NIS2 · GDPR · DORA
Calcolo scadenze notifica incidente: NIS2, GDPR e DORA
Inserisci il momento in cui l’incidente è stato rilevato e i regimi coinvolti. Lo strumento mette in fila le scadenze operative da presidiare: 24 ore, 72 ore e la relazione finale.
Strumento indicativo per preparare il lavoro di compliance. Non è una valutazione legale, una notifica alle autorità né una certificazione.
Quali orologi partono davvero
Per NIS2 l’early warning al CSIRT va dato entro 24 ore dal momento in cui si viene a conoscenza dell’incidente significativo. La notifica completa segue entro 72 ore. La relazione finale va presentata entro un mese: lo strumento mostra una data operativa a 30 giorni, da confermare sul calendario civile.
Il GDPR, articolo 33, chiede la notifica al Garante entro 72 ore dalla conoscenza di una violazione dei dati personali, se il rischio per gli interessati non è improbabile. Se il rischio è elevato, l’articolo 34 aggiunge la comunicazione agli interessati senza ingiustificato ritardo: non è una terza ora fissa.
DORA, per gli incidenti gravi delle entità finanziarie, prevede una prima segnalazione ravvicinata (nello strumento: 4 ore dalla classificazione), un aggiornamento a 72 ore e una relazione finale a un mese. I testi RTS restano la fonte da seguire nel caso concreto.
Cosa deve essere già pronto
Una scadenza è inutile se nessuno sa chi classifica l’incidente, quali sistemi sono coinvolti e dove sono i log. Servono un criterio di “significativo” o “grave”, un canale verso CSIRT, autorità di vigilanza e Garante, e un registro delle decisioni.
Se nello stesso evento ci sono dati personali e un servizio essenziale, gli orologi NIS2 e GDPR corrono insieme. Non scegliere il regime più comodo: documenta entrambi.
Dopo il calcolo
Scarica il promemoria .ics per il team di risposta, poi assegna un owner a ogni scadenza. Il file non invia nulla alle autorità. La notifica vera resta un atto dell’organizzazione.
FAQ
Le 24 ore NIS2 partono dalla detection o dalla classificazione?
L’early warning decorre da quando si viene a conoscenza dell’incidente significativo. Lo strumento usa la data che inserisci: se quella data è solo un sospetto, segna quando il sospetto diventa conoscenza.
Il data breach GDPR è sempre a 72 ore?
La notifica al Garante scatta entro 72 ore se è probabile un rischio per i diritti delle persone. Se il rischio è improbabile, la violazione va comunque documentata nel registro interno.
Perché DORA compare a 4 ore?
Per gli incidenti gravi il primo invio è ravvicinato rispetto alla classificazione. Quattro ore sono un riferimento operativo dello strumento, da leggere insieme al regolamento e agli RTS applicabili.
Il file .ics è una notifica al CSIRT?
No. È un promemoria interno. Non contiene il testo della notifica e non viene trasmesso a nessuna autorità.