L’Agenzia per la cybersicurezza nazionale (ACN) ha adottato delle linee guida sul processo di gestione degli incidenti di sicurezza informatica, ovvero uno dei pilastri del D. Lgs. 138/2024 (c.d. decreto NIS), per supportare i soggetti NIS nel loro percorso di adeguamento agli obblighi previsti dal decreto.
La gestione degli incidenti è essenziale per garantire la continuità delle attività e dei servizi, la protezione delle informazioni e la resilienza delle organizzazioni: gli incidenti di sicurezza possono infatti determinare impatti significativi in termini operativi, finanziari o reputazionali per gli enti.
La gestione degli incidenti è infatti ricompresa tra le misure in materia di gestione dei rischi che i soggetti NIS essenziali e importanti devono adottare in base all’art. 24 del decreto; si ricorda inoltre che, ai sensi dell’art. 25, i soggetti NIS devono notificare al CSIRT Italia ogni incidente che abbia un impatto significativo sulla fornitura dei loro servizi.
Le modalità e le specifiche di base per l’adempimento di tali obblighi sono state stabilite con la determinazione ACN n. 379907/2025 sugli obblighi di base, alla quale gli enti sono tenuti a conformarsi nei termini ivi previsti:
- 18 mesi dalla ricezione, da parte del soggetto NIS della comunicazione di inserimento nell’elenco dei soggetti NIS, per l’adozione delle misure di sicurezza di base
- 9 mesi dall’analoga ricezione, per l’adempimento dell’obbligo di notifica degli incidenti significativi di base
Nelle linee guida, in particolare, viene suggerito un modello per il processo di gestione degli incidenti e viene descritta la relazione tra le fasi del processo e le misure di sicurezza di base.
Le Linee Guida comprendono due appendici:
- appendice A: introduzione alle specifiche di base per una migliore comprensione del documento
- appendice B: elenco delle misure di sicurezza della disciplina NIS rilevanti nelle varie fasi e sotto-fasi del processo di gestione degli incidenti.
ACN, a supporto dei soggetti NIS, ha altresì pubblicato una “guida alla lettura“, con cui sono fornite indicazioni per agevolare la comprensione e l’interpretazione delle specifiche di base degli allegati tecnici della determinazione ACN citata.
