Registro degli incidenti NIS2 e scheda per decidere se notificare
La scheda che vi dice se un incidente è significativo e calcola le scadenze, più il registro di tutti gli incidenti con le notifiche.
Riferimenti: Art. 25 del d.lgs. 138/2024 · determinazione ACN 379907/2025, allegati 3 e 4
- Scheda di valutazione: domande sulle fattispecie IS-1…IS-4
- Scadenze calcolate: 24 ore, 72 ore, un mese
- Registro con notifiche, Garante privacy, clienti e vertici informati
- Le scadenze superate senza invio diventano rosse
Aggiornato il 13 novembre 2026 sulle determinazioni dell'ACN in vigore · a cura dell'Ing. Alessio Sanavio.
Cosa c'è nel file
Due strumenti in un unico Excel. La scheda di valutazione serve nei primi minuti: scegliete se siete soggetti importanti o essenziali, scrivete quando avete avuto evidenza dell'incidente e rispondete a cinque domande. La scheda vi dice se l'incidente è significativo e va notificato al CSIRT Italia, e calcola le scadenze. Il registro raccoglie tutti gli incidenti, anche quelli minori: notifiche, Garante privacy, clienti e vertici informati, causa e misure adottate. Le scadenze superate senza invio diventano rosse.
Nel file trovate anche i quattro tipi di incidente significativo con il testo dell'ACN e un esempio, i tempi di notifica e le regole pratiche tratte dalle FAQ dell'ACN.
Quale norma lo chiede
L'articolo 25 del d.lgs. 138/2024 obbliga a notificare al CSIRT Italia gli incidenti significativi. Per le prime fasi della NIS2 l'ACN ha definito con la determinazione 379907/2025 gli incidenti significativi di base: tre tipi per i soggetti importanti (allegato 3) e quattro per gli essenziali (allegato 4). La misura RS.MA-01 chiede un piano di gestione degli incidenti con fasi, ruoli e modalità di notifica: il registro e la scheda ne sono gli strumenti di lavoro.
| Fase | Entro | Articolo |
|---|---|---|
| Pre-notifica | Senza ingiustificato ritardo e comunque entro 24 ore | D.Lgs. 138/2024, art. 25, c. 5, lett. a) |
| Notifica dell'incidente | Senza ingiustificato ritardo e comunque entro 72 ore | D.Lgs. 138/2024, art. 25, c. 5, lett. b) |
| Relazione intermedia | Solo se la chiede il CSIRT Italia, nei tempi indicati nella richiesta | D.Lgs. 138/2024, art. 25, c. 5, lett. c) |
| Relazione finale | Entro un mese dall'invio della notifica | D.Lgs. 138/2024, art. 25, c. 5, lett. d) |
| Codice | Tipo, in parole semplici | Per chi |
|---|---|---|
| IS-1 | Perdita di riservatezza verso l'esterno. Avete la prova che dati digitali vostri, o che gestite per conto di altri, sono usciti dall'azienda o sono stati esposti a qualcuno di esterno che non doveva vederli. Esempio: Un attaccante copia i documenti dal server dei file; le credenziali dei dipendenti finiscono pubblicate su Internet. | Importanti ed essenziali |
| IS-2 | Perdita di integrità con impatto verso l'esterno. Avete la prova che dati digitali sono stati modificati senza autorizzazione e che la modifica ha effetti su persone o sistemi fuori dall'azienda. Esempio: Il sito web viene modificato da un attaccante (defacement); un database alterato mostra ai clienti dati sbagliati. | Importanti ed essenziali |
| IS-3 | Violazione dei livelli di servizio attesi. Un vostro servizio o una vostra attività scende sotto il livello di servizio atteso che avete scritto voi stessi (misura DE.CM-01). Riguarda soprattutto i fermi e i rallentamenti, anche se la causa è un guasto, un errore umano o un evento naturale. Esempio: Avevate scritto che il sito non può restare fermo più di 30 minuti di fila e resta fermo due ore; il gestionale è bloccato da un ransomware oltre il limite che avete fissato. | Importanti ed essenziali |
| IS-4 | Accesso non autorizzato o con abuso dei privilegi. Avete la prova, anche grazie agli indicatori che avete definito (misura DE.CM-01), che qualcuno è entrato in dati digitali senza permesso, oppure che chi aveva le credenziali le ha usate per scopi non consentiti. Esempio: Credenziali rubate usate per leggere caselle di posta aziendali; un dipendente che ha l'accesso tecnico consulta una banca dati violando le regole interne. | Solo essenziali |
Come si usa
- Segnate subito il momento dell'evidenza. I tempi partono da quando avete elementi oggettivi che l'incidente c'è, anche da un'analisi sommaria: non da quando è iniziato.
- Rispondete alle domande della scheda. Se almeno un tipo IS si applica, l'incidente è significativo. Il tipo IS-4, l'accesso non autorizzato o con abuso di privilegi, vale solo per gli essenziali.
- Notificate dal Portale dei Servizi ACN. Pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese dalla notifica. Di norma notifica il referente CSIRT.
- Pensate agli altri destinatari. Il Garante privacy se ci sono dati personali, i clienti se l'incidente li può danneggiare, l'organo di amministrazione, che va informato.
- Chiudete con la causa. La relazione finale chiede la causa che probabilmente l'ha innescato e le misure adottate: scrivetele nel registro mentre le scoprite.
Errori comuni
- Contare solo gli attacchi. La causa non conta: un guasto o un errore umano che porta un servizio sotto il livello atteso può essere un incidente IS-3.
- Non avere scritto i livelli di servizio attesi. Senza (misura DE.CM-01) non potete capire quando scatta un IS-3.
- Lasciare la notifica al fornitore IT. Se l'incidente colpisce i vostri sistemi gestiti da lui, la notifica la fate voi: il fornitore vi aiuta e vi deve avvisare subito.
- Pensare che la notifica valga come denuncia. Non è così: per la denuncia servono la Polizia o l'autorità giudiziaria.
Tutti i dettagli nella guida sulla notifica degli incidenti. Perché il fornitore vi avvisi in tempo, usate le clausole di sicurezza per i fornitori.
Domande frequenti
Gli altri modelli gratuiti
Tutti i modelli e gli strumenti- Excel Checklist NIS2: le misure di sicurezza ACN in Excel Tutti i requisiti delle misure di base, per soggetti importanti ed essenziali, con stato, responsabile, evidenze e riepilogo automatico. Scaricatelo gratis
- Word Modello di politica per la sicurezza informatica NIS2 I 16 ambiti chiesti dall'ACN, ognuno con obiettivo e regole da adattare, la corrispondenza con i requisiti e il registro dei riesami. Scaricatelo gratis
- Word Clausole di sicurezza NIS2 per i contratti con i fornitori Un allegato di sicurezza in 17 articoli da unire al contratto, con la corrispondenza agli ambiti ACN e alle 24 domande della verifica annuale. Scaricatelo gratis
- Word Formazione NIS2 degli amministratori: piano, delibera e registro Il piano annuale per i vertici in sette moduli, l'estratto del verbale che lo approva, il registro delle presenze e un test con le soluzioni. Scaricatelo gratis
Dal modello al documento approvato
In Pilot NIS2 i documenti nascono dalle risposte alle tappe del percorso, con le scadenze e le prove in un unico fascicolo. Preferite essere seguiti? Lo Studio fa anche la consulenza.