Piano di gestione degli incidenti NIS2: contenuti, fasi e ruoli secondo l'ACN

Quando i file del server cominciano a non aprirsi, il venerdì sera, non c'è tempo per decidere chi chiamare, chi spegne cosa e chi scrive al CSIRT Italia. La NIS2 chiede di deciderlo prima: la «gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche» è un elemento minimo delle misure (d.lgs. 138/2024, art. 24, c. 2, lett. b). L'ACN lo traduce in un documento preciso, il piano per la gestione degli incidenti e la notifica al CSIRT Italia (misura RS.MA-01), approvato dai vertici e riesaminato almeno ogni due anni.

Questa guida spiega cosa deve contenere il piano, come si traduce in fasi concrete per una media impresa, chi decide e chi notifica, come si comunica con clienti e pubblico e quali prove tenere. I tempi e le regole della notifica sono in la notifica degli incidenti.

Cosa chiede l'ACN

I requisiti sono nella determinazione ACN 379907/2025 (allegato 1 per gli importanti, allegato 2 per gli essenziali):

Il piano deve contenere almeno (RS.MA-01, punto 1):

1. le fasi e le procedure di gestione e notifica degli incidenti, con ruoli e responsabilità (lettera a);
2. le procedure per preparare e inviare le relazioni dell'art. 25, c. 5, lettere c, d ed e: la relazione intermedia se il CSIRT Italia la chiede, la relazione finale entro un mese dalla notifica e quelle mensili se l'incidente è ancora in corso (lettera b);
3. le informazioni di contatto per segnalare gli incidenti (lettera c);
4. come si comunica all'interno, anche con gli organi di amministrazione, e all'esterno (lettera d);
5. la reportistica per documentare ogni incidente (lettera e).

Va approvato dall'organo di amministrazione (punto 2), che non può delegare l'approvazione (FAQ ACN ODA.8 e ODA.10), e riesaminato almeno ogni due anni, oppure prima dopo un incidente significativo, «integrando le relative lezioni apprese», o un cambiamento delle minacce (punto 3). Il piano può essere breve e limitarsi a elencare le procedure, con i riferimenti: non serve approvare ogni procedura collegata (FAQ ODA.11), né riapprovare il piano quando cambiano solo quelle (ODA.12).

Le fasi, in pratica

Una sequenza che funziona per una media impresa, da adattare ai vostri servizi:

1. Segnalazione. Un solo canale, noto a tutti, per dire «c'è qualcosa di strano»: un numero o un indirizzo presidiato. Lo stesso canale lo usano il fornitore IT e il servizio di sorveglianza.
2. Prima valutazione. È un incidente? Quali sistemi e quali servizi tocca? Chi è il coordinatore di turno?
3. È significativo? Si confronta quello che si sa con i tipi di incidente significativo di base: IS-1, IS-2 e IS-3 per tutti, IS-4 anche per gli essenziali (det. 379907/2025, allegati 3 e 4). L'IS-3 dipende dai livelli di servizio attesi che avete scritto (DE.CM-01, punto 2).
4. Contenimento. Isolare i sistemi colpiti senza spegnere tutto alla cieca, conservare log e prove, cambiare le credenziali esposte, avvisare il fornitore.
5. Pre-notifica e notifica. Pre-notifica al CSIRT Italia entro 24 ore da quando avete conoscenza dell'incidente significativo, notifica entro 72 ore (art. 25, c. 5, lett. a e b).
6. Ripristino. Riportare i sistemi al funzionamento normale con le procedure previste (RC.RP-01), in coerenza con il piano di disaster recovery.
7. Comunicazioni. Ai vertici, ai clienti se serve, alle altre autorità se ci sono altri obblighi.
8. Relazione finale e lezioni apprese. Entro un mese dalla notifica la relazione finale con causa e misure (art. 25, c. 5, lett. d); poi le correzioni al piano.

Se l'incidente riguarda anche dati personali, c'è un obbligo separato: la notifica al Garante privacy entro 72 ore dalla conoscenza della violazione (GDPR, art. 33). I due canali e i due termini vanno gestiti insieme, ed è utile che il piano li metta uno accanto all'altro (vedi NIS2 e GDPR). L'ACN ha pubblicato anche delle linee guida sul processo di gestione degli incidenti (v1.1, aprile 2026), utili come traccia per scrivere le procedure.

Chi decide e chi notifica

La notifica la invia il referente CSIRT o uno dei suoi sostituti; in via eccezionale il punto di contatto o il suo sostituto (det. ACN 314287/2026, art. 7; FAQ RCS.2 e RCS.6). Per l'ACN la designazione del referente è una delega operativa: la responsabilità resta ai vertici, e il soggetto deve definire ruoli, processi e procedure per le decisioni, comprese quelle che nei casi più gravi spettano agli organi (FAQ RCS.2). Il piano deve quindi dire chi decide che un incidente è significativo, chi autorizza l'invio e quando si avvisa il consiglio. Il decreto chiede che gli organi di amministrazione siano informati degli incidenti e delle notifiche periodicamente o, se opportuno, tempestivamente (art. 23, c. 3). Chi sono le persone, e come includere quelle dei fornitori, è spiegato in ruoli e responsabilità.

Il titolo stesso della misura parla di piano eseguito «in coordinamento con le terze parti interessate». Il fornitore IT, il servizio di sorveglianza, il gestore del cloud: il piano deve avere i loro contatti di emergenza e i loro compiti. Se un incidente colpisce i vostri sistemi o servizi mentre un fornitore li gestisce, la notifica resta a voi: il contratto deve obbligarlo ad avvisarvi tempestivamente degli eventi che vi riguardano (FAQ ACN ISB.F.1).

Comunicare con clienti e pubblico

Servono procedure scritte per comunicare, senza ingiustificato ritardo, «se ritenuto opportuno e qualora possibile, sentito il CSIRT Italia», ai destinatari dei vostri servizi gli incidenti significativi che possono danneggiarli, e le misure che possono adottare davanti a una minaccia significativa (RS.CO-02, punto 1; art. 25, c. 9 e 10). È una valutazione vostra, ma l'ACN può imporla (art. 37, c. 3, lett. g e h). Serve anche una procedura per informare il pubblico se l'ACN lo ordina (punto 2). I soggetti essenziali devono avere procedure anche per comunicare all'interno le attività di ripristino (RC.CO-03).

Preparate in anticipo i testi base e decidete chi parla con clienti e stampa: durante un incidente nessuno ha il tempo di scrivere da zero.

Le prove da tenere pronte

• il piano con fasi, ruoli, contatti, comunicazioni e reportistica, con versione e data;
• la delibera dell'organo di amministrazione che lo approva;
• le procedure collegate: valutazione della significatività, notifica e relazioni, ripristino, comunicazioni;
• il documento con i livelli di servizio attesi;
• il registro degli incidenti, anche di quelli non significativi, con le decisioni prese e il loro motivo;
• i verbali dei riesami e delle esercitazioni, con le lezioni apprese.

Il registro degli incidenti non è nominato come tale dal decreto, ma è il modo più semplice per dimostrare che il piano è «attuato» e per avere sotto mano le informazioni per le relazioni.

Gli errori più comuni

• Il piano copiato che nessuno ha letto. Se il coordinatore non sa di esserlo, il piano non esiste.
• Contatti solo in digitale. Con la posta e il server cifrati, l'elenco dei numeri di emergenza deve esistere anche su carta.
• Nessun criterio per «significativo». Senza livelli di servizio e senza i tipi IS-1…IS-4 davanti, la decisione arriva tardi.
• Il referente CSIRT non designato o senza sostituti. Un incidente il 14 agosto va notificato lo stesso.
• Il fornitore fuori dal piano. Spesso è lui il primo a vedere l'incidente.
• Mai provato. Un'esercitazione a tavolino di due ore, una volta l'anno, rivela i buchi meglio di qualunque revisione del documento.

Entro quando

Il piano è una misura di sicurezza, ma serve prima: l'obbligo di notifica scatta 9 mesi dopo la comunicazione di inserimento per chi è entrato nel 2025, e dal 1° gennaio 2027 per chi è entrato nel 2026 (det. ACN 379907/2025, art. 3; det. 127434/2026). Senza un piano, le prime 24 ore si perdono a capire chi deve fare cosa.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Scrivete chi chiamare: canale di segnalazione, coordinatore, referente CSIRT e sostituti, fornitori, con numeri anche su carta.
2. Mettete in fila le fasi e i criteri per decidere se un incidente è significativo.
3. Preparate i modelli: pre-notifica, notifica, relazione finale, comunicazione ai clienti.
4. Fate approvare il piano e provatelo con un'esercitazione a tavolino.

Tra i modelli gratuiti c'è il registro degli incidenti, con la scheda di valutazione sui tipi IS-1…IS-4 e le scadenze di 24 ore, 72 ore e un mese calcolate. Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita. Nella settima tappa di Pilot scrivete il piano con la scheda guidata (segnalazione, squadra, criteri, notifica, contenimento, comunicazioni, lezioni apprese) e tenete il registro degli incidenti: provatelo gratis. Se volete scrivere e provare il piano con un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti