Obblighi di notifica in parole semplici

Che cosa sono gli obblighi di notifica?

Gli Obblighi di notifica impongono ai soggetti interessati di notificare all’autorità competente gli incidenti significativi. L’obiettivo è consentire alle autorità di reagire per tempo, di avvertire i terzi coinvolti e di prevenire attacchi analoghi nell’intero tessuto economico. Nella NIS2, recepita in Italia con il decreto NIS in vigore dal 16 ottobre 2024, la notifica è volutamente scaglionata : in questo modo l’autorità dispone molto rapidamente di un primo quadro della situazione, che viene precisato nel seguito, invece di ricevere soltanto dopo settimane un unico rapporto completo.

Le tre fasi della notifica in dettaglio

• Pre-notifica (entro 24 ore): una prima informazione sintetica sul fatto che si è verificato un incidente significativo, con l’indicazione se si sospetti una matrice illecita o un carattere transfrontaliero.
• Notifica (entro 72 ore): una prima valutazione attendibile della gravità, degli impatti e — per quanto noto — delle cause, oltre alle misure immediate già adottate.
• Relazione finale (entro 1 mese): rappresentazione completa delle cause, degli impatti e delle contromisure durature.

La catena di notifica in sintesi

Il conteggio decorre dal momento in cui si viene a conoscenza dell’incidente. Ogni fase si innesta sulla precedente; la tabella seguente mostra che cosa deve pervenire, ed entro quando, all’ ACN :

Lista di controllo: il mio incidente va notificato?

Più caselle spuntate? Allora il termine delle 24 ore è già in corso. Nel dubbio, è preferibile notificare.

• ☐ Si è verificata una compromissione significativa della disponibilità, dell’integrità o della riservatezza?
• ☐ Si sono verificati, o sono prevedibili, un’interruzione dell’operatività, un danno economico o una fuoriuscita di dati di una certa entità?
• ☐ Altre persone fisiche o giuridiche potrebbero subire un danno?
• ☐ Il proprio soggetto rientra come essenziale o importante nell’ambito di applicazione della NIS2 in Italia?
• ☐ L’accesso alla piattaforma ACN e i responsabili della notifica sono raggiungibili, anche nel fine settimana?

Quando un incidente è «significativo»?

Vanno notificati esclusivamente gli incidenti significativi — per esempio quelli con interruzioni prolungate, ampia fuoriuscita di dati, danni economici sensibili o un gran numero di utenti coinvolti. Le anomalie minori non fanno scattare l’obbligo di notifica, ma è opportuno documentarle internamente, così che nel dubbio resti ricostruibile perché non si è notificato.

Chi è il destinatario della notifica?

In Italia le notifiche passano dalla Piattaforma ACN e sono indirizzate all’ ACN in quanto autorità competente. Il CSIRT Italia è la struttura operativa che riceve le notifiche. L’accesso avviene tramite un account creato sulla piattaforma e associato al soggetto registrato. Poiché la registrazione si effettua nella finestra annuale, aperta dal 1° gennaio al 28 febbraio di ogni anno, e ogni variazione dei dati va comunicata entro 14 giorni, account e credenziali dovrebbero essere pronti prima che si verifichi il primo incidente.

Che cosa fare concretamente?

• Attivare in anticipo l’accesso alla Piattaforma ACN e non aspettare che si verifichi l’incidente.
• Designare responsabili della notifica, con sostituti chiaramente individuati e reperibili 24 ore su 24.
• Tenere pronti modelli di testo per la pre-notifica a 24 ore, la notifica a 72 ore e la relazione finale a un mese.
• Al primo sospetto, aprire subito una cronologia: chi ha notato che cosa, e quando?
• Collegare la notifica al proprio piano di risposta agli incidenti, così che risposta tecnica e notifica procedano in parallelo.

Un incidente il venerdì sera

Venerdì, ore 22.14. Un operatore energetico si accorge che un ransomware ha cifrato il software della sala di controllo. Mentre una squadra isola nella stessa notte i sistemi compromessi, l’altra redige in parallelo la pre-notifica e la trasmette dalla piattaforma ACN prima dello scadere delle 24 ore; il lunedì segue nei termini la notifica a 72 ore con una prima valutazione del danno e, allo scadere del mese, arriva la relazione finale con l’analisi completa delle cause e le misure di irrobustimento permanenti. Non è stata fortuna: ruoli, credenziali e modelli erano pronti prima che l’attacco cominciasse.

Che cosa si rischia in caso di violazione?

Chi viola gli obblighi di notifica rischia sanzioni rilevanti: l’articolo 34 della direttiva fissa massimali minimi, fino a 10.000.000 di euro o il 2 % del fatturato annuo mondiale per i soggetti essenziali e fino a 7.000.000 di euro o l’1,4 % per i soggetti importanti; per le pubbliche amministrazioni il decreto NIS prevede sanzioni da 25.000 a 125.000 euro. A ciò si aggiunge, attraverso gli obblighi di Governance, la responsabilità personale degli organi di gestione. Un piano di risposta agli incidenti già predisposto aiuta a rispettare i termini con sicurezza.

Per approfondire: Direttiva NIS2 (UE) 2022/2555, obblighi di segnalazione ai sensi dell’articolo 23