Una delle innovazioni più significative introdotte dalla direttiva NIS2 ed esplorata da ACN e Clusit durante il convegno co-organizzato, dal titolo “NIS2, pronti per la prima scadenza delle Misure di Base?”, riguarda la creazione di una figura chiave per la comunicazione tra le organizzazioni e le autorità nazionali: il referente CSIRT.
Non si tratta di un nuovo ruolo tecnico, ma di un punto di contatto formale, incaricato di gestire il flusso di notifiche verso il CSIRT Italia e garantire una comunicazione puntuale e responsabile.
Indice degli argomenti
Chi è il referente CSIRT e perché esiste
Il referente CSIRT è stato introdotto dalla Determinazione ACN n. 333017/2025 e rappresenta una figura istituzionalizzata nell’architettura nazionale di cyber security.
Non coincide necessariamente con il CISO o con i vertici aziendali: il suo ruolo è essere l’interlocutore ufficiale dell’organizzazione verso il CSIRT Italia, il Computer Security Incident Response Team nazionale.
Secondo Aldo di Somma, Vice Capo Divisione CSIRT Italia, il referente CSIRT svolge un compito essenziale nel sistema di notifica degli incidenti significativi, perché permette alle autorità di valutare con tempestività l’impatto reale di un evento.
Come ha spiegato durante il suo intervento al convegno: «La valutazione dell’impatto è cruciale: da essa dipende quando e come approfondiamo un incidente, e quanto rapidamente dobbiamo intervenire».
La responsabilità della figura non riguarda la gestione tecnica dell’incidente, ma il rispetto delle tempistiche e delle modalità di comunicazione previste dalla normativa. Le notifiche devono essere trasmesse entro 72 ore dal momento in cui l’organizzazione ha ragionevole motivo di ritenere che si sia verificato un incidente significativo.
La designazione: timeline e modalità pratiche
La scadenza del 31 dicembre 2025, termine ultimo per la designazione del referente CSIRT, ha segnato il momento entro cui ogni organizzizzazione soggetta alla NIS2 doveva aver formalmente indicato tale figura.
La designazione avviene tramite la piattaforma NIS, dove l’organizzazione inserisce i dati della persona incaricata. Non sono previsti moduli alternativi o procedure esterne: la piattaforma è lo strumento unico attraverso cui comunicare la nomina. Per questo motivo, chi non ha ancora familiarità con l’interfaccia dovrebbe farlo quanto prima.
Ogni organizzazione può nominare uno o più referenti, a seconda della propria struttura interna. Ciò che conta è che la designazione sia formalizzata e che la persona scelta sia consapevole del ruolo e delle responsabilità.
Le responsabilità del referente CSIRT
Il referente CSIRT non deve necessariamente possedere competenze tecniche approfondite. Ciò che gli viene richiesto è di assicurare che la comunicazione con le autorità avvenga correttamente.
In particolare, il referente CSIRT:
- riceve le segnalazioni interne di incidenti significativi;
- valuta, con il supporto dei team tecnici, se l’evento rientra nei criteri normativi;
- trasmette la notifica al CSIRT Italia entro 72 ore;
- mantiene il dialogo attivo con il CSIRT Italia durante la gestione dell’incidente;
- coordina il supporto fornito dal CSIRT con le strutture interne.
Non è responsabile della configurazione dei sistemi o della prevenzione tecnica dell’incidente. È invece responsabile della correttezza e puntualità della notifica.
Chi può essere designato come referente CSIRT
Non esistono vincoli formali sul profilo professionale. Tuttavia, la figura ideale dovrebbe avere:
- conoscenza sufficiente dell’ambiente IT per riconoscere un potenziale incidente significativo.
- accesso alle informazioni interne necessarie per valutare l’accaduto.
- autorità formale per comunicare verso l’esterno a nome dell’organizzazione.
- disponibilità operativa per attivarsi rapidamente, dato il vincolo delle 72 ore.
Le grandi organizzazioni tenderanno a designare il CISO. Nelle realtà più piccole il ruolo potrà invece ricadere su un responsabile IT. È possibile nominare anche un consulente esterno, purché formalmente incaricato e dotato dell’accesso necessario.
L’interfaccia con il CSIRT Italia
Una volta designato, il referente CSIRT diventa il punto di contatto ufficiale con il CSIRT Italia, che interviene offrendo supporto operativo e coordinamento in caso di incidenti significativi.
Come ricorda Aldo di Somma, «notificare tempestivamente è fondamentale: permette di ricevere supporto e di ridurre il rischio che un incidente evolva o si estenda». La notifica non è quindi solo un obbligo, ma uno strumento di gestione del rischio.
La tempestività consente al CSIRT Italia di:
- individuare pattern ricorrenti o attacchi coordinati;
- fornire indicazioni di remediation basate su competenze centralizzate;
- prevenire la propagazione dell’incidente verso altre organizzazioni.
Errori comuni da evitare
Durante la consultazione con Clusit sono emersi tre fraintendimenti importanti:
1. Confondere referente CSIRT e CISO: il CISO guida la sicurezza; il referente CSIRT guida la comunicazione verso le autorità. Sono ruoli distinti, anche se possono coincidere.
2. Nominare una persona inconsapevole del ruolo: la designazione deve essere accompagnata da una comunicazione interna chiara.
3. Considerare la figura come un ruolo simbolico: non lo è, infatti si tratta di una responsabilità formale e verificabile, con obblighi stringenti.
Le scadenze convergenti
Dicembre 2025 ha rappresentato un momento cruciale, dal momento che è coinciso con la designazione del referente CSIRT, con l’identificazione definitiva dei soggetti NIS2 e con il rinnovo delle registrazioni per le organizzazioni già registrate nel 2025.
La nomina del referente CSIRT non è una formalità amministrativa, ma il primo passo operativo del sistema di incident reporting che caratterizzerà il 2026 e gli anni successivi.
