Perchè adeguarsi alla NIS2 con GRF Studio, partner di Eset

Obblighi di segnalazione di incidenti

Soggetti essenziali e importanti devono segnalare al proprio CSIRT o, se opportuno, alla propria autorità competente, gli «incidenti significativi», cioè quegli eventi che:

1. hanno causato/possono causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato; o
2. si sono ripercossi o possono ripercuotersi su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.

In tali casi, i soggetti interessati trasmettano al CSIRT o, se opportuno, all’autorità competente:

1. senza indebito ritardo e comunque entro 24 ore da quando sarà venuta a conoscenza dell’incidente significativo un preallarme che, se opportuno, indichi se l’incidente significativo sia sospettato di essere il risultato di atti illegittimi o malevoli o possa avere un impatto transfrontaliero;
2. senza indebito ritardo e comunque entro 72 ore (24 ore in alcuni casi) da quando sarà venuta a conoscenza dell’incidente significativo una notifica dell’incidente che, se opportuno, aggiorni le informazioni di cui alla lettera a) e indichi una valutazione iniziale dell’incidente significativo, comprensiva della sua gravità e del suo impatto, nonché, ove disponibili, gli indicatori di compromissione;
3. su richiesta del CSIRT o, se opportuno, dell’autorità competente, una relazione intermedia sui pertinenti aggiornamenti della situazione;
4. una relazione finale entro un mese dalla trasmissione della notifica dell’incidente, con specifici contenuti;
5. in caso di incidente in corso al momento della trasmissione della relazione finale di cui alla lettera d), una relazione sui progressi e una relazione finale entro un mese dalla gestione dell’incidente.

Saranno possibili notifiche su base volontaria, oltre ai casi obbligatori, anche da parte di soggetti non rientranti nell’applicazione della direttiva.