NIS2: Gestione incidente informatico di un soggetto importante
Con l’entrata in vigore del D.Lgs. 138/2024, che recepisce la direttiva europea NIS2, la gestione degli incidenti informatici è diventato un adempimento fondamentale per i soggetti classificati come “importanti“. In questo contesto, affrontare minacce come il ransomware, la compromissione di credenziali o l’interruzione dei servizi non è più solo una questione tecnica, ma richiede un processo strutturato, documentato e tempestivo.
Le Linee guida NIS pubblicate dall’Agenzia per la Cybersicurezza Nazionale (ACN) nel dicembre 2025 definiscono un percorso in cinque fasi chiave per garantire la resilienza delle infrastrutture critiche.
Preparazione: definire procedure e responsabilità
La prevenzione permette di evitare l’attacco. Ogni organizzazione importante deve predisporre un piano di gestione degli incidenti informatici, approvato dagli organi di amministrazione.
Questo documento deve chiarire ruoli, responsabilità, procedure operative e contatti di emergenza.
Un elemento chiave è la designazione del Referente CSIRT, responsabile delle interlocuzioni e delle notifiche. Le organizzazioni, inoltre, devono mantenere aggiornati gli inventari informatici, garantire backup periodici (incluse copie offline) e predisporre strumenti di monitoraggio e conservazione dei log.
Rilevamento: identificare tempestivamente l’incidente
L’identificazione di un attacco può avvenire tramite strumenti di sicurezza (antivirus, EDR), segnalazioni dei dipendenti o anomalie di sistema.
Il personale incaricato deve analizzare rapidamente gli eventi per distinguere i falsi positivi dagli incidenti reali.
Una volta accertato l’incidente, è necessario documentare immediatamente i sistemi coinvolti, i servizi compromessi e le conseguenze rilevate.
È fondamentale registrare il momento esatto in cui vengono acquisite le evidenze oggettive, poiché da tale istante decorrono i termini di notifica.
Risposta: investigare, contenere ed eliminare la minaccia
I responsabili della sicurezza e il personale tecnico devono collaborare per identificare l’origine e l’estensione della compromissione.
Le azioni principali includono:
– Contenimento: isolamento dei dispositivi compromessi, disabilitazione degli account violati e blocco delle comunicazioni malevoli.
– Eliminazione: rimozione di malware e meccanismi di persistenza, correzione delle vulnerabilità e applicazione degli aggiornamenti necessari.
Tutte le operazioni devono essere documentate, preservando le evidenze digitali e valutandone l’impatto sulla continuità operativa.
Notifica degli incidenti significativi al CSIRT Italia
La normativa NIS2 identifica tre tipologie di incidenti significativi di base, soggetti a notifica:
– IS-1: perdita di riservatezza, verso l’esterno, di dati digitali di sua proprietà o sui quali esercita il controllo, anche parziale.
– IS-2: perdita di integrità, con impatto verso l’esterno, di dati digitali di sua proprietà o sui quali esercita il controllo, anche parziale.
– IS-3: violazione dei livelli di servizio attesi dei suoi servizi e/o delle sue attività, sulla base dei livelli di servizio atteso (SL) stabiliti ai sensi della misura DE.CM-01.
Il Referente CSIRT deve rispettare i seguenti termini di notifica tramite il portale segnalazioni.acn.gov.it:
– Entro 24 ore: pre-notifica dell’incidente significativo.
– Entro 72 ore: notifica con prima valutazione di gravità e impatto.
– Su richiesta: relazione intermedia.
– Entro un mese: relazione finale con cause, conseguenze e misure adottate.
La decorrenza dell’obbligo di notifica varia secondo la data di iscrizione del soggetto nell’elenco NIS gestito da ACN.
Per i soggetti inseriti nell’elenco NIS nel 2026, l’obbligo di notifica decorrerà dal 1° gennaio 2027; per quelli inseriti nel 2025, l’obbligo è già operativo.
Ripristino e miglioramento continuo
Dopo aver eliminato la minaccia, l’organizzazione deve ripristinare i sistemi, recuperando i dati dai backup.
Prima del ritorno alla piena operatività, è necessario monitorare l’eventuale presenza di attività malevole residue.
L’analisi post-incidente è essenziale. Le informazioni raccolte devono servire a identificare carenze tecnologiche o organizzative, aggiornare le procedure e rafforzare la formazione del personale.
Il piano di gestione degli incidenti deve essere riesaminato e aggiornato almeno ogni due anni o dopo ogni incidente significativo.
Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo
