- Significato
- Comunicazione conclusiva dopo un incidente
- Termine
- Un mese, ai sensi dell’articolo 23
- Contenuto
- Causa, effetti, misure adottate
- Livello
- Terzo e ultimo livello di notifica
- Aggiornamento
- giugno 2026
- Redazione
- Compliance Compass
Che cos’è la relazione finale?
La Relazione finale (final report) è il terzo e ultimo livello degliobblighi di notifica previsti dalla NIS2. Mentre la pre-notifica e la notifica forniscono, sotto forte pressione di tempo, un primo quadro della situazione, la relazione finale riassume, ad analisi conclusa, che cosa sia realmente accaduto, quali effetti si siano prodotti e con quali misure si sia reagito. È dunque la documentazione conclusiva vincolante nei confronti dell’autorità competente.
Che cosa deve contenere
- Descrizione dettagliata dell’incidente e della sua causa radice (root cause)
- Natura ed entità degli effetti: servizi coinvolti, volume dei dati e numero di utenti
- Misure adottate e programmate, comprese quelle volte a evitare che l’incidente si ripeta
- Se rilevanti: gli effetti transfrontalieri su altri Stati membri
La collocazione nella catena di notifica
Segue la pre-notifica (24 ore) e la notifica (72 ore) e va trasmessa entro un mese dalla notifica attraverso la piattaforma ACN. Se un incidente significativo si protrae oltre quel mese, è dovuta anzitutto una relazione intermedia sullo stato della gestione; la relazione finale segue non appena l’incidente è stato trattato in modo completo.
Nella pratica
Dopo un attacco ransomware, una struttura ospedaliera ha impiegato tre settimane per l’analisi forense e il ripristino. Nella relazione finale dichiara che l’accesso iniziale è avvenuto attraverso una vulnerabilità VPN non corretta, che l’assistenza d’urgenza è rimasta limitata per 14 ore e che d’ora in avanti saranno introdotte l’autenticazione a più fattori e una gestione delle patch più rigorosa. Non si limita così a rispettare il termine: fornisce all’autorità elementi utilizzabili anche per altri soggetti.
Più di un semplice adempimento
Una buona relazione finale ha valore anche verso l’interno: le lezioni documentate confluiscono nel miglioramento dei controlli e della risposta agli incidenti , e rafforzano la capacità di dare evidenza davanti alla vigilanza e agli organi di gestione, tanto più che l’articolo 34 della direttiva fissa massimali minimi: fino a 10.000.000 di euro o il 2 % del fatturato annuo mondiale per i soggetti essenziali.
Per approfondire: Direttiva NIS2 (UE) 2022/2555, relazione finale ai sensi dell’articolo 23, paragrafo 4
Domande frequenti
Che cos’è la relazione finale nella NIS2?
La relazione finale è il terzo e ultimo livello degli obblighi di notifica che l’articolo 23 della direttiva NIS2 prevede per gli incidenti significativi. Una volta conclusa l’analisi dell’incidente, documenta la causa radice, la natura e l’entità degli effetti nonché le misure adottate e programmate. È la documentazione conclusiva vincolante nei confronti dell’autorità competente e le fornisce elementi utilizzabili, che possono giovare anche ad altri soggetti.
Quale termine vale per la relazione finale?
La relazione finale va trasmessa al più tardi un mese dopo la notifica dell’incidente. Chiude la catena prevista dall’articolo 23, che inizia con la pre-notifica entro 24 ore e prosegue con la notifica entro 72 ore. In Italia il decreto NIS, in vigore dal 16 ottobre 2024, affida all’ACN il ruolo di autorità competente: le notifiche passano dalla piattaforma ACN e sono trattate dal CSIRT Italia.
Che cosa accade se l’incidente dura più di un mese?
Se un incidente significativo resta aperto oltre il mese successivo alla notifica, al posto della relazione finale si trasmette anzitutto una relazione intermedia sullo stato della gestione. La relazione finale vera e propria arriva soltanto quando l’incidente è stato trattato in modo completo e definitivo. Così l’autorità competente resta informata sull’avanzamento per tutta la durata della gestione, senza che un termine rigido di un mese imponga una comunicazione conclusiva prematura.