Come segnalare a CERT.at sotto il CRA

1. Chi riceve la tua notifica: CERT.at e GovCERT Austria

CERT.at è il CERT nazionale austriaco, ospitato in nic.at su mandato pubblico, mentre GovCERT Austria serve l’amministrazione: due squadre, due platee. CERT.at opera da Vienna e la sua collocazione dentro il registro del dominio è una scelta austriaca, non la norma europea.

La catena è questa: l'autorità come istituzione, CERT.at come squadra operativa che legge la tua notifica e che, insieme ad ENISA, forma il destinatario previsto dall'Art. 14.

CERT.at è il CERT nazionale austriaco e non è un ufficio ministeriale: opera all’interno di nic.at, il registro del dominio nazionale, su mandato pubblico. Accanto c’è GovCERT Austria, che serve l’amministrazione. Per un fabbricante privato il riferimento naturale è CERT.at.

2. Il canale nazionale, in pratica

La lingua della notifica è il tedesco; CERT.at pubblica avvisi anche in inglese e lavora abitualmente con entrambe. Questa doppia lingua è una comodità pratica per un fabbricante con documentazione tecnica in inglese.

L’assetto austriaco è quindi bicefalo per costruzione — squadra civile e squadra di governo — e la competenza si sceglie in base a chi sei, non a che tipo di evento hai. Non è un dettaglio organizzativo: cambia la porta a cui bussi.

CERT.at · sito ufficiale

3. Il contesto in cui si inserisce

L’Austria ha costruito il proprio impianto di cibersicurezza attorno alla legge nazionale di attuazione della NIS e a un coordinamento fra Cancelleria federale, Ministero dell’Interno e CERT.at. È un modello distribuito, con un centro di coordinamento leggero.

Per il CRA questo significa che la designazione del CSIRT destinatario delle notifiche dei fabbricanti va verificata sull’attuazione nazionale in vigore, e non dedotta dalla struttura NIS. Verificala prima di depositare.

Un ultimo elemento pratico: l’Austria si appoggia in misura significativa al coordinamento europeo e alle reti di CSIRT, più che a schemi nazionali propri. Per un fabbricante questo si traduce in procedure meno peculiari e in una maggiore aderenza alle prassi comuni europee, che è una buona notizia se operi in più Stati membri.

4. Come si deposita, in breve

Il deposito non è un’email all’autorità: passa dalla piattaforma unica di segnalazione istituita dall’Art. 16, e l’accesso richiede credenziali EU Login validate prima.

La catena dei termini — 24 ore, 72 ore, relazione finale — è la stessa in tutta l’Unione ed è spiegata per intero nella pagina sull’Art. 14. Per l’altro innesco dell’articolo, il termine finale cambia: lo trovi nella pagina sull’incidente grave.

5. Cosa preparare prima di un incidente

Cinque cose, sistemate con calma, fanno la differenza fra una segnalazione depositata in tempo e una depositata tardi. La prima è il punto di contatto verso CERT.at, designato e validato, con un sostituto nominato: nel giorno del caso non si cerca chi ha le credenziali.

In Austria conviene stabilire in anticipo quale delle due squadre è la tua interlocutrice e ottenere conferma scritta del canale: chiarirlo mentre corre un termine di ventiquattro ore è il momento peggiore per farlo.

E una nota sul tempo: l’Austria è su CET/CEST e condivide con la Germania buona parte del calendario delle festività. Il termine di ventiquattro ore corre comunque. Un presidio che si appoggia a un solo referente, in un paese con ponti lunghi, è un presidio che prima o poi manca una scadenza.

Questa guida descrive la nostra lettura del testo normativo e delle procedure pubbliche; non costituisce parere legale, e i dettagli operativi della piattaforma possono evolvere.