I modelli di segnalazione degli incidenti NIS2 sono ora ufficiali: cosa cambia per i vostri clienti
I modelli di segnalazione degli incidenti NIS2 sono ora ufficiali: cosa cambia per i vostri clienti
Il 26 maggio 2026, il Gruppo di Cooperazione NIS2 si è riunito a Cipro per la sua 39a riunione plenaria e ha raggiunto un accordo su qualcosa che mancava dall'entrata in vigore della direttiva: modelli comuni per la segnalazione degli incidenti. Ogni Stato membro dell'UE. Un formato unico. Per la prima volta.
Questo conta più di quanto sembri. Prima di questa decisione, l'Articolo 23 richiedeva alle aziende di segnalare gli incidenti significativi entro 24 ore, 72 ore e un mese — ma come farlo dipendeva dall'autorità nazionale cui era soggetto il vostro cliente. Un produttore olandese e un fornitore logistico tedesco potevano seguire procedure di segnalazione completamente diverse per lo stesso tipo di incidente. Questa incoerenza viene ora affrontata.
Il Gruppo di Cooperazione — composto da rappresentanti di tutti gli Stati membri dell'UE, della Commissione europea e di ENISA — ha adottato questi modelli come primo passo. La Commissione seguirà con un atto di esecuzione per renderli obbligatori in tutti i 27 Stati membri.
Cosa standardizzano effettivamente i modelli
La funzione principale dei nuovi modelli è l'armonizzazione dei campi di segnalazione. Invece che ogni CSIRT nazionale definisca il proprio modulo di ammissione, le organizzazioni compileranno gli stessi punti dati strutturati indipendentemente da dove sono registrate.
Aspettatevi che i modelli coprano: classificazione dell'incidente, sistemi e servizi colpiti, numero stimato di utenti impattati, cronologia degli eventi, azioni di contenimento iniziali intraprese e se sono coinvolti fornitori terzi. Non è un semplice questionario — è un formato strutturato progettato per fornire alle autorità ciò di cui hanno bisogno per valutare rapidamente la gravità.
Per i vostri clienti, questo significa che l'allerta precoce di 24 ore non è più solo una rapida telefonata o e-mail. Deve includere campi strutturati specifici fin dal primo giorno. Se il vostro cliente non ha un processo di risposta agli incidenti collegato a quei campi, si troverà ad improvvisare sotto pressione.
Cronologia delle Notifiche di Incidenti NIS2
24hAllerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
Fase 172hNotifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
Fase 21moRapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.
Fase 324hAllerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
72hNotifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
1moRapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.
Perché l'annuncio del "punto di accesso unico" è importante
L'adozione dei modelli non è avvenuta in modo isolato. Il Gruppo di Cooperazione ha esplicitamente allineato questi modelli a un'iniziativa più ampia: il Digital Omnibus, un quadro europeo proposto che creerebbe un punto di accesso unico per la segnalazione degli incidenti sotto più regolamenti — NIS2, DORA, la Direttiva sulla Resilienza delle Entità Critiche (CER) e altri.
Attualmente, un'azienda di servizi finanziari che è sia un'entità essenziale NIS2 sia soggetta a DORA potrebbe dover segnalare lo stesso incidente due volte, a due autorità diverse, in due formati diversi. Il Digital Omnibus mira a correggere questo problema.
Per MSP e consulenti IT che servono settori regolamentati — banking, assicurazioni, fintech, sanità — questa convergenza è significativa. I vostri playbook di risposta agli incidenti e i flussi di comunicazione con i clienti dovrebbero già essere costruiti tenendo conto della sovrapposizione di più regolamenti. Se non lo sono, iniziate da lì.
L'atto di esecuzione sarà critico da monitorare. Una volta pubblicato nella Gazzetta Ufficiale, le autorità degli Stati membri saranno tenute ad accettare questi modelli. Nel frattempo, i vostri clienti operano ancora sotto il processo nazionale stabilito dalla loro autorità.
Articolo 23: Un rapido ripasso delle scadenze
I nuovi modelli si inseriscono in una struttura di segnalazione esistente dell'Articolo 23. Quella struttura non è cambiata. Ciò che cambia è ciò che dovete avere pronto in ogni fase.
Allerta precoce di 24 ore: Notifica alla vostra CSIRT nazionale o autorità competente che si è verificato un incidente significativo. "Significativo" significa che l'incidente causa o potrebbe causare gravi interruzioni operative o perdite finanziarie, o colpisce altre persone causando considerevoli danni materiali o immateriali.
Notifica dell'incidente di 72 ore: Un rapporto più dettagliato che include la valutazione iniziale dell'incidente — gravità, indicatori di compromissione e qualsiasi impatto transfrontaliero. Con i modelli comuni ora adottati, questo rapporto dovrà corrispondere al formato strutturato una volta che l'atto di esecuzione sarà in vigore.
Relazione finale di un mese: Resoconto completo dell'incidente che include l'analisi delle cause profonde, le azioni di risposta e le misure adottate o pianificate per prevenire la ricorrenza.
Il punto di fallimento più comune per le organizzazioni è il passaggio da 24h a 72h. L'allerta precoce viene spesso emessa con dettagli minimi. Poi arrivano le 72 ore e non c'è documentazione, non ci sono dati strutturati, e l'incidente è ancora in corso. Il vostro compito come consulente è costruire il processo prima che si verifichi un incidente — non durante.
Cronologia delle Notifiche di Incidenti NIS2
24hAllerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
Fase 172hNotifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
Fase 21moRapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.
Fase 324hAllerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
72hNotifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
1moRapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.
Cosa devono fare ora MSP e consulenti IT
1. Mappare le catene di notifica dei vostri clienti
Ogni cliente che si qualifica come entità essenziale o importante ha bisogno di una catena di notifica degli incidenti documentata: chi attiva il rapporto, chi lo redige, chi lo invia e a quale autorità. Questo sembra elementare. La maggior parte delle organizzazioni non lo ha scritto.
2. Pre-integrare i campi del modello nel vostro processo IR
Anche se l'atto di esecuzione non è ancora pubblicato, i campi del modello possono essere anticipati dai requisiti standard di ammissione dei CSIRT. Create ora un modello di rapporto sugli incidenti provvisorio con i campi strutturati attesi. Quando verranno pubblicati i modelli ufficiali, dovrete solo fare aggiustamenti minori — non ricostruire da zero.
3. Chiarire i vostri obblighi contrattuali
Se fornite SOC gestito, risposta agli incidenti o servizi di monitoraggio della sicurezza per un cliente coperto da NIS2, controllate il vostro contratto. Siete contrattualmente responsabili della presentazione delle notifiche degli incidenti per loro conto? In caso affermativo, i vostri tempi SLA devono tenere conto dell'allerta precoce di 24 ore — incluse notti e fine settimana.
Molti contratti MSP sono stati redatti prima che NIS2 fosse pienamente applicata. Ora che l'applicazione è attiva in diversi Stati membri e il quadro normativo si restringe, quei contratti devono essere aggiornati.
4. Integrare la preparazione alla segnalazione nelle vostre analisi dei gap
Un cliente può avere controlli tecnici solidi e comunque fallire una revisione normativa perché il suo processo di segnalazione degli incidenti non soddisfa i requisiti dell'Articolo 23. La preparazione alla risposta agli incidenti dovrebbe essere una sezione autonoma in qualsiasi analisi dei gap NIS2 che effettuate.
Utilizzate il NIS2Certify quick scan per ottenere una baseline su dove si trovano i vostri clienti rispetto a tutte le misure dell'Articolo 21 — inclusa la gestione degli incidenti — prima del loro primo contatto normativo.
Articolo 21 — 10 Misure di Cybersicurezza NIS2
Articolo 21
10 Misure di Cybersicurezza
Governance & Strategia
1Analisi dei rischi & politiche di sicurezza delle informazioni6Valutazione dell'efficacia delle misure di sicurezzaIncidenti & Continuità
2Gestione degli incidenti & notifica3Continuità operativa & ripristino di emergenzaCatena di Fornitura & Sistemi
4Sicurezza della catena di fornitura5Sicurezza nello sviluppo di sistemi di rete e informativiControlli Tecnici
8Crittografia & cifratura10Autenticazione a più fattori & comunicazioni sicurePersone & Risorse
7Igiene informatica & formazione9Sicurezza HR & controllo degli accessi
Il quadro generale: l'applicazione è arrivata
L'adozione dei modelli non è avvenuta nel vuoto. Fa parte di un più ampio inasprimento dell'applicazione di NIS2 in tutta l'UE nel 2026.
Il BSI tedesco ha iniziato l'applicazione attiva nel primo trimestre del 2026. Il Belgio ha aperto la sua finestra formale di valutazione della conformità il 18 aprile 2026 — il primo Stato membro a fissare una scadenza di audit rigida. L'ACN italiana ha categorizzato le entità e fissato una scadenza di invio per giugno 2026. I Paesi Bassi hanno pubblicato la Legge sulla Cybersicurezza e stanno ora eseguendo i loro primi cicli di revisione.
La Francia sta ancora finalizzando la sua trasposizione, ma ANSSI ha pubblicato nel marzo 2026 il ReCyF (Référentiel Cyber France) v2.5 — un framework di 152 misure allineato con NIS2 che le entità francesi sono tenute a seguire anche prima che la legge sia formalmente adottata.
Cosa significa: i vostri clienti non possono più trattare NIS2 come un problema futuro. Le autorità sono attive, gli audit stanno iniziando e i processi di segnalazione degli incidenti saranno esaminati nella prima ondata di valutazioni.
Per ogni cliente che non avete ancora valutato: il momento di colmare quella lacuna è adesso — non dopo il loro primo incidente.
Cosa monitorare in seguito
Due cose da seguire da vicino:
Il calendario dell'atto di esecuzione: La Commissione europea non ha ancora pubblicato un progetto di atto di esecuzione. Quando apparirà nella Gazzetta Ufficiale, inizierà il conto alla rovescia per l'adozione obbligatoria. Monitorate il feed EUR-Lex per qualsiasi riferimento all'Articolo 23 di NIS2.
Il progresso del Digital Omnibus: La proposta per un punto di accesso unico per la segnalazione degli incidenti è ancora una proposta. Ma se va avanti, riconfigurerà significativamente come le entità con più regolamenti gestiscono la segnalazione. Gli MSP del settore finanziario in particolare dovrebbero monitorarlo da vicino — influenzerà come DORA e NIS2 si sovrappongono in pratica. Vedere anche il nostro articolo su NIS2 vs DORA per lo stato attuale di quella sovrapposizione.
Conclusione
L'UE ha appena reso la segnalazione degli incidenti più semplice sulla carta. In pratica, alza l'asticella: i modelli strutturati significano che le autorità possono ora confrontare ed esaminare i rapporti in tutti gli Stati membri, e le presentazioni incoerenti o incomplete si noteranno.
Se i vostri clienti non hanno un processo di segnalazione degli incidenti documentato e praticato, sono esposti. Non solo alle sanzioni — ma al tipo di scrutinio normativo che segue una cattiva gestione degli incidenti.
Iniziate dal processo. Mettete in ordine la documentazione. Poi assicuratevi che la postura di conformità NIS2 dei vostri clienti la rifletta.
→ Eseguite una valutazione strutturata della preparazione NIS2 per i vostri clienti su nis2certify.org/quick-scan.