In parole semplici. Procedure pronte per informare clienti e pubblico, sentito il CSIRT Italia o su intimazione di ACN.
Descrizione ufficiale
Gli stakeholder interni ed esterni sono informati degli incidenti.
Requisiti
I requisiti sono identici per soggetti importanti ed essenziali.
- p.1In accordo al piano per la gestione degli incidenti di cui alla misura RS.MA-01, sono documentate e adottate procedure per comunicare senza ingiustificato ritardo, se ritenuto opportuno e qualora possibile, sentito il CSIRT Italia, ovvero qualora intimato dall’Agenzia per la cybersicurezza nazionale ai sensi dell’articolo 37, comma 3, lettere g) e h), del decreto NIS: a) ai destinatari dei propri servizi, gli incidenti significativi che possono ripercuotersi negativamente sulla fornitura di tali servizi; b) ai destinatari dei propri servizi che sono potenzialmente interessati da una minaccia informatica significativa, le misure o azioni correttive o di mitigazione che tali destinatari possono adottare in risposta a tale minaccia e la natura di tale minaccia.
- p.2Sono documentate e adottate procedure per informare il pubblico sugli incidenti occorsi, qualora intimato dall’Agenzia per la cybersicurezza nazionale ai sensi dell’art. 37, comma 3, lettera i) del decreto NIS.
Evidenze tipiche
- Sezione comunicazioni esterne del piano incidenti
Domande frequenti su RS.CO-02
Cosa chiede la misura RS.CO-02?
Procedure pronte per informare clienti e pubblico, sentito il CSIRT Italia o su intimazione di ACN. Il testo ufficiale è: «Gli stakeholder interni ed esterni sono informati degli incidenti.»
La misura RS.CO-02 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 2 requisiti, per gli essenziali 2.
Quali evidenze servono per dimostrare RS.CO-02?
Tipicamente: Sezione comunicazioni esterne del piano incidenti. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
RS.CO-02 richiede l'approvazione degli organi di amministrazione?
Non direttamente: nessun requisito di RS.CO-02 prevede un'approvazione specifica degli organi, che restano comunque responsabili dell'attuazione delle misure (art. 23).
La categoria RS.CO: Segnalazione e comunicazione della risposta agli incidenti
Le attività di risposta sono coordinate con gli stakeholder interni ed esterni come richiesto da leggi, regolamenti o politiche.
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.