Il Decreto NIS 2 (D. Lgs. 138/2024), in vigore dal 16 ottobre 2024, recepisce i principi della Direttiva Europea NIS2, ponendo le basi per un modello operativo di collaborazione tra i soggetti interessati e l’autorità competente più articolato rispetto al passato, per quanto attiene la gestione degli incidenti informatici. Tale gestione si fa, in buona sostanza, più rigorosa, strutturata e vincolante, con obblighi di notifica estesi e tempistiche precise per imprese e pubbliche amministrazioni.

Infatti, per l’adempimento degli obblighi di cui agli articoli 23, 24, e 25 del decreto, i soggetti NIS sono tenuti ad adottare le misure di sicurezza e a notificare al CSIRT Italia – ovvero l’unità istituita presso l’ACN per monitorare e rispondere agli incidenti di cyber security in Italia – gli incidenti più significativi, come stabilito dalla determinazione ACN 164179 del 14 aprile 2025 e relativi allegati.

In questo contesto, grande importanza è assunta dall’articolo 25, che prevede non solo obblighi più rigorosi in materia di notifica di incidenti all’autorità competente, ma anche un processo disegnalazione strutturato a più fasi.

Tutti i soggetti pubblici e privati che rientrano nel campo di applicazione del Decreto si sono dovuti obbligatoriamente registrare sulla piattaforma digitale dedicata dell’ACN, indicando un Punto di Contatto e trasmettendo le informazioni essenziali, inclusi indirizzi IP, domini e organi direttivi. Obbligo che si rinnoverà annualmente per quanto attiene all’aggiornamento di tali informazioni.

A partire da gennaio 2026 i soggetti importanti dovranno notificare al CSIRT Italia gli incidenti significativi elencati nell’allegato 3 della determinazione ACN mentre i soggetti essenziali quelli indicati nell’allegato 4.

A questo proposito, al Punto di Contatto si è recentemente aggiunto l’obbligo del Referente CSIRT (determinazione ACN 250916), che dovrà essere designato entro il 31 dicembre, con il compito specifico di interloquire con lo CSIRT Italia per la notifica degli incidenti, avendo le competenze necessarie per ricoprire questo ruolo.

Ma notificare gli incidenti significa anche strutturarsi con tecnologie e processi che permettano di rilevare tempestivamente gli incidenti e di gestirne correttamente tutte le fasi tipiche dell’incident handling, conformemente anche a quanto previsto dalla normativa stessa.

I soggetti, pertanto, entro la fine dell’anno in corso devono già adempiere ad una serie di obblighi specificatamente riferiti alla gestione degli incidenti, ancor prima di completare tutti gli altri adempimenti previsti dal Decreto, la cui scadenza è stata fissata ad ottobre 2026.

Obblighi e criteri più stringenti

Tutte le organizzazioni che rientrano fra i soggetti identificati dal Decreto sono tenuti a:

1. Adottare misure tecniche, organizzative e procedurali proporzionate al rischio.
2. Implementare piani di gestione degli incidenti (inclusi rilevamento, risposta e recupero).
3. Mantenere registri aggiornati degli incidenti.

In forza dell’articolo 25 del Decreto, i soggetti essenziali e i soggetti importanti sono tenuti a notificare al CSIRT Italia ogni incidente che abbia un impatto significativo sulla fornitura dei propri servizi. Le notifiche devono contenere tutte le informazioni necessarie affinché il CSIRT Italia possa valutare l’eventuale impatto sia a livello nazionale che transfrontaliero dell’incidente.

Tale comunicazione non comporta, per il soggetto che la effettua, un incremento delle responsabilità rispetto a quelle già connesse all’evento stesso, sebbene esso stesso sia una sorta di autodenuncia verso l’Autorità competente e quindi andrà svolta con tutte le cautele del caso, coinvolgendo sia le funzioni tecniche (interne o esterne) per le analisi approfondite, che gli organi direttivi e legali per valutare accuratamente gli impatti.

Inoltre, per essere considerato “significativo”, un incidente deve causare o potenzialmente determinare gravi perturbazioni operative o perdite finanziarie, oppure avere ripercussioni rilevanti, con danni materiali o immateriali considerevoli su persone fisiche o giuridiche. In questo modo, la definizione si estende oltre la mera dimensione tecnica, includendo anche le conseguenze economiche e sociali dell’evento.

Da notare che la definizione di “incidente significativo” fornita da ACN nei citati allegati si discosta da quella del Regolamento Esecutivo NIS2 2690/2024 emesso dalla CE. Tale regolamento, sebbene si applichi ai soli soggetti che erogano servizi digitali, resta pur sempre di valido aiuto per la comprensione di tale definizione (cfr. Artt 3-14) e, in generale, rappresenta un validissimo framework di sicurezza che compendia tutte le misure previste dalla NIS2 (cfr. allegato al Regolamento).

Tempistiche e fasi di notifica

Il decreto impone a tutti i soggetti essenziali e importanti una sequenza di comunicazioni progressive, finalizzate a fornire al CSIRT un quadro costantemente aggiornato della situazione:

• Entro 24 ore dalla scoperta dell’incidente, deve essere inviata una pre-notifica, che indichi – se possibile – la natura dell’evento, l’eventuale origine malevola e il potenziale impatto transfrontaliero.
• Entro 72 ore, deve essere trasmessa una notifica completa e dettagliata, contenente una prima valutazione della gravità e dell’impatto, nonché eventuali indicatori di compromissione.
• Su richiesta del CSIRT Italia, possono seguire relazioni intermedie per aggiornare lo stato dell’incidente.
• Entro un mese dalla notifica va inviata una relazione finale, che ne descriva gravità ed impatto, il tipo di minaccia o la sua origine (root cause), le misure di mitigazione adottate e in corso e l’eventuale impatto transfrontaliero. Se l’incidente è ancora in corso al momento della trasmissione della relazione finale, è prevista una relazione mensile sui progressi e una relazione finale entro un mese dalla conclusione della gestione dell’incidente.

La notifica va svolta caratterizzando l’incidente mediante la Tassonomia Cyber di ACN che ha lo scopo di agevolare lo scambio di informazioni mediante un lessico comune per la condivisione di informazioni riguardo eventi cyber tra le entità impattate, nonché per la notifica al CSIRT Italia. Purtroppo, tale tassonomia è adottata solo in Italia per cui, per incidenti transfrontalieri, perde un po’ della sua efficacia.

Nel caso in cui l’incidente significativo comporta anche una violazione di dati personali (data breach) sarà necessaria un’ulteriore notifica, questa volta verso l’autorità Garante per la Protezione dei Dati Personali, ma con tempistiche e modalità differenti (entro le 72 ore).

Se poi, il soggetto è un istituto bancario che rientra nel perimetro del Regolamento DORA, è prevista una ulteriore notifica verso l’autorità nazionale di vigilanza finanziaria (Banda d’Italia).

Insomma, il processo di notifica si può complicare notevolmente, per cui il soggetto dovrà adeguatamente strutturarsi per poter far fronte a tutti questi adempimenti, avvalendosi di profili professionali (interni e/o esterni) in grado di potersi districare agevolmente in questo ginepraio normativo, rispettando tempistiche molto stringenti che escludono qualsiasi sorta di improvvisazione.

Infatti, la mancata notifica o l’inadempienza agli obblighi può comportare limitazioni operative, soprattutto per i soggetti essenziali, e sanzioni economiche rilevanti, significativamente più severe rispetto a quelle previste dalla NIS1, con massimi edittali sino a 10M€ (o 2% del fatturato annuo) per i soggetti essenziali e a 7M€ (o 1,4% del fatturato annuo) per i soggetti importanti.

Altra novità riguarda i minimi edittali, proporzionali al massimo (1/20 o 1/30), il che significa che ci potrà essere molto meno discrezionalità sulla sanzione minima irrogata. Per i soggetti pubblici le sanzioni previste sono più ridotte (da 25K€ a 125K€), ma possono essere anche personali, degli amministratori e dirigenti preposti, per esempio per gravi negligenze nella governance della cybersecurity o per non aver dato seguito alle diffide di ACN.

Il ruolo chiave dello CSIRT

La NIS2 rafforza il ruolo di supervisione dell’Authority sugli incidenti informatici e, in questo contesto, il CSIRT Italia svolge un ruolo centrale, ricevendo le notifiche e fornendo supporto tecnico ai soggetti pertinenti.

Il CSIRT Italia è l’organo di ACN che si occupa di monitoraggio preventivo e risposta agli incidenti informatici e fa parte della comunità dei CERT mondiali (FIRST). Ha iniziato ad operare dal 2020 assumendo i compiti in precedenza in capo al CERT Nazionale e al CERT-PA.

Nell’ambito della NIS2 il CSIRT dovrà assumere diversi compiti, sia di tipo reattivo (monitoraggio e analisi, supporto operativo nella risposta, analisi forense, awareness, ecc.) che proattivo (emissioni bollettini, alert, early warning, scansioni periodiche, ecc.).

Entro 24 ore dalla pre-notifica, deve fornire un riscontro iniziale, con eventuali suggerimenti di mitigazione, e può offrire ulteriore assistenza su richiesta. In caso di eventi con carattere criminale, il CSIRT indirizza il soggetto verso le Autorità competenti, garantendo il raccordo tra risposta tecnica e investigativa.

I soggetti, solo a seguito del parere favorevole del CSIRT, devono informare i propri utenti senza ingiustificato ritardo, quando l’incidente può avere un impatto significativo sulla fornitura dei servizi, comunicando le misure di mitigazione intraprese in presenza di minacce significative.

Infine, il CSIRT può condividere pubblicamente gli incidenti significativi per prevenire ulteriori attacchi o tutelare l’interesse pubblico, eventualmente estendendo tale comunicazione agli altri Stati membri.

È evidente, quindi, che i compiti del CSIRT sono davvero gravosi, per cui dovrà ulteriormente rafforzarsi considerando il numero elevato di soggetti già ad oggi in perimetro (si è superati i 25.000, a fronte di meno di 500 della NIS1), per poter essere ancora più efficiente a partire dal prossimo gennaio, da quando cioè tutti i soggetti NIS2 saranno obbligati a notificare gli incidenti significativi.

Perché questo processo è cruciale: impatti per aziende e PA

La nuova procedura di segnalazione degli incidenti, innanzi descritta, introduce un modello strutturato e formale che cambia significativamente il modo in cui imprese e pubbliche amministrazioni dovranno gestire gli incidenti di sicurezza informatica.

Se per le realtà più mature ed organizzate dal punto di vista della sicurezza significa per lo più adattare e migliorare i processi esistenti, per tantissime altre (leggi PMI) comporterà avviare ex-novo dei progetti di adeguamento tecnologico e organizzativo che richiederanno diversi mesi, se non anni, prima che possano essere completati.

Ridursi all’ultimo momento non giova a nessuno e porta a risultati insoddisfacenti, come l’esperienza dell’adeguamento al GDPR ha dimostrato: troppo spesso si è rivelato un mero adempimento burocratico, anziché apportare un sostanziale miglioramento nella protezione dei dati personali.

La NIS2, invece, anche dal punto di vista della gestione incidenti, deve essere vista come un’occasione fondamentale per tutti i soggetti coinvolti:

• Per le imprese: definire processi di incident management più strutturati, con precisi ruoli e responsabilità, capacità di prevenzione e analisi post-incidente, trasformando la sicurezza in un asset strategico, investendo in processi, competenze e tecnologie per ridurre rischi, prevenire blocchi operativi e rafforzare la fiducia di clienti e partner.
• Per le PA: maggiore trasparenza, coordinamento e capacità di risposta centralizzata avvalendosi del CSIRT, al fine di potenziare prevenzione, rilevamento e risposta agli incidenti, anche avvalendosi di aziende specializzate che garantiscano servizi efficaci e di qualità.

Questo approccio più disciplinato è fondamentale perché consente di rilevare e contenere rapidamente gli incidenti, prevenire reazioni a catena, migliorare la governance interna e la compliance, e garantire cooperazione e visibilità a livello nazionale ed europeo, rafforzando concretamente la resilienza di sistemi e servizi critici.

Conclusioni

L’entrata in vigore del Decreto NIS2 segna un punto di svolta nella gestione degli incidenti informatici, imponendo un approccio più rigoroso, strutturato e coordinato. Non si tratta di un semplice adeguamento normativo, ma di un cambiamento culturale che richiede alle organizzazioni di ripensare i propri processi di sicurezza, passando da una logica reattiva a una strategia proattiva e integrata.

Le imprese e le pubbliche amministrazioni devono considerare questi obblighi come un’opportunità per rafforzare la propria resilienza, investendo in tecnologie, competenze e governance. La tempestività nella rilevazione e nella notifica degli incidenti, unita alla collaborazione con il CSIRT Italia, diventa un elemento chiave per ridurre i rischi, prevenire impatti sistemici e garantire la continuità operativa.

In un contesto in cui le minacce cyber sono sempre più sofisticate e pervasive, la conformità alla NIS2 non è solo una questione di compliance, ma un fattore strategico per tutelare la fiducia di clienti, partner e cittadini. Agire oggi significa non solo evitare sanzioni, ma costruire un ecosistema digitale più sicuro e resiliente, a beneficio dell’intero sistema Paese.

L'articolo La gestione degli incidenti informatici nell’epoca del NIS2 proviene da Red Hot Cyber.

Il Dipartimento dell’Energia degli Stati Uniti (DOE) ha avviato una collaborazione strategica con Nvidia e Oracle per costruire sette supercomputer di nuova generazione basati sull’intelligenza artificiale, destinati a rivoluzionare la ricerca scientifica e lo sviluppo di agenti intelligenti.

Due di questi sistemi saranno installati presso l’Argonne National Laboratory in Illinois, che ospiterà così la più vasta infrastruttura di supercalcolo AI mai realizzata dal Dipartimento dell’Energia.

Durante la GPU Technology Conference di NVIDIA, il CEO Jensen Huang ha annunciato il progetto Solstice, descritto come il più grande supercomputer AI mai costruito per il DOE. Il sistema sarà equipaggiato con 100.000 GPU Blackwell e realizzato in collaborazione con Oracle e il laboratorio Argonne.

Solstice sarà affiancato da Equinox, un secondo supercomputer in fase di sviluppo con 10.000 GPU Blackwell, anch’esso ospitato presso Argonne. L’interconnessione tra i due sistemi permetterà di raggiungere una potenza combinata di 2.200 exaFLOP, segnando un nuovo traguardo nelle capacità di calcolo dedicate all’intelligenza artificiale.

Huang ha sottolineato che questa infrastruttura “diventerà il motore di scoperta americano”, mettendo a disposizione dei ricercatori strumenti avanzati per accelerare studi in ambiti che vanno dalla medicina alla scienza dei materiali.

Oltre a fornire maggiore capacità di calcolo per gli esperimenti scientifici, Solstice ed Equinox saranno parte integrante del programma “Developing Agent Scientists” del laboratorio Argonne. L’iniziativa mira a introdurre sistemi di intelligenza artificiale basati su agenti autonomi nella ricerca, con l’obiettivo di incrementare la produttività e favorire nuove scoperte nel prossimo decennio.

Secondo le prime previsioni, Equinox dovrebbe entrare in funzione il prossimo anno, mentre non è ancora stata comunicata una data ufficiale per il completamento di Solstice.

Parallelamente, NVIDIA ha annunciato una nuova collaborazione con Palantir Technologies, che integrerà le tecnologie di calcolo accelerato NVIDIA – comprese le librerie CUDA-X e i modelli AI Nemotron – nella propria piattaforma di intelligenza artificiale. L’obiettivo è aumentare la velocità di elaborazione dei dati e introdurre agenti AI personalizzabili all’interno dei sistemi Palantir.

La combinazione delle due tecnologie è già stata sperimentata da Lowe’s, la catena statunitense di articoli per la casa, che ha utilizzato un gemello digitale della propria rete di fornitura per ottimizzare i flussi logistici attraverso modelli di intelligenza artificiale.

Il laboratorio Argonne, inoltre, prevede di ampliare la propria infrastruttura con altri tre sistemi basati su GPU NVIDIA: Tara, Minerva e Janus. Questi supercomputer saranno messi a disposizione della comunità scientifica per favorire l’accesso condiviso alle risorse di calcolo AI.

Anche il Los Alamos National Laboratory sarà parte dell’iniziativa e riceverà due nuovi sistemi basati sulla piattaforma NVIDIA Vera Rubin. Il primo, denominato Vision, sarà operativo nel 2027 e dedicato a progetti di ricerca non classificati – dalla sicurezza nazionale alla scienza dei materiali, fino alla ricerca biomedica. Il secondo, chiamato Mission, sarà destinato a carichi di lavoro classificati, sostituendo il supercomputer Crossroads, entrato in funzione nel 2023.

“I sistemi Mission e Vision rappresentano un investimento cruciale nelle nostre capacità scientifiche e nella sicurezza nazionale“, ha affermato Tom Mason, direttore del Los Alamos Laboratory. “Sono progettati per il supercalcolo dell’era dell’intelligenza artificiale.”

L'articolo Gli USA costruiscono il più grande supercomputer AI della storia proviene da Red Hot Cyber.