Il D.Lgs. 138/2024, in conformità con la Direttiva NIS 2, qualifica l'incidente come un evento che compromette la disponibilità, l'autenticità, l'integrità o la riservatezza di dati, servizi o sistemi informativi. La norma distingue, inoltre, ulteriori fattispecie, tra cui il quasi-incidente, ovvero un evento che, pur presentando il potenziale per evolvere in una violazione effettiva, non si concretizza grazie a misure preventive o a circostanze favorevoli e quello di incidente su vasta scala, caratterizzata da un livello di perturbazione che eccede la capacità di risposta di un singolo Stato membro o che produce effetti significativi su almeno due Stati dell'Unione Europea. Un incidente è da considerarsi significativo qualora provochi, o sia suscettibile di provocare, un'interruzione grave dell'operatività dei servizi, con possibili ripercussioni economiche per il soggetto interessato, ovvero qualora determini effetti rilevanti su persone fisiche o giuridiche, con conseguenze materiali o immateriali di particolare entità. L'art. 25 D.Lgs. 138/2024 prevede che i soggetti importanti ed essenziali trasmettano una pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza dell'incidente, mentre entro 72 ore dalla conoscenza dell'incidente deve essere trasmessa una notifica più dettagliata, con una valutazione iniziale dell'impatto e, ove disponibili, ...