Referente NIS2: evidenze gestite e referente CSIRT in outsourcing

È la persona fisica che, per conto del soggetto NIS, interloquisce con CSIRT Italia ed effettua le notifiche obbligatorie degli incidenti significativi (art. 25 del D.Lgs. 138/2024) e quelle volontarie (art. 26). Lo designa il punto di contatto del soggetto tramite la funzione di aggiornamento dati del Portale dei Servizi ACN, indicando codice fiscale e indirizzo email, insieme a eventuali sostituti. Il ruolo è definito dalla determinazione ACN 379887/2025, art. 7, ed è richiamato anche dalle misure di base: la misura GV.RR-02 chiede che l’organizzazione per la sicurezza approvata dal consiglio includa il referente CSIRT e i suoi sostituti.

Sì. Le FAQ ACN precisano che la determinazione «non vieta l’esternalizzazione di tale figura», a condizione che la persona designata abbia almeno competenze di base in sicurezza informatica e gestione degli incidenti e una conoscenza approfondita dei sistemi informativi e di rete del soggetto. Il punto di contatto, invece, deve restare interno, e se una sola persona copre entrambi i ruoli deve essere interna. Nel nostro servizio i due ruoli sono sempre distinti: il punto di contatto è vostro, il referente e il sostituto siamo noi, e la conoscenza dei vostri sistemi viene dal lavoro mensile sulle evidenze.

Gli incidenti significativi di base sono definiti negli allegati 3 e 4 della determinazione ACN 379907/2025: perdita di riservatezza verso l’esterno di dati propri o controllati (IS-1), perdita di integrità con impatto esterno (IS-2), violazione dei livelli di servizio attesi (IS-3) e, per i soggetti essenziali, accesso non autorizzato ai dati (IS-4). I tempi sono quelli dell’art. 25: pre-notifica a CSIRT Italia entro 24 ore da quando si viene a conoscenza dell’incidente, notifica entro 72 ore, relazione finale entro un mese, relazioni intermedie su richiesta del CSIRT. Il CSIRT risponde alla pre-notifica, ove possibile, entro 24 ore.

Il referente designato, cioè noi, con credenziali personali sul portale. Le FAQ ACN prevedono che possano farle anche il punto di contatto e il suo sostituto, che nel nostro modello restano la riserva se non siamo raggiungibili. La relazione finale la approvate voi prima dell’invio, perché descrive impatti e misure a nome dell’azienda. Chi fa cosa nei diversi scenari è scritto nel piano di gestione degli incidenti (RS.MA-01), approvato dal consiglio.

Le misure di sicurezza di base dell’ACN sono 37 misure e 87 requisiti per i soggetti importanti, 43 e 116 per gli essenziali. Non chiedono dichiarazioni ma prove: un inventario datato, un report di revisione degli accessi, un verbale di test di ripristino, un registro delle vulnerabilità con le date di correzione. L’art. 37 del decreto consente all’ACN di chiedere in qualsiasi momento i dati che dimostrano l’attuazione delle politiche e di ordinare audit. Il servizio produce queste prove ogni mese, le riconcilia ogni trimestre e le consegna in un formato che potete riutilizzare. Le misure di base e cosa controllare adesso.

No, lavora a fianco a loro. Il consulente legale e il DPO scrivono le politiche e la valutazione del rischio e seguono le valutazioni giuridiche, dal perimetro di applicazione ai rapporti con l’autorità in sede sanzionatoria. Noi scriviamo l’indice dei nove documenti da approvare, le parti tecniche, la relazione trimestrale e il piano di incidente, e produciamo le evidenze. La delibera del consiglio è una sola, preparata dal legale sul nostro indice.

La rilevazione automatica resta attiva sempre. La presa in carico umana continua, giorno e notte, è garantita solo dal servizio MDR, che per i soggetti essenziali è un requisito del servizio e per gli importanti un consiglio. Senza MDR la reperibilità del referente e del sostituto è scritta nel contratto, con orari, canale e tempi di prima risposta. Preferiamo un impegno preciso a una promessa generica. EDR, XDR e MDR gestiti.

I soggetti essenziali e importanti inseriti nell’elenco NIS dell’ACN: medie e grandi imprese dei settori elencati negli allegati del decreto, le pubbliche amministrazioni e le altre categorie incluse a prescindere dalle dimensioni, oltre ai soggetti individuati dall’ACN lungo le catene di approvvigionamento. Per chi è entrato con l’aggiornamento dell’elenco di settembre 2026 i termini di nove e diciotto mesi sono appena partiti: è il momento in cui conviene impostare bene evidenze e piano. La pagina NIS2 con termini e obblighi.

Il nostro sistema di gestione è certificato ISO/IEC 27001, 27017, 27018 e ISO 9001. Siamo membri di Clusit (Associazione Italiana per la Sicurezza Informatica) e di Confindustria Piacenza, e tre nostri servizi sono qualificati ACN per la pubblica amministrazione. Non siamo un organismo di certificazione e non rilasciamo attestati di conformità NIS2: nessuna terza parte può farlo per conto dell’autorità. Cosa significa la qualificazione ACN.