Il GDPR (art. 33) dà 72 ore dalla conoscenza della violazione per notificare al Garante – weekend compresi. Non tutte le violazioni vanno notificate: solo quelle con rischio per gli interessati (il laptop cifrato smarrito può non esserlo; il database clienti esfiltrato lo è). Se il rischio è elevato, scatta anche la comunicazione agli interessati (art. 34), senza ritardo ingiustificato.
Le 72 ore sono poche se ci si organizza durante l'incendio: serve la procedura prima – chi valuta, chi decide, chi scrive, con i log e la cronologia dell'incidente già in ordine, perché la notifica richiede natura della violazione, dati e persone coinvolte, misure prese. Si può notificare per fasi se non si sa ancora tutto: meglio una notifica preliminare nei termini che una completa in ritardo. E chi è nel perimetro NIS2 ha anche i termini ACN (early warning 24 ore, notifica 72): due binari paralleli – nis2-public tiene il workflow degli incidenti allineato all'Art. 23.