Tre momenti, non una sola scadenza
Chi cerca online obbligo di notifica nis2 24 ore si imbatte solitamente nell'idea che un'organizzazione debba conoscere e segnalare tutto entro un giorno. Non è così. L'articolo 23 della direttiva NIS2 distingue tre momenti separati dopo un incidente significativo: un avviso preliminare entro 24 ore, una notifica più dettagliata entro 72 ore e una relazione finale entro un mese. Ogni momento richiede qualcosa di diverso, e il conteggio dei tempi inizia solo quando l'organizzazione diventa consapevole dell'incidente — non dal momento in cui l'incidente si è effettivamente verificato.
Importante sapere in anticipo: questo obbligo di notifica si applica alle organizzazioni designate come entità essenziale o importante secondo NIS2, ovvero alle entità appartenenti ai settori dell'allegato I e II. Le aziende colpite attraverso la catena di approvvigionamento — il fornitore PMI che riceve un questionario sulla sicurezza da un grande acquirente — non sono soggette a questo obbligo di notifica di per sé. Possono comunque notare che un acquirente chiede come gestiscono gli incidenti, ma è diverso da un obbligo legale di notifica a un'autorità di vigilanza. Se siete incerti sulla categoria in cui rientra la vostra organizzazione, il controllo con poche domande ne fornisce una prima indicazione.
Il primo momento: un avviso, non un'analisi
Le prime 24 ore sono destinate a un segnale preliminare, non a un'analisi completa. La direttiva parla qui di avviso preliminare: un breve messaggio indicante che potrebbe verificarsi un incidente significativo, e se sussiste il sospetto che l'incidente sia stato causato da azioni illegittime o possa avere conseguenze transfrontaliere. Ciò che manca in questo momento — la causa esatta, l'entità, i sistemi interessati — non deve ancora essere disponibile. Questo è precisamente dove risiede il malinteso: 24 ore non è un termine per risolvere o comprendere pienamente l'incidente, è un termine per notificare che qualcosa sta accadendo.
Il secondo momento: una prima valutazione
Entro 72 ore segue una notifica che va oltre il primo avviso. Qui ci si aspetta una prima valutazione dell'incidente, con la gravità e le conseguenze, e per quanto disponibili gli indicatori che rimandano all'incidente. Anche questo è esplicitamente un passaggio intermedio: la direttiva riconosce che un'organizzazione spesso non ha il quadro completo 72 ore dopo aver ricevuto la notifica. Ciò che tuttavia ci si aspetta è che in quel momento l'organizzazione possa dimostrare ciò che ha accertato fino a quel punto e quali misure ha adottato o sta considerando.
Il terzo momento: la relazione finale
La relazione finale, entro un mese al massimo dalla notifica, è il luogo in cui viene documentata la storia completa: una descrizione dettagliata dell'incidente, la gravità e le conseguenze, il tipo di minaccia o la causa sottostante che ha portato all'incidente, le misure di contenimento implementate e in corso, e dove rilevante le conseguenze transfrontaliere. Se l'incidente è ancora in corso in quel momento, la direttiva prevede una relazione provvisoria e una relazione finale successiva una volta che l'incidente è stato risolto.
Cosa l'organizzazione stessa deve fare e cosa no
Questi tre momenti riguardano il CHE cosa viene notificato e il QUANDO, non il COME un'organizzazione gestisce tecnicamente l'incidente. L'identificazione della causa, l'isolamento dei sistemi, l'indagine forense — questo è lavoro per parti specializzate e esula da ciò che una piattaforma preparatoria come secria.eu svolge. Prepariamo i testi necessari per ognuno dei tre momenti, sulla base di ciò che è già stato registrato nel fascicolo di cibersicurezza dell'organizzazione riguardo a misure e responsabili; la presentazione avviene sempre da parte dell'organizzazione stessa presso il portale dell'autorità di vigilanza competente.
Il modo esatto di procedere e il portale differiscono per paese, poiché ogni Stato membro recepisce la direttiva nella propria legislazione — nei Paesi Bassi attraverso la Legge sulla sicurezza informatica. Dettagli come il processo esatto di notifica all'autorità di vigilanza è quindi consigliabile verificarli direttamente presso l'autorità di vigilanza stessa o nel testo nazionale definitivo. Una panoramica di come secria.eu mantiene le fonti e con quale data è possibile leggerla su la pagina su dove provengono le nostre informazioni.
Perché questo è più che ricordare una scadenza
I tre momenti sono fattibili solo se un'organizzazione sa in anticipo chi riconosce un incidente, chi lo segnala e quali informazioni sono già disponibili per questo scopo. È proprio qui che le misure di diligenza dovuta e il processo di notifica si incontrano: un'organizzazione che mantiene le sue misure come un registro dinamico, con un responsabile per ogni misura, non deve ricominciare da zero in caso di incidente per chiarire chi è responsabile di cosa. Ulteriori informazioni su come queste misure sono correlate all'obbligo di notifica e ad altri obblighi le troverete su la panoramica degli argomenti per situazione.
Se avete domande su cosa si intende esattamente per incidente significativo o su come l'obbligo di notifica si rapporta al vostro settore, la pagina delle domande frequenti è un passo logico successivo, oltre a consultare l'autorità di vigilanza o un avvocato per la vostra situazione specifica.
Se volete prima sapere se la vostra organizzazione rientra affatto nell'obbligo di notifica, fate il controllo gratuito NIS2. Vi dà in poche domande un'indicazione della vostra posizione, con spiegazioni e un passo successivo — senza che sia necessario un account.