Referente CSIRT NIS2: chi è, chi lo designa ed entro quando

Quando un incidente colpisce un soggetto NIS, qualcuno deve parlare con il CSIRT Italia e inviare la pre-notifica entro 24 ore. Quel qualcuno ha un nome preciso: è il referente CSIRT. Non lo prevede il decreto, ma una determinazione dell'ACN, e ha una scadenza propria: va designato entro il 31 dicembre dell'anno in cui siete entrati nell'elenco NIS (det. ACN 314287/2026, art. 7, c. 1). Per chi è entrato nel 2026, quindi, entro il 31 dicembre 2026.

Questa guida spiega chi è, cosa fa, chi può esserlo, se può essere esterno, in cosa si distingue dal punto di contatto e come si designa sul Portale ACN.

Chi è il referente CSIRT

Il referente CSIRT è una persona fisica designata dal punto di contatto con la procedura telematica del Portale ACN (det. 314287/2026, art. 7, c. 1). Ha due compiti (art. 7, c. 2):

• interloquire con il CSIRT Italia, il gruppo di risposta agli incidenti che fa parte dell'ACN;
• effettuare le notifiche per conto del soggetto: quelle obbligatorie degli incidenti significativi (d.lgs. 138/2024, art. 25) e quelle volontarie di incidenti minori, minacce e quasi-incidenti (art. 26).

Per l'ACN la designazione è una delega operativa, non di responsabilità: delle violazioni continuano a rispondere gli organi di amministrazione, come dice l'art. 23 del decreto (FAQ ACN RCS.2). Il referente trasmette le notifiche, ma la decisione su cosa notificare deve stare dentro regole scritte: la stessa FAQ chiede di definire ruoli, responsabilità, processi e procedure per decidere, e nei casi più gravi la decisione spetta ai vertici. È il compito del piano di gestione degli incidenti (misura ACN RS.MA-01).

Entro quando va designato

La regola generale è nella det. 314287/2026, art. 7, c. 1. Per chi è entrato nel 2026 la det. 127434/2026 fa partire l'obbligo di notifica dal 1° gennaio 2027, e l'ACN lo ha detto in modo esplicito: è «quindi necessario designare il referente CSIRT entro fine 2026» (notizia ACN del 13 aprile 2026, riassunta nelle novità NIS2). Per chi è entrato nel 2025 la designazione era aperta fino al 31 dicembre 2025, con una sezione apposita del Portale attiva da fine novembre (notizia ACN del 22 novembre 2025). Tutte le date sono in scadenze 2026-2027.

Il punto pratico è semplice: dal giorno in cui scatta l'obbligo di notifica, un incidente significativo va pre-notificato entro 24 ore. Se il referente non c'è, o non ha ancora completato l'accesso al Portale, il tempo se ne va a cercare chi può farlo.

Chi può essere: i requisiti

La determinazione chiede che il referente e i suoi sostituti abbiano almeno competenze di base in sicurezza informatica e gestione degli incidenti, e una conoscenza approfondita dei sistemi informativi e di rete del soggetto per cui operano (det. 314287/2026, art. 7, c. 5). Non servono certificazioni o titoli particolari.

Nelle organizzazioni complesse la conoscenza approfondita dei sistemi può essere assicurata anche in modo indiretto, con un modello operativo che permetta al referente di attivare caso per caso il personale che conosce i sistemi (FAQ RCS.1). Non ci sono limiti di cittadinanza e, ferma la lingua italiana per le comunicazioni ufficiali, con il CSIRT Italia si può parlare anche in inglese (FAQ RCS.3): utile per i gruppi con un SOC all'estero.

Interno o esterno?

Può essere esterno. L'ACN preferisce che sia interno, ma la determinazione non vieta di affidare il ruolo fuori, per esempio al responsabile del SOC o della gestione dell'infrastruttura informatica affidata a un fornitore (FAQ RCS.1 e RCS.3). È la differenza principale con il punto di contatto e il suo sostituto, che sono le uniche figure che non si possono esternalizzare (FAQ RR.3).

Se scegliete una persona del fornitore, conviene mettere per iscritto nel contratto alcune cose che la legge non dice ma che servono a far funzionare il ruolo:

• la reperibilità in orari e giorni compatibili con le 24 ore della pre-notifica, ferie comprese, e i sostituti;
• l'accesso alle informazioni necessarie a valutare l'incidente anche sui sistemi che il fornitore non gestisce;
• l'obbligo di seguire il vostro piano di gestione degli incidenti e di non notificare senza la decisione prevista dal piano;
• la riservatezza e la consegna dei registri a fine rapporto;
• cosa succede se il fornitore cambia persona o se il contratto finisce, con l'aggiornamento sul Portale.

Anche quando è esterno, il referente va scritto nell'organizzazione per la sicurezza con i suoi sostituti (misura GV.RR-02, punto 3), e i ruoli affidati alle persone del fornitore vanno definiti (GV.SC-02). Il resto è in ruoli e responsabilità e in NIS2 e fornitori.

Referente CSIRT e punto di contatto: le differenze

Sono le due figure che la piattaforma ACN chiede a ogni soggetto NIS, e spesso vengono confuse. Le differenze, punto per punto:

Possono essere la stessa persona? Sì, nelle organizzazioni di dimensioni contenute: la determinazione non vieta di sovrapporre i due ruoli, ma in quel caso la persona deve essere interna (FAQ RCS.1). L'ACN auspica comunque che siano persone distinte.

Il punto di contatto può notificare? Sì, ma in via eccezionale: se il referente CSIRT e i suoi sostituti non sono disponibili, il punto di contatto può fare le notifiche per conto del soggetto (det. 314287/2026, art. 4, c. 9; FAQ RCS.6, che lo estende al sostituto del punto di contatto). È una rete di sicurezza, non un'alternativa alla designazione. Come si nomina il punto di contatto lo spieghiamo in registrazione e punto di contatto.

I sostituti: obbligatori o no?

La determinazione dice che i sostituti «possono essere designati» (art. 7, c. 3): non sono obbligatori per la lettera della norma. Quando ci sono, supportano il referente e possono svolgere i suoi compiti per suo conto (c. 4), con gli stessi requisiti (FAQ RCS.4).

Nella pratica conviene averne almeno uno. Un incidente può arrivare il venerdì sera o a Ferragosto, e il termine delle 24 ore non si ferma. Una soluzione comune nelle medie imprese è un referente interno (il responsabile IT) con un sostituto interno e uno del fornitore che gestisce sistemi o sorveglianza.

Come si designa sul Portale ACN

1. Il punto di contatto entra nel Portale dei servizi ACN e apre, tra i servizi NIS, la funzione di aggiornamento dei dati (FAQ RCS.5).
2. Inserisce codice fiscale e indirizzo email del referente e degli eventuali sostituti. Non serve caricare documenti (FAQ RCS.5).
3. Il referente e i sostituti accedono al Portale con SPID, CIE, CNS o eIDAS e completano il censimento della propria utenza. Finché non lo fanno, la designazione non è completa.
4. Conservate la ricevuta e scrivete i nomi nell'organizzazione per la sicurezza e nel piano di gestione degli incidenti.

Dopo, i dati del referente e dei sostituti si verificano ogni anno nell'aggiornamento annuale dal 15 aprile al 31 maggio (det. 314287/2026, art. 16, c. 3, lett. f). Se il referente cambia durante l'anno, il cambio va comunicato tempestivamente e comunque entro 14 giorni (d.lgs. 138/2024, art. 7, c. 7).

Cosa succede se non lo designate? Il decreto non nomina il referente CSIRT, ma la determinazione che lo prevede è adottata in base all'art. 7, c. 6, e l'inosservanza delle modalità stabilite dall'ACN ai sensi dell'art. 7 è una delle violazioni dell'art. 38, c. 10, lett. b. Più ancora pesa l'effetto pratico: un incidente non notificato in tempo è tra le violazioni considerate gravi (art. 34, c. 6, lett. a, n. 2), e le sanzioni per gli obblighi dell'art. 25 sono quelle più alte, spiegate in le sanzioni.

Cosa deve saper fare, in concreto

Il referente non deve risolvere l'incidente da solo: deve far funzionare il canale con il CSIRT Italia. In concreto:

• conoscere i tipi di incidente significativo fissati dall'ACN (IS-1, IS-2, IS-3 per gli importanti, più IS-4 per gli essenziali) e i tempi: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese (art. 25, c. 5). Il dettaglio è in notifica degli incidenti;
• sapere dove si notifica: dal Portale dei servizi ACN, nella maschera dedicata;
• avere a portata di mano chi decide, chi conosce i sistemi e chi parla con clienti e Garante privacy se l'incidente tocca dati personali, come spiega NIS2 e GDPR;
• tenere il registro delle notifiche e degli scambi con il CSIRT, utile per la relazione finale e per le verifiche;
• partecipare alle prove del piano e alla formazione per i ruoli con compiti di sicurezza.

Da dove partire

1. Controllate l'anno di ingresso nella PEC dell'ACN: da lì dipende la scadenza del 31 dicembre.
2. Scegliete referente e sostituti guardando a chi conosce davvero i sistemi e a chi è raggiungibile anche fuori orario.
3. Se il referente è del fornitore, sistemate prima il contratto con le clausole sopra.
4. Fatelo designare dal punto di contatto e verificate che ognuno abbia completato l'accesso al Portale.
5. Aggiornate organizzazione per la sicurezza e piano di gestione degli incidenti, e fate una prova di notifica sulla carta.

Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita. Per tenere traccia degli incidenti c'è il modello di registro degli incidenti, tra i modelli NIS2 gratuiti. In Pilot la terza tappa raccoglie punto di contatto, sostituto e referente CSIRT con le loro scadenze: provatela gratis. Se volete affidare il ruolo a un fornitore e non sapete come scrivere il contratto, c'è la consulenza NIS2 dello Studio.

Domande frequenti