Il portale di segnalazione del BSI
Una piattaforma, due obblighi NIS 2: la prima registrazione come soggetto e la notifica degli incidenti significativi. Accesso tramite il certificato organizzativo ELSTER.
Cos'è
Il portale del BSI è il luogo in cui convergono due dei tuoi obblighi NIS 2 più importanti. Da un lato la prima registrazione come soggetto, dall'altro la notifica degli incidenti significativi. Entrambi i percorsi si trovano dietro lo stesso login.
I doveri derivano dai §32 e §33 BSIG. Il §33 dice: tre mesi per la registrazione dal momento in cui rientri nell'ambito di NIS 2. Il §32 dice: in caso di incidente significativo, quattro fasi di notifica con scadenze inderogabili, 24 ore di preallarme, 72 ore di follow-up, relazione intermedia su richiesta del CSIRT, relazione finale entro un mese. Entrambi i termini decorrono dalla conoscenza, non dal verificarsi del danno.
L'ostacolo più comune non è il portale in sé ma l'accesso ad esso. Ti serve un certificato organizzativo ELSTER. Arriva per posta in due lettere, lettera del certificato più PIN, tempi di elaborazione nella pratica due o tre settimane. Se ti avvicini al limite del termine di tre mesi del §33 BSIG e avvii la domanda ELSTER in parallelo, hai un problema di tempistica.
§32 BSIG (obblighi di notifica) + Art. 23 NIS 2
I soggetti essenziali e importanti notificano all'Ufficio federale gli incidenti di sicurezza significativi senza indebito ritardo, al più tardi entro 24 ore dal momento in cui ne vengono a conoscenza, tramite il punto unico di notifica.
Il punto unico di notifica è il portale del BSI. Il dovere si applica a tutti i soggetti essenziali e importanti, indipendentemente dal settore o dalla dimensione entro le soglie di NIS 2. Il termine decorre dal momento in cui se ne viene a conoscenza, non dal verificarsi del danno.
§33 BSIG (obbligo di registrazione) + Art. 27 NIS 2
I soggetti essenziali e importanti si registrano presso l'Ufficio federale entro tre mesi dal primo soddisfacimento delle condizioni. Le modifiche sono notificate entro due settimane.
Il termine di tre mesi si applica alla prima registrazione. Il termine di due settimane ai sensi del §33(5) BSIG si applica a qualsiasi modifica successiva (referente, settore, attività). Entrambi i passaggi avvengono tramite il portale.
Prima registrazione
Ai sensi del §33 BSIG: dati anagrafici, settore, referente, ambito di attività, classe dimensionale. Tre mesi dal momento in cui rientri per la prima volta nell'ambito di NIS 2.
Preallarme, 24 ore
Ai sensi del §32 BSIG e dell'Art. 23(4)(a) NIS 2: notifica iniziale che indica la sospetta causa illecita o malevola e l'impatto transfrontaliero. Sono gli unici elementi di contenuto che la direttiva nomina esplicitamente per il preallarme delle 24h.
Notifica, 72 ore
Ai sensi del §32 BSIG e dell'Art. 23(4)(b) NIS 2: valutazione iniziale della gravità e dell'impatto, indicatori di compromissione ove disponibili. Il termine delle 72h decorre dalla conoscenza, non dal traguardo delle 24h.
Relazione intermedia su richiesta
Ai sensi del §32 BSIG e dell'Art. 23(4)(c) NIS 2: solo su richiesta del CSIRT o dell'autorità competente. Non presenti la relazione intermedia di tua iniziativa.
Relazione finale, 1 mese
Ai sensi del §32 BSIG e dell'Art. 23(4)(d) NIS 2: descrizione dettagliata, causa, misure di mitigazione, impatto transfrontaliero. Termine di un mese dalla notifica di follow-up delle 72h.
Aggiornamento dei dati entro 2 settimane
Ai sensi del §33(5) BSIG e dell'Art. 27(2) NIS 2: due settimane per aggiornare i dati di registrazione. La causa più comune è un cambio di personale del referente.
Accesso ad avvisi e rapporti sulla situazione
Il portale raccoglie anche le pubblicazioni del BSI, gli avvisi e i rapporti settoriali sulla situazione. Utile quando sei comunque già connesso.
La domanda si presenta tramite Mein Unternehmenskonto su mein-unternehmenskonto.de. Prerequisito: un codice fiscale tedesco per la tua organizzazione. Il certificato stesso arriva per posta, il PIN di attivazione arriva in una lettera separata. Non è casuale, fa parte dell'autenticazione.
Tempi di elaborazione nella pratica: due o tre settimane. La maggior parte dei gruppi dirigenti sottovaluta questo passaggio perché sembra una questione IT, ma dipende da un recapito postale. Per rispettare il termine di tre mesi del §33 BSIG, richiedi prima ELSTER, poi registrati presso il BSI.
Senza ELSTER l'accesso è attualmente possibile solo in casi eccezionali, ad esempio tramite delega elettronica. Il sito web del BSI documenta in dettaglio i percorsi ammissibili.
Domanda ELSTER avviata troppo tardi
Due o tre settimane di tempi di elaborazione non si accorciano se avvii la domanda a ridosso della scadenza. Risultato: termine del §33 BSIG mancato. Può seguire una sanzione ai sensi del §65 BSIG.
Referente non aggiornato
I cambi di personale sono la violazione silenziosa più comune di NIS 2. Ai sensi del §33(5) BSIG e dell'Art. 27(2) NIS 2 hai due settimane per aggiornare i dati di registrazione. Se ciò viene dimenticato, le richieste del BSI non arrivano a destinazione e te ne accorgi solo alla successiva escalation.
Nessuna prova della notifica
24 ore sono poche. Aprire il portale per la prima volta nel mezzo di un incidente brucia ore che non hai. Raccomandazione: accedi una volta in condizioni di calma, percorri la struttura, salva i contatti, molto prima di doverlo usare.
- Legge sull'Ufficio federale per la sicurezza informatica (BSIG), §§32, 33, 65, www.gesetze-im-internet.de
- Direttiva (UE) 2022/2555 (NIS 2), Art. 23, Art. 27, www.eur-lex.europa.eu
- Mein Unternehmenskonto (certificato organizzativo ELSTER): mein-unternehmenskonto.de
- Sito web del BSI che rimanda al portale: www.bsi.bund.de
Questa pagina fornisce una guida strutturata basata su fonti pubblicamente disponibili (Direttiva NIS 2, BSIG, documentazione ELSTER, pubblicazioni del BSI). Non costituisce consulenza legale ai sensi del §2 RDG. I dettagli procedurali del portale del BSI e della domanda ELSTER possono cambiare; fa fede la documentazione attuale del BSI e di ELSTER. Aggiornato al 2026-06-04.