Incidente significativo ai sensi della NIS 2
Due criteri qualitativi, un regolamento con numeri per determinati fornitori digitali e un registro decisionale scritto per tutti gli altri.
Perché la definizione è importante
La significatività è ciò che avvia l'intero orologio della segnalazione previsto dall'articolo 23 NIS 2: un preallarme entro 24 ore, una notifica dell'incidente entro 72 ore, una relazione finale entro un mese. Se l'evento è significativo, l'orologio parte nel momento in cui ne venite a conoscenza. Se non lo è, non dovete nulla né al CSIRT né all'autorità competente.
L'articolo 23, paragrafo 3, NIS 2 vi fornisce solo due formule generali. Il regolamento di esecuzione (UE) 2024/2690 della Commissione (CIR) aggiunge numeri precisi, ma solo per un ristretto gruppo di fornitori digitali (DNS, TLD, cloud, data center, CDN, MSP, MSSP, marketplace, motori di ricerca, social network, servizi fiduciari). Per ogni altro settore NIS 2 il criterio resta qualitativo.
La maggior parte dei CISO sottovaluta questo divario. Se operate nel settore manifatturiero, alimentare, sanitario o della gestione dei rifiuti, non esiste alcuna cifra in euro, alcun conteggio dei minuti, alcuna soglia di utenti. Dovete decidere, dovete decidere in fretta e dovete essere in grado di spiegarne il motivo in seguito.
Direttiva NIS 2 (UE) 2022/2555, art. 23, par. 3
Un incidente è considerato significativo se: a) ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato; b) si è ripercosso o è in grado di ripercuotersi su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.
Questa è l'unica definizione generale di incidente significativo nel diritto dell'UE. Entrambi i punti usano la formula "è in grado di causare", quindi dovete valutare il danno potenziale oltre al danno effettivo. Il testo non quantifica mai grave, considerevole o materiale.
CIR (UE) 2024/2690, art. 3
Un incidente è considerato significativo ai fini dell’articolo 23, paragrafo 3, della direttiva (UE) 2022/2555 per quanto riguarda i soggetti pertinenti se sono soddisfatti uno o più dei criteri seguenti: a) l’incidente ha causato o è in grado di causare al soggetto pertinente una perdita finanziaria diretta superiore a 500 000 EUR o, se tale importo è inferiore, al 5 % del suo fatturato totale annuo dell’esercizio precedente; b) l’incidente ha causato o è in grado di causare l’esfiltrazione di segreti commerciali, quali definiti all’articolo 2, punto 1), della direttiva (UE) 2016/943, del soggetto pertinente; c) l’incidente ha causato o è in grado di causare il decesso di una persona fisica; d) l’incidente ha causato o è in grado di causare danni considerevoli alla salute di una persona fisica; e) si è verificato un accesso non autorizzato ai sistemi informativi e di rete, che si sospetta essere malevolo ed è in grado di causare gravi perturbazioni operative; f) l’incidente soddisfa i criteri di cui all’articolo 4; g) l’incidente soddisfa uno o più criteri di cui agli articoli da 5 a 14.
Sette criteri (lettere da a a g): cinque sostanziali più due rinvii. L'art. 1 del CIR stabilisce che questi numeri si applicano solo a specifici fornitori digitali (DNS, TLD, cloud, data center, CDN, MSP, MSSP, marketplace online, motori di ricerca, piattaforme di social network, servizi fiduciari). Gli articoli da 5 a 14 aggiungono per lo stesso gruppo soglie minime di disponibilità specifiche per settore. Se il vostro settore non figura in tale elenco, questi numeri non sono vincolanti per voi e il criterio qualitativo dell'art. 23, par. 3, è tutto ciò di cui disponete.
§32 BSIG (Germania, esempio di recepimento)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung ...
Ogni Stato membro deve trasformare l'art. 23 in diritto nazionale. Il §32 BSIG ripete la cascata e indica come destinatario un ufficio di segnalazione congiunto istituito dal BSI e dall'Ufficio federale per la protezione civile e l'assistenza in caso di catastrofi (BBK). Non aggiunge alcun numero proprio per i settori non digitali. Il NISG 2026 austriaco si applica dal 1° ottobre 2026. A luglio 2026 Francia e Paesi Bassi non avevano notificato il proprio recepimento (la Commissione li ha deferiti alla Corte di giustizia).
Sette criteri (lettere da a a g)
Cinque criteri sostanziali più due rinvii. a) 500 000 EUR o 5 per cento del fatturato (se inferiore), b) segreti commerciali esfiltrati, c) una persona deceduta, d) grave danno alla salute di una persona, e) un'intrusione dolosa riuscita in grado di causare una grave perturbazione, f) incidenti ricorrenti ai sensi dell'art. 4, g) soglie specifiche per soggetto ai sensi degli artt. da 5 a 14. Uno solo di essi fa scattare la significatività per i fornitori digitali rientranti nell'ambito di applicazione.
Incidenti ricorrenti
I piccoli incidenti si sommano. Se la stessa causa originaria produce almeno due incidenti in sei mesi e, insieme, essi superano la soglia di perdita finanziaria di cui all'art. 3, par. 1, lett. a), il CIR li tratta come un unico incidente significativo. Conteggiarli singolarmente è errato.
Specifiche per DNS e TLD
Per i fornitori di servizi DNS (art. 5): risoluzione completamente ferma per più di 30 minuti, tempo medio di risposta superiore a 10 secondi per più di un'ora, oppure dati compromessi (tranne una configurazione errata che riguardi meno di 1.000 domini e non più dell'1 % di essi). Registri TLD (art. 6): qualsiasi interruzione completa della risoluzione autorevole, tempo di risposta superiore a 10 secondi per un'ora, oppure qualsiasi compromissione dei dati del TLD. Gli articoli da 7 a 14 stabiliscono soglie per cloud, data center, CDN, MSP e MSSP, marketplace, motori di ricerca, social network e servizi fiduciari.
Criterio A: grave perturbazione operativa o perdite finanziarie per il vostro soggetto
È il criterio rivolto verso l'interno. La direttiva non vi fornisce alcuna cifra in euro, alcuna durata, alcuna percentuale. Il considerando 101 indica tre elementi da esaminare: quanta parte del servizio è interessata, quanto dura l'incidente e quanti utenti colpisce. Usateli per strutturare il vostro ragionamento. Non trattateli come una lista di controllo.
Criterio B: danno materiale o immateriale considerevole a terzi
È il criterio rivolto verso l'esterno. Clienti, cittadini, operatori a valle, la vostra catena di approvvigionamento. Il danno immateriale comprende i danni alla reputazione e alla fiducia. Un breve disservizio che blocca il flusso di lavoro di un ospedale, espone dati dei clienti o mette fuori servizio un servizio cittadino può soddisfare questo criterio anche se la vostra perdita è modesta.
Un ransomware blocca la produzione per due giorni
Le operazioni si fermano. Il criterio A dell'art. 23, par. 3, NIS 2 (grave perturbazione operativa) è soddisfatto. Preallarme 24 h, notifica dell'incidente 72 h, relazione finale 1 mese (art. 23 NIS 2 / §32 BSIG).
E-mail di phishing cliccata, nessuna password inserita
Contenimento riuscito, nessun impatto sui servizi o su terzi. La notifica volontaria ai sensi dell'art. 30 NIS 2 è disponibile se desiderate condividerla e non impone alcun obbligo aggiuntivo (art. 30, par. 2).
Interruzione del fornitore cloud, il vostro servizio risulta rallentato
Se il vostro servizio diventa significativamente più lento o si interrompe, il criterio A è soddisfatto. Verificate anche il criterio B: ne risentono i clienti o gli operatori a valle? (art. 23, par. 3, NIS 2)
Un attacco DDoS mette fuori servizio il portale clienti per quattro ore
Interruzione significativa per i clienti. Entrambi i criteri dell'art. 23, par. 3, NIS 2 sono potenzialmente soddisfatti. Per i fornitori DNS, cloud o di servizi fiduciari, verificate anche gli artt. da 5 a 14 del CIR.
Una configurazione errata espone dati dei clienti
Articolo 33 GDPR: 72 h all'autorità di controllo. Se viene superata anche una soglia NIS 2 (art. 23, par. 3, NIS 2 o art. 3 CIR), in aggiunta l'articolo 23 NIS 2: preallarme di 24 h al CSIRT. Entrambi gli orologi partono nel momento in cui se ne viene a conoscenza.
Fornitore violato, il vostro servizio risulta interessato
Verificate per primo il danno al vostro soggetto o ai vostri clienti. Non ogni incidente di un fornitore fa scattare il vostro obbligo di notifica. In parallelo: documentate la vigilanza sui fornitori ai sensi dell'art. 21, par. 2, lett. d), NIS 2.
Non siete sicuri? Il preallarme può essere aggiornato nella notifica entro 72 ore (art. 23, par. 4, lett. b)). Per gli eventi sotto la soglia potete notificare volontariamente senza assumere obblighi aggiuntivi (art. 30).
L'articolo 30, paragrafo 1, NIS 2 consente la notifica volontaria di incidenti, minacce informatiche e quasi-incidenti al CSIRT. Ciò si applica ai soggetti rientranti nell'ambito di applicazione della direttiva e ai soggetti che ne sono al di fuori e desiderano notificare un evento significativo.
L'articolo 30, paragrafo 2, NIS 2 è la tutela fondamentale: la notifica volontaria non comporta l'imposizione di alcun obbligo aggiuntivo al soggetto notificante. Segnalare un caso al limite non comporta alcun rischio di obblighi supplementari. Ciò elimina la scusa più ovvia per non notificare un incidente poco chiaro.
L'articolo 23, paragrafo 2, NIS 2 aggiunge un obbligo distinto. I soggetti essenziali e importanti comunicano, senza indebito ritardo, ai destinatari dei loro servizi le eventuali misure o azioni correttive che questi possono adottare per attenuare i rischi derivanti da una minaccia informatica significativa. Non si tratta della notifica al CSIRT, bensì della comunicazione esterna verso i clienti.
In Germania lo attua il § 35, comma 2, BSIG: i soggetti della finanza, della previdenza sociale, dell'infrastruttura digitale, della gestione dei servizi TIC e dei servizi digitali devono comunicare ai clienti minacciati da una minaccia informatica significativa che cosa possono fare, quando gli interessi dei clienti prevalgono sui propri. Separatamente, il BSI può ordinare a un soggetto di informare i propri clienti di un incidente significativo (§ 35, comma 1, BSIG), per esempio pubblicandolo sul proprio sito web.
Orientamenti del BSI ai sensi del §32 BSIG
Il BSI ripete la definizione del § 2 n. 11 BSIG e interpreta 'potrebbe causare' nel senso che gli effetti potrebbero realisticamente verificarsi. Le segnalazioni passano attraverso il portale del BSI. Non pubblica alcun numero per i settori non digitali. Il BSI osserva che il ministero federale dell'Interno potrà in seguito definire più nel dettaglio 'significativo' con un'ordinanza (§ 56, comma 4, BSIG).
Technical Implementation Guidance dell'ENISA
La Technical Implementation Guidance (TIG, versione 1.0 di giugno 2025; la sua tabella di corrispondenza è stata aggiornata alla versione 1.2 nell'agosto 2025) dell'ENISA fornisce indicazioni pratiche sulla valutazione dell'impatto e rinvia alle soglie del CIR ove applicabili. La TIG non è vincolante e rimanda esplicitamente i settori al di fuori dell'ambito del CIR alle autorità nazionali.
Altri Stati membri
Il NISG 2026 austriaco si applica dal 1° ottobre 2026. A luglio 2026 Francia e Paesi Bassi non avevano notificato il proprio recepimento (la Commissione li ha deferiti alla Corte di giustizia). La Germania è l'esempio usato qui.
Mito 1: lo capiremo quando lo vedremo.
Realtà: l'art. 23, par. 4, lett. a), vi concede 24 ore dal momento in cui venite a conoscenza di un incidente significativo per inviare il preallarme. In quel tempo dovete decidere, mettere per iscritto il ragionamento ed essere in grado di difenderlo in sede di audit. Se non avete messo per iscritto i vostri criteri prima dell'incidente, dovrete decidere sotto pressione senza alcuna documentazione su cui basarvi. Costruite il quadro decisionale ora, non il giorno stesso.
Mito 2: solo le violazioni di dati contano come incidenti significativi.
Realtà: l'art. 23, par. 3, lett. a), riguarda la perturbazione operativa e le perdite finanziarie senza alcun riferimento ai dati personali. Una linea di produzione bloccata da un ransomware senza esfiltrazione di dati è un incidente significativo. Una piattaforma logistica fuori servizio per tre ore può esserlo, se l'interruzione perturba gravemente il servizio o causa danni considerevoli ai clienti. La NIS 2 non è il GDPR.
Mito 3: i piccoli incidenti al di sotto della soglia non si sommano.
Realtà: per i fornitori digitali del CIR, gli incidenti con la stessa apparente causa all'origine che si verificano almeno due volte in sei mesi contano come un unico incidente significativo se le loro perdite finanziarie insieme superano la soglia dell'art. 3, par. 1, lett. a) (art. 4 CIR). La NIS 2 stessa non prevede una regola simile, ma una serie di piccoli incidenti è comunque un motivo per riesaminare la valutazione.
Gli allegati I e II della NIS 2 coprono 18 settori. Solo il gruppo digitale di cui all'art. 1 del CIR (11 tipi di soggetto) ottiene dei numeri. Si tratta di una piccola fetta dei soggetti rientranti nell'ambito di applicazione. Per energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, pubblica amministrazione, spazio, settore postale, gestione dei rifiuti, prodotti chimici, prodotti alimentari, settore manifatturiero e ricerca, il criterio resta qualitativo.
È qui che potete essere utili nella stanza. La risposta onesta alla domanda del consiglio di amministrazione ("che cosa conta come significativo per noi?") è: l'UE l'ha rimesso al vostro giudizio, ecco i tre fattori del considerando 101, ecco il registro decisionale che produrremo il giorno stesso, ecco chi lo firma, ecco il modulo di segnalazione del BSI che presenteremo. La risposta difendibile non è un numero. È una decisione messa per iscritto.
- Direttiva (UE) 2022/2555 (NIS 2), art. 23 e considerando 101: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regolamento di esecuzione (UE) 2024/2690 della Commissione, articoli 1, 3, 4, da 5 a 14: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSIG § 32 (Germania): gesetze-im-internet.de/bsig_2025
- ENISA, NIS2 Technical Implementation Guidance, versione 1.0, 26 giugno 2025: enisa.europa.eu
- BSI, FAQ sulla NIS-2 e portale del BSI: bsi.bund.de, portal.bsi.bund.de
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
