Essere conformi non significa aver installato un firewall, compilato alcuni documenti o eseguito una verifica una sola volta.
Sistemi, persone, fornitori e vulnerabilità cambiano continuamente. Per questo la sicurezza informatica deve essere gestita e verificata nel tempo.
Il GDPR richiede misure tecniche e organizzative adeguate al rischio e attribuisce al titolare la responsabilità di poter dimostrare le scelte effettuate. La NIS2 rafforza ulteriormente l’approccio alla gestione del rischio informatico per i soggetti che rientrano nel suo ambito di applicazione.
La conformità non consiste soltanto nel possedere strumenti di protezione.
Significa conoscere i rischi, adottare misure adeguate, verificare che funzionino e intervenire quando cambiano le condizioni.
Un’azienda dovrebbe poter rispondere a domande concrete:
La documentazione è importante, ma deve rappresentare ciò che l’azienda fa realmente.
Il GDPR richiede che i dati personali siano trattati garantendo un livello di sicurezza adeguato.
Le misure devono essere scelte considerando il rischio, la natura dei dati, il contesto del trattamento e le possibili conseguenze per le persone.
Tra gli aspetti da considerare rientrano:
Non esiste quindi una misura valida per tutte le aziende. Ogni organizzazione deve valutare i propri rischi e poter dimostrare le decisioni prese.
La NIS2 introduce un quadro più strutturato per la gestione della sicurezza informatica dei soggetti essenziali e importanti.
In Italia è stata recepita con il Decreto legislativo 4 settembre 2024, n. 138. La normativa coinvolge numerosi settori e prevede obblighi relativi alla gestione del rischio, alla responsabilità aziendale, alla continuità operativa e alla comunicazione degli incidenti.
Tra gli ambiti principali rientrano:
La NIS2 non richiede l’acquisto di uno specifico prodotto, ma l’adozione di misure adeguate e proporzionate rispetto ai rischi.
Come scegliere e verificare misure tecniche e organizzative adeguate ai rischi.
Cosa cambia per i soggetti coinvolti e perché la sicurezza non può essere delegata completamente al fornitore IT.
Perché è importante poter dimostrare le valutazioni, i controlli e gli interventi effettuati.
No. Il GDPR non prescrive un prodotto specifico, ma richiede misure tecniche e organizzative adeguate al rischio e al contesto del trattamento.
Il GDPR prevede la necessità di testare e valutare regolarmente l’efficacia delle misure adottate, in relazione al rischio e alle caratteristiche dell’organizzazione.
No. Si applica ai soggetti che rientrano nei settori e nei criteri previsti dalla normativa. In Italia l’ACN è l’Autorità nazionale competente NIS.
No. Le due normative hanno finalità e ambiti differenti, anche se condividono alcuni principi legati alla gestione del rischio e alla sicurezza.
No. Può fornire informazioni importanti sulle vulnerabilità, ma la conformità dipende anche da procedure, responsabilità, formazione, gestione degli incidenti e altre misure organizzative.
No. Nessun singolo strumento può garantire da solo la conformità. Il controllo continuo può però supportare la verifica delle misure, la gestione del rischio e la documentazione delle attività svolte.
Perché permette di dimostrare che l’azienda ha valutato i rischi, controllato le misure adottate e gestito le criticità emerse.
