§ 32 BSIG: l'obbligo di notificare gli incidenti di sicurezza significativi
Il § 32 BSIG obbliga i soggetti essenziali e importanti a notificare gli incidenti di sicurezza significativi: un preallarme entro 24 ore, una notifica dell'incidente entro 72 ore e una relazione finale un mese dopo la notifica. Le scadenze decorrono dal momento in cui vieni a conoscenza dell'incidente. La notifica si fa nel portale del BSI.
Le tre notifiche
Le notifiche vanno all'ufficio di notifica comune del BSI e dell'Ufficio federale per la protezione della popolazione e l'assistenza in caso di catastrofi (BBK).
Preallarme
Se si sospetta che l'incidente sia causato da un atto illecito o malevolo, e se potrebbe avere effetti in altri paesi. La legge tedesca lo chiama “frühe Erstmeldung”.
§ 32(1) n. 1
Notifica dell'incidente
Conferma o aggiorna il preallarme. Aggiunge una prima valutazione di gravità e impatto e, se disponibili, i segni lasciati dagli aggressori (indicatori di compromissione).
§ 32(1) n. 2
Relazione finale
Un mese dopo la notifica: cosa è successo, quanto è stato grave, la causa probabile, cosa hai fatto e stai facendo, e se sono coinvolti altri paesi.
§ 32(1) n. 4
Se il BSI lo chiede, nel frattempo invii una relazione intermedia (n. 3). Se dopo un mese l'incidente è ancora in corso, invii una relazione sui progressi al posto della relazione finale, e la relazione finale quando l'incidente è stato gestito (comma 2).
L'obbligo di notifica passo per passoQuando un incidente è significativo
Un incidente di sicurezza è significativo se ha causato o può causare gravi perturbazioni della tua attività o perdite finanziarie per la tua azienda. Oppure se ha causato o può causare ad altri danni materiali o immateriali considerevoli.
Per alcuni fornitori digitali, come cloud, data center e servizi gestiti, il regolamento di esecuzione (UE) 2024/2690 fissa soglie più precise. Per tutti gli altri non ci sono cifre fisse. Decidi in base a questi due criteri e annoti il perché.
§ 2 n. 11 BSIG · Art. 23(3) NIS 2
Quando parte il conteggio, e dove notifichi
Le scadenze decorrono dalla conoscenza, non da quando tutto è chiaro. Il BSI intende per conoscenza il momento in cui qualcuno in azienda viene a sapere dell'incidente durante l'orario di lavoro.
Notifichi nel portale del BSI, con lo stesso accesso usato per la registrazione. Se non sei ancora registrato, notifichi tramite un modulo online nel portale di notifica e informazione del BSI (MIP).
Se sono coinvolti dati personali, di solito notifichi anche all'autorità per la protezione dei dati: senza ingiustificato ritardo e, ove possibile, entro 72 ore, a meno che sia improbabile che la violazione presenti un rischio per le persone interessate (Art. 33 GDPR). Una notifica non sostituisce l'altra.
§ 32(1) BSIG · Art. 33 GDPR
Cos'altro regola il paragrafo
Comma 3: i gestori di impianti critici indicano anche quale impianto è coinvolto e cosa significa l'incidente per il loro servizio critico.
Comma 4: il BSI stabilisce i dettagli della procedura e dei contenuti e li pubblica sul suo sito web.
Comma 5: il BSI trasmette le notifiche alle autorità di vigilanza federali competenti.
Comma 6: il BSI può offrirti supporto nella gestione dell'incidente.
Cosa significa per un'azienda con 50-150 dipendenti
Stabilisci prima chi valuta se un incidente è significativo e chi notifica. In un'emergenza il tempo per farlo è poco.
Verifica che questa persona possa accedere oggi al portale del BSI, e chi la sostituisce. Se l'accesso ce l'ha una sola persona, le 24 ore diventano presto strette.
Un esempio
Un'azienda inventata: un grossista alimentare con 95 dipendenti. Venerdì, ore 16: il software del magazzino si blocca e i camion non possono essere caricati.
Ore 16.30: l'IT scopre che i server sono cifrati. Da questo momento il tempo corre.
Ore 17: secondo il piano di risposta agli incidenti, decide l'amministratore. Classifica l'incidente come significativo perché l'attività è gravemente perturbata.
Ore 20: il preallarme nel portale del BSI. Dice che si sospetta un attacco e che potrebbero essere coinvolti clienti in Austria. La scadenza sarebbe stata sabato alle 16.30.
Al più tardi lunedì alle 16.30: la notifica dell'incidente con una prima valutazione di gravità e impatto.
Un mese dopo questa notifica: la relazione finale, o una relazione sui progressi se l'incidente è ancora in corso. Nel frattempo l'azienda verifica se sono coinvolti dati personali.
Come lo fa il percorso guidato
Due passi del percorso guidato su nisd2.eu ti preparano alla notifica.
"Plan what happens in an incident": dalle tue risposte nasce il tuo piano di risposta agli incidenti. Dice chi decide e come notifichi.
"Know how to report an incident": il passo mostra le tre scadenze e un esempio di preallarme.
Annoti se puoi accedere al portale del BSI e notificare.
Alla fine la direzione approva il piano di risposta agli incidenti nell'app.
Domande frequenti
Quando parte la scadenza di 24 ore?
Dal momento in cui la tua azienda viene a conoscenza dell'incidente significativo, non da quando è iniziato. Il BSI intende con questo il momento in cui qualcuno in azienda ne viene a sapere durante l'orario di lavoro.
Cosa va nel preallarme?
La legge chiede due cose: se dietro potrebbe esserci un attacco o un altro atto illecito, e se l'incidente potrebbe coinvolgere altri paesi (§ 32(1) n. 1 BSIG). Ciò che non sai ancora lo aggiungi nella notifica dopo 72 ore.
Ci sono soglie fisse per un incidente significativo?
Solo per i fornitori digitali indicati nel regolamento di esecuzione (UE) 2024/2690. Per tutti gli altri valgono i criteri del § 2 n. 11 BSIG: grave perturbazione dell'attività, perdita finanziaria o danno considerevole ad altri.
Devo notificare anche in base al GDPR?
Se sono coinvolti dati personali, di solito sì: all'autorità per la protezione dei dati, ove possibile entro 72 ore (Art. 33 GDPR). La notifica al BSI non la sostituisce.
Dove notifico?
Nel portale del BSI, con l'accesso della registrazione. Se non sei ancora registrato, usa il modulo online nel portale di notifica e informazione del BSI.
Fonti
- Legge sul BSI (BSIG) § 2 n. 11 e § 32, gesetze-im-internet.de/bsig_2025
- Direttiva (UE) 2022/2555 (NIS 2), Art. 23, EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690, EUR-Lex
- BSI: pacchetto informativo sull'obbligo di notifica NIS 2 e guida alla notifica nel portale del BSI, bsi.bund.de
- Regolamento (UE) 2016/679 (GDPR), Art. 33
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
