CYBSicurezza informatica

Incidente informatico: chi decide, chi comunica e cosa conservare nelle prime ore

Nelle prime ore di un incidente informatico la direzione non fa il lavoro tecnico, ma prende tre decisioni che spettano solo a lei: chi guida la risposta, chi parla a nome dell’azienda, che cosa va conservato.

Redazione Strategic 16 settembre 2026 8 min di lettura

Copertina: «Incidente informatico: le decisioni del vertice», Sicurezza informatica

Quando un incidente informatico è in corso, che sia un ransomware o una casella di posta violata, il lavoro tecnico spetta a chi gestisce i sistemi e agli specialisti chiamati in aiuto. Alla direzione spettano tre decisioni che nessun altro può prendere al suo posto: chi guida la risposta e con quali poteri, chi parla a nome dell’azienda e con quali parole, che cosa va conservato perché servirà dopo, per le notifiche, per l’assicurazione e, se si arriva lì, in tribunale. Per le aziende che rientrano nella NIS2 non è solo buona pratica: il decreto legislativo 138/2024 rende gli organi di amministrazione responsabili delle misure di sicurezza e prevede che siano informati degli incidenti, quando opportuno senza attendere.

Perché le prime ore sono una questione di direzione?

Perché le scelte da fare hanno conseguenze che vanno oltre l’informatica. Scollegare un server può fermare la produzione o la fatturazione. Avvisare i clienti tocca contratti e reputazione. Chiamare specialisti esterni ha un costo, e la polizza, se esiste, può chiedere di avvisare prima la compagnia. Nessun responsabile dei sistemi dovrebbe decidere da solo, alle due di notte, senza un mandato.

Le linee guida dell’Agenzia per la Cybersicurezza Nazionale (ACN) sulla gestione degli incidenti lo scrivono in modo esplicito. Nel rapporto con il CSIRT Italia, la squadra nazionale di risposta agli incidenti, possono servire decisioni che vanno oltre il ruolo del referente tecnico e che, nei casi più rilevanti, spettano agli organi di amministrazione e direttivi. Le stesse linee guida chiariscono che nominare un referente CSIRT è una delega operativa, non una delega di responsabilità. Per i soggetti NIS, inoltre, il piano di gestione degli incidenti va approvato dagli organi di amministrazione. Chi non rientra nella NIS2 non ha l’obbligo, ma ha lo stesso problema.

Chi decide, e su che cosa?

La risposta funziona quando un gruppo ristretto, la cellula di crisi, lavora con un mandato scritto prima. Di solito ne fanno parte chi la guida (l’amministratore delegato o un delegato), il responsabile dei sistemi, un legale, chi cura la comunicazione, chi conosce la produzione e, quando serve, gli specialisti esterni. Ogni ruolo ha un sostituto.

Il mandato stabilisce in anticipo che cosa può fare chi guida la risposta senza chiedere altre autorizzazioni. La tabella riassume le decisioni tipiche.

Decisione	Chi la prende	Quando	Che cosa serve per decidere
Isolare sistemi e bloccare account sospetti	Responsabile dei sistemi, entro il mandato	Subito	Elenco dei sistemi critici e delle utenze amministrative
Fermare una linea, un sito o un servizio ai clienti	Chi guida la cellula di crisi	Nelle prime ore	Impatto su lavoro e contratti
Chiamare specialisti esterni e avvisare l’assicurazione	Chi guida la cellula di crisi	Nelle prime ore	Contratti già firmati, condizioni della polizza
Notificare al CSIRT Italia e al Garante	Vertice, su proposta del referente e del responsabile della protezione dei dati	Entro i termini di legge	Prime evidenze e valutazione dell’impatto
Informare clienti e fornitori	Vertice, con il legale	Dopo la prima valutazione	Fatti accertati, obblighi contrattuali
Rispondere a una richiesta di riscatto	Vertice, con legali e specialisti	Mai d’impulso	Stato delle copie, dati sottratti, vincoli legali

Ogni decisione va annotata in un diario, con ora, autore e motivo: è il documento che, settimane dopo, permette di rispondere all’Autorità, all’assicuratore e al consiglio di amministrazione. Il primo errore da evitare è spegnere i sistemi d’impulso: la guida #StopRansomware della CISA prevede lo spegnimento solo per ciò che non si riesce a scollegare, e a deciderlo è la cellula di crisi.

Chi parla, e con quali parole?

Una sola voce verso l’esterno e un solo messaggio verso l’interno. Il primo avviso ai dipendenti dice che cosa fare e che cosa evitare: non spegnere né reinstallare nulla di propria iniziativa, non commentare sui social o nei gruppi di messaggistica, segnalare email e telefonate strane. Se la posta aziendale potrebbe essere compromessa, la cellula di crisi si coordina su canali alternativi scelti prima: il decreto NIS indica tra le misure anche sistemi di comunicazione di emergenza protetti, dove opportuno.

Verso clienti e fornitori conta la precisione. Il decreto NIS prevede che, sentito il CSIRT Italia e se opportuno, si informino i destinatari dei servizi degli incidenti che possono avere effetti su di loro. Molti contratti prevedono inoltre un avviso entro un termine preciso, da verificare subito. Si dice ciò che si sa, ciò che si sta facendo e quando arriverà il prossimo aggiornamento. Frasi come «nessun dato è stato sottratto», pronunciate prima delle verifiche, sono le più difficili da ritirare.

Uno scenario tipico: un lunedì mattina l’amministrazione scopre che dalla casella di un collega sono partite fatture con coordinate bancarie modificate. La decisione più urgente non è tecnica. Si tratta di avvisare per telefono i clienti coinvolti, da numeri che conoscono, prima che paghino, e di chiedere alla banca di bloccare i bonifici ancora fermabili.

Quali notifiche decide il vertice, e con quali tempi?

I termini sono fissati dalla legge e decorrono da quando l’azienda viene a conoscenza dell’incidente. Il referente tecnico prepara, il vertice decide e firma.

Destinatario	Chi notifica	Termini	Da quando vale
CSIRT Italia, tramite il portale dell’ACN	Soggetti NIS, per un incidente significativo, cioè con un impatto serio sui servizi o su terzi	Pre-notifica entro 24 ore, notifica entro 72 ore con una prima valutazione, relazione finale entro un mese	Soggetti nell’elenco 2025: nove mesi dopo la comunicazione dell’ACN. Soggetti nell’elenco 2026: 1° gennaio 2027
Garante per la protezione dei dati personali	Ogni titolare, se sono coinvolti dati personali e il rischio per le persone non è improbabile	Senza ingiustificato ritardo e, ove possibile, entro 72 ore (art. 33 GDPR)	Già in vigore
Persone coinvolte	Il titolare, se il rischio per loro è elevato	Senza ingiustificato ritardo (art. 34 GDPR)	Già in vigore
Polizia Postale e per la sicurezza cibernetica	Ogni azienda, quando l’incidente è un reato	Con una denuncia, appena possibile	Sempre

Il decreto NIS precisa che la notifica non espone l’azienda a una responsabilità maggiore di quella che deriva dall’incidente. Per le imprese sammarinesi il quadro è diverso: per i dati personali vale la Legge 21 dicembre 2018, n. 171, il resto va valutato caso per caso.

Che cosa va conservato, e perché?

Tutto ciò che permette di ricostruire l’accaduto. Il NIST, l’istituto statunitense degli standard, e l’ACN chiedono la stessa cosa con parole diverse: prima si raccolgono le prove, poi si ripulisce. Per la direzione la regola si traduce in un ordine preciso: nessun sistema si reinstalla finché chi guida la risposta non conferma che le prove sono state messe al sicuro. Serviranno per la relazione finale al CSIRT Italia, che deve indicare la causa probabile, per la documentazione che il GDPR chiede per ogni violazione di dati personali, anche quando non va notificata, e per l’assicurazione.

Le prove da mettere al riparo sono di quattro tipi:

i registri di firewall, accessi remoti, posta, autenticazione e applicazioni: alcuni sistemi li conservano per pochi giorni, quindi vanno copiati subito;
le copie dei dischi e della memoria dei sistemi colpiti, fatte da specialisti;
le email sospette con le intestazioni complete, i messaggi degli attaccanti, le schermate con data e ora;
il diario delle azioni: chi ha fatto che cosa, quando e su quale sistema.

Il modo di raccoglierle, e la catena di custodia che ne preserva il valore in giudizio, è descritto nella guida dell’Osservatorio sul ransomware; quanto conservare i registri, e dove, lo spiega l’articolo Sherlock Holmes e il file di log.

Come si prepara la direzione prima che succeda?

Con poco, purché fatto prima.

Un mandato di due pagine per la cellula di crisi: componenti, sostituti, poteri di spesa e di fermo, chi decide le notifiche.
Una rubrica su carta: specialisti di risposta agli incidenti, legale, assicurazione, banca, fornitori critici, CSIRT Italia, Polizia Postale.
La lettura dei contratti: termini di avviso verso i clienti, obblighi dei fornitori, condizioni della polizza.
Un’esercitazione a tavolino con il vertice: uno scenario simulato, discusso intorno a un tavolo, per scoprire dove il piano non regge. Per i soggetti NIS le misure ACN chiedono di riesaminare il piano almeno ogni due anni e dopo ogni incidente significativo.

In sintesi

Nelle prime ore la direzione decide chi guida la risposta, chi parla e che cosa si conserva; il lavoro tecnico resta agli specialisti.
Nelle aziende soggette alla NIS2 gli organi di amministrazione rispondono delle misure di sicurezza e approvano il piano per la gestione degli incidenti.
Una cellula di crisi ristretta lavora con un mandato scritto prima e annota ogni decisione in un diario.
I tempi verso le autorità sono fissati: per i soggetti NIS 24 ore, 72 ore e un mese verso il CSIRT Italia; con dati personali, ove possibile 72 ore verso il Garante.
Nessun sistema si reinstalla prima che le prove siano al sicuro.
Mandato, rubrica, contratti ed esercitazioni si preparano prima che serva.

Domande frequenti

Il consiglio di amministrazione va avvisato subito?

Nelle aziende soggette alla NIS2 il decreto prevede che gli organi di amministrazione siano informati degli incidenti e delle notifiche, periodicamente o, se opportuno, tempestivamente. Per un incidente che può fermare l’attività o coinvolgere dati dei clienti, l’avviso immediato è la scelta prudente anche fuori dalla NIS2.

Conviene dire subito ai clienti che c’è stato un attacco?

Conviene comunicare presto ciò che è accertato, soprattutto se i clienti devono fare qualcosa per proteggersi, come non pagare fatture sospette o cambiare le credenziali. Tempi e contenuti si decidono con il legale, tenendo conto dei contratti e delle eventuali indicazioni del CSIRT Italia.

Scrivere il mandato della cellula di crisi, preparare il piano e metterlo alla prova con un’esercitazione insieme al vertice, prima che serva, fa parte della gestione degli incidenti curata dalla divisione Cybersecurity di Strategic, insieme all’analisi forense quando l’incidente è già avvenuto. Il modulo di contatto del sito non è un canale d’emergenza: durante un incidente valgono i contatti scritti nel proprio piano.

Fonti

Consultate il 16 settembre 2026.

ApprofondisciCybersecurityVerifiche fatte come le farebbe un attaccante (penetration test), gestione degli incidenti, continuità operativa e aiuto ad adeguarsi alla NIS2, anche per i fornitori.