In breve:
- Pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese dalla notifica.
- Significativi sono gli incidenti che rientrano nelle fattispecie IS-1, IS-2 e IS-3, più IS-4 per i soli soggetti essenziali, a prescindere dalla causa.
- Soggetti nell'elenco dal 2025: obbligo in vigore. Soggetti inseriti nel 2026: dal 1° gennaio 2027.
- Per ricostruire l'incidente nella relazione finale servono log conservati e consultabili.
I tempi della notifica
| Fase | Termine | Contenuto |
|---|---|---|
| Pre-notifica | entro 24 ore da quando si è venuti a conoscenza | se possibile: atti illegittimi o malevoli? possibile impatto transfrontaliero? |
| Notifica | entro 72 ore da quando si è venuti a conoscenza | aggiornamento, valutazione iniziale di gravità e impatto, indicatori di compromissione se disponibili |
| Relazione intermedia | su richiesta dello CSIRT Italia | aggiornamenti della situazione |
| Relazione finale | entro un mese dalla notifica | descrizione dettagliata, gravità e impatto, tipo di minaccia o causa originale, misure di attenuazione, impatto transfrontaliero se noto |
| Relazioni mensili | se l'incidente è ancora in corso | progressi ogni mese, poi relazione finale entro un mese dalla chiusura |
Art. 25, comma 5, del D.Lgs. 138/2024. Lo CSIRT Italia risponde se possibile entro 24 ore dalla pre-notifica con un riscontro iniziale e, su richiesta, con indicazioni per mitigare l'incidente (comma 7).
Quali incidenti sono significativi
Il decreto considera significativo un incidente che causa o può causare una grave perturbazione dei servizi o perdite finanziarie, oppure perdite considerevoli ad altre persone o imprese (art. 25, comma 4). Per renderlo misurabile l'ACN ha definito quattro fattispecie "di base", descritte nell'allegato 3 (importanti) e nell'allegato 4 (essenziali) della determinazione 379907/2025:
| Codice | Riguarda | Per chi |
|---|---|---|
| IS-1 | violazione della riservatezza di servizi e attività | essenziali e importanti |
| IS-2 | violazione dell'integrità | essenziali e importanti |
| IS-3 | soprattutto la disponibilità dei servizi | essenziali e importanti |
| IS-4 | accesso non autorizzato o con abuso dei privilegi | solo essenziali |
Le soglie precise di ciascuna fattispecie sono negli allegati della determinazione, pubblicati sulla pagina NIS dell'ACN. La causa non conta: un'alluvione, un guasto o un errore umano che produce una delle fattispecie va notificato. Gli incidenti non significativi, i quasi incidenti e le minacce si possono notificare su base volontaria.
Chi notifica: cliente o fornitore
| Situazione | Chi notifica allo CSIRT Italia |
|---|---|
| Incidente sui sistemi del cliente, gestiti da un fornitore (per esempio un SOC esterno) | il cliente |
| Incidente sui sistemi di un fornitore soggetto NIS | il fornitore, e anche il cliente se l'incidente è significativo per i suoi servizi |
| Servizio cloud (SaaS, PaaS) | cliente e fornitore |
| IaaS o hosting dell'infrastruttura del cliente | solo il cliente |
FAQ ACN ISB.F.1, ISB.F.2 e ISB.F.3, riferite al caso in cui cliente e fornitore siano entrambi soggetti NIS. La riga SaaS e PaaS è la nostra lettura della regola generale sul cloud.
Chi ospita sito o server da un hosting provider resta quindi il soggetto che deve accorgersi dell'incidente e notificarlo. Il cliente deve anche prevedere nei contratti che il fornitore gli segnali subito gli eventi di sicurezza che toccano i suoi servizi (misura GV.SC-01).
Cosa serve per rispettare le 24 ore
- un referente CSIRT designato sul portale ACN e almeno un sostituto raggiungibile;
- un piano di risposta agli incidenti con criteri per riconoscere IS-1, IS-2, IS-3 e IS-4;
- monitoraggio che segnali interruzioni, accessi anomali e modifiche non autorizzate;
- log conservati abbastanza a lungo per scrivere la relazione finale, che arriva fino a un mese dopo la notifica, e per scoprire incidenti iniziati settimane prima;
- contratti con i fornitori che fissino tempi di segnalazione e accesso ai log.
Per il sito web, l'e-commerce o il portale clienti i log degli accessi e degli attacchi bloccati possono essere conservati dal servizio di protezione davanti al sito. Durata di conservazione dei log nei piani WEDOS Protection:
| Piano WEDOS | Prezzo (IVA esclusa) | Conservazione log | Cosa include |
|---|---|---|---|
| Free | 0 € | 1 ora | DDoS L3/L4, WAF gestito, dominio e 1 sottodominio |
| NoLimit | 8,25 € al mese (99 € all'anno) | 1 settimana | wildcard, API, 3 amministratori, analisi 30 giorni |
| NIS2 Standard "Important" | 199 € al mese | 6 mesi | DDoS, WAF, DNS anycast, CDN, SLA 100 %, supporto 24/7, report mensili |
| NIS2 Standard "Essential" | 400 € al mese | 18 mesi | come Important, più blocco GeoIP, report settimanali, notifica proattiva degli incidenti |
| Managed EU | 1 000 € al mese con pagamento annuale | senza limite | analista di sicurezza dedicato, monitoraggio 24/7, rapporto giornaliero sugli incidenti |
Prezzi dai listini WEDOS Protection e WEDOS Web Protection, verificati il 30 ottobre 2026. La pagina NIS2 di WEDOS indica per il piano Essential 12 mesi di log e prezzi IVA inclusa: le due pagine non coincidono, prima dell'ordine verifichi le condizioni nel contratto. Link di affiliazione: se acquista, riceviamo una commissione senza costi aggiuntivi per lei.
Domande frequenti
Entro quanto si notifica un incidente NIS2?
Da quando partono le 24 ore?
Un guasto o un errore umano va notificato?
Se l'incidente avviene presso il fornitore di hosting chi notifica?
Chi materialmente invia la notifica?
Notificare aumenta la responsabilità dell'azienda?
Fonti: D.Lgs. 138/2024, articolo 25 su Normattiva; FAQ ACN misure di sicurezza e notifica; FAQ ruoli e procedure. Questa pagina non è una consulenza legale.