Art. 23 NIS 2 · § 32 BSIG

Obbligo di notifica NIS2: quando e come notificare gli incidenti al BSI

Un incidente di sicurezza significativo va notificato al BSI in tre fasi: preallarme entro 24 ore, notifica entro 72 ore e relazione finale un mese dopo (§ 32 BSIG). Il tempo decorre dal momento in cui ne vieni a conoscenza. La notifica si fa nel portale del BSI.

Inizia ora

Prenota una chiamata

Decide qualcun altro? Una pagina per la tua direzione

Simon Orzel·Laufend geprüft

Programmi e adesioni

Che cos'è un incidente di sicurezza significativo

Un incidente di sicurezza è un evento che compromette la disponibilità, l'integrità o la riservatezza dei tuoi dati o servizi (§ 2 n. 40 BSIG). Devi notificare solo gli incidenti significativi.

Un incidente è significativo se ha causato, o può causare, una di due cose (§ 2 n. 11 BSIG, Art. 23(3) NIS 2): una grave perturbazione operativa o perdite finanziarie per la tua azienda, oppure danni considerevoli ad altri. Per alcuni fornitori digitali il Regolamento di esecuzione (UE) 2024/2690 fissa soglie precise. Per tutti gli altri vale, secondo il BSI: un incidente è significativo se soddisfa uno dei criteri dell'Art. 3(1) di quel regolamento, e sempre quando un servizio critico viene a mancare o è compromesso.

Grave perturbazione operativa

L'incidente perturba gravemente la fornitura dei tuoi servizi, o può farlo.

Perdite finanziarie

L'incidente causa perdite finanziarie per la tua azienda, o può farlo. Per i fornitori digitali coperti dal regolamento di esecuzione, la soglia è una perdita diretta superiore a 500.000 EUR o al 5% del fatturato dell'anno precedente, a seconda di quale importo sia inferiore (Art. 3(1)(a)).

Danni ad altri

L'incidente causa ad altre persone o aziende danni materiali o immateriali considerevoli, o può farlo.

Violazione dei dati

Una violazione dei dati è significativa solo se soddisfa uno dei due criteri, per esempio perché causa danni considerevoli ad altri. La notifica ai sensi del § 32 BSIG si affianca alla notifica ai sensi degli Art. 33 e 34 GDPR. Entrambe possono valere per lo stesso incidente.

Durata

La durata non è un criterio a sé. Per i fornitori digitali coperti dal regolamento di esecuzione valgono limiti di tempo per ogni servizio, per esempio quando un servizio cloud è del tutto indisponibile per più di 30 minuti (Art. 7(a)).

Nel dubbio, notifica presto. Il BSI chiede espressamente una notifica precoce, anche quando molto è ancora poco chiaro. Le correzioni arrivano con le notifiche successive.

Per saperne di più

I termini

Tre notifiche con termini fissi, più due che servono solo in certi casi. I termini sono massimi: la notifica va fatta senza indebito ritardo.

Il tempo decorre da quando vieni a conoscenza dell'incidente. Secondo il BSI, è il momento in cui un dipendente della tua azienda viene a sapere dell'incidente significativo durante l'orario di lavoro.

1

Preallarme

24 ore

Un primo avviso al BSI, al più tardi 24 ore dopo che hai saputo dell'incidente.

Se si sospetta che l'incidente derivi da un atto illecito o malevolo
Se potrebbe riguardare altri paesi
Una prima classificazione dell'incidente
Chi notifica, e come il BSI può raggiungere questa persona

2

Notifica dell'incidente

72 ore

Al più tardi 72 ore dopo che hai saputo dell'incidente. Conferma o aggiorna il preallarme.

Una prima valutazione della gravità e dell'impatto
Indizi sugli aggressori (indicatori di compromissione), se disponibili
Ciò che sai sulla causa
Ciò che hai fatto e ciò che intendi ancora fare

3

Relazione intermedia

Su richiesta

Solo se il BSI lo chiede: lo stato attuale.

Stato del contenimento e del ripristino
Nuove informazioni su causa, portata o impatto

4

Relazione finale

1 mese dopo la notifica

Al più tardi un mese dopo la seconda notifica, quella entro 72 ore.

Una descrizione dettagliata dell'incidente, con gravità e impatto
Il tipo di minaccia o la causa probabile
Ciò che hai fatto e stai ancora facendo
Se sono coinvolti altri paesi

5

Relazione sui progressi

Se l'incidente è in corso

Se dopo un mese l'incidente è ancora in corso, presenti una relazione sui progressi al posto della relazione finale. La relazione finale segue quando l'incidente è stato gestito (§ 32(2) BSIG).

Lo stato attuale
Ciò che hai contenuto finora

Un esempio

Un'azienda inventata. Lunedì, ore 9: la contabilità comunica all'IT che i file sul server sono cifrati. L'accettazione degli ordini è ferma.

Lunedì, ore 9.30: l'IT conferma un attacco. Secondo il piano di emergenza decide l'amministratore delegato. Classifica l'incidente come significativo, perché l'attività è gravemente perturbata.

Lunedì, ore 14: il preallarme nel portale del BSI. Dice ciò che si sa e che si sospetta un attacco. Il termine sarebbe scaduto martedì alle ore 9.

Al più tardi giovedì, ore 9: la notifica, con una prima valutazione della gravità e dell'impatto.

Un mese dopo questa notifica: la relazione finale con causa e rimedio. Se l'incidente è ancora in corso, arriva prima una relazione sui progressi.

In parallelo l'azienda verifica se sono coinvolti dati personali. In quel caso vale anche l'obbligo di notifica ai sensi dell'Art. 33 GDPR.

Cosa contiene il preallarme

Per il preallarme il BSI indica questi dati. Il modulo nel portale li richiede.

Classificazione dell'incidente, motivo della notifica e situazione
Una descrizione provvisoria: disservizio, impatto, durata prevista e causa sospetta
Quando si è verificato l'incidente e quando lo hai notato
Settori e tipi di soggetto coinvolti
Se si sospetta un attacco e se altri paesi potrebbero essere coinvolti
Ciò che hai fatto finora e se l'incidente è sotto controllo
Come il BSI può raggiungere la persona che notifica

La regola del BSI: la rapidità prima della completezza. Una notifica inviata non si può ritirare. La si corregge con una notifica successiva.

Come lo fa il percorso guidato

Due passi del percorso guidato su nisd2.eu ti preparano alla notifica.

"Plan what happens in an incident": dalle tue risposte nasce il tuo piano di risposta agli incidenti. Dice chi decide e come si notifica.

"Know how to report an incident": il passo mostra i tre termini e un esempio di preallarme.

Annoti se puoi accedere al portale del BSI e inviare una notifica.

Alla fine la direzione approva il piano di risposta agli incidenti nell'app.

Scrivere il piano di emergenza nel percorso guidato

Dove si notifica e chi notifica

Si notifica al BSI, di norma tramite il portale del BSI.

Le notifiche ai sensi del § 32 BSIG vanno al BSI, di norma tramite il portale del BSI. Se la tua azienda ha un incidente significativo prima di essersi registrata, lo notifica con un modulo nel portale di notifica e informazione del BSI (MIP). Gli operatori di impianti critici e le autorità federali usano per ora i loro canali di notifica precedenti.

Può notificare qualsiasi dipendente che ha accesso al portale. Per questo ogni persona ha bisogno di un proprio certificato di organizzazione di ELSTER e deve essere assegnata al tuo soggetto nel portale. Puoi anche far notificare un fornitore di servizi. La responsabilità della notifica resta a te.

Gli operatori di impianti critici notificano inoltre il tipo di impianto, il servizio critico e l'impatto su di esso (§ 32(3) BSIG). Se sono coinvolti dati personali, può servire anche una notifica all'autorità per la protezione dei dati.

Dopo la notifica

Il BSI conferma il ricevimento senza indebito ritardo, se possibile entro 24 ore. Su richiesta fornisce orientamento o consulenza (§ 36(1) BSIG).
Il BSI può ordinarti di informare i destinatari dei tuoi servizi sull'incidente (§ 35(1) BSIG).
Aspettati domande di approfondimento. Il BSI raccomanda che i suoi avvisi raggiungano qualcuno anche fuori dall'orario di lavoro.

Cosa preparare in anticipo

Chi decide se un incidente è significativo, e chi notifica.
L'accesso al portale del BSI per queste persone: un certificato di organizzazione ciascuna e l'assegnazione al tuo soggetto.
I numeri di telefono dell'IT, dei fornitori di servizi e della direzione, anche su carta.
Un piano di emergenza che si trova anche quando i server sono fuori uso.

Fonti

Legge sul BSI (BSIG), § 2 n. 11 e 40, §§ 32, 35 e 36 (gesetze-im-internet.de/bsig_2025)
Direttiva (UE) 2022/2555 (NIS 2), Art. 23 (eur-lex.europa.eu)
Regolamento di esecuzione (UE) 2024/2690, Art. 3 e 7
BSI, obbligo di notifica NIS 2: termini, contenuti e canale (bsi.bund.de/dok/nis-2-meldepflicht)
BSI, Mein Unternehmenskonto: accesso al portale del BSI (bsi.bund.de/dok/muk)
Regolamento (UE) 2016/679 (GDPR), Art. 33 e 34

In pratica

Dove compare nel percorso guidato

Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.

Il percorso è in tedesco e in inglese.

Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.