La Direttiva NIS2 definisce requisiti specifici per la gestione degli incidenti, focalizzandosi su un approccio multi-fase per la segnalazione degli incidenti significativi.
🔴 NIS2: sei conforme? Non rischiare sanzioni o vulnerabilità . Adegua subito la tua azienda con il supporto dei nostri esperti.Ecco una sintesi basata sulle informazioni fornite:
- Risposta Iniziale (Allerta Preliminare): Gli enti essenziali e gli enti importanti sono tenuti a inviare un’allerta preliminare al proprio CSIRT o all’autorità nazionale competente senza indebito ritardo e comunque entro 24 ore dal momento in cui vengono a conoscenza di un incidente significativo. Questa allerta preliminare deve includere:
- Conferma dell’incidente significativo.
- Indicazione, se applicabile, se l’incidente è sospettato di essere il risultato di atti illegali o dannosi.
- Valutazione preliminare sul fatto che l’incidente possa o è probabile che abbia un impatto transfrontaliero.
- L’allerta preliminare ha l’obiettivo di abilitare una risposta tempestiva e consente all’ente interessato di richiedere assistenza, se necessario.
- Notifica Formale: Successivamente all’allerta preliminare, gli enti devono inviare una notifica formale dell’incidente senza indebito ritardo e comunque entro 72 ore dal momento in cui vengono a conoscenza dell’incidente. Questa notifica deve includere:
- Aggiornamenti alle informazioni fornite nell’allerta preliminare.
- Una valutazione iniziale dell’incidente, compresa la sua gravità e il suo impatto.
- Indicatori di compromissione, se disponibili.
- Relazione Intermedia: Un CSIRT o un’autorità competente può richiedere un rapporto intermedio all’ente coinvolto. Questo rapporto fornisce aggiornamenti rilevanti sulla situazione.
- Rapporto Finale: Un rapporto finale deve essere inviato al CSIRT o all’autorità competente entro un mese dalla trasmissione della notifica dell’incidente. Questo rapporto deve contenere:
- Descrizione dettagliata dell’incidente, della sua gravità e del suo impatto.
- Analisi del tipo di minaccia o causa scatenante che probabilmente ha innescato l’incidente.
- Descrizione delle misure di mitigazione adottate e di quelle ancora in corso.
- Valutazione dell’impatto transfrontaliero dell’incidente, se applicabile.
- Segnalazioni Continuative sull’Incidente: Se l’incidente è ancora in corso al momento della trasmissione del rapporto finale, l’ente interessato deve fornire un rapporto di aggiornamento sullo stato dell’incidente. Un rapporto finale sarà quindi dovuto entro un mese dalla risoluzione dell’incidente.
- Caso Particolare: Fornitori di Servizi Fiduciari: I fornitori di servizi fiduciari devono rispettare un termine più breve per la segnalazione degli incidenti che interessano i loro servizi fiduciari. Essi devono notificare il CSIRT o l’autorità competente senza indebito ritardo e comunque entro 24 ore dal momento in cui vengono a conoscenza dell’incidente significativo.
- Condivisione delle Informazioni:
- Per garantire una risposta coordinata, soprattutto per gli incidenti che coinvolgono più Stati Membri, il CSIRT, l’autorità competente o il punto di contatto unico (SPOC) devono informare senza indebito ritardo gli altri Stati Membri interessati e l’ENISA.
- La condivisione delle informazioni deve tutelare gli interessi commerciali dell’ente coinvolto e la riservatezza delle informazioni fornite, in conformità con la normativa UE o nazionale.
- La divulgazione pubblica dell’incidente può essere giustificata se considerata necessaria per proteggere il pubblico o è nell’interesse pubblico. Ciò dovrebbe essere fatto in consultazione con l’ente interessato.
- Supporto e Orientamento: Una volta ricevuta un’allerta preliminare, il CSIRT o l’autorità competente devono confermare la ricezione e, se richiesto dall’ente interessato, fornire orientamento o consigli operativi sulle possibili misure di mitigazione. Possono anche offrire ulteriore supporto tecnico su richiesta.
- Segnalazione ad Altre Autorità :
- I CSIRT o le autorità competenti devono condividere informazioni sugli incidenti significativi con le autorità pertinenti ai sensi della Direttiva CER.
- Se durante la gestione dell’incidente viene identificata una possibile violazione dei dati, le autorità competenti devono informare le autorità di protezione dei dati come previsto dal GDPR.
La Direttiva NIS2 mira a semplificare la segnalazione degli incidenti e garantire un approccio coerente tra gli Stati Membri, pur consentendo una certa flessibilità per affrontare le circostanze specifiche di ciascun incidente.
Affrontare le complessità della direttiva NIS2 può generare incertezze e rischi per la tua azienda.