Nasce la nuova figura NIS2: il Referente CSIRT

Si tratta di un ruolo centrale nella governance della sicurezza informatica, destinato a diventare obbligatorio per tutti i soggetti essenziali e importanti.

Chi è il Referente CSIRT?

È la persona che l’organizzazione designa per interfacciarsi direttamente con lo CSIRT Italia e gestire tutte le comunicazioni relative a incidenti e minacce informatiche.
In particolare, il Referente CSIRT è responsabile delle notifiche:

• obbligatorie degli incidenti significativi (art. 25 del Decreto NIS);
• volontarie relative a minacce, vulnerabilità o eventi potenzialmente critici (art. 26).

Questa figura non è un semplice contatto tecnico: è l’interlocutore ufficiale dell’organizzazione nei confronti delle autorità nazionali competenti per la sicurezza informatica.

Quando deve essere nominato?

La designazione deve essere effettuata tramite Portale ACN tra il 20 novembre e il 31 dicembre 2025.
Il ruolo può essere affiancato da uno o più sostituti, per garantire continuità operativa anche in caso di emergenze.

Entro fine anno, ogni soggetto NIS deve pertanto inserire sul Portale:

• una persona fisica come Referente CSIRT,
• ed eventualmente uno o più sostituti.

Dopo il 31 dicembre la mancata designazione costituirebbe una violazione degli obblighi previsti dal Decreto NIS.

Quali competenze sono richieste?

La Determinazione ACN prevede che il Referente CSIRT abbia:

• competenze in sicurezza informatica;
• esperienza nella gestione degli incidenti informatici;
• conoscenza dei sistemi informativi e della rete dell’organizzazione.

Un insieme di competenze non sempre presente internamente, soprattutto nelle realtà di piccole e medie dimensioni.

Il Referente CSIRT deve essere una persona fisica

La Determinazione ACN è chiara:
➡ il Referente CSIRT è sempre una persona fisica, mai un reparto, un ufficio o una persona giuridica.

Può essere:

• un soggetto interno all’organizzazione, oppure
• un professionista esterno, purché dotato delle competenze richieste.

La procedura di designazione richiede infatti:

• nome e cognome,
• codice fiscale,
• recapiti diretti.

Si tratta dunque di un ruolo personale e individuato con precisione.

Le funzioni minime attribuite dalla normativa

Il Referente CSIRT svolge un ruolo altamente operativo e tecnicamente qualificato.
Le funzioni minime — definite all’art. 7 della Determinazione ACN — sono:

1. Interfaccia tecnica con CSIRT Italia

È l’unico soggetto aziendale autorizzato a interloquire con CSIRT Italia, la struttura operativa nazionale che gestisce e coordina la risposta tecnica agli incidenti.

(Nota importante: il Referente CSIRT non è un interlocutore verso ACN — quel ruolo resta al Punto di Contatto.)

2. Notifiche degli incidenti significativi (art. 25 del D.Lgs. 138/2024)

Comprende:

• pre-notifica entro 24 ore,
• notifica completa entro 72 ore,
• eventuali aggiornamenti,
• relazione finale entro un mese.

Il tutto tramite il Portale NIS di ACN.

3. Notifiche volontarie di minacce e vulnerabilità (art. 26)

Comprendono segnalazioni di:

• minacce cyber,
• vulnerabilità critiche,
• anomalie con potenziale impatto sui servizi.

4. Coordinamento tecnico interno

Il referente deve raccogliere informazioni da:

• IT interno,
• sicurezza,
• direzione,
• fornitori ICT,
• SOC o servizi di monitoraggio,
  per compilare notifiche accurate e tempestive.

5. Continuità del ruolo

Come anticipato, il soggetto NIS2 può designare uno o più sostituti, che devono possedere competenze analoghe.

6. Competenze minime richieste

Stabilite dalla normativa:

• sicurezza informatica,
• gestione degli incidenti cyber,
• profonda conoscenza della infrastruttura informativa dell’organizzazione.

Una funzione che può essere affidata all’esterno

Questo permette alle aziende NIS che non dispongono al loro interno di soggetti dotati delle competenze richieste dal ruolo di Referente CSIRT — competenze tecniche di sicurezza, incident handling e conoscenza profonda delle proprie infrastrutture — di affidare la funzione a professionisti specializzati, evitando di dover creare un presidio interno dedicato o formare personale specifico in tempi rapidi.

Perché il nostro Studio può ricoprire questo ruolo

Il nostro studio opera da anni nei settori cybersecurity, data protection, governance IT e gestione degli incidenti, con competenze tecniche e normative perfettamente allineate ai requisiti della Determinazione ACN.

Siamo quindi in grado di:

• assumere formalmente il ruolo di Referente CSIRT o Sostituto Referente CSIRT;
• garantire tempestività e accuratezza nelle notifiche verso CSIRT Italia;
• supportare l’azienda nella gestione tecnica e documentale degli incidenti;
• collaborare con Punto di Contatto, CISO, IT e direzione;
• predisporre procedure, modelli e sistemi di monitoraggio coerenti con NIS2.

Per molte aziende soggette a NIS2, affidare il ruolo a un partner specializzato significa ridurre rischi, evitare sanzioni e garantirsi un canale di comunicazione efficace con l’ACN.

I NOSTRI APPROFONDIMENTI SU NIS2