Comment signaler à CSIRT Italia au titre du CRA

1. Qui reçoit votre notification : ACN et CSIRT Italia

L’Agenzia per la Cybersicurezza Nazionale (ACN) est l’autorité nationale, et le CSIRT Italia l’équipe qui opère en son sein. L’ACN a son siège à Rome et coordonne la stratégie nationale de cybersécurité, en plus d’héberger l’équipe de réponse.

La chaîne est exactement celle-ci : l'autorité comme institution, CSIRT Italia comme équipe opérationnelle qui lit votre notification et qui, avec l'ENISA, forme le destinataire prévu par l'art. 14.

L’ACN a été créée en 2021 comme autorité nationale de cybersécurité et regroupe en un seul organisme des compétences jusque-là dispersées. Le CSIRT Italia en est l’équipe opérationnelle : il reçoit les signalements, les corrèle et diffuse des alertes au tissu économique. Pour un fabricant, c’est un interlocuteur unique — là où ailleurs il y a plusieurs guichets.

2. Le canal national, en pratique

La langue de la notification est l’italien. L’ACN publie avis et bulletins de sécurité en italien et maintient un canal de signalement pour les opérateurs des secteurs régulés : la même porte administrative par laquelle passe la désignation du point de contact de l’entreprise.

Qui notifie déjà en tant qu’entité NIS connaît ce chemin. Le CRA ne le remplace pas et ne s’y fond pas : ce sont deux obligations distinctes, aux conditions différentes, qui peuvent naître du même événement et doivent toutes deux être satisfaites.

CSIRT Italia · site officiel

3. Le paysage dans lequel il s’inscrit

L’Italie a transposé la NIS2 par le décret législatif 138/2024 et a concentré sur l’ACN le rôle d’autorité nationale compétente. Il en résulte un écosystème où le CSIRT Italia est le point de contact opérationnel pour la plupart des obligations de notification en matière cyber.

Pour le CRA, ce n’est pas une réponse automatique : la désignation du CSIRT qui reçoit les notifications des fabricants suit la mise en œuvre nationale du règlement. Vérifiez la désignation en vigueur avant de déposer et ne la déduisez pas de la NIS2.

Un dernier point pratique : l’ACN gère aussi la certification de cybersécurité au niveau national et la coordination avec l’ENISA sur les schémas européens. Si votre produit relève de la classe critique et exige une certification, l’interlocuteur institutionnel est celui-là même à qui va la notification. Ce n’est pas un mince avantage.

4. Comment se fait le dépôt, en bref

Le dépôt n’est pas un courriel à l’autorité : il passe par la plateforme de signalement unique instituée par l’art. 16, et l’accès exige des identifiants EU Login validés au préalable.

La chaîne des délais — 24 heures, 72 heures, rapport final — est la même dans toute l’Union et figure en entier sur la page consacrée à l’art. 14. Pour l’autre déclencheur de l’article, le délai final change : il est sur la page incident grave.

5. Ce qu'il faut préparer avant un incident

Cinq choses, mises en place calmement, font la différence entre un signalement déposé à temps et un signalement déposé trop tard. La première est le point de contact vers CSIRT Italia, désigné et validé, avec un suppléant nommé : le jour du cas, on ne cherche pas qui détient les identifiants.

En Italie, il est utile de vérifier tôt si votre entreprise est déjà enregistrée auprès de l’ACN pour d’autres obligations : point de contact et identifiants peuvent en partie coïncider, et le découvrir au calme vaut mieux que le découvrir le jour du dossier.

Et une note sur le temps : l’Italie est en CEST l’été et en CET l’hiver, et les vingt-quatre heures de l’art. 14 se comptent en heures réelles, pas en heures ouvrées. Si la connaissance survient le vendredi soir d’un pont, l’échéance tombe pendant le pont.

Ce guide expose notre lecture du texte réglementaire et des procédures publiques ; il ne constitue pas un conseil juridique, et les détails opérationnels de la plateforme peuvent évoluer.