Il ruolo del referente CSIRT nella direttiva NIS2
Molte aziende vedono la conformità come un elenco di adempimenti tecnici. La direttiva NIS2 alza l’asticella, chiedendo di dimostrare cosa si possiede, come lo si protegge e come si reagisce agli incidenti. In questo scenario, il referente CSIRT diventa la cerniera tra tecnologia e governance: non un risolutore universale, ma chi organizza dati, responsabilità e prove quando le decisioni devono essere rapide e verificabili.
Ma chi è, in concreto, il referente CSIRT? È la persona che l’azienda designa come punto di contatto con il CSIRT Italia — la struttura dell’ACN che raccoglie le segnalazioni e coordina la risposta agli incidenti a livello nazionale. Non è necessariamente un profilo giuridico o dirigenziale nuovo: è chi, all’interno dell’organizzazione, ha la visibilità e l’autorità per attivare i processi giusti quando serve.
In pratica, ha tre compiti che si intrecciano:
- presidiare i canali di notifica verso l’ACN rispettando i tempi previsti
- coordinare le persone e i fornitori coinvolti nella gestione di un incidente
- garantire che ogni azione lasci una traccia verificabile
Le scadenze operative della NIS2
- 28 febbraio 2025registrazione obbligatoria dei soggetti sulla piattaforma ACN.
- 1° gennaio 2026entrata in vigore dell’obbligo di notifica degli incidenti significativi.
- 1° ottobre 2026termine ultimo per l’adeguamento completo ai requisiti di sicurezza e alle misure tecniche e organizzative minime definite dall’ACN.
Nominare il referente CSIRT rende governabile la catena di attività che va dall’asset inventory alla gestione incidenti, passando per risk analysis e raccolta di evidenze.
Con stime di oltre 16.000 aziende coinvolte in Italia, questo approccio pragmatico è cruciale per evitare l’errore di inseguire la documentazione perfetta prima di aver consolidato le basi, consumando tempo senza ridurre il rischio reale.
Un ponte tra l’azienda e l’autorità nazionale
Il primo test è la comunicazione esterna. NIS2 impone un processo di notifica con tempi stretti: preallarme all’ACN entro 24 ore e notifica dell’incidente entro 72. Questo obbligo si distingue da quello del GDPR (72 ore al Garante Privacy), poiché richiede canali e contenuti differenti.
| Fase di notifica | Scadenza | Contenuto richiesto |
|---|---|---|
| Preallarme (Early Warning) | Entro 24 ore dalla conoscenza dell’incidente | Prime informazioni essenziali. Indicazione se l’incidente deriva da atti malevoli o se può avere impatto transfrontaliero. |
| Notifica dell’incidente | Entro 72 ore dalla conoscenza dell’incidente | Aggiornamento del preallarme con una valutazione iniziale dell’incidente, la sua gravità, l’impatto e, se disponibili, gli indicatori di compromissione (IoC).[Cybersecurity360] |
| Relazione finale | Entro 1 mese dalla notifica | Descrizione dettagliata dell’incidente, causa principale, effetti, misure di mitigazione adottate e in corso. Se l’incidente è ancora aperto, sono previste relazioni intermedie. |
Processo di notifica degli incidenti significativi secondo la direttiva NIS2.
Il referente CSIRT è cruciale per ridurre il caos informativo. Durante un incidente, deve garantire risposte a domande decisive:
- quando è stato rilevato
- quali sistemi sono coinvolti
- qual è l’impatto sulla continuità
- quali azioni di contenimento sono state eseguite
Senza una timeline e una raccolta ordinata di prove, la notifica rischia di essere incompleta, tardiva o incoerente.
La tracciabilità è un punto centrale. Policy, log, ticket e report di test sono le evidenze pratiche che rendono una posizione difendibile durante un audit. Il criterio è semplice:
Il referente CSIRT organizza questo flusso, coordinando l’IT interno, i fornitori e gli eventuali partner esterni per analisi tecniche o forensi.
Questa funzione di raccordo è critica in caso di incidenti da vettori comuni, come il furto di credenziali o accessi senza MFA. La qualità della risposta non dipende solo dagli strumenti, ma dalla capacità di agire rapidamente senza perdere le tracce: isolare i sistemi, preservare i log, bloccare l’account compromesso e non disattivare ciò che serve a ricostruire l’accaduto.
Quali competenze tecniche e legali sono necessarie
Oltre al raccordo con l’autorità, il referente CSIRT deve possedere competenze pratiche. Deve comprendere la componente tecnica per governarla: capire le implicazioni di un attacco con credenziali valide, distinguere un evento contenibile da uno che richiede escalation, interpretare i log e collegarli all’impatto sul servizio.
Per questo serve familiarità con le misure di sicurezza fondamentali. Secondo le indicazioni delle autorità competenti, le competenze minime richieste includono:
- Sicurezza informaticauna solida comprensione dei principi di base della cybersecurity.
- Gestione degli incidenticonoscenza delle procedure di incident handling, dal triage all’eradicazione.
- Sistemi e reti aziendaliuna conoscenza approfondita dell’infrastruttura specifica dell’organizzazione per contestualizzare gli eventi.
Referente CSIRT interno o esterno?
La normativa non impone che il referente CSIRT sia un dipendente interno. La designazione riguarda una persona fisica, che può essere anche un professionista esterno con un mandato formale, a condizione che possieda i requisiti richiesti e sia pienamente integrato nei processi di gestione degli incidenti dell’azienda.
Nelle PMI, il referente CSIRT è spesso un IT Manager o una figura operativa con visibilità su sistemi e continuità, affiancato da specialisti esterni per attività come analisi forense, rimozione della minaccia e re-test. L’obiettivo è mantenere la governance interna, rendendo sostenibile il supporto specialistico e garantendo la tracciabilità delle decisioni.
I vantaggi di affidare le attività tecniche a un CSIRT esterno
Chiarito che il referente CSIRT governa e coordina, si pone il tema della delega tecnica. Molte PMI non hanno risorse per coprire continuativamente gap analysis, incident handling, test e reportistica senza sottrarre tempo alle attività ordinarie. Un gap assessment completo per una PMI di 50-200 dipendenti richiede 2-4 settimane, un impegno notevole per un team interno già assorbito dalle operation.
Un CSIRT esterno aggiunge competenze e metodo senza spostare la responsabilità. Il referente interno resta proprietario del processo, mentre il partner fornisce procedure consolidate e prove tecniche robuste (triage, containment, eradicazione, ripristino sicuro), con documentazione valida per NIS2, GDPR e assicurazioni.
Ridurre il carico operativo del team interno
Il primo beneficio è ridurre il carico operativo nei momenti critici. Spesso, nei primi 60 minuti di un incidente, le aziende prendono decisioni che ne complicano la gestione, come disattivare sistemi, perdere log o frammentare le comunicazioni. Con ruoli definiti, il flusso è più controllato: il referente CSIRT coordina priorità e comunicazioni, mentre il partner esegue le analisi specialistiche, fornendo evidenze per la governance.
Interno
decisioni operative di business continuity, autorizzazioni, gestione fornitori, sintesi per organi di vertice e tracciamento delle azioni.
Esterno
analisi tecnica avanzata, containment e rimozione della minaccia, ricostruzione della timeline, supporto su prove e reportistica.
Questo schema rende credibili i “quick wins” fondamentali: MFA sugli accessi critici, hardening della posta, alert su login anomali, patching regolare e backup con restore verificato. Quando la parte tecnica è eseguita con metodo, il referente può concentrarsi su ciò che richiede la norma: controllo ed evidenze, non semplici dichiarazioni.
Garantire continuità e tempi di risposta certi
La riduzione del carico deve tradursi in maggiore resilienza. Le minacce hanno dinamiche diverse: un ransomware si propaga in ore, mentre un accesso non autorizzato può restare silente per settimane. In ogni caso, la continuità dipende dalla velocità con cui l’organizzazione rileva, contiene e ripristina, senza lasciare aperta la stessa vulnerabilità.
Un partner esterno garantisce tempi di risposta certi: SLA di intervento, escalation documentata, report strutturati e restore sicuri in linea con RTO/RPO. La stessa logica si applica al ciclo post-incidente: report, remediation e re-test trasformano la risposta in un miglioramento misurabile.
Con questo modello, il referente CSIRT può basarsi su indicatori concreti: tempi di rilevamento e risoluzione, stato delle remediation, esiti dei test di restore e avanzamento delle misure. È un approccio pragmatico per arrivare alle scadenze del 2026 con una governance solida, senza “teatro della sicurezza”. I primi passi operativi partono da un inventario minimo, 6-10 scenari di rischio realistici e poche fondamenta ben eseguite, come illustrato nella traccia pratica su NIS2. Per misurare la conformità e creare un piano di remediation, il punto di partenza è la guida al NIS2 gap assessment per PMI.
Questo articolo ha finalità informative e non costituisce consulenza legale. Il perimetro di applicazione della NIS2 e gli adempimenti conseguenti vanno valutati caso per caso.
