Introduzione

Le organizzazioni che operano in ambito digitale devono oggi gestire gli incidenti informatici rispettando obblighi normativi sovrapposti. GDPR e NIS2 impongono obblighi di notifica e registrazione che possono sovrapporsi: una risposta coordinata riduce i tempi, limita il danno e tutela la responsabilità legale. Questa guida propone un approccio operativo e riproducibile per integrare i requisiti delle due normative in un unico processo di incident response.

Quadro sintetico delle norme

GDPR: impone la notifica delle violazioni di dati personali all'autorità di controllo senza ingiustificato ritardo e, quando possibile, entro 72 ore dal momento in cui il titolare è venuto a conoscenza dell'incidente; richiede inoltre la comunicazione ai soggetti interessati quando la violazione comporti un rischio elevato per i loro diritti e libertà.
NIS2: estende obblighi di sicurezza e notifica ad operatori di servizi essenziali e fornitori di servizi digitali (e categorie analoghe nelle normative nazionali). Prevede notifiche alle autorità competenti/CSIRT e richieste di registrazione e reportistica focalizzate sull'impatto dei servizi.

Nota: le specifiche modalità e termini di notifica della NIS2 possono essere dettagliate nella normativa nazionale di recepimento: verificate gli atti di recepimento per scadenze e formati esatti.

Differenze operative rilevanti

Oggetto: GDPR focalizza i dati personali; NIS2 focalizza servizi essenziali e continuità operativa.
Contenuto delle segnalazioni: GDPR richiede informazioni su natura della violazione, categorie di dati, numero di interessati, misure adottate; NIS2 richiede informazioni su effetti sui servizi, impatto operativo e misure di mitigazione.
Destinatari: GDPR → autorità di controllo e (talvolta) interessati; NIS2 → autorità competenti/CSIRT nazionali e, a seconda del recepimento, altre entità.

Principi per un processo unificato

"Regola del più stringente": quando più obblighi si applicano contemporaneamente, soddisfare il requisito più severo nei tempi e nei dettagli.
Centralità dell'informazione: un registro unico degli incidenti (incident log) che raccoglie dati necessari sia per GDPR che per NIS2.
Ruoli e responsabilità chiaramente definiti (es. CISO, DPO, Responsabile IT, Legal, PR, funzione di continuità operativa).
Documentare ogni decisione: motivazione di non notifica, valutazioni d'impatto, azioni correttive.

Preparazione (Before incident)

Inventario dei servizi e dei dati: mappare sistemi che trattano dati personali e servizi essenziali (responsabili, fornitori, dipendenze).
Catalogo dei contatti normativi: autorità di controllo GDPR, CSIRT nazionale, autorità competenti NIS2 e indirizzi per notifiche.
Playbook e template: predisporre modelli per segnalazioni, comunicazioni interne ed esterne, e check-list di raccolta evidenze.
Ruoli: nominare e formare il gruppo di risposta (IRT), definire escalation e deleghe.
Testing: esercitazioni almeno annuali con scenari che richiedono notifiche normative.

Rilevazione, containment e assessment

Rilevazione: registro dell'evento (timestamp, rilevatore, natura dell'anomalia).
Containment: azioni immediate per limitare diffusione e danno (isolamento sistemi, blocco account, filtri di rete).
Assessment rapido: raccogliere evidenze, identificare se sono coinvolti dati personali e/o servizi essenziali, stimare impatto.
Classificazione: usare una matrice che incroci impatto su riservatezza/integrità/disponibilità e probabilità per determinare gravità e necessità di notifica.

Decisione di notifica: check pratico

Violazione coinvolge dati personali? Se sì, valutare obbligo GDPR (se rischio per diritti e libertà o le autorità dovrebbero essere informate).
L'incidente ha impatto su continuità/servizi essenziali? Se sì, valutare obbligo NIS2.
Soggetti interessati a rischio elevato? Se sì, predisporre comunicazione ai data subject.

Linee guida operative: quando applicabili requisiti multipli, produrre e inviare una notifica iniziale alle autorità competenti nella finestra temporale più restrittiva identificata dalle regole interne (vedi suggerimento tempi sotto).

Tempi consigliati e SLA interni

Obiettivo operativo consigliato: iniziare la notifica alle autorità competenti entro 24 ore dalla scoperta per gli incidenti critici; completare la notifica GDPR entro 72 ore se applicabile. Questi sono target operativi: verificate i termini di notifica prescritti nella normativa nazionale per la NIS2.
Stabilire SLA interni: detection < 4h, assessment iniziale < 8h, notifica iniziale a autorità < 24h per incidenti con impatto elevato.

Template essenziali (campi chiave)

Notifica autorità (GDPR/NIS2): identificazione dell'organizzazione, punto di contatto, data/ora di scoperta, descrizione della natura dell'incidente, categorie di dati o servizi coinvolti, numero stimato di interessati/servizi impattati, misure adottate, valutazione del rischio residuo, azioni pianificate.
Comunicazione a interessati (GDPR): descrizione chiara e non tecnica dell'incidente, possibili conseguenze, misure adottate per mitigare, consigli pratici per ridurre il rischio, contatti per informazioni.
Registro dell'incidente: timeline degli eventi, evidenze raccolte, decisioni e motivazioni, firma digitale delle persone responsabili.

Escalation e coordinamento

Livello 1 (operativo): team IT per containment e raccolta evidenze.
Livello 2 (gestione): CISO, DPO, Legal per valutazione giuridica e decisione di notifica.
Livello 3 (dirigenziale): CEO/Board per impatti strategici, comunicazioni pubbliche e decisioni commerciali.
Coinvolgere PR/Comunicazione prima di rilasciare comunicati esterni.

Conservazione evidenze e post-incident review

Conservare log e immagini forensi in modo immutabile e documentato.
Eseguire root cause analysis e aggiornare playbook.
Redigere rapporto finale con misure correttive, lessons learned e piano d'azione.

Consigli contrattuali e operativi

Verificare clausole di notifica con fornitori e subappaltatori: includere obbligo di segnalazione immediata e assistenza per notifiche normative.
Assicurare clausole di supporto legale e forense nei contratti.

Esercizi pratici e metriche

Simulazioni di notifica che comprendano compilazione moduli e invio a autorità.
Metriche: tempo medio di detection, tempo medio alla prima notifica, percentuale di incidenti con report tempestivo.

Conclusione

Un processo unificato, fondato su inventario, playbook, ruoli chiari e registrazione rigorosa, permette di soddisfare contemporaneamente obblighi GDPR e NIS2 riducendo rischio legale e operativo. Adottate l'approccio del "più stringente" e verificate regolarmente la conformità alle specifiche nazionali di recepimento della NIS2.