Requisiti di risposta agli incidenti a confronto tra framework
La risposta agli incidenti è uno dei cinque argomenti che ogni framework richiede. I piani sono simili; le scadenze di notifica no. Ecco come si confrontano.
Questo articolo copre i 11 framework che ControlMapping aveva mappato al momento della stesura. Da allora sono stati aggiunti DORA, CPS 234, Cyber Essentials il 2026-10-27; le relative pagine e la matrice di copertura li includono.
La risposta agli incidenti fa parte del nucleo comune: ogni framework che mappiamo la richiede. Il requisito di base è lo stesso ovunque: un piano, persone che conoscono i propri ruoli e un modo per rilevare, contenere, ripristinare e fare tesoro dell'esperienza. Le differenze riguardano i test e, soprattutto, a chi devi comunicarlo, e con quale rapidità.
Chi richiede cosa
| Framework | Gestione degli incidenti | Collegamento |
|---|---|---|
| NIST CSF 2.0 | RS.MA-01RS.MA-02RS.MA-03RS.MA-04ID.IM-04 | Definizione dell'argomento |
| ISO 27001 | A.5.24A.5.25A.5.26 | Crosswalk |
| CIS v8.1 | CIS 17.1CIS 17.4CIS 17.5CIS 17.7CIS 17.9 | Crosswalk |
| SOC 2 | CC7.4CC7.3 | Redazione |
| PCI DSS | 12.10.112.10.312.10.212.10.4 | Crosswalk |
| CMMC | IR.L2-3.6.1IR.L2-3.6.3 | Crosswalk |
| 800-53 | IR-4IR-8IR-2IR-3 | Crosswalk |
| HIPAA | §164.308(a)(6)§164.308(a)(6)(ii) | Crosswalk |
| GDPR | Art.33(1)Art.33(5) | Redazione |
| NIS2 | 3.13.5 | Crosswalk |
| Essential Eight | ISM-1819 | Redazione |
Dettaglio completo e motivazione di ogni collegamento: Gestione degli incidenti nei framework →
Il piano
Ogni framework prevede una capacità documentata di risposta agli incidenti: la gestione degli incidenti di ISO 27001, con i controlli di pianificazione, valutazione e risposta (da A.5.24 ad A.5.26), la valutazione e la risposta agli incidenti di SOC 2 (CC7.3, CC7.4), il piano di risposta agli incidenti di PCI DSS (12.10.1), la gestione degli incidenti di CMMC (IR.L2-3.6.1), le procedure per gli incidenti di sicurezza di HIPAA (§164.308(a)(6)) e la policy di gestione e risposta agli incidenti di NIS2 (punti 3.1 e 3.5). Il contenuto è coerente: ruoli, livelli di gravità, escalation, contenimento, eradicazione, ripristino e lezioni apprese.
Test
PCI DSS è l'unico con una frequenza fissa: revisione e test del piano almeno annuali (12.10.2) e formazione delle persone che lo attuano (12.10.4). CMMC e SP 800-53 richiedono il test della capacità (IR.L2-3.6.3, IR-3) con una frequenza che definisci tu. CIS chiede esercitazioni periodiche (17.7). ISO 27001 e SOC 2 si aspettano prove che il piano funzioni senza fissare una cadenza; un tabletop annuale è la soluzione più comune.
Scadenze di notifica
È qui che i framework differiscono davvero:
| Framework | A chi comunicare | Scadenza |
|---|---|---|
| NIS2 | CSIRT o autorità competente | Preavviso entro 24 ore; notifica entro 72 ore; relazione finale entro un mese |
| GDPR | Autorità di controllo (violazioni di dati personali) | Entro 72 ore dalla presa di conoscenza (articolo 33) |
| GDPR | Persone interessate, quando il rischio per loro è elevato | Senza ingiustificato ritardo (articolo 34) |
| CMMC / DFARS | Dipartimento della Difesa degli Stati Uniti | Entro 72 ore, ai sensi della clausola DFARS 252.204-7012 |
| HIPAA | Persone interessate (Breach Notification Rule) | Senza ingiustificato ritardo e comunque non oltre 60 giorni |
| PCI DSS | Marchi di pagamento e acquirer | Secondo le procedure di ciascun marchio (12.10.1) |
| ISO 27001, SOC 2 | Nessuna scadenza normativa | Decidono il tuo piano e i contratti |
Un singolo incidente può far scattare più scadenze contemporaneamente. Un attacco ransomware a un fornitore cloud UE che conserva dati personali e gestisce pagamenti con carta potrebbe avviare, nella stessa ora, i processi previsti da NIS2, GDPR e dai marchi di pagamento.
Punti chiave
- Ogni framework richiede un piano di risposta agli incidenti; il contenuto è coerente.
- Le scadenze di notifica differiscono nettamente, dalle 24 ore di NIS2 ai 60 giorni di HIPAA.
- Un incidente può far partire più scadenze; un unico coordinatore dovrebbe gestirle tutte.
Cosa fare
- Redigi un solo piano che soddisfi i requisiti di contenuto più stringenti, ed elenca ogni obbligo di notifica che ti si applica, con scadenza, destinatario e responsabile.
- Stabilisci chi valuta la significatività. La scadenza di 24 ore di NIS2 decorre dal momento in cui vieni a conoscenza di un incidente significativo; la decisione non può attendere lunedì.
- Testalo almeno annualmente (la regola di PCI è un buon riferimento), includendo uno scenario fuori orario.
- Conserva le registrazioni di ogni incidente e violazione, notificati o meno: il GDPR lo richiede (articolo 33, paragrafo 5) e ogni auditor lo chiederà.
La pagina dell'argomento Risposta agli incidenti elenca ogni requisito con la sua fonte; l'argomento Notifica tratta la notifica. La nostra guida NIS2 approfondisce la procedura di notifica.
Domande
Quali sono le scadenze per la notifica degli incidenti previste da NIS2?
Un preavviso entro 24 ore dalla consapevolezza di un incidente significativo, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese.
Con quale frequenza deve essere testato un piano di risposta agli incidenti?
PCI DSS richiede la revisione e il test almeno annuali (12.10.2). CMMC e SP 800-53 richiedono il test della capacità di risposta agli incidenti (IR.L2-3.6.3, IR-3). ISO 27001 e SOC 2 si aspettano il test, ma lasciano la frequenza alla tua discrezione.
ISO 27001 prevede una scadenza per la notifica degli incidenti?
No. ISO 27001 richiede la gestione degli incidenti, inclusa la segnalazione interna degli eventi e la risposta, ma non prevede una scadenza di notifica normativa. Le scadenze derivano da leggi (NIS2, GDPR), contratti e regole di settore.
Dati aggiornati al 2026-10-27: i numeri di questo articolo sono calcolati dal crosswalk attuale e si aggiornano quando questo cambia. Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Non è una consulenza di conformità.
Articoli correlati
Analisi · 2026-10-27APRA CPS 234 e ISO 27001: cosa copre l'ISMS e cosa aggiunge APRAUn ISMS conforme a ISO 27001 copre quasi ogni paragrafo del CPS 234 di APRA, ma APRA aggiunge responsabilità del Consiglio di amministrazione, garanzie di terze parti e scadenze di notifica stringenti.
Analisi · 2026-10-27Cyber Essentials vs Essential Eight: confronto tra due baselineIl Cyber Essentials del Regno Unito e l'Essential Eight australiano puntano entrambi a contrastare attacchi comuni, ma coprono ambiti diversi. Cosa si sovrappone, cosa no e perché.
Analisi · 2026-10-27DORA vs NIS2: cosa copre già un programma NIS2DORA e NIS2 condividono gran parte dei controlli di sicurezza, ma DORA aggiunge registro, clausole contrattuali e test basati sulle minacce. Cosa si riporta, articolo per articolo.