Incidenti e notifica

In breve. Quando un soggetto NIS ha evidenza di un incidente significativo deve avvisare il CSIRT Italia entro 24 ore, notificare entro 72 ore e inviare la relazione finale entro un mese dalla notifica.

Cos'è un incidente

Un evento che compromette disponibilità, autenticità, integrità o riservatezza di dati o servizi. Sono compresi gli eventi accidentali, come un guasto o un errore umano, non solo gli attacchi.

Quando è significativo

La regola generale (art. 25 c. 4): ha causato o può causare una grave perturbazione dei servizi o perdite finanziarie, oppure ripercussioni su altri con perdite materiali o immateriali considerevoli.

In fase di base, ACN ha reso il criterio verificabile con tipologie precise:

IS-3 dipende dai livelli di servizio definiti in DE.CM-01: senza quei valori non si può stabilire se la soglia è stata superata.

Quando parte il tempo

Il termine decorre da quando il soggetto ha evidenza dell'incidente, cioè dispone di elementi oggettivi da cui si ricava che si è verificato. Non dal momento in cui l'incidente è avvenuto. Un semplice sospetto da verificare non fa ancora partire le 24 ore, ma l'analisi va svolta senza ritardo.

Le fasi

Cosa fa il CSIRT Italia

Risponde senza ingiustificato ritardo e, ove possibile, entro 24 ore dalla pre-notifica con un primo riscontro. Su richiesta dà orientamenti di mitigazione e supporto tecnico. Se si sospetta un reato, orienta sulla segnalazione alla Polizia postale.

La notifica non aumenta la responsabilità

L'art. 25 c. 3 stabilisce che la notifica non espone il soggetto a responsabilità maggiori rispetto a quelle derivanti dall'incidente.

Comunicare ai clienti e al pubblico

• Se opportuno e possibile, sentito il CSIRT Italia, si informano i destinatari dei servizi degli incidenti con effetti sulla fornitura (art. 25 c. 9).
• Si comunicano anche le azioni utili contro una minaccia significativa (art. 25 c. 10).
• ACN può intimare queste comunicazioni e può informare il pubblico (art. 25 c. 11; art. 37).

Le altre notifiche

Lo stesso evento può richiedere altre comunicazioni, con regole proprie: Garante privacy per le violazioni di dati personali, autorità di settore, assicurazione, clienti con obblighi contrattuali. Il piano incidenti dovrebbe elencarle.

Notifica volontaria

Per incidenti diversi da quelli obbligatori, minacce e quasi incidenti è possibile la notifica volontaria (art. 26). I soggetti fuori ambito possono segnalare a loro volta. La notifica volontaria non crea obblighi ulteriori, salve le esigenze di indagine sui reati.

Scheda rapida per il portale

1. Isolare, preservare le evidenze e registrare l'ora in cui si è acquisita l'evidenza.
2. Verificare se ricorre IS-1, IS-2, IS-3 o, per gli essenziali, IS-4.
3. Avvisare referente CSIRT e vertice.
4. Inviare la pre-notifica entro 24 ore.
5. Inviare la notifica entro 72 ore.
6. Valutare GDPR, clienti e autorità.
7. Contenere, eradicare, ripristinare.
8. Chiudere con la relazione finale e le lezioni apprese, aggiornando valutazione del rischio e piano.

Cosa deve contenere il piano incidenti

Secondo RS.MA-01: fasi e procedure con ruoli e responsabilità; procedure per le relazioni; contatti; comunicazione interna ed esterna, compreso il vertice; reportistica. Va approvato dagli organi e riesaminato almeno ogni due anni e dopo incidenti significativi.