Note legali

1.1 Ambito delle funzioni e gestione degli incidenti

nis2desk aiuta l’organizzazione a raccogliere informazioni, individuare le misure da valutare, organizzare attività ed evidenze, seguire le comunicazioni registrate e predisporre documenti di supporto. Riunisce questi elementi e le relative registrazioni storiche per facilitarne la consultazione e il riesame. Il significato e i limiti degli esiti sono descritti al §3. I richiami normativi chiariscono le funzioni e i limiti dello strumento e hanno carattere informativo generale; non costituiscono un parere sul singolo caso (vedi §2). Restano prevalenti le fonti ufficiali richiamate al §5.

Prima di utilizzare il calcolo dei termini

Nella sezione «Perimetro supportato per gli incidenti» il valore iniziale è «Da determinare». Il calcolo ordinario è disponibile soltanto dopo una dichiarazione motivata «No» alla domanda sui servizi rientranti nel Regolamento di esecuzione (UE) 2024/2690, compresi i servizi fiduciari, tenendo conto della significatività dell’incidente, delle date di conoscenza e trasmissione registrate e dello stato della sua gestione. Lo strumento distingue gli incidenti dichiarati significativi, quelli non significativi e i casi ancora da valutare; per questi ultimi gli eventuali termini cautelativi sono indicati come tali. La dichiarazione registra una valutazione preventiva dell’organizzazione sui servizi effettivamente prestati e configura il calcolo. Lo strumento non qualifica giuridicamente il soggetto; l’organizzazione resta responsabile della correttezza della dichiarazione, che non modifica l’ambito di applicazione della legge.

Quando è richiesta la gestione manuale

Con «Sì» o «Da determinare», la versione corrente non determina automaticamente i criteri di significatività e i termini di notifica. L’organizzazione deve verificare le attività e i servizi interessati, individuare il regime applicabile e gestire i relativi adempimenti anche quando lo strumento non mostra una scadenza. Se il soggetto svolge più attività, la verifica deve considerare quelle coinvolte nell’incidente. Le comunicazioni si effettuano tramite i canali ufficiali; nello strumento possono essere conservati i riferimenti degli invii e i relativi documenti. L’assenza di un calcolo automatico non esclude gli obblighi previsti dalla normativa.

Da quali dati dipendono le scadenze

I termini visualizzati dipendono dai dati registrati e dalla valutazione dell’incidente. Per pre-notifica e notifica il riferimento è la conoscenza dell’incidente significativo; per la relazione finale prevista dall’articolo 25, comma 5, lettera d), del D.Lgs.138/2024, è la trasmissione della notifica di cui alla lettera b), distinta dalla pre-notifica. Per la finale della lettera e), la legge fa riferimento alla conclusione della gestione. Lo strumento esegue controlli tecnici sui dati, ma non accerta quando i fatti si siano effettivamente verificati. Le date indicate come presunte devono essere verificate. Un dato errato può produrre un termine errato; la registrazione o la correzione tardiva non sposta la decorrenza prevista dalla legge. Restano fermi gli obblighi di comunicazione senza ingiustificato ritardo: il limite massimo visualizzato non autorizza ad attendere la sua scadenza.

Incidenti protratti e trasmissioni

Per gli incidenti protratti, il registro distingue fatti, progressi e conclusione della gestione. La suite consente di pianificare esplicitamente le date interne delle relazioni mensili sui progressi, indicandone motivazione e riferimento, e di collegare le trasmissioni. Non attribuisce automaticamente una decorrenza a questa cadenza. Per la relazione iniziale e per la finale successiva alla conclusione della gestione mostra una data operativa cautelativa: mese civile, giorno corrispondente o ultimo del mese, fine giornata nel fuso Europe/Rome, senza proroghe automatiche per sabato o festivi. Il confronto con questa data non accerta una violazione né la tempestività giuridica. Nei casi previsti dall’articolo 25, comma 5, lettera e), del D.Lgs.138/2024, sono previste una relazione mensile sui progressi e una relazione finale entro un mese dalla conclusione della gestione: l’organizzazione deve curarne il rispetto secondo la normativa applicabile. La relazione intermedia richiesta dal CSIRT Italia, prevista dalla lettera c), è un adempimento distinto.

Generare un documento o registrare un invio dichiarato non equivale a trasmetterlo al CSIRT Italia o all’ACN. L’organizzazione deve effettuare la comunicazione attraverso i canali previsti e conservarne la documentazione.

3. Significato e limiti degli esiti

Gli esiti, gli indicatori e i documenti sono elaborati sulla base delle informazioni registrate. I controlli tecnici dello strumento non costituiscono un accertamento della veridicità dei fatti dichiarati, dell’effettiva attuazione delle misure o della loro efficacia. Gli esiti e i documenti, così come il collegamento di un’evidenza, il completamento di una scheda o un indicatore positivo, non attestano né dimostrano, da soli, l’adempimento degli obblighi previsti dalla normativa e non sostituiscono la verifica dei fatti e delle misure.

Essi hanno esclusivamente finalità informative e organizzative e non costituiscono:

• attestazione o certificazione di conformità;
• audit;
• verifica indipendente;
• parere professionale;
• valutazione legale.

I documenti eventualmente generati costituiscono modelli operativi e richiedono, ove necessario, adattamento, integrazione e validazione da parte dell'organizzazione o di professionisti qualificati.

La classificazione del soggetto quale entità essenziale o importante non è determinata dallo strumento, ma corrisponde esclusivamente a quella eventualmente comunicata dall'ACN e inserita dall'utente.

11. Modifiche e identificazione della versione

Le presenti note legali possono essere aggiornate in qualsiasi momento.

La versione vigente è identificata dalla data di aggiornamento, dal numero di revisione e dall’identificativo del testo riportati in questa pagina. La revisione delle note è distinta dalla versione del software. Le descrizioni funzionali sono verificate in occasione dei rilasci e aggiornate quando cambia un comportamento descritto in queste note.

In caso di modifiche sostanziali potrà essere richiesta una nuova presa visione o una nuova accettazione da parte degli utenti.