La scadenza del 31 dicembre per la designazione e comunicazione del referente CSIRT (come da determinazione ACN n. 333017/2025 art. 7) si avvicina, e i soggetti NIS stanno chiamando i loro MSP (Managed Service Providers) per chiedere supporto.

La normativa permette (a differenza del Punto di Contatto) che questo ruolo sia affidato a una persona fisica esterna purché abbia competenze di cybersecurity e conosca in modo approfondito i sistemi informativi e di rete del soggetto NIS (un ritratto dell’MSP…).

Chi accetta l'incarico (e gli MSP più accorti lo hanno già intuito) deve affrontare un impegno organizzativo non da poco, essendo evidenti le responsabilità legali e operative da gestire.

Si tratta di regolare una complessa ripartizione di ruoli e compiti, tenendo conto anche di questi elementi:

⏰ TEMPI RISTRETTI: I termini di notifica (24h per la pre-notifica, 72h per la notifica) sono brevissimi e decorrono dalla "conoscenza" dell'incidente;

💸 SANZIONI MILIONARIE: In caso di violazione dell’art. 25 del decreto NIS che riguarda gli obblighi di notifica, le sanzioni partono da un minimo 233.333/500.000 e arrivano a 7 o 10 milioni di euro o, se maggiori, fino all’1,4 al 2% del fatturato mondiale (dipende se il soggetto NIS è importante o essenziale). Una rivalsa del cliente contro il referente CSIRT per errori di notifica è uno scenario possibile;

📞 REPERIBILITÀ H24: Il referente CSIRT e i sostituti devono essere operativi 24/7/365 o comunque reperibili in termini molto brevi, quindi, oltre a personale competente (che va formato), ci vuole un turn over idoneo (direi minimo almeno 1 referente + 2 sostituti).

🔒 DATI PERSONALI: vanno gestite inoltre tutte le problematiche aggiuntive relative alla protezione dei dati personali, dato che il referente CSIRT e i sostituti possono dover trattare dati personali per svolgere il suo incarico.

Non è poi così semplice per un MSP rifiutarsi di soddisfare questa esigenza del cliente, soggetto NIS, perché il rischio è che si rivolga ai concorrenti.

Una soluzione è che l’MSP riduca “i rischi legali” con una idonea contrattualistica che lo tuteli in modo adeguato (anche perché altrimenti nessuno vorrà svolgere l’incarico di referente CSIRT), oltre ovviamente a doversi riorganizzare per proporre questo tipo di servizio, che non potrà certo essere economico.

Lo stesso problema si pone poi nel caso dei gruppi societari, quando una società fornisce servizi “MSP” alle altre del gruppo, soggetti NIS. Anche in questo caso, sarà quasi inevitabile la designazione tra i dipendenti della prima società “MSP”, del referente CSIRT e sostituti.

Tutto poi deve essere pronto in tempi strettissimi dato che la scadenza del 31 dicembre è alle porte.

Si tratta di una nuova sfida per l’MSP e per i gruppi societari che possono superare anche con un adeguato supporto legale, ma è necessario essere tempestivi perché la tematica è complessa e i tempi molto stretti.

---

Like   Back to Top   Seen 130 times   Liked 0 times

Subscribe to Updates

Enter your email address to be notified of new posts

Subscribe to:
All Posts GDPR cyber security

x

Subscribe to Updates

If you enjoyed this, why not subscribe to free email updates ?

I've already subscribed / don't show me this again