Obbligo di nomina del Referente CSIRT secondo la normativa NIS2

Le aziende soggette alla normativa NIS2 dovranno adempiere a un obbligo fondamentale entro il 31 dicembre 2025: la nomina del Referente CSIRT.

Il Referente CSIRT è una figura centrale per la gestione degli incidenti informatici e per le comunicazioni ufficiali con il CSIRT Italia, l’organismo tecnico dell’Agenzia per la Cybersicurezza Nazionale (ACN).

Non sai se la tua azienda rientra nel campo di applicazione della Direttiva NIS2? Puoi scoprirlo consultando il nostro articolo dedicato alla normativa e ai soggetti obbligati.

Di cosa si occupa il Referente CSIRT

Il Referente CSIRT dovrà fungere da interfaccia operativa tecnica. In caso di incidente di sicurezza informatica gestirà direttamente le comunicazioni e i rapporti con il CSIRT Italia (ovvero l’organismo tecnico dell’ACN per la gestione degli incidenti informatici).

In particolare, il Referente, si occuperà di:

• trasmettere una pre-notifica entro 24 ore dalla conoscenza di un incidente significativo;

• inviare una notifica completa entro 72 ore, includendo:

  • valutazione iniziale dell’incidente,

  • impatto sull’operatività aziendale,

  • indicatori di compromissione (IoC);

• redigere una relazione finale entro circa 30 giorni dall’evento.

Assieme al Referente è possibile (e consigliabile) nominare anche un sostituito, così da garantire la continuità operativa e il rispetto delle tempistiche anche in caso di indisponibilità del titolare.

Requisiti e competenze del Referente CSIRT

Poiché il Referente è responsabile dei rapporti con il CSIRT (che è l’organismo più tecnico dell’ACN), è fondamentale che sia dotato di competenze informatiche e di gestione degli incidenti, e, ancora più importante, di una conoscenza profonda e aggiornata dei sistemi informativi dell’azienda dalla quale è stato nominato.

Il Referente CSIRT deve essere in grado di:

• rispondere a domande circa il funzionamento del sistema informativo, le misure che sono state adottate per migliorarlo o rinforzarlo, ed i problemi che sono stati rilevati;
• individuare il livello di gravità dell’incidente informatico e le sue cause e conseguenze;
• coordinare diversi reparti (IT e legale primi tra tutti) per comprendere il reale impatto dell’incidente e gestire la comunicazione al CSIRT.

Il Referente CSIRT e il Punto di Contatto possono essere la stessa persona?

Sì, le figure di Referente CSIRT e di Punto di Contatto previste dalla normativa NIS2 possono essere ricoperte dalla stessa persona, ma solo se sussistono le condizioni che lo permettono, ovvero che la persona che ricopra quei ruoli abbia competenze informatiche avanzate e conosca a fondo i sistemi dell’azienda, oltre ad avere la possibilità di agire nei tempi stabiliti dalla normativa.

Il Referente CSIRT può essere una figura esterna?

Sì, la normativa NIS2 consente di esternalizzare il ruolo di Referente CSIRT, ma solo a determinate condizioni.

Il Referente esterno deve anche poter garantire che i tempi di notifica e comunicazione al CSIRT vengano rispettati.

Nominare un esterno che non ha familiarità con il sistema informativo dell’azienda potrebbe causare complicazioni nel momento in cui è necessario instaurare delle comunicazioni con il CSIRT (per esempio, al momento di dover segnalare un incidente informatico).

Datapro supporta le aziende nel percorso di adeguamento alla NIS2 e può ricoprire il ruolo di Referente CSIRT esterno, garantendo continuità operativa, rispetto degli obblighi normativi e un’interfaccia qualificata con il CSIRT Italia.

Affidarsi a un partner specializzato consente alle aziende di gestire in modo efficace gli incidenti informatici e di assicurare la piena conformità alla Direttiva NIS2.