Contratti con i fornitori: l’art. 28 GDPR che salva o affonda la tua compliance

I dati personali che affidi a un fornitore esterno restano sotto la tua responsabilità, anche quando vivono sui suoi server. Il gestionale in cloud, l’agenzia che cura le tue campagne, lo studio che elabora le buste paga, la società che segue il tuo CRM: ognuno li tratta per conto tuo, ma affidarli a un fornitore non sposta il rischio dalle tue spalle: davanti al Garante il primo a risponderne sei tu, il titolare del trattamento.
L’articolo 28 del GDPR nasce da questa logica ed è la norma che disciplina proprio questi rapporti.

Nella maggior parte delle PMI la gestione dei fornitori è anche l’area più scoperta della compliance, cioè della conformità al GDPR.

Contratti firmati senza un accordo sul trattamento dei dati. Sub-fornitori che arrivano ai tuoi dati senza che tu abbia mai dato il permesso. E scelte fatte sulla fiducia, mai più verificate.
Finché non succede niente, la lacuna resta invisibile. Nel momento in cui uno di loro subisce un attacco o arriva un’ispezione, diventa una contestazione con il tuo nome sopra.

Nelle prossime sezioni vediamo cosa prevede l’art. 28, quali clausole rendono valido il contratto con il responsabile, come capire prima della firma chi regge a un controllo e come accorgerti quando qualcosa cambia nei servizi che usi. Ogni punto poggia sulla norma e sui provvedimenti che il Garante ha già emesso, sanzioni comprese.

Chi è il responsabile del trattamento, e perché ti riguarda più di quanto pensi

Il responsabile del trattamento è il fornitore che tratta i tuoi dati per conto tuo, seguendo le tue istruzioni. Il nome inganna: “responsabile” è l’etichetta che la legge dà a chi esegue il lavoro sui dati, ma non vuol dire che la responsabilità passa a lui.
La definizione è nell’art. 4, n. 8 del GDPR: la persona fisica o giuridica che tratta dati personali “per conto del titolare”.
La linea di confine è una sola, chi decide. Se sei tu a stabilire perché e con quali strumenti quei dati vengono trattati, sei il titolare, e il fornitore che li lavora entro quei limiti è il tuo responsabile. Quando invece un soggetto usa gli stessi dati per finalità proprie, smette di essere un responsabile e diventa a sua volta titolare, con un rapporto che cambia natura.

Di responsabili del trattamento la tua azienda ne ha già parecchi, anche se nessuno li ha mai chiamati così. Quelli citati in apertura, il gestionale in cloud, lo studio paghe, l’agenzia che segue le campagne, lo sono tutti. Aggiungi il provider che ospita sito e database clienti, la piattaforma di email marketing dove carichi gli indirizzi dei contatti, la società che gestisce da remoto la videosorveglianza, il consulente che ti smista i curriculum. Il filo comune non cambia: dei dati personali escono dal tuo perimetro e finiscono nelle mani di qualcun altro, che però li lavora su tua indicazione.

Poi c’è il punto che sfugge a molti imprenditori, ed è quello che costa caro: la responsabilità non segue il dato. Il fatto che le informazioni siano fisicamente sui server del fornitore non sposta su di lui l’obbligo di proteggerle. Quell’obbligo resta in capo a te.
L’art. 28 ti chiede due cose precise, scegliere solo responsabili che offrano “garanzie sufficienti” sul piano delle misure tecniche e organizzative, e mettere nero su bianco un contratto che disciplini il rapporto. Se ne salti anche solo una, quando qualcosa va storto il Garante viene a chiederne conto anche a te, non soltanto a chi ha commesso materialmente l’errore.

Conviene chiarire anche i confini, perché la confusione più frequente nasce qui. Il fornitore che ti vende le scrivanie dell’ufficio non è un responsabile: non tratta dati per tuo conto e con lui l’art. 28 non c’entra. Diverso è quando due aziende definiscono insieme finalità e mezzi del trattamento, perché lì si entra nella contitolarità dell’art. 26, un istituto a parte con obblighi propri. Collocare il fornitore nella categoria giusta è il primo passo concreto, perché decide quale documento devi predisporre e quali garanzie puoi pretendere.

Cosa dice l’art. 28 GDPR sul contratto con il responsabile

Il contratto è obbligatorio. L’art. 28, paragrafo 3, non lascia margini: i trattamenti affidati a un responsabile vanno regolati da “un contratto o altro atto giuridico” che lo vincola al titolare.
È il documento che nella pratica chiamiamo DPA, Data Processing Agreement, o accordo sul trattamento dei dati. Senza, il rapporto con quel fornitore è fuori norma già in partenza, anche se il servizio funziona senza intoppi e nessun dato è mai uscito.

Non basta però un contratto qualsiasi. La norma fissa contenuti minimi precisi, e la mancanza anche di uno solo rende l’accordo non conforme. Prima di tutto il contratto deve descrivere il trattamento: materia e durata, natura e finalità, tipo di dati e categorie di interessati. Poi deve prevedere almeno:

• il trattamento dei dati solo su istruzione documentata del titolare, mai per finalità proprie del fornitore
• l’obbligo di riservatezza per chiunque, dentro il fornitore, sia autorizzato a trattare quei dati
• l’adozione delle misure di sicurezza adeguate richieste dall’art. 32
• il rispetto delle condizioni per ricorrere a sub-responsabili, quindi niente sub-fornitori senza la tua autorizzazione
• l’assistenza al titolare quando un interessato esercita i suoi diritti, per esempio l’accesso o la cancellazione
• il supporto nella gestione della sicurezza e nella notifica dei data breach
• la cancellazione o la restituzione dei dati alla fine del servizio, secondo la tua scelta
• la messa a disposizione di tutte le informazioni utili a dimostrare la conformità, audit e ispezioni compresi.

Questi sono i minimi, non il tetto. Nulla ti vieta di pretendere clausole più stringenti, per esempio l’obbligo per il fornitore di avvisarti di una violazione entro un termine stretto, così da lasciarti margine per la notifica al Garante nelle 72 ore, oppure penali se ingaggia sub-fornitori non dichiarati. Su chi tratta i dati più delicati è la scelta giusta.

L’European Data Protection Board, il comitato che riunisce le autorità privacy europee, ha messo in guardia da un errore frequente: il contratto che si limita a ricopiare il testo dell’articolo 28. Nelle Linee guida 07/2020 sui concetti di titolare e responsabile chiarisce che le clausole vanno calate sul trattamento reale: quali categorie di dati, quali interessati, quali finalità, quali istruzioni operative. Un contratto che ripete solo “il responsabile tratta i dati su istruzione documentata del titolare”, senza dire quali dati e quali istruzioni, ha copiato la legge ma non ha regolato nulla. Un DPA fatto di formule generiche e copia-incolla, per l’EDPB, non soddisfa il requisito, anche quando formalmente cita tutti i commi giusti. È la differenza tra un documento che ti protegge e uno che, davanti a un’ispezione, vale quanto la carta su cui è stampato.
Entriamo ora nelle categorie più delicate, una per una, con i casi concreti che incontriamo più spesso negli audit.

Un caso reale: banca e fornitore sanzionati, ciascuno per la sua parte

Nel febbraio 2024 il Garante ha chiuso lo stesso caso con due provvedimenti* emessi lo stesso giorno: 2,8 milioni di euro alla banca, 800.000 euro al suo fornitore di servizi informatici. All’origine c’era un attacco hacker al portale di mobile banking, con i dati di migliaia di clienti ed ex clienti esposti.

Le due sanzioni raccontano due colpe diverse. La banca ha pagato per le misure di sicurezza inadeguate: il portale mostrava dati personali nel codice della pagina anche quando l’autenticazione falliva, e mancavano meccanismi contro i tentativi di accesso in serie. Il fornitore, incaricato dei test di sicurezza su quel sistema, ha pagato per due violazioni distinte: aveva affidato le attività a una società terza senza l’autorizzazione scritta della banca, che il contratto richiedeva in modo esplicito (art. 28, par. 2), e aveva comunicato l’avvenuta violazione dei dati oltre il termine previsto dal GDPR, e per giunta solo dopo che la banca ne era già venuta a conoscenza tramite i propri sistemi di monitoraggio interno (art. 33).

Il dettaglio che pesa è un altro: il DPA esisteva ed era scritto bene, vietava il subappalto e imponeva la comunicazione tempestiva, ed è quel contratto che ha permesso al Garante di tracciare la linea tra le responsabilità dell’una e dell’altro. Le cifre cambiano con le dimensioni dell’azienda, il principio no: quando qualcosa va storto pagano entrambi, e senza un DPA adattato al servizio non hai modo di provare di aver fatto la tua parte, e la sanzione arriva anche a te.

Candidati: per quanto puoi conservare un curriculum

I curricula sono tra i documenti che si accumulano più facilmente senza che nessuno li cancelli. Restano per anni in una casella di posta o in una cartella condivisa, anche quando la persona non è stata assunta e non verrà più ricontattata.

Eppure non puoi tenerli per sempre. Quando la selezione per cui li hai raccolti si chiude, lo scopo si esaurisce e vanno cancellati.
Lo stesso vale per le candidature spontanee: ricevere un CV non richiesto non ti dà un motivo in più per archiviarlo a tempo indeterminato.

Dodici mesi sono un punto di partenza prudente. Puoi arrivare a ventiquattro come massimo ordinario se fai ricerche ricorrenti o ti servono spesso ruoli simili, ma è una scelta che devi poter motivare, non un termine fissato dalla legge. Per andare oltre serve un passo in più: il consenso esplicito della persona a entrare in una banca dati di candidature, il cosiddetto talent pool, con un termine finale chiaro, l’indicazione nell’informativa e la possibilità di revoca in ogni momento.

Durante un controllo, l’informativa è una delle prime cose che il Garante verifica. Fin dal primo contatto devi dire al candidato per quanto tempo conserverai i suoi dati, o almeno con quale criterio lo stabilirai, per esempio “per la durata della selezione e i dodici mesi successivi”.
Tacere su questo punto è già una non conformità, anche se poi cancelli i dati nei tempi giusti.

*Il provvedimento nei confronti di UniCredit è stato impugnato innanzi al Tribunale di Milano, che ha disposto la sospensione dell’efficacia solo della sanzione accessoria della pubblicazione del provvedimento sul sito web del Garante con ordinanza n. 1927 del 28 marzo 2024 (RG n. 10477/202). La pubblicazione del provvedimento nei confronti di NTT Data è stata sospesa in correlazione a quanto stabilito con la pronuncia relativa a UniCredit. 

I soggetti autorizzati: l’art. 29 e l’errore di confondere dipendenti e fornitori

Chi lavora dentro la tua azienda rientra in un’altra categoria, quella del soggetto autorizzato. La distinzione ha effetti pratici: cambia il documento che devi predisporre e il tipo di controllo che eserciti.
Il responsabile è un soggetto esterno e autonomo che tratta i dati per tuo conto, l’autorizzato è una persona che opera sotto la tua autorità diretta, con i tuoi mezzi e le tue istruzioni. Per il primo serve il contratto ex art. 28, per il secondo entra in gioco l’art. 29 del GDPR.

I dipendenti e i collaboratori che lavorano sotto la tua direzione trattano i dati seguendo procedure interne. Con loro basta un atto di autorizzazione al trattamento, che metta per iscritto cosa possono fare, entro quali limiti e con quale impegno alla riservatezza.
Lo prevede l’art. 29, e in Italia lo conferma l’art. 2-quaterdecies del Codice Privacy: chiunque agisca sotto l’autorità del titolare o del responsabile e abbia accesso a dati personali non può trattarli se non su istruzione, salvo che lo imponga la legge. È anche lo strumento con cui, se un dipendente fa un uso improprio dei dati, dimostri di aver dato istruzioni chiare e fissato limiti precisi.

L’errore classico è scambiare i due regimi. Il consulente che entra in azienda un giorno a settimana con partita IVA, strumenti propri e propria organizzazione è un responsabile esterno, e va inquadrato con un DPA. L’impiegato dell’amministrazione che usa il gestionale aziendale sotto la tua direzione è un autorizzato interno, e gli basta la lettera di incarico. Dare al primo il documento del secondo, o al contrario, vuol dire presentarsi a un controllo con la carta sbagliata in mano. È il tipo di errore che gli ispettori vedono al primo sguardo, e basta da solo ad aprire una contestazione.

La zona grigia esiste, ed è lì che conviene ragionare invece di copiare modelli. Il freelance che lavora solo per te, con le tue attrezzature e sotto istruzioni puntuali, in concreto somiglia più a un autorizzato che a un responsabile, e va inquadrato con un atto di designazione.
Il lavoratore somministrato da un’agenzia ha un datore formale diverso, ma i dati li tratta dentro la tua organizzazione e seguendo le tue procedure: rientra tra gli autorizzati.
L’amministratore di sistema esterno, invece, di solito lavora per una società fornitrice, quindi il rapporto passa dal contratto ex art. 28, con in più gli obblighi rafforzati previsti dal provvedimento del Garante del 27 novembre 2008 per quella figura.
Il criterio che scioglie quasi sempre il dubbio è uno: chi decide come si trattano quei dati e con quali mezzi. Se decidi tu, hai un autorizzato, se decide lui, hai un responsabile.

Sub-responsabili: cosa succede quando il tuo fornitore delega a un altro

Il tuo fornitore, quasi sempre, si appoggia a sua volta ad altre aziende. È il nodo dei sub-responsabili, e probabilmente l’area dove le PMI sono più esposte senza rendersene conto. L’art. 28, paragrafo 2, è netto: il responsabile non può coinvolgere un altro responsabile senza la tua autorizzazione scritta. Puoi negarla, e allora tutto il lavoro resta in casa sua. Se la concedi, hai due strade: specifica, e approvi ogni sub-fornitore uno per uno prima che metta mano ai tuoi dati; oppure generale, un via libera a monte che obbliga però il fornitore a comunicarti ogni aggiunta o sostituzione nella lista, con il diritto per te di opporti prima che il cambiamento diventi operativo. È la regola che la società informatica della banca ha violato nel caso raccontato più sopra: è una delle due violazioni che le sono costate 800.000 euro .

Nella pratica la catena si allunga in fretta. L’agenzia a cui affidi il marketing gira i dati delle campagne su una piattaforma statunitense. Lo studio paghe li carica su un applicativo gestito da una software house, che tiene i server presso il data center di un terzo operatore. A ogni passaggio i tuoi dati cambiano mani, ma le tutele non devono indebolirsi: chi sta in fondo deve proteggerli quanto chi sta in cima. L’art. 28, paragrafo 4, serve proprio a questo: il sub-responsabile va vincolato agli stessi obblighi del responsabile principale, e se il sub combina un guaio è il tuo fornitore diretto a risponderne verso di te, non tu a dover rincorrere un soggetto con cui non hai mai firmato niente.

Messe in fila, queste regole ti danno due diritti che pochi titolari esercitano. Uno è sapere chi c’è nella catena: l’elenco aggiornato dei sub-responsabili puoi chiederlo al tuo fornitore in qualsiasi momento. Chi è strutturato lo tiene pronto, i provider più grandi lo pubblicano sul sito; chi prende tempo o cambia discorso ti sta dicendo che la sua catena non la controlla nemmeno lui, o che preferisce non fartela vedere. L’altro è dire no: se un nuovo sub-fornitore non ti convince, puoi opporti prima che entri in servizio. Perché il no sia possibile servono un preavviso minimo scritto nel DPA, di solito 30 giorni nei contratti dei grandi provider, e qualcuno in azienda che legga quelle comunicazioni quando arrivano.

Come si scrive una nomina ex art. 28 lo mostriamo passo passo nel video formativo gratuito sulla privacy nella supply chain.

Resta il punto più delicato: i dati che escono dall’Unione europea. Se un sub-responsabile li conserva fuori dallo Spazio economico europeo servono garanzie in più, una decisione di adeguatezza sul paese di destinazione oppure le clausole contrattuali tipo per i trasferimenti. È un controllo a sé, da fare fornitore per fornitore.

Come selezionare un fornitore conforme prima di firmare

Selezionare il fornitore, per il GDPR, è un obbligo giuridico prima ancora che una decisione commerciale. L’art. 28, paragrafo 1, impone al titolare di ricorrere solo a responsabili che presentino “garanzie sufficienti” per mettere in atto misure tecniche e organizzative adeguate: prima di affidare i dati devi verificare che il fornitore sia in grado di proteggerli, e devi poterlo dimostrare.

Questo esame preventivo del fornitore, che i consulenti chiamano due diligence, non richiede strumenti complessi: bastano le domande giuste e la cura di conservare le risposte. Le essenziali sono poche:

• dove si trovano fisicamente i server e in quali paesi transitano i dati
• quali misure di sicurezza adotta e se ha certificazioni come la ISO 27001
• come gestisce i data breach e in quanto tempo si impegna ad avvisarti
• chi sono i suoi sub-responsabili e come ti comunica i cambiamenti
• se ha nominato un DPO o almeno un referente privacy.

Il controllo deve crescere con la sensibilità dei dati. Una newsletter contiene solo indirizzi email: bastano le domande dell’elenco e le risposte messe agli atti. Le buste paga e i dati sanitari sono più delicati: le risposte vanno accompagnate dai documenti che le provano, la certificazione vera e propria, la descrizione scritta delle misure tecniche e, nei casi più critici, un audit prima della firma.

Il fornitore, nella maggior parte dei casi, ha già predisposto questi documenti per i propri clienti: richiederli rientra nella normale fase precontrattuale.
Se aderisce a un codice di condotta approvato, cioè le regole di settore validate dalle autorità privacy, o a una certificazione prevista dal GDPR, hai in mano un elemento che l’art. 28, paragrafo 5, riconosce come indice di garanzie sufficienti. I provider più strutturati pubblicano sul proprio sito DPA, certificazioni e documentazione tecnica sulla sicurezza: il tuo compito è leggerli e conservarli, non costruirli da zero.

Tutto quello che raccogli in questa fase, risposte alle domande, certificazioni, email in cui il fornitore descrive le proprie misure, forma il fascicolo che documenta la tua selezione: dimostra che hai affidato i dati solo dopo le verifiche richieste dalla norma. È la parte che molte aziende trascurano. Il GDPR però ha una regola che copre tutte le altre: ogni obbligo va rispettato e va anche documentato, perché davanti a un controllo la prova spetta a te, non al Garante. Si chiama principio di responsabilizzazione, in inglese accountability, ed è scritto nell’art. 5, paragrafo 2. In un’istruttoria quel fascicolo fa la differenza: senza, puoi solo dichiarare di aver verificato il fornitore, e una dichiarazione senza riscontri scritti non vale nulla.

Le clausole contrattuali tipo della Commissione UE

Esiste un modello ufficiale di DPA, e partire da lì ti semplifica la vita. Con la Decisione di esecuzione (UE) 2021/915 del 4 giugno 2021, la Commissione europea ha approvato le clausole contrattuali tipo tra titolari e responsabili del trattamento ai sensi dell’art. 28, paragrafo 7: un testo pre-approvato che copre tutti i contenuti minimi imposti dalla norma, così non costruisci il contratto da zero né rischi di dimenticare un requisito. Le clausole complete sono nell’allegato della decisione, scaricabile gratuitamente da EUR-Lex nella versione italiana ufficiale.

Queste clausole non vanno confuse con quelle per i trasferimenti internazionali, di cui forse hai già sentito parlare. Quelle sono le SCC, Standard Contractual Clauses, della Decisione 2021/914, che servono a legittimare l’invio di dati verso paesi terzi. Sono due strumenti che rispondono a esigenze diverse. Le 2021/915 regolano il rapporto con un fornitore che tratta dati per tuo conto, le 2021/914 coprono il caso in cui quel fornitore, o un suo sub-responsabile, si trovi fuori dall’Unione europea. Con un fornitore statunitense che non aderisce al Data Privacy Framework può servirti applicarle entrambe.

Il modello non è obbligatorio. Puoi usare un tuo DPA, purché rispetti l’art. 28, e infatti molti provider adottano contratti propri già conformi.

Le clausole della Commissione hanno un vantaggio e un limite. Il vantaggio è la solidità: il testo è già approvato, quindi l’impianto giuridico non devi né costruirlo né difenderlo. Il limite è che il modello, da solo, è uno scheletro: la descrizione del tuo caso sta nei quattro allegati da compilare, che chiedono le parti del contratto, le categorie di dati e le finalità, le misure di sicurezza e l’elenco dei sub-responsabili.
Chi adotta il modello e lascia gli allegati in bianco, o li compila con formule generiche, ricade nello stesso DPA copia-incolla che l’EDPB non accetta: formalmente perfetto, ma muto su quali dati tratta il fornitore, per quali finalità e con quali misure.

Verificare la conformità nel tempo: il DPA va tenuto aggiornato

Un DPA invecchia. I fornitori cambiano sub-responsabili, spostano i server, aggiornano i servizi, a volte vengono acquisiti da altri gruppi. Un accordo firmato tre anni prima può fotografare una situazione che oggi non esiste più: formalmente è ancora valido, ma non copre il trattamento reale.

Il controllo dopo la firma è un diritto che il contratto ti garantisce. L’art. 28, paragrafo 3, lettera h, obbliga il fornitore, che la legge chiama responsabile del trattamento, a metterti a disposizione tutte le informazioni necessarie a dimostrare la conformità e ad accettare audit e ispezioni. Usarlo è anche un dovere: la vigilanza sui trattamenti affidati all’esterno resta tua per tutta la durata del servizio. Non serve un’ispezione annuale su ogni fornitore: basta un controllo periodico su quelli critici, tarato sul rischio. Sui servizi che toccano i dati più delicati la frequenza sale, sugli altri è sufficiente una revisione documentale.

Qualunque forma abbia il controllo, ispezione o revisione documentale, i punti da coprire sono quattro:

• se l’elenco dei sub-responsabili è ancora quello dichiarato nel contratto
• se le misure di sicurezza sono state mantenute o aggiornate
• se gli eventuali incidenti sono stati gestiti e notificati come previsto
• se i tempi di conservazione e le modalità di cancellazione vengono rispettati.

Il modo più semplice per non perdere il filo è tenere un registro dei fornitori: chi tratta cosa, con quale DPA, con quali sub-responsabili e a quale data risale l’ultima verifica. E quando un servizio cambia, il contratto va aggiornato prima, non dopo. Il provvedimento del Garante del 29 aprile 2025 sulla Regione Lombardia, tra i vari rilievi, ha toccato anche questo punto: l’accordo con i fornitori non descriveva uno dei trattamenti svolti, e la regolarizzazione è arrivata solo con un addendum firmato durante l’istruttoria. Ogni volta che estendi un servizio, il DPA deve seguirlo.

Art. 28 e NIS2: dove la protezione dei dati incontra la sicurezza della supply chain

La gestione dei fornitori ha smesso di essere solo una questione di privacy. Con la direttiva NIS2, recepita in Italia dal D.lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, la sicurezza della catena di fornitura (supply chain) è diventata un obbligo di legge autonomo. E si intreccia in modo diretto con l’art. 28 del GDPR, al punto che conviene guardarli insieme.

La NIS2 non riguarda tutte le aziende: si applica ai soggetti che la norma classifica come ‘essenziali’ e ‘importanti’, in settori come energia, trasporti, sanità, infrastrutture digitali e manifattura critica. Chi rientra nell’elenco ha tra gli obblighi anche la sicurezza della catena di approvvigionamento: significa valutare le vulnerabilità di ogni fornitore diretto e la qualità delle sue pratiche di cybersicurezza.
Il calendario è già partito. L’Agenzia per la Cybersicurezza Nazionale (ACN) ha comunicato tra marzo e maggio 2025 chi è stato inserito nell’elenco dei soggetti NIS. Le misure di sicurezza di base vanno adottate entro il 31 ottobre 2026 dai soggetti già inseriti nell’elenco nel 2025; per chi vi entra per la prima volta nel 2026 il termine slitta al 31 luglio 2027, con l’obbligo di notifica degli incidenti a partire dal 1° gennaio 2027.  L’elenco dei fornitori rilevanti andava comunicato all’ACN entro il 31 maggio 2026 e poi aggiornato ogni anno entro la stessa scadenza.

Qui arriva l’effetto che tocca anche chi nella NIS2 non rientra affatto. Se fornisci servizi a un’entità essenziale o importante, quell’entità è tenuta a scaricare su di te, per contratto, i suoi requisiti di cybersicurezza. Puoi essere una PMI fuori dal perimetro diretto della norma e ritrovarti comunque gli obblighi in un allegato tecnico al contratto di fornitura, con clausole su misure di sicurezza, tempi di notifica degli incidenti, diritti di audit. Per un fornitore attrezzato diventa un vantaggio competitivo, per gli altri una gara persa già in partenza.

Il punto per te è che stai già facendo metà del lavoro. La verifica dei fornitori richiesta dall’art. 28 e quella imposta dalla NIS2 guardano lo stesso oggetto da due angoli: chi mette le mani sui tuoi dati e sui tuoi sistemi, con quali garanzie, lungo tutta la catena. Cambia ciò che si protegge, i dati personali per il GDPR, la continuità e la sicurezza dei servizi per la NIS2, e a volte cambia l’autorità a cui notificare un incidente, il Garante da un lato e il CSIRT Italia, la struttura dell’ACN che riceve le notifiche, dall’altro. Ma il processo di selezione e controllo dei fornitori resta in gran parte lo stesso. Costruire un unico sistema di gestione dei fornitori, quello che i consulenti chiamano vendor management, ti evita di rincorrere due adempimenti su due tavoli separati, e trasforma un obbligo in un argomento di vendita quando un cliente NIS2 ti chiede le tue garanzie.

I tuoi contratti con i fornitori sono conformi all’art. 28 GDPR?

incidente, o davanti a un controllo, quando essere in regola non basta più e bisogna dimostrarlo. Mettere in ordine i contratti prima costa una frazione di quanto si spende per rimediare dopo. Prenota una consulenza gratuita. Un’ora per capire di cosa ha bisogno la tua azienda e da dove conviene cominciare.