Risposta rapida
La notifica incidenti NIS2 segue un meccanismo a tre fasi temporali distinte, introdotto dal D.Lgs. 138/2024 che recepisce la Direttiva (UE) 2022/2555. Il primo obbligo scatta entro 24 ore dalla conoscenza dell'incidente significativo, con una notifica di allerta precoce. Entro 72 ore va presentata la notifica vera e propria, con una valutazione iniziale dell'incidente. Entro 30 giorni dalla notifica, il soggetto deve presentare una relazione finale completa. L'Autorità competente è l'ACN (Agenzia per la Cybersicurezza Nazionale), che riceve le segnalazioni tramite i canali dedicati. L'obbligo di notifica decorre da gennaio 2026, ma la preparazione del processo interno va fatta ora, perché le misure di sicurezza complete vanno adottate entro ottobre 2026.
Perché questo tema è importante
Le finestre temporali della notifica incidenti NIS2 non sono un dettaglio procedurale: sono il cuore operativo della nuova normativa. Il legislatore europeo ha voluto superare l'approccio della vecchia direttiva NIS del 2016, che lasciava ampia discrezionalità agli Stati membri e produceva segnalazioni tardive e incomplete. Con la NIS2, i tempi sono stringenti e uniformi in tutta l'Unione.
Per le imprese italiane, il tema è urgente per almeno tre ragioni. Primo: il campo di applicazione si è ampliato in modo significativo, includendo settori prima esclusi come la produzione alimentare, la chimica e la gestione dei rifiuti. Secondo: la responsabilità personale dei vertici aziendali è ora esplicita, con sanzioni che possono colpire direttamente gli amministratori. Terzo: la capacità di rispettare le finestre di notifica dipende da un processo di incident response già rodato, che non si improvvisa quando l'incidente è in corso.
Chi non si prepara ora rischia di trovarsi in una situazione paradossale: subire un attacco informatico e, nel momento di massima criticità operativa, dover gestire anche un adempimento normativo complesso con tempistiche serrate. La pianificazione anticipata è l'unica strategia sensata.
Quadro normativo e fonti ufficiali
Il riferimento primario è la Direttiva (UE) 2022/2555 (NIS2), pubblicata il 27 dicembre 2022. In Italia, il recepimento è avvenuto con il D.Lgs. 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024. Il decreto è consultabile integralmente su Normattiva e la pagina dedicata dell'ACN raccoglie le indicazioni operative per i soggetti obbligati.
Il decreto NIS distingue i soggetti in essenziali e importanti, in base al settore e alla dimensione. Per entrambe le categorie valgono gli obblighi di registrazione, adozione di misure di sicurezza e notifica degli incidenti. L'ACN è l'Autorità nazionale competente NIS e gestisce il processo di registrazione, che si svolge dal 1° gennaio al 28 febbraio di ogni anno.
Sul fronte dei tempi, il decreto prevede una gradualità espressamente voluta. L'obbligo di notifica degli incidenti significativi decorre da gennaio 2026. Entro ottobre 2026, i soggetti NIS devono aver adottato le misure di sicurezza complete. Questo significa che le aziende hanno una finestra di preparazione reale, ma non infinita: i processi vanno costruiti e testati prima che l'obbligo diventi effettivo.
Cosa significa per l'azienda
La notifica incidenti NIS2 introduce un cambiamento culturale oltre che normativo. Non si tratta più di segnalare un problema "se e quando possibile", ma di attivare un protocollo strutturato con scadenze precise e contenuti definiti. L'azienda deve sapere, in anticipo:
- chi è il responsabile della notifica (ruolo e supplenze);
- quali canali usare per comunicare con l'ACN;
- quali informazioni sono richieste in ciascuna fase;
- come documentare l'incidente in modo da poter compilare le notifiche senza perdere tempo.
La finestra delle 24 ore è la più delicata. In questo lasso di tempo, l'azienda deve aver compreso che l'incidente è "significativo" secondo i criteri del decreto, e deve inviare una notifica di allerta precoce. Non serve avere il quadro completo: serve attivare il processo. La finestra delle 72 ore richiede una valutazione iniziale più strutturata, con impatto, indicatori di compromissione e misure adottate. La relazione finale entro 30 giorni chiude il ciclo con un'analisi approfondita e le lezioni apprese.
Un aspetto spesso sottovalutato è la relazione con il GDPR. Se l'incidente coinvolge dati personali, scatta anche la notifica al Garante entro 72 ore ai sensi dell'art. 33 del Regolamento UE 2016/679. I due processi vanno coordinati, perché le informazioni raccolte per la NIS2 possono essere utili anche per la notifica privacy, e viceversa.
Cosa deve fare concretamente l'organizzazione
La preparazione alla notifica incidenti NIS2 si articola in cinque azioni concrete.
1. Mappare i servizi e i processi critici. Identificare quali attività rientrano nel perimetro NIS2 e quali sono i sistemi che, se compromessi, generano un incidente significativo. Questa mappatura è la base per capire quando scatta l'obbligo di notifica.
2. Definire il playbook di incident response. Documentare le procedure per rilevare, analizzare, contenere e eradicare gli incidenti. Il playbook deve includere i criteri di classificazione della significatività, i modelli di notifica precompilati e le responsabilità del team.
3. Nominare il responsabile della notifica. Individuare una figura con autorità decisionale, con un supplente, che abbia il compito di validare e inviare le comunicazioni all'ACN. Questa figura deve avere accesso diretto al team tecnico e alla direzione.
4. Predisporre i modelli di notifica. Preparare in anticipo i template per le tre fasi: allerta precoce (24h), notifica iniziale (72h) e relazione finale (30 giorni). I modelli vanno compilati con i dati anagrafici dell'azienda, i riferimenti normativi e i canali di contatto dell'ACN, così che in emergenza basti inserire i dettagli dell'incidente.
5. Testare il processo. Eseguire esercitazioni periodiche che simulano un incidente significativo, misurando i tempi di rilevazione, analisi e notifica. L'obiettivo è verificare che il processo funzioni sotto pressione e che le finestre temporali siano rispettate.
Esempio pratico
Un'azienda manifatturiera classificata come soggetto importante subisce un attacco ransomware che cifra i file del reparto produzione. Il sistema di monitoraggio rileva l'anomalia alle 8:00 del mattino. Il team IT conferma la compromissione entro le 10:00.
- Entro 24 ore (entro le 8:00 del giorno successivo): l'azienda invia all'ACN la notifica di allerta precoce, indicando che è in corso un incidente significativo, con una prima descrizione dell'evento e le misure di contenimento avviate.
- Entro 72 ore (entro le 8:00 del terzo giorno): viene inviata la notifica completa, con la valutazione iniziale dell'impatto (sistemi coinvolti, servizi compromessi, dati eventualmente esposti), gli indicatori di compromissione e le azioni intraprese.
- Entro 30 giorni: l'azienda presenta la relazione finale, con l'analisi delle cause, le misure correttive adottate e le lezioni apprese.
In parallelo, se l'incidente coinvolge dati personali, l'azienda valuta la notifica al Garante entro 72 ore, coordinando i contenuti con la comunicazione all'ACN.
Errori comuni da evitare
- Sottovalutare la significatività dell'incidente. Il criterio non è solo tecnico: un incidente che impatta sulla continuità del servizio o sull'integrità dei dati può essere significativo anche se non ci sono state esfiltrazioni.
- Aspettare di avere il quadro completo prima di notificare. La finestra delle 24 ore serve proprio a inviare una prima comunicazione con le informazioni disponibili. Ritardare per "avere più dettagli" è un errore.
- Confondere la notifica NIS2 con la notifica GDPR. Sono processi distinti, con autorità diverse (ACN vs Garante) e tempistiche parzialmente sovrapposte. Vanno gestiti in parallelo, non in alternativa.
- Non preparare i modelli in anticipo. Compilare una notifica da zero durante un incidente è lento e soggetto a errori. I template vanno predisposti e validati prima.
- Ignorare la formazione del personale. Il personale tecnico e i vertici aziendali devono conoscere il processo di notifica e i propri ruoli. Un processo documentato ma sconosciuto è inutile.
Come GAPOFF aiuta
La piattaforma GAPOFF supporta le organizzazioni nella costruzione del processo di notifica incidenti NIS2, integrando la gestione normativa con strumenti operativi. Il modulo NIS2 Compliance guida l'azienda nella mappatura dei requisiti, nella valutazione del livello di aderenza e nella predisposizione della documentazione necessaria, inclusi i modelli per le comunicazioni all'ACN.
Il modulo si collega agli strumenti di gestione degli incidenti di sicurezza, che aiutano a tracciare le fasi di rilevazione, analisi e risposta, e al registro dei trattamenti, utile per coordinare la notifica NIS2 con gli obblighi GDPR. L'integrazione tra i moduli consente di avere un quadro unico delle attività di compliance e delle evidenze documentali.
La piattaforma è provabile gratuitamente per 14 giorni, senza alcun impegno. GAPOFF supporta il lavoro dell'organizzazione e dei suoi consulenti, ma non certifica automaticamente la conformità: la responsabilità delle decisioni e delle notifiche resta sempre in capo all'azienda e ai suoi organi.
Checklist operativa
- Verificare se l'azienda rientra nel perimetro NIS2 (settore e dimensione)
- Completare la registrazione all'ACN entro il 28 febbraio di ogni anno
- Aggiornare le informazioni annuali entro il 31 maggio
- Mappare i servizi critici e i sistemi che generano incidenti significativi
- Nominare il responsabile della notifica e il suo supplente
- Predisporre i modelli di notifica per le finestre 24h, 72h e 30 giorni
- Definire i criteri di classificazione della significatività dell'incidente
- Coordinare il processo NIS2 con la notifica GDPR al Garante
- Eseguire almeno un'esercitazione di incident response con simulazione di notifica
- Formare il personale tecnico e i vertici aziendali sul processo
- Pianificare l'adozione delle misure di sicurezza complete entro ottobre 2026
FAQ
Quando scatta l'obbligo di notifica degli incidenti per i soggetti NIS2?
L'obbligo di notifica degli incidenti significativi decorre da gennaio 2026, come indicato dall'ACN nella pagina dedicata alla normativa NIS. Fino a quella data, i soggetti devono completare la registrazione, predisporre i processi e adottare le misure di sicurezza, che devono essere operative entro ottobre 2026. La preparazione va fatta ora, non a ridosso della scadenza.
Cosa succede se non si rispetta la finestra delle 24 ore?
La notifica di allerta precoce entro 24 ore è un obbligo normativo. Il mancato rispetto può configurare una violazione degli obblighi di notifica previsti dal D.Lgs. 138/2024, con le conseguenze sanzionatorie previste dal decreto. In ogni caso, anche se la finestra delle 24 ore viene superata, la notifica va comunque inviata appena possibile: non notificare affatto è sempre peggio che notificare in ritardo.
La notifica NIS2 sostituisce la notifica di violazione dati al Garante?
No. Sono due obblighi distinti che possono coesistere. La notifica NIS2 va inviata all'ACN per gli incidenti significativi che impattano sui servizi e sui sistemi del soggetto. La notifica al Garante, ai sensi dell'art. 33 del GDPR, riguarda le violazioni di dati personali e va inviata entro 72 ore dalla conoscenza. Se l'incidente coinvolge dati personali, vanno gestite entrambe, coordinando i contenuti e le tempistiche.
Gestisci nis2 in GAPOFF: workflow guidati, registri, scadenzari, evidenze e report pronti per l'audit. Prova gratis 14 giorni, senza carta di credito.
FAQ
Quando scatta l'obbligo di notifica degli incidenti per i soggetti NIS2?
L'obbligo di notifica degli incidenti significativi decorre da **gennaio 2026**, come indicato dall'ACN nella pagina dedicata alla normativa NIS. Fino a quella data, i soggetti devono completare la registrazione, predisporre i processi e adottare le misure di sicurezza, che devono essere operative entro ottobre 2026. La preparazione va fatta ora, non a ridosso della scadenza.
Cosa succede se non si rispetta la finestra delle 24 ore?
La notifica di allerta precoce entro 24 ore è un obbligo normativo. Il mancato rispetto può configurare una violazione degli obblighi di notifica previsti dal D.Lgs. 138/2024, con le conseguenze sanzionatorie previste dal decreto. In ogni caso, anche se la finestra delle 24 ore viene superata, la notifica va comunque inviata appena possibile: non notificare affatto è sempre peggio che notificare in ritardo.
La notifica NIS2 sostituisce la notifica di violazione dati al Garante?
No. Sono due obblighi distinti che possono coesistere. La notifica NIS2 va inviata all'ACN per gli incidenti significativi che impattano sui servizi e sui sistemi del soggetto. La notifica al Garante, ai sensi dell'art. 33 del GDPR, riguarda le violazioni di dati personali e va inviata entro 72 ore dalla conoscenza. Se l'incidente coinvolge dati personali, vanno gestite entrambe, coordinando i contenuti e le tempistiche.
Ultima revisione: 2026-08-19.