Guida pratica
Come redigere la notifica di incidente NIS2 all'ACN con l'AI
4 min di lettura · Aggiornato a luglio 2026 · Supervisione editoriale: Avv. Federico Papa
La notifica di incidente significativo costituisce un obbligo primario introdotto dalla direttiva (UE) 2022/2555 (NIS2), recepita nell'ordinamento italiano con il D.Lgs. 138/2024. Tale adempimento fa capo ai soggetti essenziali e importanti, i quali sono tenuti a segnalare all'Agenzia per la cybersicurezza nazionale (ACN) gli eventi suscettibili di compromettere la sicurezza dei sistemi informativi e delle reti. La procedura è preordinata ad assicurare una risposta coordinata alle minacce informatiche e a mitigare i rischi per il mercato interno. L'omessa o tardiva notifica espone l'ente alle severe sanzioni amministrative pecuniarie comminate dalla normativa di settore.
In sintesi
Il D.Lgs. 138/2024, di recepimento della direttiva (UE) 2022/2555 (NIS2), impone ai soggetti essenziali e importanti l'obbligo di notifica degli incidenti significativi all'Agenzia per la cybersicurezza nazionale (ACN). La procedura prevede l'invio di un preallarme entro 24 ore, una notifica dettagliata entro 72 ore e una relazione finale entro un mese. La valutazione della significatività considera perturbazioni operative e danni a terzi. L'uso dell'AI supporta la redazione di documenti contenenti indicatori di compromissione (IoC) e analisi delle cause primarie. L'inosservanza dei termini comporta sanzioni amministrative pecuniarie.
I passaggi
- 1.
Verifica della significatività dell'incidente
Occorre anzitutto verificare se l'evento integri gli estremi di un incidente significativo ai sensi dell'art. 23 della direttiva NIS2 e del D.Lgs. 138/2024. L'incidente si qualifica come tale qualora determini una grave perturbazione operativa dei servizi ovvero cagioni un danno materiale o immateriale a terzi. È altresì necessario valutare la sussistenza di un eventuale impatto transfrontaliero e la compromissione della continuità di un servizio essenziale per la collettività o l'economia. Tale analisi preliminare risulta decisiva ai fini della tempestiva attivazione dei flussi informativi verso l'autorità nazionale.
- 2.
Invio del preallarme (early warning) entro 24 ore
A seguito del rilevamento dell'incidente, l'ente deve trasmettere un preallarme (early warning) all'ACN entro il termine perentorio di 24 ore. Tale comunicazione, redatta in forma sintetica, deve chiarire se si sospetti l'origine illecita dell'evento e se esso possa produrre effetti transfrontalieri. La tempestiva trasmissione consente al Computer Security Incident Response Team (CSIRT) Italia di monitorare la situazione in tempo reale. In questa fase non occorre un'analisi tecnica esaustiva, bensì una prima e immediata segnalazione della criticità.
- 3.
Notifica dell'incidente entro 72 ore
Entro 72 ore dal momento in cui è venuto a conoscenza dell'incidente, l'ente deve trasmettere una notifica articolata ad integrazione del preallarme. Il documento deve aggiornare la valutazione iniziale, dettagliando la gravità dell'evento, le sue ripercussioni e gli indicatori di compromissione (IoC) disponibili. È necessario descrivere la natura della minaccia e le vulnerabilità sfruttate, ove note al momento della redazione. Tale notifica costituisce la base per l'eventuale supporto tecnico erogato dalle autorità competenti.
- 4.
Analisi dell'impatto e dei servizi coinvolti
La notifica deve individuare con esattezza gli asset informativi e i servizi essenziali o importanti compromessi. Occorre indicare la stima degli utenti coinvolti e la durata presunta dell'inoperatività dei sistemi, oltre a perimetrare l'area geografica interessata, distinguendo tra impatto locale, nazionale o sovranazionale. Tali elementi consentono all'ACN di classificare la gravità dell'evento e coordinare le opportune azioni di risposta anche in ambito europeo.
- 5.
Redazione della relazione finale entro un mese
Il procedimento si perfeziona con la trasmissione di una relazione finale all'ACN entro un mese dall'invio della notifica. Il documento deve recare un'esposizione particolareggiata dell'evento, illustrandone le cause primarie (root cause) e le misure di mitigazione adottate. È altresì richiesto il rendiconto dell'impatto effettivo, con la quantificazione dei danni e delle ripercussioni a lungo termine sull'organizzazione. Qualora l'incidente sia ancora in corso, l'ente trasmetterà una relazione sullo stato di avanzamento (progress report), in temporanea sostituzione della relazione finale.
Base giuridica: Dir. UE 2022/2555 (NIS2)D.Lgs. 138/2024 (attuazione NIS2)Art. 23 Dir. UE 2022/2555 (NIS2)
La struttura del modello
Le sezioni che compongono l'atto, nell'ordine canonico. Il modello completo si apre e si compila direttamente in edit.legal.
Soggetto notificante e ACN
Dati identificativi dell'ente che effettua la segnalazione e riferimenti istituzionali dell'Agenzia per la cybersicurezza nazionale.
Identificazione del soggetto
Dettagli sulla categoria di appartenenza del soggetto, con specificazione della qualifica di soggetto essenziale o importante, e indicazione dei punti di contatto per la cybersicurezza.
Descrizione dell'incidente
Esposizione dei fatti, indicazione della data e dell'ora di rilevamento e individuazione dei sistemi informativi o servizi digitali interessati.
Impatto e gravità
Valutazione tecnica della significatività dell'evento, con particolare riguardo agli utenti coinvolti, all'indisponibilità del servizio e al perimetro geografico interessato.
Misure adottate
Elenco delle azioni intraprese per contenere la minaccia e interventi pianificati per il completo ripristino della continuità operativa.
Classificazione e seguito
Specifica della tipologia di comunicazione, quale preallarme o notifica intermedia, con indicazione degli elementi ancora oggetto di approfondimento.
Luogo, data, sottoscrizione
Firma digitale del legale rappresentante dell'ente ovvero del referente per la cybersicurezza espressamente delegato.
Errori da evitare
- Inosservanza del termine perentorio di 24 ore per l'invio del preallarme, con conseguente violazione formale degli obblighi di cooperazione.
- Omessa segnalazione dei profili di impatto transfrontaliero, tale da ostacolare il tempestivo coordinamento tra le autorità degli Stati membri.
- Errata qualificazione dell'ente tra soggetto essenziale e soggetto importante, da cui deriva la scorretta individuazione del regime di vigilanza applicabile.
- Mancata trasmissione della relazione finale obbligatoria entro un mese, a seguito della sola presentazione della notifica iniziale.
Domande frequenti
Cosa succede se non si rispettano i termini di notifica?
Il mancato rispetto dei termini di 24 o 72 ore comporta l'irrogazione delle sanzioni amministrative pecuniarie previste dal D.Lgs. 138/2024. Inoltre, l'ACN si riserva il potere di avviare ispezioni e verifiche dirette sull'adeguatezza delle misure di sicurezza adottate dall'ente.
La notifica deve essere inviata anche se l'incidente non è ancora risolto?
Sì, l'obbligo di notifica sorge dal momento in cui l'ente acquisisce consapevolezza della significatività dell'evento, a prescindere dal suo effettivo contenimento. Successivamente, l'ente è tenuto a trasmettere aggiornamenti periodici e, una volta ripristinata la sicurezza dei sistemi, la relazione finale.
Quali canali devono essere utilizzati per l'invio ad ACN?
Le comunicazioni devono essere inoltrate esclusivamente mediante i canali ufficiali predisposti dall'Agenzia, quali la piattaforma digitale dedicata ovvero la posta elettronica certificata (PEC), al fine di attestare la data di spedizione con certezza legale. Occorre attenersi scrupolosamente alle modalità tecniche pubblicate sul portale dello CSIRT Italia.
Cosa automatizza edit.legal
- —Verifica automatizzata della classificazione dell'incidente in aderenza ai criteri previsti dal D.Lgs. 138/2024.
- —Monitoraggio costante dei termini perentori di preallarme, notifica e relazione finale mediante avvisi integrati.
- —Redazione assistita della perizia tecnica tramite modelli strutturati conformi alle linee guida dell'ACN.
Metti edit.legal alla prova sulle tue pratiche
Prova edit.legal gratis su un tuo atto o parere. Nessuna carta di credito richiesta.
Prova edit.legal gratisQuesta guida ha finalità puramente informative e non sostituisce la consulenza di un avvocato sul caso concreto.