La NIS 2 è la direttiva europea sulla cybersicurezza che impone a migliaia di aziende italiane obblighi concreti entro ottobre 2026, con sanzioni fino a 10 milioni di euro per chi non si adegua.
Cos’è la direttiva NIS 2: definizione e origine normativa
La direttiva NIS 2 — acronimo di Network and Information Security 2 — è il quadro normativo europeo sulla cybersicurezza che ha sostituito la precedente Direttiva NIS del 2016, ampliandone significativamente il perimetro di applicazione e inasprendo gli obblighi per le organizzazioni coinvolte.
Adottata dal Parlamento Europeo e dal Consiglio dell’Unione Europea il 14 dicembre 2022 con il riferimento ufficiale Direttiva (UE) 2022/2555, la NIS 2 è nata in risposta a un panorama delle minacce informatiche radicalmente mutato rispetto al 2016: attacchi ransomware su scala industriale, operazioni di spionaggio cibernetico sponsorizzate da Stati, offensive alle supply chain digitali capaci di paralizzare intere filiere produttive.
La direttiva NIS originale era uno strumento pensato per un’era in cui il ransomware era ancora un fenomeno emergente. La NIS 2.0 risponde alle minacce del decennio attuale, imponendo uno standard comune di cybersicurezza in tutti i 27 Stati membri dell’Unione Europea.
In Italia, il recepimento è avvenuto attraverso il Decreto Legislativo n. 138 del 4 settembre 2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. L’autorità nazionale competente per la supervisione, il monitoraggio e l’applicazione della normativa è l’Agenzia per la Cybersicurezza Nazionale (ACN), che gestisce il registro dei soggetti obbligati e coordina la risposta agli incidenti attraverso il CSIRT Italia.
Il testo ufficiale della Direttiva (UE) 2022/2555 è consultabile sul portale EUR-Lex della Commissione Europea. Il Decreto Legislativo 138/2024 è disponibile nella Gazzetta Ufficiale della Repubblica Italiana.
La tua azienda è soggetta alla direttiva NIS 2?
Ottobre 2026 si avvicina. Scopri in 30 secondi se la tua organizzazione rientra nel perimetro degli obblighi NIS 2 e qual è il tuo livello di rischio.
Rispondi a 3 domande e ricevi una consulenza gratuita con i nostri esperti.
Self-Assessment NIS 2
A chi si applica la NIS 2: soggetti essenziali e importanti
Uno degli elementi più rilevanti introdotti dalla direttiva NIS 2 — e dalla più ampia normativa sulla sicurezza informatica europea — rispetto alla versione precedente è l’ampliamento radicale del perimetro soggettivo. La NIS 1 si rivolgeva a un numero limitato di operatori di servizi essenziali in sei settori. La NIS 2.0 estende gli obblighi a 18 settori e coinvolge migliaia di aziende italiane di medie e grandi dimensioni che fino a ieri non erano toccate da alcuna normativa specifica di cybersicurezza.
La normativa sulla sicurezza informatica distingue due categorie di soggetti obbligati:
I soggetti essenziali (SE) operano nei settori più critici per il funzionamento dell’economia e della società: energia, trasporti, banche e infrastrutture finanziarie, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT B2B, pubblica amministrazione e settore spaziale. Per questi soggetti si applicano i requisiti normativi più stringenti, la vigilanza ex ante da parte dell’ACN e le sanzioni più severe in caso di violazione.
I soggetti importanti (SI) operano in settori considerati critici ma di secondo livello: servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, industria manifatturiera (dispositivi medici, apparecchiature elettroniche, macchinari, veicoli), fornitori di servizi digitali (mercati online, motori di ricerca, piattaforme di social network) e organizzazioni di ricerca.
La soglia dimensionale generale prevede che rientrino negli obblighi le organizzazioni con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro che operano in uno dei settori identificati. Fanno eccezione alcune categorie di soggetti per i quali la dimensione non è rilevante — come i fornitori di reti pubbliche di comunicazione elettronica e i registrar di nomi di dominio — che rientrano automaticamente nel perimetro NIS 2 indipendentemente dalle loro dimensioni.
È importante sottolineare che la NIS 2 coinvolge anche i fornitori e i partner delle organizzazioni soggette: l’articolo 24 del D.Lgs. 138/2024 include espressamente la sicurezza della catena di approvvigionamento tra gli elementi che le misure di gestione del rischio devono comprendere. Un’azienda può quindi trovarsi coinvolta negli obblighi NIS 2 non direttamente, ma come fornitore di un soggetto essenziale o importante.
| Dimensione | Soggetti Essenziali (SE) | Soggetti Importanti (SI) |
|---|---|---|
| Settori di appartenenza | Energia, trasporti, banche, sanità, acqua, infrastrutture digitali, ICT B2B, pubblica amministrazione, spazio | Manifattura, alimentare, postale, gestione rifiuti, chimica, servizi digitali (marketplace, social, motori di ricerca), ricerca |
| Tipo di vigilanza ACN | Ex ante — controlli proattivi e ispezioni periodiche | Ex post — controlli attivati su segnalazione o incidente |
| Sanzione massima | 10 milioni di euro o 2% del fatturato annuo mondiale | 7 milioni di euro o 1,4% del fatturato annuo mondiale |
| Soglia dimensionale | 50+ dipendenti o 10M€ di fatturato (con eccezioni per settori critici) | 50+ dipendenti o 10M€ di fatturato |
| Responsabilità management | Diretta e personale — CdA e AD rispondono individualmente | Diretta e personale — CdA e AD rispondono individualmente |
Gli obblighi principali della NIS 2.0
Il cuore operativo della direttiva NIS 2 è l’articolo 21 della Direttiva europea, recepito nell’articolo 24 del D.Lgs. 138/2024, che definisce le misure di sicurezza tecniche, operative e organizzative che i soggetti obbligati devono adottare. Non si tratta di linee guida generiche, ma di requisiti precisi che l’ACN può verificare in sede ispettiva.
Gestione del rischio e politiche di sicurezza
Ogni organizzazione soggetta alla NIS 2 deve adottare politiche formali di analisi e gestione del rischio relative ai propri sistemi informativi e di rete. Questo significa condurre valutazioni periodiche del rischio, documentarne i risultati, definire una soglia di rischio accettabile e adottare misure proporzionate per ridurre i rischi al di sotto di tale soglia. La gestione del rischio non è un adempimento una tantum: la NIS 2 richiede un approccio continuo e iterativo.
Gestione degli incidenti di sicurezza
I soggetti obbligati devono disporre di processi strutturati per la prevenzione, rilevamento, risposta e notifica degli incidenti di sicurezza significativi. La notifica al CSIRT Italia deve avvenire secondo una procedura in tre fasi: una pre-notifica entro 24 ore dalla scoperta dell’incidente, una notifica completa entro 72 ore e una relazione finale entro un mese. La mancata notifica nei tempi previsti costituisce una violazione autonomamente sanzionabile.
Continuità operativa e gestione delle crisi
Le organizzazioni devono elaborare e mantenere aggiornati piani di continuità operativa che contemplino procedure di backup, ripristino dei sistemi, gestione delle crisi e comunicazione di emergenza. L’obiettivo è garantire che, in caso di incidente significativo, i servizi critici possano essere ripristinati nel minor tempo possibile con procedure predefinite e testate.
Sicurezza della catena di approvvigionamento
Come anticipato, i requisiti NIS2 si estendono esplicitamente alla filiera di fornitura. Le organizzazioni devono valutare e monitorare i rischi di sicurezza dei propri fornitori di servizi ICT e tecnologie critiche, verificare che adottino pratiche di sicurezza adeguate e inserire clausole di sicurezza nei contratti di fornitura. Questo aspetto rappresenta una delle novità più impattanti della direttiva, perché trasforma la cybersicurezza da problema interno a questione di ecosistema.
Sicurezza delle reti e controllo degli accessi
I requisiti NIS2 includono l’adozione di misure tecniche per la protezione delle reti e dei sistemi informativi, tra cui l’autenticazione a più fattori (MFA), la cifratura dei dati sensibili, il controllo granulare degli accessi basato sul principio del minimo privilegio, la gestione delle vulnerabilità e l’applicazione tempestiva delle patch di sicurezza.
Governance e responsabilità del management
Uno degli aspetti più innovativi — e impattanti — della direttiva NIS 2 riguarda la responsabilità diretta degli organi di amministrazione e direzione. Il CdA e il C-Level non possono più delegare integralmente la cybersicurezza al reparto IT: devono approvare formalmente le misure di gestione del rischio, supervisionarne l’implementazione con evidenze documentate e rispondere personalmente in caso di violazioni gravi. L’ACN può richiedere evidenza di riunioni consiliari dedicate alla cybersicurezza, delibere di approvazione del budget security e attestazioni di partecipazione a formazione specifica.
Per le organizzazioni che già utilizzano un framework ITSM, molti di questi requisiti si traducono in processi che una piattaforma come Freshservice può supportare nativamente: la gestione strutturata degli incidenti, il CMDB per la visibilità degli asset, i workflow automatizzati per il change management e la reportistica per la governance. Per approfondire come strutturare la gestione degli incidenti in modo conforme, leggi il nostro articolo sull’ITIL incident management e come funziona con Freshservice.
Le scadenze NIS2 2026: il calendario completo
Il percorso di adeguamento alla NIS 2.0 in Italia si è articolato in fasi successive. Alcune scadenze sono già superate; altre sono imminenti o in corso. Ecco il calendario aggiornato a luglio 2026.
Dicembre 2024 — Autovalutazione obbligatoria sul portale ACN per verificare se la propria organizzazione rientra tra i soggetti NIS 2.
Gennaio–Febbraio 2025 — Registrazione formale sulla piattaforma ACN per tutti i soggetti identificati come essenziali o importanti, con designazione del punto di contatto. La mancata registrazione entro il 28 febbraio 2025 era già sanzionabile.
Aprile–Maggio 2025 — L’ACN ha trasmesso le comunicazioni ufficiali di inserimento nell’elenco dei soggetti NIS. Da questa data decorrono i termini per gli obblighi successivi.
Luglio 2025 — Caricamento sul portale ACN di tutte le informazioni tecniche e organizzative richieste dalla normativa (referenti, indirizzi IP, domini, strutture di governance, misure adottate).
Gennaio 2026 — Operatività dell’obbligo di notifica degli incidenti significativi al CSIRT Italia. Da questa data i soggetti NIS devono rispettare la procedura di notifica in tre fasi (pre-notifica 24h, notifica 72h, relazione finale 30 giorni).
Ottobre 2026 — Scadenza principale per l’adozione completa delle misure di sicurezza di base. Questa è la scadenza più urgente per le organizzazioni che non hanno ancora avviato il percorso di adeguamento. Entro questa data tutti i soggetti NIS devono aver implementato le misure tecniche, operative e organizzative richieste dall’articolo 24 del D.Lgs. 138/2024.
Maggio di ogni anno — Aggiornamento annuale delle informazioni sulla piattaforma ACN.
Le scadenze NIS2 non sono omogenee per tutti: per i soggetti inseriti per la prima volta nell’elenco nel 2026, l’obbligo di notifica degli incidenti scatta dal 1° gennaio 2027 e le misure di sicurezza di base devono essere adottate entro il 31 luglio 2027.
| Scadenza | Obbligo | Soggetti coinvolti |
|---|---|---|
| Febbraio 2025 | Registrazione obbligatoria sul portale ACN con designazione del punto di contatto | Tutti i soggetti NIS 2 (prima tranche) |
| Luglio 2025 | Caricamento informazioni tecniche e organizzative sul portale ACN (IP, domini, struttura di governance, misure adottate) | Tutti i soggetti NIS 2 (prima tranche) |
| Gennaio 2026 | Operatività obbligo di notifica incidenti significativi al CSIRT Italia (pre-notifica 24h, notifica 72h, relazione finale 30gg) | Prima tranche — soggetti notificati nel 2025 |
| Ottobre 2026 | Adozione completa delle misure di sicurezza tecniche, operative e organizzative (art. 24 D.Lgs. 138/2024) | Prima tranche — scadenza principale |
| Gennaio 2027 | Operatività obbligo di notifica incidenti al CSIRT Italia | Seconda tranche — soggetti inseriti nel 2026 |
| Luglio 2027 | Adozione completa delle misure di sicurezza di base | Seconda tranche |
| 31 Maggio — ogni anno | Aggiornamento annuale obbligatorio delle informazioni sul portale ACN | Tutti i soggetti NIS 2 |
Sanzioni NIS2: importi, misure correttive e responsabilità personale
Il regime sanzionatorio della NIS 2 è stato costruito per essere dissuasivo. Prima di esaminare le sanzioni, è fondamentale aver rispettato tutte le scadenze NIS2 del calendario. Le sanzioni NIS2 sono differenziate per categoria di soggetto e possono cumularsi tra loro in caso di violazioni multiple.
Per i soggetti essenziali, le sanzioni amministrative pecuniarie arrivano fino a 10 milioni di euro oppure al 2% del fatturato annuo mondiale, applicando sempre l’importo maggiore tra i due.
Per i soggetti importanti, il tetto è fissato a 7 milioni di euro oppure all’1,4% del fatturato annuo mondiale.
Oltre alle sanzioni pecuniarie, l’ACN può disporre misure correttive obbligatorie, imporre audit di sicurezza indipendenti, pubblicare la comunicazione della violazione (con conseguente danno reputazionale) e, nei casi più gravi per i soggetti essenziali, sospendere temporaneamente l’attività o revocare autorizzazioni operative.
L’elemento più impattante per i vertici aziendali è la responsabilità personale: in caso di violazioni gravi attribuibili a negligenza degli organi direttivi, la NIS 2 prevede sanzioni individuali e il divieto temporaneo per i dirigenti di ricoprire ruoli in altri organismi societari. Questo rende l’adeguamento NIS 2 una questione che non può restare confinata al reparto IT, ma deve coinvolgere direttamente il CdA e l’AD.
Come adeguarsi alla direttiva NIS 2: i passi operativi
Per le organizzazioni che devono ancora completare il percorso di adeguamento in vista della scadenza NIS2 di ottobre 2026, è possibile strutturare il lavoro in cinque fasi operative.
1. Verifica del perimetro di applicazione
Il primo passo è accertare se la propria organizzazione rientra tra i soggetti obbligati, verificando settore di attività, dimensioni aziendali e tipologia di servizi erogati. L’ACN ha predisposto sul proprio portale ufficiale ACN uno strumento di autovalutazione guidata. Se l’organizzazione è fornitore di un soggetto essenziale o importante, è opportuno verificare anche l’applicabilità indiretta degli obblighi NIS 2.
2. Gap analysis rispetto ai requisiti NIS2
Una volta accertato il perimetro, è necessario condurre una gap analysis che confronti lo stato attuale della sicurezza informatica aziendale con i requisiti previsti dall’articolo 24 del D.Lgs. 138/2024. La gap analysis deve coprire: inventario e visibilità degli asset IT, processi di gestione degli incidenti, misure di controllo degli accessi, procedure di backup e ripristino, sicurezza della supply chain e governance della cybersicurezza a livello di management.
Un CMDB aggiornato è il punto di partenza indispensabile: non si può proteggere ciò che non si conosce. Per capire come strutturare la gestione degli asset IT in ottica di conformità, consulta il nostro articolo su software IT asset management e come Freshservice supporta l’ITAM.
3. Definizione del piano di adeguamento
Sulla base della gap analysis, l’organizzazione definisce un piano di adeguamento con priorità, responsabilità, risorse e scadenze interne. Il piano deve essere approvato formalmente dal management — non solo dall’IT — per rispettare i requisiti NIS 2 sulla governance della cybersicurezza. I quick win da implementare subito includono l‘autenticazione a più fattori su tutti i sistemi critici, la politica di patch management, il backup testato e le procedure documentate di risposta agli incidenti.
4. Implementazione delle misure tecniche e organizzative
Questa è la fase operativa: adozione delle misure di sicurezza, formazione del personale, aggiornamento dei contratti con i fornitori, configurazione dei sistemi di monitoraggio e alerting. Per le organizzazioni che già dispongono di una piattaforma ITSM, molte di queste attività possono essere gestite e tracciate in modo strutturato attraverso workflow dedicati, garantendo al contempo la documentazione necessaria per le eventuali ispezioni ACN. Per capire come il change management ITIL supporta la governance dei processi IT in questo contesto, leggi il nostro articolo sull’ITIL change management e come introdurlo nella tua azienda.
5. Monitoraggio continuo e aggiornamento annuale
La conformità alla NIS 2 non si esaurisce con l’adeguamento iniziale. I requisiti NIS2 impongono un approccio continuativo: aggiornamento annuale delle informazioni sul portale ACN entro il 31 maggio, revisione periodica del piano di gestione del rischio, aggiornamento delle procedure in risposta a nuove minacce e verifica dei fornitori. L’ACN ha già avviato ispezioni e audit: le organizzazioni devono essere pronte a dimostrare la propria conformità con evidenza documentale.
NIS 2, GDPR e normativa sulla sicurezza informatica: differenze e sinergie
Una domanda frequente riguarda il rapporto tra la direttiva NIS 2 e il GDPR. Le due normative sono distinte ma complementari, e in molti casi i processi di adeguamento si sovrappongono e si rafforzano a vicenda.
Nell’ambito della normativa sulla sicurezza informatica europea, è utile distinguere il perimetro del GDPR da quello della NIS 2. Il GDPR si concentra sulla protezione dei dati personali: stabilisce regole su come i dati degli individui devono essere raccolti, trattati, conservati e protetti, e impone obblighi di notifica in caso di violazione dei dati personali entro 72 ore.
La NIS 2 si concentra invece sulla resilienza dei sistemi informativi e di rete: non riguarda specificamente i dati personali, ma la capacità dell’organizzazione di prevenire, rilevare e rispondere a incidenti informatici che possano compromettere la continuità dei servizi. Un attacco ransomware che blocca i sistemi di un ospedale è un incidente NIS 2 anche se non vengono esfiltrati dati personali.
In pratica, le misure di sicurezza richieste dalla normativa sicurezza informatica NIS 2 — gestione del rischio, controllo degli accessi, cifratura, gestione degli incidenti — contribuiscono anche alla conformità GDPR, riducendo il rischio di violazioni dei dati personali. Le organizzazioni che hanno già strutturato la propria conformità GDPR hanno una base solida su cui costruire il percorso richiesto dalla normativa sulla sicurezza informatica NIS 2 su cui costruire l’adeguamento NIS 2, ma non possono considerare i due percorsi equivalenti.
Freshservice e la conformità alla direttiva NIS 2: come Kahuna supporta le aziende
Per molte organizzazioni italiane, il percorso di adeguamento alla direttiva NIS 2 non parte da zero: chi dispone già di una piattaforma ITSM strutturata ha un vantaggio concreto, perché i processi ITIL che governano la gestione dei servizi IT si sovrappongono in modo significativo con i requisiti tecnici e organizzativi richiesti dalla normativa.
Freshservice — la piattaforma ITSM di Freshworks distribuita in Italia da Kahuna come Platinum Partner — copre nativamente alcune delle aree operative più critiche per la conformità NIS 2.
CMDB e Asset Management: visibilità completa sugli asset IT
La direttiva NIS 2 richiede che le organizzazioni conoscano e governino in modo preciso la propria infrastruttura IT. Non si può proteggere ciò che non si conosce: un inventario incompleto degli asset è una delle lacune più comuni rilevate nelle gap analysis pre-NIS 2. Freshservice offre un CMDB (Configuration Management Database) integrato che consente di mappare tutti gli asset hardware e software, le loro configurazioni e le relazioni tra componenti critici. Questo livello di visibilità è il punto di partenza indispensabile per qualsiasi strategia di gestione del rischio conforme alla normativa.
Incident Management: notifica degli incidenti entro i tempi NIS 2
Uno degli obblighi più stringenti della direttiva NIS 2 riguarda la notifica degli incidenti significativi al CSIRT Italia entro 24 ore dalla scoperta, con notifica completa entro 72 ore. Freshservice consente di strutturare workflow dedicati alla gestione degli incidenti di sicurezza, con escalation automatiche, SLA configurabili e tracciabilità completa di ogni azione intrapresa. Questo garantisce non solo la rapidità di risposta, ma anche la documentazione necessaria per dimostrare la conformità in caso di ispezione ACN.
Change Management: tracciabilità delle modifiche ai sistemi critici
La direttiva NIS 2 richiede che le modifiche ai sistemi e alle infrastrutture critiche siano gestite in modo controllato e documentato. Il modulo di Change Management di Freshservice, allineato al framework ITIL, consente di sottoporre ogni modifica a un processo formale di approvazione, valutazione del rischio e verifica post-implementazione. Ogni cambiamento lascia una traccia auditabile — esattamente il tipo di evidenza documentale che l’ACN può richiedere in sede ispettiva.
Automazioni e reportistica per la governance NIS 2
La NIS 2 impone ai vertici aziendali una responsabilità diretta e documentabile sulla cybersicurezza. Freshservice consente di generare report strutturati su incidenti, tempi di risposta, stato degli asset e conformità agli SLA, fornendo al management una visione continua e misurabile della postura di sicurezza aziendale. Le automazioni riducono il rischio di errori umani nei processi critici e garantiscono che nessuna scadenza operativa venga mancata.
Kahuna affianca le aziende italiane non solo nella configurazione della piattaforma, ma nell’intero percorso di adeguamento alla direttiva NIS 2: dalla gap analysis iniziale alla definizione dei workflow di incident management, fino alla formazione del personale IT e del management sui nuovi obblighi normativi.
Domande Frequenti sulla Direttiva NIS 2
Le risposte degli esperti di Kahuna per comprendere gli obblighi, le scadenze e come adeguarsi alla direttiva NIS 2.
La NIS 1 del 2016 si applicava a un numero limitato di operatori di servizi essenziali in sei settori, con implementazioni difformi tra gli Stati membri. La NIS 2.0 amplia il perimetro a 18 settori, introduce soglie dimensionali chiare, standardizza gli obblighi in tutta l’UE, inasprisce le sanzioni, introduce la responsabilità personale del management e aggiunge la sicurezza della supply chain come requisito esplicito. È un salto qualitativo e quantitativo significativo rispetto alla normativa precedente.
Il GDPR si concentra sulla protezione dei dati personali — come vengono raccolti, trattati e conservati — e impone la notifica delle violazioni entro 72 ore. La direttiva NIS 2 si concentra invece sulla resilienza dei sistemi informativi e di rete nel loro complesso, indipendentemente dal tipo di dati coinvolti. Un attacco ransomware che blocca i sistemi di un ospedale è un incidente NIS 2 anche se non vengono esfiltrati dati personali. Le due normative sono complementari: le misure NIS 2 contribuiscono anche alla conformità GDPR, ma i due percorsi di adeguamento non sono equivalenti.
DORA (Digital Operational Resilience Act) è il regolamento europeo sulla resilienza operativa digitale specificamente rivolto al settore finanziario: banche, assicurazioni, società di investimento, fornitori di servizi ICT per la finanza. La direttiva NIS 2 ha un perimetro molto più ampio e si applica a 18 settori. Per le entità che ricadono in entrambe le normative — come banche e infrastrutture finanziarie — DORA prevale come lex specialis sul settore finanziario, ma gli obblighi della direttiva NIS 2 rimangono applicabili per gli aspetti non coperti da DORA.
Il costo varia in base alle dimensioni dell’organizzazione, al settore e al livello di maturità della sicurezza informatica già in essere. Per una PMI che parte da zero, i costi includono: gap analysis iniziale, implementazione delle misure tecniche (MFA, backup, sistemi di monitoraggio), formazione del personale e consulenza legale per la revisione dei contratti con i fornitori. Le organizzazioni che dispongono già di una piattaforma ITSM strutturata e di processi ITIL formalizzati partono con un vantaggio concreto, riducendo tempi e costi di adeguamento.
Il primo passo è verificare settore di attività e dimensioni aziendali rispetto alle soglie del D.Lgs. 138/2024. L’ACN ha trasmesso comunicazioni ufficiali alle organizzazioni incluse nell’elenco nel 2025: chi ha ricevuto la comunicazione è certamente soggetto agli obblighi. Chi non l’ha ricevuta può verificare la propria posizione tramite lo strumento di autovalutazione sul portale ufficiale ACN. In caso di dubbio, è consigliabile consultare un professionista specializzato, considerando le sanzioni previste per la mancata registrazione.
La direttiva NIS 2 e il D.Lgs. 138/2024 definiscono un incidente come “significativo” quando causa o è in grado di causare una grave perturbazione operativa dei servizi erogati, perdite finanziarie rilevanti o danni significativi ad altre persone fisiche o giuridiche. I criteri includono: numero di utenti colpiti, durata dell’interruzione, estensione geografica dell’impatto e livello di perturbazione ai servizi critici. Solo gli incidenti significativi attivano l’obbligo di notifica al CSIRT Italia entro 24 ore dalla scoperta.