La gestione efficace degli incidenti di sicurezza informatica è un pilastro strategico della Direttiva NIS2 e del suo recepimento in Italia attraverso il Decreto Legislativo 4 settembre 2024, n. 138. Questo adempimento non è un mero esercizio di conformità, ma il fulcro di una strategia nazionale volta a rafforzare la resilienza operativa dei soggetti essenziali e importanti, garantendo la continuità dei servizi critici per economia e società.
Un incidente gestito in modo tempestivo ed efficace può fare la differenza tra un disservizio contenuto e una crisi su larga scala, con impatti operativi, finanziari e reputazionali.
In questo contesto, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha emanato due documenti cardine per il quadro operativo dei soggetti NIS.
Il primo è la Determinazione 379907 del 19 dicembre 2025 (pubblicata il 24 dicembre 2025 e applicabile dal 15 gennaio 2026), che ridefinisce quanto già previsto con l’analoga determinazione 164179 di aprile 2025 (sostituita nel suo complesso), raffinando indicazioni e precisando alcuni punti.
Il secondo documento, strettamente collegato, è quello delle “Linee Guida per la definizione del processo di gestione degli incidenti di sicurezza informatica”, pubblicato il 31 dicembre 2025 (non vincolante sul piano regolatorio).
È tuttavia necessaria una riflessione critica sul tempismo: pubblicare documenti di portata strategica il 24 e il 31 dicembre 2025 aumenta la pressione sui soggetti designati (e, prima ancora, sui loro consulenti), chiamati ad avviare in una settimana già complessa ulteriori attività di ri-analisi, ri-confronto e ri-pianificazione.
Indice degli argomenti
Un modello operativo per la gestione incidenti NIS2 secondo ACN
L’adozione di un processo formalizzato di gestione degli incidenti è un indicatore di maturità per qualsiasi organizzazione. Segna il passaggio da una gestione reattiva e improvvisata a un approccio orchestrato, prevedibile ed efficace.
Il modello proposto da ACN, ispirato a framework internazionali consolidati come il NIST SP 800-61, offre un percorso chiaro e logico articolato in cinque fasi. Questo allineamento garantisce un approccio testato a livello internazionale e un linguaggio comune per dialogare con partner, fornitori e autorità.
Preparazione come base della gestione incidenti NIS2
Questa fase costituisce la fondamenta dell’intero processo. Precede l’incidente e comprende attività propedeutiche per garantire una risposta efficace, articolate nelle sotto-fasi di Governo, Identificazione e Protezione.
Tra le attività cruciali rientra la stesura del “Piano per la gestione degli incidenti” (misura RS.MA-01), documento strategico che definisce procedure, strumenti e reportistica. Altrettanto centrale è la definizione di ruoli e responsabilità, con particolare enfasi sulla figura del Referente CSIRT, designato per l’interlocuzione ufficiale con CSIRT Italia.
Rilevamento: individuare rapidamente gli incidenti NIS2
L’obiettivo è l’individuazione tempestiva degli incidenti per limitarne l’impatto. Le Linee Guida distinguono tra un approccio proattivo (come il Threat Hunting, ricerca attiva di indizi di compromissione) e uno reattivo, basato su allarmi generati da strumenti di sicurezza o segnalazioni.
Le metodologie di rilevamento possono basarsi su:
- Indicatori di Compromissione (IOC-based): ricerca di elementi noti associati a malware o attacchi.
- Anomalie (Anomaly-based): identificazione di deviazioni dal comportamento standard dei sistemi.
- Tattiche, Tecniche e Procedure (TTP-based): riconoscimento di modelli di comportamento degli avversari.
Risposta e notifiche nella gestione incidenti NIS2
Questa è la fase centrale e operativa, che si attiva quando un evento di sicurezza viene confermato come incidente. Si articola in quattro sotto-fasi strettamente interconnesse: Segnalazione, Investigazione, Contenimento, Eradicazione.
Segnalazione: tempi e categorie di incidente nella gestione incidenti NIS2
La segnalazione include la notifica obbligatoria al CSIRT Italia e la comunicazione alle parti interessate. La normativa impone tempistiche perentorie: pre-notifica entro 24 ore e notifica completa entro 72 ore dal momento in cui si acquisisce “evidenza” dell’incidente.
È fondamentale notare che per evidenza si intende il momento in cui l’organizzazione dispone di elementi oggettivi che confermano l’incidente, non necessariamente l’avvio dell’attacco o la piena comprensione della causa.
Le tipologie di incidente da notificare sono:
- IS-1: perdita di riservatezza, verso l’esterno, di dati digitali di sua proprietà o sui quali esercita il controllo, anche parziale.
- IS-2: perdita di integrità, con impatto verso l’esterno, di dati digitali di sua proprietà o sui quali esercita il controllo, anche parziale.
- IS-3: violazione dei livelli di servizio attesi dei suoi servizi e/o delle sue attività.
In aggiunta, i Soggetti Essenziali hanno un ulteriore obbligo di notifica per IS-4: accesso non autorizzato o con abuso dei privilegi concessi a dati digitali. Questo requisito sottolinea la maggiore criticità dei sistemi da loro gestiti.
Investigazione, contenimento ed eradicazione: cosa fare dopo la notifica
L’Investigazione comprende l’analisi approfondita per comprendere causa, estensione e impatto dell’incidente, ricostruendo la sequenza degli eventi (cyber kill chain).
Il Contenimento riguarda le azioni immediate per circoscrivere l’attacco e impedirne la propagazione ad altri sistemi.
L’Eradicazione è la rimozione completa della presenza dell’attaccante e delle componenti malevole dai sistemi compromessi, assicurando che non restino persistenze o accessi residui.
Ripristino: tornare operativi dopo un incidente NIS2
Questa fase è dedicata al ritorno alla normale operatività. L’obiettivo è ripristinare sistemi e dati compromessi in modo sicuro e controllato, verificando che le vulnerabilità sfruttate siano state risolte per prevenire una ricompromissione.
Le attività includono la reinstallazione da immagini “pulite” e un adeguato monitoraggio post-ripristino, così da intercettare eventuali segnali di ripresa dell’attacco o effetti collaterali non emersi nella fase acuta.
Miglioramento continuo nella gestione incidenti NIS2
La fase di Miglioramento è trasversale: capitalizza l’esperienza di ogni incidente (o esercitazione) per potenziare la risposta futura. Attraverso riunioni di lesson learned, l’organizzazione analizza criticità e identifica interventi correttivi.
Questo ciclo di feedback è essenziale per aggiornare procedure, policy e configurazioni tecnologiche, come richiesto dalla misura RS.MA-01 (punto 3). Per i Soggetti Essenziali il processo è più formalizzato: la misura ID.IM-01 (punto 3) impone di definire e documentare un piano di valutazione dell’efficacia delle misure di gestione del rischio, obbligo non previsto per i Soggetti Importanti.
Dalle misure ACN alla gestione incidenti NIS2 davvero operativa
Un punto fondamentale chiarito dalle Linee Guida è che il processo di gestione incidenti non è un documento astratto destinato a restare su uno scaffale. È, al contrario, un’architettura operativa che si regge su fondamenta tecnologiche e organizzative concrete: le “Misure di sicurezza di base” definite negli Allegati 1 (Soggetti Importanti) e 2 (Soggetti Essenziali) della Determinazione ACN.
Ogni fase del processo è resa possibile solo dall’implementazione di controlli di sicurezza specifici. È difficile orchestrare una risposta efficace (Respond) senza aver prima investito in una solida governance che definisca policy e responsabilità (Govern – GV.PO-01, GV.RR-02), in controlli di protezione adeguati come backup sicuri (Protect – PR.DS-11) e in capacità di monitoraggio continuo che generino allarmi affidabili (Detect – DE.CM-01).
Ogni fase dipende dalle altre, creando un ecosistema di sicurezza interconnesso. La domanda che sorge spontanea per ogni organizzazione è quindi: come tradurre questi requisiti normativi in una reale capacità operativa e raggiungere un livello di maturità adeguato?
Piano d’azione: portare la gestione incidenti NIS2 dalla compliance alla maturità
L’obiettivo finale della normativa NIS2 non è la produzione di documenti, ma la riduzione tangibile del rischio informatico a livello nazionale. Per questo, è imperativo spostare il focus dalla mera conformità documentale (“avere una procedura su carta”) alla maturità operativa e alla resilienza reale.
Di seguito, un piano d’azione in cinque punti per guidare questa trasformazione:
Sponsorizzazione del vertice e accountability
La cybersecurity non è più delegabile unicamente alla funzione IT. Misure ACN come la RS.MA-01 richiedono che i piani di gestione degli incidenti siano approvati dagli organi di amministrazione e direttivi.
Questo requisito sposta la cybersecurity dal “seminterrato tecnico” alla sala del consiglio di amministrazione, attribuendo una accountability diretta e non delegabile al vertice: gli organi direttivi non sono più solo destinatari di report, ma legalmente responsabili dell’adeguatezza del piano di risposta.
Playbook operativi per gli scenari più probabili
Il piano di gestione incidenti è strategico, ma inefficace in crisi se non supportato da procedure operative dettagliate. È essenziale sviluppare playbook (o Procedure Operative Standard – SOP) per gli scenari più probabili e impattanti (es. ransomware, violazione di dati, attacco DDoS).
Questi documenti devono fornire istruzioni passo-passo per team tecnici e di gestione, coerenti con i requisiti di proceduralizzazione richiamati in numerose misure (es. RC.RP-01).
Test, formazione e simulazione continua
Piani e playbook restano teoria se non vengono interiorizzati e testati sul campo. Entrambi i tipi di entità devono avere un piano di formazione generale (PR.AT-01), ma per i Soggetti Essenziali l’asticella sale: PR.AT-02 impone formazione dedicata e specializzata per il personale tecnico su configurazione sicura, minacce note e risposta agli incidenti.
Questo deve tradursi in esercitazioni pratiche regolari: tabletop exercise per il management e simulazioni tecniche per i team operativi. Inoltre, requisiti come il test periodico dei backup (PR.DS-11) e l’esecuzione di vulnerability assessment o penetration test (ID.RA-01) indicano che la validazione pratica delle difese è un obbligo.
Integrazione tecnologica e automazione
Tecnologie come SIEM, SOAR ed EDR non sono solo acronimi, ma strumenti essenziali per supportare il processo. Devono essere configurati e ottimizzati per automatizzare, per quanto possibile, le fasi di Rilevamento e Risposta.
L’automazione è cruciale per correlare eventi, arricchire gli allarmi e orchestrare le prime azioni di contenimento, aiutando i team a rispettare le tempistiche di notifica 24 e 72 ore.
Formalizzare il ciclo di miglioramento
La fase di Miglioramento deve diventare un processo aziendale istituzionalizzato. Dopo ogni incidente significativo o esercitazione, è necessario convocare una riunione di lesson learned con tutti gli stakeholder coinvolti.
Gli esiti devono tradursi in un piano di azioni correttive formalmente tracciato, garantendo l’aggiornamento effettivo di piani, playbook e configurazioni, come richiesto dalle misure RS.MA-01 (punto 3) e ID.IM-01.
L’adeguamento alla normativa NIS2 rappresenta un onere significativo per i soggetti designati. Tuttavia, va visto non come un mero costo, ma come un investimento strategico: un’opportunità per elevare il livello di sicurezza e resilienza, proteggendo la singola organizzazione e contribuendo alla stabilità dell’intera infrastruttura digitale del Paese.
