La relazione speciale 19/2026 della Corte dei conti europea, pubblicata il 21 settembre 2026, solleva una questione cruciale per le imprese impegnate negli adempimenti NIS2: cosa accade alle informazioni dopo l’invio della segnalazione. La direttiva disciplina i riscontri e i passaggi tra autorità, con garanzie per la riservatezza e gli interessi commerciali.
La catena delle notifiche
Per valutare il funzionamento del sistema, occorre seguire gli avvisi fino ai destinatari che possono usarli, distinguendo la cooperazione durante un incidente dalla successiva raccolta di statistiche. Un fornitore comune può collegare eventi inizialmente separati; riconoscere quella dipendenza richiede informazioni tecniche confrontabili e la possibilità di correggere le prime ipotesi. Su questi passaggi si può misurare il contributo della rete europea alla protezione dei servizi.
Mentre i tecnici cercano di contenere un incidente, chi prepara il preallarme NIS2 lavora spesso con un quadro ancora provvisorio. Una parte del servizio è ferma, il fornitore sta verificando e la causa indicata nella prima telefonata potrebbe cambiare entro sera. La ricevuta del portale conferma almeno un fatto: la segnalazione è stata trasmessa.
Per l’impresa è un passaggio rilevante, sul quale si concentrano procedure e responsabilità. Quello stesso invio, però, potrebbe contenere il primo elemento utile a riconoscere un problema che coinvolge altre organizzazioni in un altro paese; da quel momento il suo valore dipenderà anche da chi lo riceve e dal seguito che riuscirà a dargli.
Criticità e casi studio
L’audit della Corte dei conti europea, relativo al periodo 2022–2025, giudica solo parzialmente efficace il contributo delle azioni europee alla rilevazione e alla risposta agli incidenti, richiamando ritardi di attuazione e limiti nello scambio di informazioni. Fra gli episodi considerati compare l’attacco del settembre 2025 a Collins Aerospace, con conseguenze sui sistemi di gestione dei passeggeri negli aeroporti.
Secondo la Corte, nessuno degli Stati membri interessati aveva formalmente notificato l’evento a ENISA o agli altri Stati membri. Il rilievo riguarda quel passaggio istituzionale: non prova che siano mancate notifiche nazionali delle imprese o comunicazioni informali. Né un audit su quel periodo descrive automaticamente lo stato attuale di ogni capacità nazionale.
Resta una domanda sulle aspettative che accompagnano gli obblighi delle imprese. Se chiediamo loro di riconoscere un evento significativo e descriverlo entro tempi stretti, dovremmo poter verificare con altrettanta cura cosa avvenga una volta ricevuti quei dati.
La disciplina delle notifiche
L’adempimento del notificante rimane dovuto secondo la disciplina applicabile, anche quando la cooperazione incontra difficoltà; proprio per questo, valutarne gli esiti istituzionali evita che tutto il giudizio si esaurisca nella puntualità di chi ha premuto «invia». Per l’operatore ancora inconsapevole di essere esposto, una segnalazione ha utilità quando diventa un’informazione sulla quale intervenire. Una ricevuta tempestiva può precedere un avviso tardivo, e i due risultati meritano di essere osservati separatamente.
Nelladirettiva NIS2il passaggio fra queste attività è già disciplinato. L’articolo 23 prevede, nella scansione ordinaria e fatte salve le specificità applicabili, un preallarme entro 24 ore e una notifica entro 72 ore dalla conoscenza dell’incidente significativo.
Attraverso il recepimento nazionale e gli atti pertinenti, questa sequenza organizza un’informazione che si arricchisce durante l’indagine. Il rapporto iniziale deve dunque poter essere incompleto senza diventare indecifrabile: un dato osservato e un’ipotesi vanno presentati con il rispettivo grado di certezza. Se nelle prime ore l’impresa sa soltanto che il servizio dipende da un determinato componente, quella dipendenza può essere comunicata senza attribuire al suo produttore la causa del guasto.
Nel frattempo potrebbero arrivare informazioni che modificano l’estensione dell’evento. Un’anomalia creduta locale può riguardare clienti di più paesi; un sospetto di compromissione può essere ridimensionato dalle verifiche. Conservare la cronologia degli aggiornamenti permette di sapere quando questi elementi erano disponibili e a chi.
Se il portale mostra soltanto l’ultima versione, una parte del percorso scompare; se le mostra tutte senza chiarire quale sia stata superata, qualcuno potrebbe continuare a lavorare su una stima ormai corretta. Sono scelte apparentemente modeste nell’organizzazione di una piattaforma, dalle quali dipende la possibilità di valutare sia la tempestività del notificante sia quella di chi avrebbe dovuto riconoscere un impatto più ampio.
Il ruolo dei CSIRT e delle autorità
A chi ha appena inviato il preallarme l’articolo 23, paragrafo 5, riserva una previsione spesso meno discussa delle scadenze: il CSIRT o l’autorità competente fornisce un riscontro iniziale senza indebito ritardo e, ove possibile, entro 24 ore dal ricevimento. Su richiesta del soggetto può fornire orientamenti o consulenza operativa sulle misure di mitigazione.
La disposizione non garantisce che l’incidente venga risolto entro un giorno e non affida all’autorità tutta l’indagine forense dell’impresa. Consente però di impostare il rapporto come uno scambio nel quale il notificante può porre un problema circoscritto e ricevere un aiuto pertinente. Chiedere se una misura ipotizzata sia adeguata alla tecnica osservata offre al destinatario qualcosa di più utilizzabile di una generica richiesta di supporto.
Quando l’incidente significativo riguarda almeno due Stati membri, il paragrafo 7 prevede che il CSIRT, l’autorità competente o il punto di contatto unico informi senza indebito ritardo gli altri Stati interessati e ENISA. Nel farlo devono essere protetti sicurezza e interessi commerciali del soggetto, insieme alla riservatezza delle informazioni. Non si tratta quindi di inoltrare automaticamente l’intero fascicolo aziendale. Può essere necessario estrarre gli elementi utili al destinatario, mantenendo ristretto l’accesso ad altri dettagli. Questa selezione richiede una capacità operativa: qualcuno deve capire quali informazioni permettano di riconoscere l’esposizione altrui e quali, invece, aggiungano soprattutto un rischio di divulgazione.
Il lavoro si complica se nessun notificante conosce ancora la dimensione transfrontaliera del caso. Immaginiamo due ospedali in Stati diversi, uno alle prese con il sistema di prenotazione e l’altro con l’autenticazione. È un esempio ipotetico: le anomalie sembrano diverse, ma potrebbero dipendere dallo stesso componente.
Ciascun ospedale vede il proprio servizio e potrebbe ignorare la dipendenza dell’altro. Chi mette a confronto le informazioni ha la possibilità di formulare una correlazione che nessuno dei due avrebbe saputo dimostrare da solo. Pretendere che l’impatto internazionale sia già accertato in ogni avviso iniziale renderebbe più difficile scoprirlo proprio nei casi in cui la cooperazione serve maggiormente.
Formulare quella correlazione richiede comunque prudenza. Due eventi contemporanei possono avere cause indipendenti e un software molto diffuso può comparire in numerosi incidenti senza averli provocati. Per questo l’identificativo del componente e la versione effettivamente usata sono più informativi di un nome commerciale generico; anche l’orario deve essere confrontabile e l’attendibilità degli indicatori deve accompagnarne la trasmissione.
Una volta smentita l’associazione, occorre raggiungere chi l’aveva ricevuta. Altrimenti una pista iniziale continua a circolare come fatto acquisito, mentre gli investigatori che l’hanno scartata lavorano già su altro. La qualità dello scambio comprende anche la capacità di correggere le ipotesi iniziali senza lasciare tracce di informazioni obsolete.