Come segnalare al CSIRT Italia (ACN) sotto il CRA

1. Chi riceve la tua notifica: ACN e CSIRT Italia

L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità nazionale, e il CSIRT Italia è la squadra che opera al suo interno. L’ACN ha sede a Roma e coordina la strategia nazionale di cibersicurezza oltre a ospitare la squadra di risposta.

La catena è esattamente questa: ACN come istituzione, CSIRT Italia come squadra operativa che legge la tua notifica e, insieme ad ENISA, forma la coppia di destinatari prevista dal regolamento. Non è una casella che risponde quando fa comodo: è un punto di riferimento nazionale designato, con procedure proprie di accreditamento e accesso.

L’ACN nasce nel 2021 come autorità nazionale per la cybersicurezza e concentra in un solo ente competenze prima distribuite. Il CSIRT Italia è la sua squadra operativa: riceve le segnalazioni, le correla, dirama avvisi al tessuto produttivo. Per un fabbricante è l’interlocutore unico, e questo semplifica una cosa che altrove è distribuita su più sportelli.

2. Il canale nazionale, in pratica

La lingua della notifica è l’italiano. L’ACN pubblica avvisi e bollettini di sicurezza in italiano e mantiene un canale di segnalazione per gli operatori dei settori regolati, che è la stessa porta amministrativa da cui passa la designazione del referente aziendale.

Chi ha già un obbligo di notifica come soggetto NIS conosce quel percorso: il CRA non lo sostituisce e non lo assorbe. Sono due obblighi distinti, con presupposti diversi, che possono scattare per lo stesso evento e vanno adempiuti entrambi.

CSIRT Italia · sito ufficiale

3. Il contesto in cui si inserisce

L’Italia ha recepito la direttiva NIS2 con il d.lgs. 138/2024 e ha concentrato sull’ACN il ruolo di autorità nazionale competente. Il risultato è un ecosistema in cui il CSIRT Italia è il punto di contatto operativo per la maggior parte degli obblighi di segnalazione a carattere cyber.

Per il CRA questo non basta a dare una risposta automatica: la designazione del CSIRT che riceve le notifiche dei fabbricanti segue l’attuazione nazionale del Regolamento. Verifica la designazione in vigore prima di depositare, e non darla per acquisita dalla NIS2.

Un ultimo elemento pratico: l’ACN gestisce anche la certificazione di cibersicurezza a livello nazionale e il coordinamento con ENISA sugli schemi europei. Se il tuo prodotto finisce in classe critica e ti serve una certificazione, l’interlocutore istituzionale è lo stesso da cui passa la notifica. Non è un vantaggio da poco: riduce il numero di porte a cui bussare quando le due cose si incrociano.

4. Come si deposita, in breve

Il deposito non è un’email all’autorità: passa dalla piattaforma unica di segnalazione istituita dall’Art. 16, e l’accesso richiede credenziali EU Login validate prima.

La catena dei termini — 24 ore, 72 ore, relazione finale — è la stessa in tutta l’Unione ed è spiegata per intero nella pagina sull’Art. 14. Per l’altro innesco dell’articolo, il termine finale cambia: lo trovi nella pagina sull’incidente grave.

5. Cosa preparare prima di un incidente

Cinque cose, predisposte con calma, fanno la differenza tra una segnalazione depositata in tempo e una depositata tardi. Primo, la designazione e validazione del referente aziendale verso il CSIRT Italia: il rapporto di segnalazione è tra soggetti identificati, e farsi riconoscere per la prima volta sotto pressione costa ore che non hai. Secondo, le credenziali EU Login descritte sopra, in mano ad almeno due persone.

In Italia conviene verificare per tempo se la tua azienda è già registrata presso l’ACN per altri obblighi: il referente e le credenziali possono in parte coincidere, e scoprirlo con calma vale più che scoprirlo nel giorno del caso.

E una nota sul tempo: in Italia il fuso è CEST d’estate e CET d’inverno, e le ventiquattro ore dell’Art. 14 si contano in ore vere, non in ore d’ufficio. Se il momento di consapevolezza cade il venerdì sera di un ponte, la scadenza cade nel ponte. Chi organizza il presidio su turni lo sa già; chi non lo ha ancora fatto ha qui la ragione per farlo.

Questa guida descrive la nostra lettura del testo normativo e delle procedure pubbliche; non costituisce parere legale, e i dettagli operativi della piattaforma possono evolvere.