Come segnalare a NCSC-NL sotto il CRA

1. Chi riceve la tua notifica: NCSC-NL

Il Nationaal Cyber Security Centrum (NCSC-NL) riunisce in un solo soggetto l’autorità e la squadra operativa. L’NCSC-NL opera dall’Aia e ha una tradizione di pubblicazione tecnica aperta più marcata della media europea.

La catena è questa: l'autorità come istituzione, NCSC-NL come squadra operativa che legge la tua notifica e che, insieme ad ENISA, forma il destinatario previsto dall'Art. 14.

L’NCSC-NL ha sede all’Aia e opera sotto il Ministero della Giustizia e della Sicurezza. Storicamente serviva l’amministrazione e le infrastrutture critiche, mentre le imprese avevano interlocutori distinti — il Digital Trust Center e il CSIRT per i fornitori di servizi digitali.

2. Il canale nazionale, in pratica

La lingua della notifica può essere il neerlandese o l’inglese: l’NCSC-NL lavora abitualmente in entrambe e pubblica gran parte del proprio materiale tecnico in inglese.

I Paesi Bassi hanno avviato il consolidamento di queste organizzazioni in un unico centro nazionale. È un passaggio in corso: verifica quale sportello è attivo al momento in cui ti serve, invece di fidarti di un riferimento trovato in un documento di due anni fa.

NCSC-NL · sito ufficiale

3. Il contesto in cui si inserisce

Il recepimento della NIS2 accompagna quel consolidamento e amplia il numero di soggetti che devono notificare. Il modello olandese resta pragmatico e molto orientato alla condivisione di informazioni con il settore privato.

Per il CRA la designazione del CSIRT destinatario delle notifiche dei fabbricanti segue l’attuazione nazionale del Regolamento. In una fase di riorganizzazione questa verifica vale doppio: falla prima di depositare, non durante.

Un ultimo elemento pratico: i Paesi Bassi hanno una tradizione consolidata di divulgazione coordinata delle vulnerabilità, con linee guida nazionali antecedenti al CRA e ampiamente adottate. Se la tua politica di divulgazione segue quel modello, sei già vicino a ciò che il Regolamento chiede all’Allegato I.

4. Come si deposita, in breve

Il deposito non è un’email all’autorità: passa dalla piattaforma unica di segnalazione istituita dall’Art. 16, e l’accesso richiede credenziali EU Login validate prima.

La catena dei termini — 24 ore, 72 ore, relazione finale — è la stessa in tutta l’Unione ed è spiegata per intero nella pagina sull’Art. 14. Per l’altro innesco dell’articolo, il termine finale cambia: lo trovi nella pagina sull’incidente grave.

5. Cosa preparare prima di un incidente

Cinque cose, sistemate con calma, fanno la differenza fra una segnalazione depositata in tempo e una depositata tardi. La prima è il punto di contatto verso NCSC-NL, designato e validato, con un sostituto nominato: nel giorno del caso non si cerca chi ha le credenziali.

Nei Paesi Bassi conviene annotare la data in cui hai verificato il canale e il nome del contatto: in un ecosistema che si sta riorganizzando, un riferimento controllato sei mesi fa può non essere più quello giusto.

E una nota sul tempo: i Paesi Bassi sono su CET/CEST. Le ventiquattro ore corrono anche di notte e nel fine settimana. In un ecosistema che si sta riorganizzando, avere il canale verificato e il sostituto nominato conta più della conoscenza personale di un contatto che potrebbe cambiare ruolo.

Questa guida descrive la nostra lettura del testo normativo e delle procedure pubbliche; non costituisce parere legale, e i dettagli operativi della piattaforma possono evolvere.