Notifica degli incidenti: i termini a confronto
Entro quanto tempo e a chi si deve notificare un incidente informatico, nei principali regimi del mondo, dal più rapido al più lento.
Versione sempre aggiornata: https://www.cybersecuritydatabase.org/it/reports/incident-reporting/
Il database confronta 42 regimi di notifica in 33 giurisdizioni. In 35 casi il primo avviso va dato entro 24 ore, e 20 regimi chiedono almeno tre comunicazioni successive.
Tutti i regimi, dal più rapido
| Giurisdizione | Regime | Termini | Autorità |
|---|---|---|---|
| Ecuador | Legge organica per il rafforzamento della cybersicurezza (2026) |
| Ministero delle telecomunicazioni e della società dell'informazione (MINTEL) |
| Francia | NIS1 (legge 2018-133) |
| Agenzia nazionale per la sicurezza dei sistemi informativi (ANSSI) |
| Gabon | Legge 027/2023 sulla cybersicurezza e la lotta alla cybercriminalità |
| Autorità amministrativa competente in materia di cybersicurezza |
| Malaysia | Cyber Security Act 2024 (Act 854) |
| Direttore generale della National Cyber Security Agency (NACSA) e capofila del settore NCII |
| Mozambico | Legge 13/2026 sulla sicurezza ciberneticaNon ancora operativo |
| CSIRT di settore e CSIRT nazionale; Autoridade Reguladora de Tecnologias de Informação e Comunicação (INTIC) come Autorità nazionale per la sicurezza cibernetica |
| Nigeria | Cybercrimes Act 2015 (modificato nel 2024) |
| Centro di coordinamento del CERT nazionale, tramite i CERT o i centri operativi di sicurezza (SOC) di settore |
| Turchia | Legge sulla cybersecurity n. 7545 |
| Presidenza per la cybersecurity (Siber Güvenlik Başkanlığı) |
| Cina | Misure sulla segnalazione degli incidenti di cybersecurity (2025) |
| Ufficio provinciale dell'Amministrazione del cyberspazio (CAC); per le infrastrutture critiche il dipartimento di protezione e la pubblica sicurezza; per gli organi centrali e statali la propria struttura per il cyberspazio |
| Italia | Perimetro di sicurezza nazionale cibernetica (D.L. 105/2019) |
| CSIRT Italia (Agenzia per la cybersicurezza nazionale) |
| Taiwan | Cyber Security Management Act |
| Autorità centrale competente per il settore; per gli enti pubblici, l'ente sovraordinato e il Ministero degli affari digitali |
| Singapore | Cybersecurity Act 2018 |
| Commissario per la cybersecurity (Cyber Security Agency of Singapore) |
| Cile | Legge quadro sulla cybersecurity 21.663 |
| CSIRT nazionale (Agenzia nazionale di cybersecurity, ANCI) |
| Macedonia del Nord | Legge sulla sicurezza delle reti e dei sistemi informativi (2025) |
| CSIRT competente (MKD-CIRT presso l'Agenzia per le comunicazioni elettroniche o, per gli organi esecutivi, MKD-GOV-CSIRT) |
| Unione europea | DORA (UE) 2022/2554 |
| Autorità di vigilanza finanziaria competente |
| India | Direttive CERT-In del 28 aprile 2022 |
| Indian Computer Emergency Response Team (CERT-In) |
| Australia | Security of Critical Infrastructure Act 2018 |
| Australian Cyber Security Centre (ACSC, presso l'ASD) |
| Hong Kong | Ordinanza sulla protezione delle infrastrutture critiche (Cap. 653) |
| Commissario per le infrastrutture critiche (sicurezza dei sistemi informatici) |
| Armenia | Legge sulla cybersicurezza (HO-442-N, 2025) |
| Commissione di regolamentazione dei sistemi informativi |
| Svizzera | Legge sulla sicurezza delle informazioni (LSIn) |
| Ufficio federale della cibersicurezza (UFCS) |
| Germania | CRA (disegno di legge di attuazione) |
| BSI (CSIRT), tramite la piattaforma unica dell'ENISA |
| Germania | NIS2 (NIS2UmsuCG, BSIG) |
| Ufficio federale per la sicurezza informatica (BSI) |
| Unione europea | Direttiva NIS2 (UE) 2022/2555 |
| CSIRT nazionale o autorità competente |
| Unione europea | Cyber Resilience Act (UE) 2024/2847: vulnerabilità sfruttate |
| CSIRT designato come coordinatore nello Stato dello stabilimento principale, tramite la piattaforma unica di segnalazione dell'ENISA |
| Unione europea | Cyber Resilience Act (UE) 2024/2847: incidenti gravi |
| CSIRT designato come coordinatore nello Stato dello stabilimento principale, tramite la piattaforma unica di segnalazione dell'ENISA |
| Finlandia | CRA (legge 439/2026) |
| Traficom (NCSC-FI), tramite la piattaforma unica dell'ENISA |
| Ghana | Direttiva sulla protezione delle infrastrutture informative critiche (2021) |
| CERT di settore o, se manca, il CERT nazionale (CERT-GH) della Cyber Security Authority |
| Italia | CRA (schema di decreto legislativo, AG 447) |
| CSIRT Italia (ACN), tramite la piattaforma unica dell'ENISA |
| Italia | NIS2 (D.lgs. 138/2024) |
| CSIRT Italia (Agenzia per la cybersicurezza nazionale) |
| Italia | Legge 90/2024 (pubbliche amministrazioni) |
| Agenzia per la cybersicurezza nazionale (ACN) |
| Kiribati | Cybersecurity Act 2026Non ancora operativo |
| CERT nazionale e CERT di settore competente |
| Liechtenstein | NIS2 (legge sulla cibersicurezza, CSG) |
| Stabsstelle Cyber-Sicherheit (SCS) |
| Montenegro | Legge sulla sicurezza delle informazioni (2024) |
| Agenzia per la cibersicurezza o, per gli organi dell'amministrazione statale, il CIRT dell'amministrazione statale |
| Norvegia | Legge sulla sicurezza digitale (digitalsikkerhetsloven) |
| Autorità di vigilanza del settore, con copia all'Autorità nazionale per la sicurezza (NSM) |
| Serbia | Legge sulla sicurezza delle informazioni (2025) |
| Sistema unico di ricezione delle notifiche (sito del ministero competente o dell'Ufficio per la sicurezza delle informazioni); Banca nazionale di Serbia, Commissione per i valori mobiliari e RATEL per i rispettivi settori |
| Stati Uniti | CIRCIA (2022)Non ancora operativo |
| Agenzia per la sicurezza informatica e delle infrastrutture (CISA) |
| Perù | Regolamento del quadro di fiducia digitale (D.S. 126-2025-PCM) |
| Centro nazionale di sicurezza digitale (CNSD) |
| Australia | Cyber Security Act 2024 (pagamenti di riscatto) |
| Australian Signals Directorate (ASD) |
| Canada | Critical Cyber Systems Protection Act (S.C. 2026, c. 9)Non ancora operativo |
| Communications Security Establishment (CSE) |
| Regno Unito | NIS Regulations 2018 |
| Autorità competente di settore; Information Commissioner's Office (ICO) per i fornitori di servizi digitali |
| Stati Uniti | Regole SEC sulla trasparenza cyber (modulo 8-K, Item 1.05) |
| Securities and Exchange Commission (SEC) |
| Giappone | Legge sulla cyberdifesa attiva (legge n. 42 del 2025) |
| Ministro competente per il settore e Primo ministro |
| Spagna | NIS1 (Real Decreto-ley 12/2018) |
| CSIRT di riferimento (INCIBE-CERT, CCN-CERT o ESPDEF-CERT) |