Cómo notificar a CSIRT Italia conforme al CRA

1. Quién recibe tu notificación: ACN y CSIRT Italia

La Agenzia per la Cybersicurezza Nazionale (ACN) es la autoridad nacional, y el CSIRT Italia es el equipo que opera en su seno. La ACN tiene su sede en Roma y coordina la estrategia nacional de ciberseguridad además de alojar el equipo de respuesta.

La cadena es exactamente esta: la autoridad como institución, CSIRT Italia como equipo operativo que lee tu notificación y que, junto con ENISA, forma el destinatario previsto en el art. 14.

La ACN nació en 2021 como autoridad nacional de ciberseguridad y concentra en un solo organismo competencias antes repartidas. El CSIRT Italia es su equipo operativo: recibe los avisos, los correlaciona y difunde alertas al tejido productivo. Para un fabricante es un interlocutor único, algo que en otros países está repartido entre varias ventanillas.

2. El canal nacional, en la práctica

La lengua de la notificación es el italiano. La ACN publica avisos y boletines de seguridad en italiano y mantiene un canal de notificación para los operadores de los sectores regulados: la misma puerta administrativa por la que pasa la designación del punto de contacto de la empresa.

Quien ya notifica como sujeto NIS conoce ese recorrido. El CRA no lo sustituye ni queda absorbido en él: son dos obligaciones distintas, con presupuestos diferentes, que pueden nacer del mismo hecho y deben cumplirse ambas.

CSIRT Italia · sitio web oficial

3. El contexto en el que se inserta

Italia transpuso la NIS2 mediante el decreto legislativo 138/2024 y concentró en la ACN el papel de autoridad nacional competente. El resultado es un ecosistema en el que el CSIRT Italia es el punto de contacto operativo para la mayoría de las obligaciones de notificación en materia cíber.

Para el CRA eso no es una respuesta automática: la designación del CSIRT que recibe las notificaciones de los fabricantes sigue la transposición nacional del Reglamento. Comprueba la designación vigente antes de presentar y no la deduzcas de la NIS2.

Un último apunte práctico: la ACN gestiona también la certificación de ciberseguridad a nivel nacional y la coordinación con ENISA sobre los esquemas europeos. Si tu producto acaba en clase crítica y necesitas una certificación, el interlocutor institucional es el mismo al que va la notificación. No es poca ventaja: reduce el número de puertas a las que llamar.

4. Cómo se presenta, en breve

La presentación no es un correo a la autoridad: pasa por la plataforma única de notificación establecida por el art. 16, y el acceso exige credenciales EU Login validadas antes.

La cadena de plazos — 24 horas, 72 horas, informe final — es la misma en toda la Unión y está explicada por completo en la página sobre el art. 14. Para el otro desencadenante del artículo, el plazo final cambia: está en la página sobre el incidente grave.

5. Qué preparar antes de un incidente

Cinco cosas, ordenadas con calma, marcan la diferencia entre una notificación presentada a tiempo y una presentada tarde. La primera es el punto de contacto con CSIRT Italia, designado y validado, con un sustituto nombrado: el día del caso no se busca quién tiene las credenciales.

En Italia conviene comprobar pronto si tu empresa ya está registrada ante la ACN por otras obligaciones: el punto de contacto y las credenciales pueden coincidir en parte, y averiguarlo con calma vale más que descubrirlo el día del caso.

Y una nota sobre el tiempo: Italia va en CEST en verano y CET en invierno, y las veinticuatro horas del art. 14 se cuentan en horas reales, no en horas de oficina. Si el momento de conocimiento cae el viernes por la tarde de un puente, el plazo cae dentro del puente.

Esta guía expone nuestra lectura del texto normativo y de los procedimientos públicos; no constituye asesoramiento jurídico, y los detalles operativos de la plataforma pueden evolucionar.