Il Rapporto Clusit 2026 fotografa un 2025 da record: 507 incidenti gravi censiti in Italia, contro i 357 dell’anno precedente, con una crescita del 42% che colloca il Paese al 9,6% degli attacchi rilevati a livello globale – una quota sproporzionata rispetto al peso economico e demografico italiano.

Un dato che, letto insieme all’espansione del perimetro NIS2, cambia la natura del problema: non si tratta più solo di “quanti attacchi subiamo”, ma di “quanto siamo strutturati per gestirli quando arrivano”.

Il contesto: la gestione degli incidenti diventa una responsabilità di governance

La Direttiva NIS2, recepita in Italia con il D.lgs. 138/2024, ha esteso gli obblighi di gestione del rischio cyber a 18 settori classificati come “essenziali” e “importanti” (dall’energia alla sanità, dalla finanza al manifatturiero) coinvolgendo oltre 20mila organizzazioni pubbliche e private.

Molte di queste realtà, spesso di dimensioni medie, si trovano ora a dover rispondere a obblighi procedurali stringenti senza avere, al proprio interno, una funzione di incident response realmente strutturata.

Referente CSIRT e obblighi di notifica: le scadenze obbligatorie per il management

Dal primo gennaio 2026 è operativo l’obbligo di notifica degli incidenti significativi al CSIRT Italia, con tempistiche che lasciano pochissimo margine di manovra: pre-notifica entro 24 ore dalla scoperta dell’evento, notifica completa entro 72 ore, oltre a eventuali comunicazioni intermedie e una relazione finale entro 30 giorni.

A questo si affianca l’obbligo, già in vigore per i soggetti nel perimetro dal 2025, di designare un Referente CSIRT, l’unica figura autorizzata a interfacciarsi con l’Agenzia per la Cybersicurezza Nazionale durante la gestione di un incidente.

Il termine del 31 ottobre 2026 rappresenta poi lo spartiacque su cui si sta concentrando l’attenzione delle organizzazioni: entro quella data devono essere pienamente operative le misure di sicurezza di base indicate dalle Determinazioni ACN, dall’autenticazione multifattore alla gestione delle vulnerabilità, dai backup alle procedure di incident response documentate. Da quel momento l’Agenzia potrà avviare le attività ispettive.

La responsabilità personale degli organi di amministrazione

È forse l’elemento meno compreso della NIS2, e al tempo stesso quello con l’impatto più diretto sulle scelte organizzative: il D.lgs. 138/2024 prevede sanzioni fino al 2% del fatturato globale annuo o 10 milioni di euro, con la possibilità di misure a carico personale dei dirigenti in caso di inadempienza agli obblighi di governance, di analisi del rischio e di gestione degli incidenti.

La cyber sicurezza esce quindi dal perimetro esclusivo dell’IT e coinvolge direttamente il vertice aziendale, che deve poter dimostrare, non solo affermare, di aver approvato e vigilato su un processo di incident management adeguato.

Il gap organizzativo che il CSIRT as a Service prova a colmare

Molte aziende dotate di un SOC interno o esterno, o comunque di un team IT ben organizzato, non dispongono però di una funzione CSIRT formalizzata: manca cioè un presidio che coordini in modo esplicito gli attori coinvolti in un incidente, ne valuti la rilevanza ai fini degli obblighi di notifica NIS2, gestisca le tempistiche normative e supporti gli organi di governo nelle decisioni più delicate.

È una differenza sottile ma decisiva: il SOC rileva e risponde a livello tecnico, il CSIRT coordina, qualifica e comunica anche verso l’esterno e verso il management.

In questo gap si inserisce il CSIRT as a Service, il servizio che nasce dall’esperienza maturata da Axitea nella gestione integrata di rischi cyber e fisici, un approccio che consente di valutare un incidente non solo dal punto di vista tecnico ma anche operativo e di business

Il servizio consente di esternalizzare la funzione di Referente CSIRT in conformità alle indicazioni ACN, affiancando alle aziende un team dedicato che segue l’incidente dal rilevamento fino alla notifica alle autorità competenti e al supporto agli organi di amministrazione.

Il servizio non sostituisce SOC e strutture IT esistenti, ma si innesta su di essi, aggiungendo il livello di coordinamento, tracciabilità e conformità che spesso manca.

Come funziona: il ciclo di vita della gestione dell’incidente

Il modello proposto da Axitea copre l’intero arco temporale dell’incidente, dalla prevenzione organizzativa fino alla capitalizzazione dell’esperienza.

Preparazione

La fase preliminare riguarda la definizione di ruoli, responsabilità e processi di incident response coerenti con il modello operativo dell’azienda e con gli obblighi normativi applicabili.

È il momento in cui si stabilisce chi fa cosa quando l’incidente si verifica davvero, riducendo l’improvvisazione che nei momenti critici si traduce quasi sempre in ritardi, scarso allineamento delle comunicazioni e mancanza di completezza nelle informazioni a supporto delle decisioni.

Gestione dell’incidente

Al verificarsi di un evento, il team assume il ruolo di Incident Coordinator: analizza la natura e l’impatto dell’incidente, coordina le azioni di contenimento, mitigazione e ripristino, lavorando a stretto contatto con le funzioni IT, di sicurezza e di governance.

L’obiettivo è mantenere una visione unica e coerente delle implicazioni tecniche, operative, economiche e reputazionali, evitando che ogni funzione aziendale risponda in autonomia basandosi su informazioni fatalmente parziali.

Gestione delle comunicazioni con ACN e CSIRT Italia

Ogni incidente viene valutato anche sotto il profilo legale e regolatorio, con particolare attenzione agli obblighi di notifica, alle tempistiche stringenti previste dalla normativa e ai contenuti delle comunicazioni verso ACN e CSIRT Italia.

È probabilmente il punto in cui il rischio di errore procedurale e quindi sanzionatorio è più alto per le organizzazioni che agiscono senza un presidio dedicato: una notifica incompleta, tardiva o mal coordinata tra le funzioni interne può pesare quanto l’incidente stesso.

Post-incidente

Chiuso l’evento, il lavoro non si esaurisce: l’analisi post-incidente serve a formulare raccomandazioni concrete per rafforzare i controlli di sicurezza e individuare le azioni necessarie ad aumentare la resilienza complessiva dell’organizzazione.

È la fase in cui un incidente, gestito correttamente, si trasforma in un miglioramento strutturale piuttosto che in un evento isolato da archiviare.

La prospettiva di Axitea: dalla compliance alla resilienza operativa

“CSIRT as a Service nasce da una constatazione concreta: le aziende italiane stanno affrontando un livello di rischio in crescita, con scadenze normative e una responsabilità del management che oggi è sancita per legge”, spiega Giorgio Triolo, CTO di Axitea.

“Per anni le aziende hanno valutato la propria maturità cyber soprattutto sulla capacità di prevenire gli attacchi. Con la NIS2 diventa altrettanto importante dimostrare di saperli gestire. Offriamo la struttura, i processi e le competenze per trasformare questo obbligo in un vantaggio operativo reale”.

Il posizionamento del servizio si appoggia sull’esperienza di Axitea nella sicurezza integrata e sulla sinergia con i servizi di Security Operation Center, con l’obiettivo dichiarato di leggere l’incidente non solo in chiave tecnica, ma anche nelle sue ricadute operative, economiche e reputazionali: un approccio che riflette, più in generale, la direzione presa dal mercato dei servizi gestiti di cyber security in risposta alla NIS2.

Un tema che riguarda un numero crescente di organizzazioni

Con l’avvicinarsi della scadenza del 31 ottobre 2026 e l’entrata in fase ispettiva da parte di ACN, il tema della gestione strutturata degli incidenti smette di essere un esercizio teorico per diventare un requisito operativo concreto.

Per le organizzazioni che non dispongono internamente di competenze specialistiche di incident coordination o che le hanno, ma non nella forma richiesta da un ruolo come quello di Referente CSIRT, l’esternalizzazione della funzione rappresenta una delle strade percorribili per arrivare preparati agli obblighi normativi, senza sottrarre risorse alle attività di detection e response già presidiate da SOC interni o esterni.

Contributo redazionale realizzato in collaborazione con Axitea.