Incidente grave con impatto sulla sicurezza: quando scatta l’Art. 14

1. Che cos’è un incidente grave, secondo il Regolamento

Non è «un problema serio». È una categoria definita: un incidente che incide negativamente sulla capacità del prodotto con elementi digitali di proteggere la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati e delle funzioni, oppure che ha portato all’esecuzione di codice malevolo. Due condizioni alternative: ne basta una.

La differenza pratica con la vulnerabilità sfruttata è il punto di partenza. Là parti da un difetto del prodotto che qualcuno ha usato. Qui parti da un evento — un accesso non autorizzato all’infrastruttura di aggiornamento, una chiave di firma compromessa, un pacchetto malevolo entrato nella catena di distribuzione — che ha degradato le proprietà di sicurezza del prodotto. Il difetto può non esserci mai stato.

2. Due catene, non una

L’Art. 14 tiene separate le due catene, e chi le confonde sbaglia i termini. Le due cose che fanno scattare l’obbligo sono:

• una vulnerabilità del prodotto attivamente sfruttata, cioè con prove che qualcuno l’abbia usata senza autorizzazione;
• un incidente grave con impatto sulla sicurezza del prodotto, anche in assenza di una vulnerabilità sfruttata.

I primi due termini sono identici — 24 ore e 72 ore — ma il termine finale no, e il contenuto delle comunicazioni nemmeno. La distinzione fra vulnerabilità segnalata e sfruttata non aiuta a qualificare un incidente: sono due assi diversi.

3. Da quando corrono le ore

Dal momento di consapevolezza. Non da quando apri il caso, non da quando il comitato di crisi si riunisce, non da quando hai capito la portata. Dall’istante in cui il fabbricante viene a conoscenza dell’incidente: la segnalazione ricevuta all’indirizzo pubblico, l’allarme del monitoraggio che qualcuno ha letto, la telefonata del cliente.

È l’istante che dovrai saper indicare a un’autorità, con la prova di quando l’hai fissato. Fissarlo tardi non allunga i termini: li sposta soltanto sulla carta, e la carta è esattamente ciò che verrà guardato.

4. I tre depositi, e il termine che cambia

La catena è quella dell’Art. 14, con una differenza sul termine finale:

• preallarme entro 24 ore dalla consapevolezza: dichiari che c’è un incidente grave, con quello che sai;
• notifica di aggiornamento entro 72 ore: valutazione iniziale, gravità, impatto, e le misure correttive o di attenuazione adottate;
• relazione finale entro un mese dalla notifica di aggiornamento: descrizione dell’incidente, gravità e impatto, cause, misure applicate.

È qui che le due catene divergono. Per la vulnerabilità sfruttata la relazione finale si àncora alla data in cui la misura correttiva diventa disponibile, più quattordici giorni. Per l’incidente grave si àncora alla notifica di aggiornamento, più un mese. Chi tratta un incidente con il calendario della vulnerabilità sbaglia la scadenza di settimane.

5. A chi si deposita

Ai due destinatari previsti dal Regolamento: il CSIRT designato dallo Stato membro e ENISA. Il deposito passa dalla piattaforma unica di segnalazione istituita dall’Art. 16, con credenziali EU Login: sono passaggi amministrativi che si preparano prima, non nelle ventiquattro ore.

I termini del Regolamento usati in questa pagina — incidente grave, momento di consapevolezza, misura correttiva, piattaforma unica di segnalazione — sono nel glossario, ciascuno con il proprio articolo.

6. Che cosa preparare prima

Un incidente grave si qualifica sotto pressione, e la qualificazione va documentata mentre la fai, non ricostruita dopo. Quattro cose fanno la differenza:

• un canale unico dove arrivano le segnalazioni esterne, con marca temporale su ogni ingresso;
• un criterio scritto per distinguere un malfunzionamento da un incidente con impatto sulla sicurezza;
• il referente verso il CSIRT designato e le credenziali EU Login, già validati;
• un registro delle decisioni: anche un «no, non è un incidente grave» motivato vale come diligenza, mentre un «no» silenzioso non vale niente.

Nessuna di queste quattro cose si costruisce nel giorno del caso.

Questa pagina descrive il Regolamento in termini generali e non è un parere legale né una valutazione del tuo caso concreto. La qualificazione di un evento e i termini che ne derivano restano una responsabilità del fabbricante.