Segnalazione degli incidenti ai sensi della NIS2: 24 ore / 72 ore / 1 mese

La direttiva NIS2 stabilisce tre termini consecutivi per la segnalazione degli incidenti di cibersicurezza significativi. Occorre trasmettere un preallarme entro 24 ore dal momento in cui si viene a conoscenza dell’incidente, quindi una notifica più dettagliata entro 72 ore e, infine, una relazione finale completa entro un mese. La distinzione fondamentale rispetto al termine di 72 ore previsto dal GDPR per la notifica delle violazioni è che quest’ultimo costituisce un unico termine e non un procedimento articolato in tre fasi: confonderli è un errore d’esame frequente.

Per memorizzare l’ordine, si pensi a un notiziario urgente entro 24 ore, a un’informativa dettagliata entro 72 ore e a un’analisi a posteriori entro un mese. Ci si metta alla prova ripetendo: «24 per l’avviso, 72 per i dettagli, un mese per il quadro completo». Se si incontra un termine come 48 ore o 14 giorni, probabilmente deriva da un altro regolamento, come il regolamento sulla resilienza operativa digitale (DORA): lo si identifichi come un distrattore.

Per evitare confusioni, ricordate la sequenza «allertare, spiegare, chiudere». L’allerta entro 24 ore è solo un primo avviso con l’impatto iniziale; la notifica entro 72 ore aggiunge la causa di fondo e gli effetti in corso; la relazione entro un mese comprende l’indagine completa e le misure di mitigazione. Un utile metodo di esclusione: se una domanda menziona una «relazione intermedia» o un «aggiornamento», probabilmente non riguarda NIS2 — NIS2 prevede soltanto queste tre fasi fisse, non aggiornamenti continui. Inoltre, il termine di 24 ore decorre dal momento in cui si «viene a conoscenza» dell’incidente, non dall’incidente stesso; prestate quindi attenzione a formulazioni come «scoperto» anziché «avvenuto».