Articolo Pubblicazioni
Notifiche di incidente a confronto: GDPR, NIS2, DORA e CRA
di Vincenzo Calabrò · Pubblicato il 14 novembre 2026
Abstract
Uno stesso incidente può dover essere notificato a più autorità, con tempi, soglie e contenuti diversi. L’articolo mette a confronto in una tabella le notifiche previste dal GDPR, dal d.lgs. 138/2024, dalla legge 90/2024, dal perimetro di sicurezza nazionale cibernetica, dal regolamento DORA e dal Cyber Resilience Act, e propone un metodo per gestirle con un unico processo interno.
Un incidente, più obblighi
Un attacco ransomware a un’azienda di servizi finanziari che produce anche software può far scattare in pochi giorni la notifica al Garante per i dati personali, quella al CSIRT Italia come soggetto NIS, quella all’autorità di vigilanza finanziaria per DORA e quella all’ENISA come fabbricante. Ogni norma ha la sua definizione di incidente rilevante, i suoi tempi e i suoi moduli. Avere il quadro completo prima dell’incidente evita di accorgersene durante.
Tabella 1. Principali obblighi di notifica degli incidenti.
| Norma | Chi notifica | A chi | Che cosa | Tempi |
|---|---|---|---|---|
| GDPR (artt. 33 e 34) | Titolare del trattamento | Garante privacy, e interessati se il rischio è elevato | Violazione di dati personali che presenta un rischio per le persone | Entro 72 ore dalla conoscenza; agli interessati senza ingiustificato ritardo |
| D.lgs. 138/2024 (NIS2) | Soggetti essenziali e importanti | CSIRT Italia | Incidente significativo | Pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese |
| Legge 90/2024 | Pubbliche amministrazioni e altri soggetti indicati | ACN | Incidenti sui sistemi informativi, secondo la tassonomia dell’ACN | Segnalazione entro 24 ore, notifica completa entro 72 ore |
| Perimetro di sicurezza nazionale cibernetica (DPCM 81/2021) | Soggetti inclusi nel perimetro | CSIRT Italia | Incidenti sui beni ICT del perimetro | Entro 6 ore o entro 1 ora, secondo la categoria dell’incidente |
| DORA (Reg. UE 2022/2554) | Entità finanziarie | Autorità di vigilanza (Banca d’Italia, Consob, IVASS) | Incidente grave connesso alle TIC | Notifica iniziale entro 4 ore dalla classificazione e non oltre 24 ore dalla conoscenza; intermedia entro 72 ore; finale entro un mese |
| Cyber Resilience Act (Reg. UE 2024/2847) | Fabbricanti di prodotti con elementi digitali | CSIRT coordinatore ed ENISA, tramite la piattaforma unica | Vulnerabilità attivamente sfruttate e incidenti gravi sulla sicurezza del prodotto | Preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni o un mese |
Per i soggetti NIS che sono anche entità finanziarie si applica DORA come norma speciale, e la notifica all’autorità di vigilanza assolve all’obbligo. Le notifiche al Garante per i dati personali restano invece sempre autonome, perché tutelano un interesse diverso.
Le differenze che contano
- Il momento da cui si contano i tempi. Per il GDPR e la NIS2 è la conoscenza dell’incidente, per DORA anche la sua classificazione come grave, per il CRA la ragionevole certezza che lo sfruttamento sia in corso;
- La soglia. Il GDPR guarda al rischio per le persone, la NIS2 all’impatto sui servizi, DORA a criteri quantitativi come clienti coinvolti, durata e impatto economico, il CRA alla sicurezza del prodotto;
- I destinatari, che cambiano da norma a norma e non comunicano sempre fra loro, quindi ogni notifica va fatta per conto proprio;
- Gli aggiornamenti, previsti da quasi tutte le norme, con relazioni intermedie se l’incidente è ancora in corso.
Un processo unico
- mappare in anticipo quali norme si applicano all’organizzazione e a quali sistemi;
- preparare una matrice di decisione che, a partire da poche domande sull’incidente, indichi quali notifiche sono dovute e con quali scadenze;
- tenere un registro degli incidenti con l’ora di conoscenza, le valutazioni fatte e i motivi delle decisioni, anche quando si decide di non notificare;
- preparare i modelli con le parti fisse già compilate e indicare chi firma e chi invia;
- esercitarsi su uno scenario reale, misurando i tempi.
Le scadenze più brevi impongono di notificare con informazioni incomplete. Le norme lo prevedono, ed è meglio una pre-notifica parziale nei tempi che una notifica completa in ritardo.
Un caso pratico
Una società che offre servizi di pagamento e sviluppa un’app per i clienti scopre un lunedì alle 9 che un attaccante ha avuto accesso al database dei clienti attraverso una vulnerabilità dell’app. Alle 13 la valutazione conferma che sono stati letti nomi, email e numeri di telefono di centomila clienti e che la vulnerabilità è sfruttata attivamente. Come entità finanziaria, la società classifica l’incidente come grave e invia la notifica iniziale all’autorità di vigilanza entro quattro ore. Come titolare del trattamento prepara la notifica al Garante entro le 72 ore. Come fabbricante dell’app, se rientra nel CRA, invia il preallarme sulla vulnerabilità tramite la piattaforma europea entro 24 ore. Tre notifiche, tre destinatari, un unico diario dell’incidente.
I contenuti ricorrenti
Pur con moduli diversi, quasi tutte le notifiche chiedono le stesse informazioni di base, cioè quando l’incidente è iniziato e quando è stato scoperto, che cosa è successo, quali sistemi, servizi e dati sono coinvolti, quante persone o clienti sono interessati, quali misure sono state prese, se l’incidente ha effetti transfrontalieri e chi è il punto di contatto. Raccogliere queste informazioni in un modello interno unico, aggiornato man mano, permette di compilare i moduli delle diverse autorità senza ricominciare ogni volta.
Dopo la notifica
La notifica apre un dialogo. Le autorità possono chiedere informazioni aggiuntive, dare indicazioni o, nel caso dei CSIRT, offrire supporto tecnico. Le relazioni intermedie e finali vanno inviate nei tempi previsti anche quando l’incidente è chiuso, e devono essere coerenti fra loro e con le comunicazioni ai clienti. Un’incoerenza fra quanto dichiarato al Garante e quanto comunicato all’autorità di vigilanza o ai clienti è uno degli errori che più facilmente si trasformano in contestazioni.
Vedi anche: l’articolo del 2026 Cyber Resilience Act: le segnalazioni obbligatorie dall’11 settembre 2026 e l’articolo del 2018 GDPR e data breach: notifica entro 72 ore, valutazione del rischio e registro delle violazioni.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn