- Significato
- Secondo livello di segnalazione (notifica)
- Termine
- Entro 72 ore
- Contenuto
- Prima valutazione di gravità ed effetti
- Livello
- Intermedio fra tre
- Aggiornamento
- giugno 2026
- Redazione
- Compliance Compass
Che cos’è la notifica di incidente?
La Notifica di incidente (incident notification) segue la pre-notifica ed è il secondo livello degli obblighi di notifica NIS2. Entro 72 ore fornisce all’autorità una prima valutazione attendibile di gravità, effetti e possibili cause. Mentre la pre-notifica si limita a segnalare che è accaduto qualcosa di significativo, la notifica risponde per la prima volta alla domanda su che cosa sia successo esattamente e quanto sia grave.
Che cosa contiene
- Prima valutazione dell’incidente (gravità, estensione, effetti su servizi e utenti)
- Per quanto noto: causa e natura dell’attacco, sistemi coinvolti
- Misure immediate di contenimento già adottate
- Indicazioni su possibili effetti transfrontalieri
Parte della catena di notifica
È il livello intermedio dei tre stadi previsti dagli obblighi di notifica: pre-notifica (24 ore) → notifica (72 ore) → Relazione finale (1 mese). L’intera catena si attiva soltanto in presenza di un incidente significativo; in Italia l’invio avviene tramite la piattaforma ACN.
Nella pratica
Un prestatore di servizi di pagamento aveva trasmesso il lunedì la pre-notifica relativa a un attacco DDoS. Entro il giovedì, quindi nel termine delle 72 ore, il team invia la notifica: l’attacco ha bloccato l’API dei pagamenti per circa sei ore, ha inciso su alcune migliaia di transazioni secondo le stime, l’origine viene ricondotta a una botnet e come misura immediata è stato attivato un servizio di scrubbing. Questi elementi mettono l’autorità in condizione di allertare gli altri operatori del mercato.
Perché il termine di 72 ore
Dà all’autorità informazioni attendibili per reagire a sua volta ed eventualmente allertare altri soggetti. Senza processi predisposti questo termine è difficile da rispettare: un piano di risposta agli incidenti con ruoli e modelli chiari aiuta a evitare omissioni e quindi sanzioni: l’articolo 34 della direttiva fissa massimali minimi fino a 10.000.000 di euro o al 2 % del fatturato annuo.
Per approfondire: Direttiva NIS2 (UE) 2022/2555, notifica ai sensi dell’articolo 23, paragrafo 4
Domande frequenti
Che cos’è la notifica di incidente?
La notifica di incidente (incident notification) è il secondo dei tre livelli di segnalazione previsti dalla NIS2 e segue la pre-notifica. Entro 72 ore dalla conoscenza di un incidente significativo fornisce all’autorità competente una prima valutazione attendibile della gravità, degli effetti e — per quanto noto — della causa dell’incidente. In Italia l’invio avviene tramite la piattaforma ACN; il decreto NIS è in vigore dal 16 ottobre 2024.
Quale termine vale per la notifica di incidente?
La notifica di incidente va trasmessa entro 72 ore dalla conoscenza dell’incidente significativo, in Italia tramite la piattaforma ACN. Sono 48 ore dopo la scadenza del termine di 24 ore previsto per la pre-notifica. Il terzo livello, la relazione finale, segue al più tardi un mese dopo. Le notifiche omesse espongono i soggetti essenziali a sanzioni: l’articolo 34 della direttiva fissa massimali minimi fino a 10.000.000 di euro o al 2 % del fatturato annuo mondiale.
Che cosa deve contenere la notifica di incidente?
La notifica di incidente contiene una prima valutazione della gravità e degli effetti su servizi e utenti, per quanto noto la causa e la natura dell’attacco, nonché le misure immediate di contenimento già adottate. Vi rientrano anche le indicazioni su possibili effetti transfrontalieri. È quindi molto più dettagliata della pre-notifica che la precede, la quale entro 24 ore si limita a segnalare il sospetto.