01 Gennaio 2026, obblighi di notifica e risposta agli incidenti. NIS 2 ai nastri di partenza (Parte II/III).
Come visto nello scorso numero, la determinazione di quando un incidente di sicurezza diventa “significativo” è il fulcro del meccanismo di notifica previsto dalla NIS 2.
Questa valutazione, tuttavia, non può essere lasciata all’improvvisazione durante una crisi ma richiede un processo strutturato che traduca i principi legali qualitativi in soglie e metriche operative, possibilmente quantitative, definite in anticipo.
Come pure rilevato, sia l’articolo 23 della Direttiva che l’articolo 25 del decreto di recepimento definiscono un incidente come significativo quando soddisfa almeno uno di due criteri di alto livello: in primo luogo, quando ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato; in secondo luogo, quando ha provocato o può provocare ripercussioni su altre persone fisiche o giuridiche, causando perdite materiali o immateriali considerevoli.
La sfida operativa risiede nell’interpretazione di termini volutamente ampi come “grave” e “considerevoli”.
Questi aggettivi implicano una valutazione contestuale che deve tenere conto della natura del servizio, delle dimensioni dell’organizzazione e dell’impatto potenziale sull’economia e sulla società.
Lasciare questa interpretazione solo al momento dell’incidente espone l’organizzazione a decisioni affrettate, incoerenti e difficilmente difendibili, ed è qui che intervengono le specifiche di base dell’ACN, in particolare gli Allegati 3 e 4 della Determina n. 164179/2025.
Questi documenti forniscono una tassonomia concreta degli “incidenti significativi di base”, che fungono da trigger tecnici per l’obbligo di notifica e rappresentano la traduzione operativa dei principi legali visti sopra.
In particolare la tassonomia prevede la perdita di riservatezza (IS-1), che si verifica quando il soggetto ha evidenza della perdita di riservatezza, verso l’esterno, di dati digitali di sua proprietà o sotto il suo controllo.
Include anche la perdita di integrità (IS-2), che si ha quando il soggetto ha evidenza della perdita di integrità, con impatto verso l’esterno, di dati di sua proprietà o sotto il suo controllo.
Si considera inoltre la perdita di disponibilità (IS-3), che occorre quando il soggetto ha evidenza della violazione dei livelli di servizio attesi dei suoi servizi e/o delle sue attività. Infine, solo per i Soggetti Essenziali, è previsto l’accesso non autorizzato o con abuso di privilegi (IS-4), che si verifica quando il soggetto essenziale ha evidenza di un accesso illecito o di un abuso di privilegi concessi a dati digitali di sua proprietà o sotto il suo controllo.
Un concetto fondamentale introdotto dall’ACN è quello di “evidenza”, in base al quale l’obbligo di notifica non scatta sulla base di un semplice sospetto, ma quando l’organizzazione “dispone di elementi oggettivi dai quali si evince che si è verificato un incidente di sicurezza informatica” riconducibile a una delle categorie sopra elencate.
In buona sostanza, la tassonomia dell’ACN definisce il “cosa” cercare, ma non stabilisce soglie quantitative per il “quanto”, quindi, per applicare in modo coerente e difendibile i criteri di “gravità” e “considerevolezza” della Direttiva, ogni organizzazione deve sviluppare un proprio sistema di metriche e soglie interne.
Per valutare una “grave perturbazione operativa”, è necessario misurare la deviazione rispetto al funzionamento normale.
Le metriche pertinenti includono, a d esempio: a) il numero di utenti/clienti impattati, sia in valore assoluto che in percentuale sul totale; b). il numero di sistemi/servizi critici coinvolti, basato su una classificazione interna della criticità degli asset; c). la durata dell’interruzione, misurata in minuti o ore e confrontata con i Service Level Agreement (SLA) o Service Level Objective (SLO) contrattuali o interni; d). e la percentuale di degrado delle performance, per incidenti che non causano un’interruzione totale ma un rallentamento significativo.
Dato che la misura ACN DE.CM-01 richiede esplicitamente la definizione dei livelli di servizio attesi (SLA – Service Level Agreement), questi ultimi non costituiscono semplicemente un parametro indicativo, bensì il fondamento imprescindibile e il punto di riferimento primario per qualsiasi attività di valutazione, monitoraggio e rendicontazione.
La loro chiara e inequivocabile formulazione è pertanto cruciale per garantire la trasparenza, l’efficacia e l’obiettività nel processo di misurazione delle prestazioni e per determinare il successo o l’insuccesso nell’erogazione del servizio o nel raggiungimento degli obiettivi prefissati.
La stima delle “perdite finanziarie” rappresenta un processo complesso ma di fondamentale importanza in svariati contesti, che spaziano dalla valutazione dei danni in ambito legale e assicurativo, all’analisi di impatto economico in progetti aziendali, fino alla quantificazione dei costi derivanti da eventi imprevisti o interruzioni operative.
Per affrontare tale complessità, è utile distinguere due categorie principali di costi che contribuiscono alla composizione delle perdite finanziarie totali.
Questa distinzione permette un’analisi più strutturata e una quantificazione più precisa, evitando omissioni o sovrastime.
I costi diretti sono facilmente quantificabili e includono i costi per il personale interno ed esterno dedicato alla risoluzione dell’incidente (remediation), le spese legali, i costi di notifica agli interessati (in caso di data breach GDPR), e le potenziali sanzioni normative.
I costi indiretti sono più difficili da stimare, ma spesso più ingenti, e comprendono la perdita di fatturato dovuta al fermo delle operazioni, il danno reputazionale, la perdita di clienti, e la potenziale diminuzione del valore azionario per le società quotate.
Per un approccio più strutturato alla quantificazione del rischio finanziario, le organizzazioni possono avvalersi di modelli come il FAIR (Factor Analysis of Information Risk).
Sotto altro profilo, la compromissione dei dati ha un impatto che va oltre quello puramente finanziario o operativo.
Le metriche da considerare sono il volume dei dati, ovvero il numero di record o di soggetti interessati, metrica fondamentale anche per la valutazione di un data breach ai sensi del GDPR; la sensibilità dei dati, poiché l’impatto varia enormemente in base alla classificazione dei dati compromessi; e l’impatto sulla proprietà intellettuale, che si traduce in una perdita di vantaggio competitivo.
La NIS 2 pone infine grande enfasi sull’impatto degli incidenti nella supply chain. Le relative metriche devono quindi considerare il numero di fornitori o clienti diretti che subiscono un’interruzione dei loro servizi a causa dell’incidente; l’impatto transfrontaliero, che è la valutazione del potenziale impatto su servizi o utenti in altri Stati membri dell’UE; e il rischio per la sicurezza o la salute pubblica, per cui, nei settori critici come sanità, energia e trasporti, la valutazione deve includere il potenziale danno a persone o alla collettività.
La definizione di queste metriche e delle relative soglie non può essere un esercizio confinato al dipartimento IT o di sicurezza ma deve essere un’attività strategica che coinvolge attivamente le funzioni di business, il legale, la compliance e il vertice aziendale e riflettere la propensione e la tolleranza al rischio dell’organizzazione.
Questo dialogo forzato tra IT e business è uno dei risultati più significativi della nuova normativa, in quanto promuove un allineamento strategico e rende la cybersecurity una funzione aziendale integrata, non più un silo tecnico.
Prossimo numero.
Nel prossimo numero si esamineranno i contenuti e le modalità di realizzazione di una procedura e di un piano efficace di risposta agli incidenti considerando le differenze e le integrazioni con le principali metodologie di Continuità Operativa e Disaster Recovery.
Se sei interessato ad approfondire la gestione degli incidenti nell'era della Nis2 allora scarica il Whitepaper dell'Avv. Giuseppe Serafini
Hai una domanda per l'autore?
Al codice del consumo (n.206/2005) vengono aggiunti nuovi articoli
