Come segnalare a CSIRT NASK sotto il CRA

1. Chi riceve la tua notifica: CSIRT NASK, CSIRT GOV e CSIRT MON

CSIRT NASK, CSIRT GOV e CSIRT MON sono le tre autorità nazionali, con competenze ripartite per settore: NASK per il civile, GOV per l’amministrazione statale, MON per la difesa. NASK opera da Varsavia ed è insieme istituto di ricerca, registro del dominio nazionale e squadra di risposta: una combinazione rara in Europa.

La catena è questa: l'autorità come istituzione, CSIRT NASK come squadra operativa che legge la tua notifica e che, insieme ad ENISA, forma il destinatario previsto dall'Art. 14.

La Polonia non ha un CSIRT nazionale ma tre: CSIRT NASK per il settore civile, CSIRT GOV per l’amministrazione statale — incardinato nell’ABW — e CSIRT MON per la difesa. Sono tre autorità distinte, con competenze ripartite per settore dalla legge sul sistema nazionale di cibersicurezza.

2. Il canale nazionale, in pratica

La lingua della notifica è il polacco. NASK pubblica avvisi e materiale tecnico in polacco, con una parte in inglese; per un fabbricante estero questo è il punto che richiede più preparazione fra i paesi coperti da queste pagine.

Un fabbricante privato ricade di regola su CSIRT NASK. La ripartizione non dipende dal tipo di evento ma dal settore in cui operi, e nei casi misti — un fornitore civile che serve anche la difesa — va chiarita prima, non durante.

CSIRT NASK · sito ufficiale

3. Il contesto in cui si inserisce

La Polonia ha costruito il proprio impianto sulla legge del 2018 sul sistema nazionale di cibersicurezza, poi adeguata alla NIS2. È un modello a tre pilastri, esplicitamente pensato per tenere separata la catena militare da quella civile.

Per il CRA la designazione del CSIRT che riceve le notifiche dei fabbricanti segue l’attuazione nazionale del Regolamento e non discende automaticamente da questa ripartizione. Verifica la designazione in vigore prima di depositare.

Un ultimo elemento pratico: NASK è anche un istituto di ricerca e gestisce il registro del dominio nazionale, oltre al CSIRT. È un interlocutore con competenze tecniche ampie, ma la ripartizione fra i tre CSIRT resta la variabile che conviene chiarire per prima, perché è l’unica che non puoi dedurre dal tuo prodotto.

4. Come si deposita, in breve

Il deposito non è un’email all’autorità: passa dalla piattaforma unica di segnalazione istituita dall’Art. 16, e l’accesso richiede credenziali EU Login validate prima.

La catena dei termini — 24 ore, 72 ore, relazione finale — è la stessa in tutta l’Unione ed è spiegata per intero nella pagina sull’Art. 14. Per l’altro innesco dell’articolo, il termine finale cambia: lo trovi nella pagina sull’incidente grave.

5. Cosa preparare prima di un incidente

Cinque cose, sistemate con calma, fanno la differenza fra una segnalazione depositata in tempo e una depositata tardi. La prima è il punto di contatto verso CSIRT NASK, designato e validato, con un sostituto nominato: nel giorno del caso non si cerca chi ha le credenziali.

In Polonia conviene predisporre per tempo la versione polacca dei contenuti tecnici ricorrenti e verificare per iscritto quale dei tre CSIRT è il tuo: sono le due cose che, mancando, costano ore proprio quando non ce ne sono.

E una nota sul tempo: la Polonia è su CET/CEST. Le ventiquattro ore dell’Art. 14 non si fermano nei giorni festivi, che in Polonia sono numerosi e concentrati. Se la documentazione tecnica va tradotta in polacco prima del deposito, quel tempo va sottratto alle ventiquattro ore, non aggiunto.

Questa guida descrive la nostra lettura del testo normativo e delle procedure pubbliche; non costituisce parere legale, e i dettagli operativi della piattaforma possono evolvere.