Jak zgłaszać do CSIRT Italia na mocy CRA

1. Kto otrzymuje Państwa zgłoszenie: ACN i CSIRT Italia

Agenzia per la Cybersicurezza Nazionale (ACN) jest organem krajowym, a CSIRT Italia zespołem działającym w jej strukturze. ACN ma siedzibę w Rzymie i koordynuje krajową strategię cyberbezpieczeństwa, a także prowadzi zespół reagowania.

Łańcuch wygląda dokładnie tak: organ jako instytucja, CSIRT Italia jako zespół operacyjny, który czyta Państwa zgłoszenie i który razem z ENISA tworzy adresata przewidzianego w art. 14.

ACN powstała w 2021 r. jako krajowy organ ds. cyberbezpieczeństwa i skupia w jednej instytucji kompetencje wcześniej rozproszone. CSIRT Italia jest jej zespołem operacyjnym: przyjmuje zgłoszenia, koreluje je i rozsyła ostrzeżenia do przedsiębiorstw. Dla producenta to jeden rozmówca — tam, gdzie gdzie indziej jest kilka okienek.

2. Kanał krajowy w praktyce

Językiem zgłoszenia jest włoski. ACN publikuje ostrzeżenia i biuletyny bezpieczeństwa po włosku i prowadzi kanał zgłoszeniowy dla podmiotów z sektorów regulowanych — te same drzwi administracyjne, przez które przechodzi wyznaczenie punktu kontaktowego firmy.

Kto już zgłasza jako podmiot NIS, zna tę ścieżkę. CRA jej nie zastępuje i się w niej nie zawiera: to dwa odrębne obowiązki o różnych przesłankach, które mogą powstać z tego samego zdarzenia i oba wymagają wykonania.

CSIRT Italia · oficjalna strona

3. Otoczenie, w którym działa

Włochy wdrożyły NIS2 dekretem ustawodawczym 138/2024 i powierzyły ACN rolę właściwego organu krajowego. Powstał ekosystem, w którym CSIRT Italia jest operacyjnym punktem kontaktowym dla większości cyberobowiązków zgłoszeniowych.

Dla CRA nie jest to odpowiedź automatyczna: wyznaczenie CSIRT przyjmującego zgłoszenia producentów wynika z krajowego wdrożenia rozporządzenia. Proszę sprawdzić obowiązujące wyznaczenie przed złożeniem i nie wyprowadzać go z NIS2.

Ostatni praktyczny punkt: ACN prowadzi także certyfikację cyberbezpieczeństwa na poziomie krajowym oraz koordynację z ENISA w sprawie programów europejskich. Jeśli produkt trafi do klasy krytycznej i potrzebna będzie certyfikacja, rozmówcą instytucjonalnym jest ten sam podmiot, do którego trafia zgłoszenie.

4. Jak przebiega złożenie, w skrócie

Złożenie to nie e-mail do organu: odbywa się przez jednolitą platformę zgłoszeniową ustanowioną w art. 16, a dostęp wymaga wcześniej zweryfikowanych poświadczeń EU Login.

Łańcuch terminów — 24 godziny, 72 godziny, sprawozdanie końcowe — jest taki sam w całej Unii i w całości opisuje go strona o art. 14. Przy drugim wyzwalaczu artykułu termin końcowy się zmienia: opisuje go strona o poważnym incydencie.

5. Co przygotować przed incydentem

Pięć rzeczy, ułożonych na spokojnie, decyduje o tym, czy zgłoszenie trafi na czas, czy za późno. Pierwsza to punkt kontaktowy wobec CSIRT Italia, wyznaczony i zweryfikowany, z imiennie wskazanym zastępcą: w dniu zdarzenia nie szuka się, kto ma poświadczenia.

We Włoszech warto wcześnie sprawdzić, czy Państwa firma jest już zarejestrowana w ACN z tytułu innych obowiązków: punkt kontaktowy i poświadczenia mogą się częściowo pokrywać, a ustalenie tego na spokojnie jest warte więcej niż odkrycie w dniu zdarzenia.

I uwaga o czasie: Włochy latem działają w CEST, zimą w CET, a dwadzieścia cztery godziny z art. 14 liczy się w godzinach rzeczywistych, nie urzędowych. Jeśli moment powzięcia wiedzy przypada w piątek wieczorem przed długim weekendem, termin wypada w tym weekendzie.

Ten przewodnik przedstawia naszą lekturę tekstu rozporządzenia i procedur publicznych; nie stanowi porady prawnej, a szczegóły operacyjne platformy mogą się zmieniać.