Notifica degli incidenti NIS2: costruire un processo che regge sotto pressione

Le scadenze della NIS2 sono note: pre-allarme entro 24 ore dalla conoscenza dell’incidente, notifica più completa entro 72 ore, rapporto finale entro un mese. Il problema pratico non è la scadenza in sé, ma il fatto che la maggior parte delle aziende scopre di non avere un processo capace di rispettarla proprio nel momento peggiore per improvvisarne uno.

Il primo ostacolo è la classificazione, non la scrittura

Prima ancora di scrivere la notifica, qualcuno deve decidere se l’evento è "significativo" secondo i criteri della direttiva — perturbazione operativa grave, perdita finanziaria rilevante, o impatto su altri soggetti. Senza criteri di classificazione decisi in anticipo, questa decisione viene presa sotto pressione, spesso al ribasso, per evitare l’obbligo di notifica: un errore che espone l’azienda molto più della notifica stessa.

Un processo che regge definisce in anticipo chi ha l’autorità di dichiarare un incidente "significativo", con quali soglie oggettive, e chi deve essere informato immediatamente perché l’orologio delle 24 ore parte dalla conoscenza dell’incidente, non dalla sua conferma tecnica completa.

Provare il processo prima che serva

Un piano di notifica mai esercitato è un’ipotesi, non una capacità. Un’esercitazione a tavolino — con un incidente simulato, un cronometro reale e i ruoli effettivamente coinvolti — mostra quasi sempre dove il processo si inceppa: chi deve approvare il testo della notifica, come raggiungere l’ACN fuori dagli orari d’ufficio, chi parla con i clienti se la notizia trapela prima della notifica ufficiale. Sono dettagli che sembrano operativi finché non mancano nel momento sbagliato.

In sintesi

Rispettare le scadenze NIS2 non è un problema di velocità di scrittura. È un problema di decisioni prese in anticipo — chi classifica, chi approva, chi comunica — così che le 24 ore si contino a partire da un processo che già esiste, non da uno che si inventa mentre l’incidente è ancora aperto.