NIS2 notifica incidenti e GDPR: due scadenze, un solo evento

Sabato, ore 02:10. Il file server del vostro cliente, un'azienda sanitaria lombarda, inizia a cifrare i dati. Alle 08:00 sapete tre cose: l'attaccante è dentro, su quel server ci sono dati dei pazienti, e l'orologio corre da quando ne siete venuti a conoscenza. Il preallarme NIS2 all'ACN va inviato entro 24 ore. La notifica GDPR al Garante per la protezione dei dati personali, entro 72 ore, è probabilmente dovuta anch'essa. Due autorità, due formati, e nessuna notifica sostituisce l'altra.

È il problema della doppia notifica. Ricade prima sull'MSP, perché è l'MSP che di solito ha i log.

NIS2 e GDPR: due regimi, un solo incidente

La NIS2 (Direttiva (UE) 2022/2555) tutela la continuità e la sicurezza dei servizi. Il GDPR (Regolamento (UE) 2016/679) tutela le persone i cui dati personali vengono esposti. Un incidente può violare entrambi.

L'articolo 23 della NIS2 prevede per un incidente significativo tre passaggi: un preallarme entro 24 ore dalla conoscenza, una notifica dell'incidente entro 72 ore e una relazione finale al più tardi un mese dopo tale notifica. L'articolo 33 del GDPR richiede di notificare all'autorità di controllo entro 72 ore da quando si è venuti a conoscenza di una violazione dei dati personali, salvo che sia improbabile un rischio per le persone. L'articolo 34 aggiunge la comunicazione agli interessati quando il rischio è elevato.

I due orologi spesso partono nello stesso momento. Non scadono nello stesso momento. Il preallarme NIS2 di 24 ore scade per primo, quindi parte per primo.

Una notifica non copre mai entrambe

Una notifica all'ACN non assolve l'obbligo GDPR. Una notifica al Garante non avvia né ferma la cascata NIS2. Destinatario, presupposto e contenuto sono diversi. La notifica NIS2 riguarda l'impatto operativo e gli indicatori tecnici. Quella GDPR riguarda le categorie di dati, il numero di interessati e le probabili conseguenze per loro.

La NIS2 riconosce la sovrapposizione. I considerando chiedono cooperazione tra le autorità competenti e le autorità di protezione dei dati, e l'articolo 35 tratta le violazioni che comportano dati personali. Questa cooperazione avviene tra le autorità. Non alleggerisce il lavoro del vostro cliente.

La cronologia di un incidente che coinvolge dati personali

Trattate le prime 72 ore come un'unica operazione con due esiti.

In pratica, tre abitudini:

1. Inviare prima il preallarme NIS2, anche se incompleto. È un segnale, non un'analisi conclusa. Scrivete cosa sapete e segnalate cosa manca.
2. Registrare i fatti una sola volta. Cronologia, sistemi colpiti, categorie di dati, numero stimato di interessati, misure di contenimento. Entrambe le notifiche riutilizzano questo fascicolo.
3. Qualificare due volte. «Incidente significativo» per la NIS2 e «rischio per gli interessati» per il GDPR sono valutazioni diverse. Un incidente può superare l'una e non l'altra.

Per il lato NIS2 nel dettaglio: NIS2: le scadenze di 24 ore, 72 ore e un mese.

Cosa aggiunge la normativa italiana

Le scadenze vengono dai testi europei. Canale e autorità vengono dal diritto nazionale. In Italia l'articolo 25 del D.Lgs. 138/2024 impone la notifica degli incidenti significativi all'ACN tramite il CSIRT Italia, e il decreto è in vigore dal 16 ottobre 2024. La notifica GDPR resta al Garante, ai sensi dell'articolo 33 GDPR. Chi è soggetto a entrambi i regimi parla di doppio binario ACN-Garante: le due notifiche devono restare coerenti tra loro, perché il preallarme inviato all'ACN resta agli atti e può pesare in un eventuale procedimento davanti al Garante. Documentate anche i motivi per cui decidete di non notificare una violazione.

Se il cliente ha sedi in altri paesi, la notifica cambia:

• Germania: portale del BSI (§ 32 BSIG); notifica GDPR all'autorità di protezione dei dati competente.
• Paesi Bassi: NCSC come CSIRT; notifica GDPR all'Autoriteit Persoonsgegevens.
• Polonia: CSIRT competente (NASK, GOV o MON); notifica GDPR all'UODO.
• Francia e Spagna: nessuna legge nazionale NIS2 in vigore; il GDPR verso CNIL o AEPD entro 72 ore si applica comunque.

Uno sportello unico è proposto, non in vigore

La Commissione europea propone nel Digital Omnibus un punto di accesso unico per le notifiche di incidenti, gestito da ENISA, tramite un nuovo articolo 23 bis della NIS2. Secondo quanto riportato a luglio 2026, la notifica GDPR passerebbe alla soglia di «rischio elevato» e il termine da 72 a 96 ore. I negoziati tra Parlamento e Consiglio erano allora in corso. Lo sportello si applicherebbe 18 mesi dopo l'entrata in vigore, prorogabili a 24.

Non costruite il processo di un cliente su una proposta. Costruitelo sul diritto vigente e tenetelo modulare, così un nuovo portale cambia un passaggio e non tutti.

Cosa predisporre prima dell'incidente

All'MSP si attribuisce la colpa delle notifiche tardive anche quando l'obbligo è del cliente. Il vertice del cliente resta responsabile. Il vostro compito è rendere eseguibile l'obbligo.

• Una scheda decisionale di una pagina: chi decide «significativo», chi decide «violazione dei dati», chi approva in poche ore.
• Recapiti precompilati di CSIRT Italia/ACN e del Garante, e delle autorità estere per i clienti internazionali.
• Un fascicolo di incidente condiviso con campi coerenti con entrambe le notifiche.
• Una regola: il preallarme parte alla scadenza delle 24 ore, qualunque sia lo stato dell'analisi.
• Una motivazione scritta ogni volta che il team decide di non notificare. Le autorità la chiedono.

Siamo nel territorio dell'articolo 21, paragrafo 2, lettera b. La nostra guida sulla gestione degli incidenti NIS2 mostra perché questo processo fa fallire più audit della notifica stessa.

Misurate il divario prima della chiamata del sabato

Se oggi non sapete dire chi presenta il preallarme e chi la notifica GDPR per ciascun cliente, avete trovato il divario. Fate il Quick Scan NIS2 per vedere dove si collocano gestione degli incidenti e prontezza di notifica di un cliente rispetto alle misure dell'articolo 21.

Poi scrivete i due orologi, nominate i due responsabili e provate il processo una volta prima che sia reale. Per il quadro generale sugli MSP: NIS2 per MSP e MSSP.