notifica: entro 24 ore attraverso la piattaforma ACN (chi rientra nella NIS2 e non è ancora registrato provvede nella finestra annuale, aperta dal 1° gennaio al 28 febbraio).
• Contenere l’incidente: isolare i sistemi coinvolti e mettere al sicuro le prove, in parallelo alla notifica.
• Tenere sotto controllo i termini: programmare la notifica entro 72 ore e la relazione finale entro un mese.
• Attivare il piano: mettere in azione il piano di risposta agli incidenti perché ruoli ed escalation entrino subito in funzione.

Chi esita rischia sanzioni: l’articolo 34 della direttiva fissa massimali minimi fino a 10.000.000 di euro o al 2 % del fatturato annuo mondiale per i soggetti essenziali e fino a 7.000.000 di euro o all’1,4 % per i soggetti importanti. Criteri chiari fanno risparmiare proprio questo tempo di discussione.

Per approfondire: Direttiva NIS2 (UE) 2022/2555, criteri per gli incidenti significativi (articolo 23)