NIS 2 e GDPR: il doppio binario che molte aziende italiane non sanno di dover gestire

Un cliente importante ti gira un questionario di compliance e ti chiede se la tua azienda rientra tra i “soggetti NIS 2”. Tu non sai cosa rispondere.

Lo passi all’IT, l’IT lo gira al consulente, il consulente dice di sentire l’avvocato, l’avvocato chiede al DPO. Nel frattempo il cliente aspetta.

La domanda non arriva per caso. Se anche quel cliente è un soggetto NIS 2, la normativa gli impone di tenere sotto controllo la sicurezza informatica dei suoi fornitori. Tu sei un anello della sua catena, e un anello debole diventa un rischio suo. La tua risposta al questionario, o il tuo silenzio, diventa un problema anche per lui, non solo per te.

La direttiva europea NIS 2, che fissa nuove regole di sicurezza informatica per le aziende dei settori considerati critici, è diventata legge italiana con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Il punto è che parecchie PMI e medie imprese non si sono mai chieste se la norma riguardasse anche loro. Se ne sono accorte quando è arrivata la prima richiesta da un cliente o da un fornitore, in qualche caso solo dopo aver subito un attacco informatico.

La NIS 2 si aggiunge al GDPR senza sostituirlo. Così la tua azienda deve rispondere a due autorità diverse, in tempi diversi e ciascuna con le proprie regole, su tre fronti: la gestione degli incidenti informatici, la responsabilità degli amministratori e le sanzioni.

Qui di seguito vediamo chi rientra nel perimetro e perché, cosa cambia per chi guida l’azienda, come si gestisce un incidente che fa scattare insieme gli obblighi verso l’ACN e verso il Garante, perché il riesame della direzione è il punto che quasi tutti trascurano, e in quali casi un DPO esterno ti conviene.

NIS 2: chi riguarda e cosa chiede

Se la tua azienda opera in settori come energia, trasporti, sanità, servizi bancari e finanziari regolati, produzione o distribuzione alimentare, fabbricazione di macchinari o dispositivi medici, gestione dei rifiuti, distribuzione dell’acqua, telecomunicazioni, servizi digitali, servizi cloud, servizi IT gestiti o sicurezza informatica, oppure se rientra nell’ambito della pubblica amministrazione o delle società partecipate, la NIS2 merita una verifica specifica. Non basta guardare il settore in modo generico: occorre capire quale attività viene svolta concretamente, quali servizi sono erogati, quali dimensioni ha l’organizzazione e se ricorrono condizioni particolari previste dal D.Lgs. 138/2024.

La normativa chiede a queste aziende due cose: proteggere meglio i propri sistemi informatici con misure tecniche e organizzative e segnalare gli eventuali incidenti cyber alle autorità competenti entro tempi precisi.

Per “misure tecniche” si intendono firewall, sistemi di backup, controllo degli accessi, cifratura dei dati, monitoraggio della rete. Con “misure organizzative” si parla di procedure scritte, formazione del personale, gestione dei fornitori, piani di continuità operativa. Tutto deve essere documentato: in caso di ispezione, non basta dire di aver fatto qualcosa, bisogna poterlo dimostrare con carte alla mano.

L’autorità competente è l’Agenzia per la Cybersicurezza Nazionale (ACN), ma per stabilire quali aziende rientrano nel perimetro sono servite due fasi: una a carico delle imprese, una dell’ACN.

La prima fase è toccata alle imprese: tra il 1° dicembre 2024 e il 28 febbraio 2025, chi rientrava nel perimetro doveva registrarsi da sé sul portale dell’ACN. Nella seconda è intervenuta l’Agenzia: chiuse le registrazioni, ha redatto l’elenco ufficiale dei soggetti NIS e dalla primavera 2025 ha iniziato a inviare a ciascuno una PEC con la classificazione assegnata, essenziale o importante. La categoria dipende dal settore di attività e dalle dimensioni.

I soggetti essenziali sono le aziende che operano in settori a maggiore impatto sul sistema-Paese (energia, sanità, banche, trasporti, infrastrutture digitali) e che superano determinate soglie di dipendenti o fatturato. Pensa a un grande operatore energetico, a una banca di sistema, a un fornitore di servizi cloud che serve mezza Italia. Hanno gli obblighi più pesanti e le sanzioni più alte.

I soggetti importanti sono le aziende che operano in settori comunque coperti dalla NIS 2 ma considerati meno critici (produzione alimentare, manifattura, gestione rifiuti, servizi postali, software e ICT), oppure quelle dei settori critici che restano sotto le soglie dimensionali da essenziali. Un produttore alimentare di medie dimensioni, un operatore logistico, una software house che fornisce gestionali a clienti enterprise rientrano qui. Gli obblighi sono simili nella sostanza, le sanzioni più contenute.

Una precisazione sulle scadenze, perché è qui che molti si confondono. La registrazione era un adempimento a sé, con scadenza al 28 febbraio 2025. I tempi per adeguarsi, invece, partono dalla notifica di classificazione dell’ACN e corrono per ogni azienda dal momento in cui la riceve: 9 mesi per gli obblighi di base sulla segnalazione degli incidenti, 18 mesi per adeguare le misure di sicurezza di base.

Vale la pena verificare la tua posizione anche se non hai ricevuto comunicazioni dall’ACN. Le aziende che si sono mosse in anticipo hanno potuto pianificare l’adeguamento, distribuire i costi e integrarlo con la compliance GDPR già esistente. Chi si è mosso in emergenza, dopo la richiesta di un cliente o dopo un attacco informatico, ha pagato consulenze accelerate e in qualche caso ha perso contratti.

Le tre cose che cambiano per chi guida l’azienda

Quando un’impresa entra nel perimetro NIS 2, le novità toccano direttamente chi la guida, non solo l’IT. Vediamole una per una.

Gestione degli incidenti: i tempi si accorciano

Con il GDPR hai 72 ore per notificare la violazione al Garante quando l’incidente integra una violazione dei dati personali e presenta un rischio per i diritti e le libertà degli interessati.  Con la NIS 2 hai 24 ore per una prima segnalazione all’ACN (la cosiddetta “pre-notifica”, una comunicazione preliminare in cui dichiari che è successo qualcosa di significativo e dai le prime informazioni disponibili), 72 ore per la notifica completa con i dettagli tecnici, un mese per la relazione finale con l’analisi di quanto accaduto.

I tempi partono dal momento in cui ti accorgi dell’incidente, non da quando ne capisci le cause. Significa che il sabato mattina, quando l’IT manager scopre che i sistemi sono cifrati da un ransomware (un tipo di attacco che blocca i dati aziendali chiedendo un riscatto per restituirli), il timer è già partito. Domenica mattina deve essere già stata inviata la pre-notifica ad ACN.

Se l’incidente comporta anche una violazione dei dati personali, l’azienda deve valutare se da quella violazione derivi un rischio per i diritti e le libertà degli interessati. In caso positivo, parte in parallelo anche l’obbligo di notifica al Garante Privacy entro 72 ore, previsto dall’articolo 33 del GDPR. Quando ricorrono entrambi i presupposti, le due notifiche possono viaggiare in parallelo: riguardano lo stesso evento, ma rispondono a obblighi diversi e sono indirizzate a due autorità distinte, con moduli, finalità e livelli di dettaglio differenti.
ACN e Garante Privacy hanno rafforzato il coordinamento istituzionale sulla gestione degli incidenti, ma sul piano operativo la doppia notifica resta a carico dell’azienda.

La responsabilità sale al vertice

Il GDPR già metteva sotto la lente il titolare del trattamento, di solito chi guida l’azienda. La NIS 2 va oltre e chiama in causa direttamente i vertici: amministratori e direttori devono approvare formalmente le politiche di sicurezza informatica, ricevere formazione specifica sulla cybersicurezza e rispondere personalmente delle violazioni del decreto.

Le decisioni sulla sicurezza non possono più essere delegate all’IT manager e dimenticate nel cassetto. Il CDA (Consiglio di Amministrazione) deve discuterle, approvarle, monitorarne l’attuazione e mettere tutto a verbale. Per chi non ha un CDA, il riferimento è l’organo direttivo dell’azienda: amministratore unico, soci amministratori, direttore generale.
Nei casi più gravi, soprattutto per i soggetti essenziali, è prevista anche una sanzione che colpisce la persona e non la società: ai vertici responsabili, di norma l’amministratore delegato o il legale rappresentante, può essere vietato per un certo periodo di ricoprire ruoli dirigenziali.

Le sanzioni sui due fronti

Le sanzioni del GDPR arrivano fino al 4% del fatturato mondiale annuo per le violazioni più gravi e fino al 2% per le altre. Per la NIS 2 il tetto è il 2% per i soggetti essenziali e l’1,4% per gli importanti. In entrambi i casi vale l’importo più alto tra la percentuale e un massimale fisso in euro: 10 milioni per gli essenziali, 7 milioni per gli importanti.

Quando lo stesso attacco fa scattare entrambe le normative, perché ha coinvolto anche dati personali, partono due procedimenti separati: il Garante Privacy indaga sui dati personali, l’ACN sulla sicurezza dei sistemi. La regola di fondo è il ne bis in idem, richiamato dall’articolo 14 del decreto: per uno stesso, identico fatto non puoi essere multato due volte, quindi se interviene il Garante l’ACN non aggiunge la sua sanzione. Lo stesso attacco, però, fa quasi sempre emergere mancanze diverse, una sui dati personali e una sulla sicurezza dei sistemi o sugli obblighi di notifica all’ACN. Essendo violazioni distinte, ognuna va alla sua autorità e può essere sanzionata: il conto totale, così, cresce, anche se non si traduce in una doppia multa sullo stesso fatto.

A queste si aggiunge una sanzione specifica per chi non si registra sul portale NIS o non aggiorna i dati: lo 0,1% del fatturato annuo per i soggetti essenziali, lo 0,07% per quelli importanti. Sembra poco, ma su un fatturato da 50 milioni di euro fa rispettivamente 50.000 e 35.000 euro. E si applica anche solo per essere in ritardo con la registrazione.

Quindici giorni, quattro documenti chiavTre scenari realistici per capire cosa cambia

Gli scenari che seguono raccontano situazioni che si stanno verificando nelle aziende italiane qualificate NIS 2.
Non sono casi specifici di nostri clienti, ma combinazioni realistiche di dinamiche che vediamo nella consulenza quotidiana.

Operatore logistico, soggetto importante: l’attacco gestito nei tempi

Un’azienda di logistica integrata con 180 dipendenti, qualificata come soggetto importante ad aprile 2025, subisce un attacco ransomware un sabato mattina. I criminali informatici cifrano i sistemi gestionali che contengono anagrafiche clienti, dati dei trasportatori e tracciamento delle spedizioni in corso. Compare la classica schermata che chiede un riscatto in criptovaluta per ottenere la chiave di decrittazione.

L’IT manager rileva l’incidente alle 7:30. Da quel momento partono i timer NIS2: 24 ore per la pre-notifica all’ACN, 72 ore per la notifica completa e un mese per la relazione finale. Poiché l’attacco riguarda anche sistemi che contengono anagrafiche clienti, dati dei trasportatori e tracciamento delle spedizioni, l’azienda avvia in parallelo anche la valutazione del data breach GDPR, per capire se la violazione dei dati personali presenti un rischio per i diritti e le libertà degli interessati e debba quindi essere notificata al Garante.

L’azienda però è preparata. Tre mesi prima, su impulso del DPO esterno, ha scritto e fatto approvare dalla direzione una procedura integrata di gestione incidenti che copre sia il GDPR sia la NIS 2.

Stabilisce chi va allertato (IT manager, DPO, direttore generale, responsabile legale) e con che tempi, a partire dalla prima call entro due ore dalla rilevazione, e definisce chi prepara le bozze di notifica, chi le approva e chi le invia. Prevede anche un modello pre-compilato per ogni tipo di notifica e una lista dei canali di comunicazione interni ed esterni da attivare.

Sabato alle 9:30 il DPO esterno è in videocall con IT manager e direttore generale. Alle 14 viene attivato un fornitore specializzato in incident response (la risposta tecnica all’incidente) per ricostruire la catena dell’attacco.
Sabato in serata, ben dentro le 24 ore dalla rilevazione, la direzione approva e invia la pre-notifica ad ACN, insieme a una prima comunicazione interna ai dipendenti.
Lunedì mattina parte la comunicazione ai clienti enterprise che durante l’attacco avevano chiesto informazioni
Martedì entro le 7:30, quando scattano le 72 ore, partono la notifica completa ad ACN e, sulla base della valutazione svolta dal team privacy, anche la notifica al Garante Privacy.

Alla fine l’azienda subisce comunque il danno operativo dell’attacco, perché alcuni sistemi restano fermi per quattro giorni. Evita però le sanzioni più pesanti, perché ha dimostrato di aver reagito entro i tempi, con misure documentate e una catena decisionale chiara.
Il cliente principale, che aveva minacciato di sospendere le forniture, alla fine resta perché la trasparenza dell’azienda durante l’incidente ha rafforzato il rapporto invece di romperlo.

PMI alimentare, scoperta tardiva: il rischio di perdere un contratto chiave

Un produttore alimentare con 90 dipendenti e 25 milioni di fatturato riceve a giugno 2025 un questionario di compliance NIS 2 dal suo cliente principale, una catena della grande distribuzione (GDO). La GDO sta verificando che tutti i suoi fornitori critici siano in regola con la nuova normativa, perché un attacco informatico a un anello della supply chain (la catena di fornitura) può bloccare anche i suoi punti vendita.
Il direttore generale del produttore va a controllare il decreto e i suoi allegati e scopre che il settore alimentare rientra nel perimetro NIS 2 tra quelli “importanti”.
L’azienda avrebbe dovuto registrarsi sul portale ACN entro il 28 febbraio 2025: è in ritardo di quattro mesi.

Il cliente minaccia di rivedere il contratto. Senza una prova di conformità entro 30 giorni, si riserva di cercare un altro fornitore. Per un’azienda da 25 milioni di fatturato, perderlo significa rinunciare al 35% del giro d’affari.

Il produttore si rivolge al DPO esterno che già seguiva la parte GDPR e avvia un percorso di regolarizzazione accelerata. In tre settimane si registra sul portale ACN, conduce con un partner tecnico l’analisi del rischio cyber (la valutazione delle vulnerabilità informatiche), fa approvare alla direzione il piano di adeguamento delle misure, integra le procedure di gestione incidenti con quelle già esistenti per il GDPR e tiene la prima riunione formale di riesame della direzione.

Il dossier viene consegnato alla GDO con un piano d’azione su 18 mesi che mostra le tappe di adeguamento già pianificate, e il rapporto commerciale viene salvato. Il costo dell’operazione di emergenza, però, è di circa 45.000 euro, contro i 15.000 stimati di un percorso programmato per tempo. Senza contare il costo “invisibile”, cioè le settimane di lavoro del direttore generale e del responsabile produzione sottratte alle attività ordinarie.

Società IT, esclusa solo sulla carta: il servizio critico la porta nel perimetro

Una società di servizi informatici con 35 dipendenti e 8 milioni di fatturato è convinta di essere fuori dal perimetro NIS 2 perché ritiene di non superare le soglie dimensionali previste dal decreto. Le soglie standard per i soggetti importanti partono infatti da 50 dipendenti o 10 milioni di fatturato. Il direttore tecnico ha letto un articolo divulgativo, ha fatto due conti veloci e ha concluso di poter dormire sonni tranquilli.

Il decreto, però, prevede anche una categoria a parte: i soggetti che, indipendentemente dalle dimensioni, forniscono servizi considerati critici. Tra questi rientrano i fornitori di servizi gestiti di sicurezza informatica (i cosiddetti MSSP, Managed Security Service Provider), i fornitori di servizi DNS (il sistema che traduce gli indirizzi dei siti web), gli operatori di registri di nomi di dominio e alcuni fornitori di servizi cloud.

La società ha tra i suoi clienti una banca, un ospedale e un operatore energetico, a cui fornisce servizi di monitoraggio della sicurezza informatica. Questo la fa rientrare nel perimetro NIS 2 a prescindere dalle dimensioni. La scoperta arriva quando uno dei tre clienti, durante un audit della propria supply chain, chiede conferma formale della registrazione sul portale ACN.

La posizione è la stessa del produttore alimentare del caso precedente: regolarizzazione accelerata, integrazione con il modello GDPR esistente, dossier al cliente per non perdere il contratto. La differenza è che, trattandosi di una realtà tecnologica, la parte di misure tecniche è già a buon punto. Il vero lavoro è sulla parte organizzativa, cioè procedure scritte, governance documentata e riesame della direzione formalizzato: proprio gli aspetti che un’azienda IT abituata a processi informali tende a trascurare.

Vale anche per chi si crede escluso perché non supera le soglie di dipendenti o fatturato. Nella NIS 2 le dimensioni contano solo fino a un certo punto, e se il servizio che offri è considerato critico sei dentro anche con dieci dipendenti.

Chi tiene insieme privacy e cybersicurezza sul tavolo della tua azienda?

Quasi sempre, quella figura non esiste. Il DPO o uno studio legale segue la privacy. L’IT manager o un consulente esterno segue la cybersicurezza. I due mondi si parlano poco, qualche mail e un paio di incontri l’anno per la formazione o per un audit. Finché non succede nulla di grave, regge.

Nel pieno di un attacco informatico le due competenze devono decidere insieme e in fretta. Se sono coinvolti anche dati personali, nelle stesse ore servono scelte tecniche, come contenere la minaccia, e scelte legali, come valutare se si tratti di una violazione dei dati personali, se vi sia un rischio per i diritti e le libertà degli interessati, cosa notificare, a chi e in che forma.

Se le competenze restano in compartimenti stagni, le decisioni si bloccano e le ore passano. E quelle ore pesano, perché nella NIS2 e nel GDPR la tempestività della valutazione e della risposta può fare la differenza: sono le 24 ore della pre-notifica all’ACN e, quando ricorrono i presupposti dell’articolo 33 GDPR, le 72 ore della notifica al Garante.

Il riesame della direzione: dove la compliance diventa concreta

La NIS 2 rende necessaria un’attività che la maggior parte delle imprese italiane sta ancora sottovalutando, il riesame della direzione. Proprio qui chi guida l’azienda decide se la sicurezza viene gestita sul serio o solo sulla carta. La compliance solo formale è fatta di documenti generici e mai aggiornati, che reggono finché nessuno controlla; quella sostanziale è fatta di decisioni prese, messe a verbale e verificate nel tempo. Il riesame è ciò che trasforma la prima nella seconda. Vediamo come funziona.

Cos’è il riesame della direzione

Il riesame della direzione è una riunione formale e periodica in cui chi guida l’azienda (CDA, amministratore unico, comitato esecutivo) si confronta con le funzioni responsabili della sicurezza per valutare se le misure adottate stanno funzionando, decidere cosa cambiare, approvare formalmente gli aggiornamenti e mettere tutto a verbale.

Il riesame non nasce con la NIS 2. Chi si occupa di sistemi di gestione qualità, sicurezza informatica o privacy lo conosce da tempo, perché le norme ISO 9001, ISO 27001 e ISO 27701 lo prevedono come passaggio chiave. La novità è che la NIS 2 lo rende di fatto necessario. L’articolo 23 del D.Lgs. 138/2024 impone agli organi di amministrazione di vigilare sull’attuazione delle misure di sicurezza, e il riesame della direzione è lo strumento concreto per farlo. Proprio per questo il riesame diventa uno dei pilastri della responsabilità personale degli amministratori.

I vantaggi concreti del riesame

Se guidi una PMI e hai la giornata piena di riunioni operative, il riesame rischia di sembrarti l’ennesima pratica da sbrigare. Fatto in modo sostanziale, però, ti ripaga su tre piani molto concreti.
In caso di ispezione dell’ACN o del Garante, i verbali del riesame sono la prova che la sicurezza è seguita con continuità, mese dopo mese. Durante un incidente, le decisioni difficili (quanto comunicare ai clienti, se pagare un riscatto, come gestire la stampa) trovano una direzione già informata, capace di decidere in fretta invece di improvvisare. E quando un cliente importante ti invia un questionario di compliance, come la GDO degli esempi visti sopra, poter allegare quei verbali ti permette di rispondere subito e con credibilità, invece di ripartire da zero sotto pressione.

Cosa entra in un riesame della direzione

Una riunione di riesame utile mette sul tavolo questi punti:

• Eventi del periodo: cosa è successo dall’ultimo riesame in termini di incidenti, near miss (situazioni che potevano diventare incidenti ma sono state evitate), reclami, segnalazioni interne, richieste da parte degli interessati o richieste dei clienti relative alla sicurezza.
• Stato delle azioni precedenti: le azioni decise l’ultima volta sono state portate a termine? Se no, perché? Chi è in ritardo e su cosa?
• Risultati di audit e verifiche: cosa hanno detto gli audit interni e gli audit dei fornitori? Ci sono non conformità aperte? Come sono state gestite?
• Quadro del rischio: il profilo cyber è cambiato? Sono emerse nuove minacce nel settore? L’arrivo di fornitori o clienti diversi ha modificato la situazione?
• Stato delle misure tecniche: i sistemi di sicurezza sono aggiornati? I backup funzionano? Ci sono vulnerabilità note ancora non risolte?
• Stato della formazione: chi è stato formato dall’ultima riunione? La formazione ha prodotto effetti misurabili, per esempio meno clic nelle simulazioni di phishing? I dipendenti sanno cosa fare in caso di incidente?
• Decisioni: cosa va cambiato, chi se ne occupa, entro quando.
• Risorse necessarie: servono investimenti? Servono nuove competenze? Serve assumere o formare?

La riunione deve chiudersi con un verbale firmato che raccoglie tutto questo, con azioni assegnate a persone con nome e cognome e scadenze precise. Una paginetta che dice “abbiamo discusso la sicurezza e tutto va bene”, davanti a un’ispezione non dimostra nulla.

Con che frequenza farlo

La normativa non fissa una cadenza obbligatoria. La prassi consolidata nei sistemi di gestione, ragionevole anche per la NIS 2, prevede un riesame completo almeno una volta l’anno e uno intermedio, più rapido, ogni sei mesi. Per le aziende ad alto rischio e per i soggetti essenziali si passa al trimestre.

A prescindere dalla periodicità, un riesame straordinario va convocato quando succede qualcosa che cambia il quadro: un incidente significativo, cioè uno di quelli che ha richiesto la notifica all’ACN o al Garante, un cambiamento normativo, una fusione o un’acquisizione, l’ingresso in un nuovo mercato.

Chi partecipa al riesame

Al tavolo siedono le persone che possono decidere e impegnare risorse: i vertici aziendali (CDA, amministratore unico o direttore generale), il DPO interno o esterno e i responsabili di IT, sicurezza informatica (se è un ruolo separato) e area legale o compliance. In alcuni casi conviene invitare anche HR, per la parte di formazione e gestione del personale, e il responsabile di produzione o operations, nei settori dove la sicurezza informatica incide direttamente sui processi produttivi.

Spesso, però, manca proprio la figura più utile, cioè qualcuno con uno sguardo indipendente che dica con chiarezza dove l’azienda è fragile e su cosa intervenire per primo. Nelle PMI questo ruolo lo svolge di solito il DPO esterno.

Perché il DPO esterno diventa l’alleato giusto

Per le aziende che hanno già nominato un DPO per il GDPR, e che oggi si ritrovano nel perimetro NIS 2, estendere il suo incarico alla NIS 2 è la scelta più sensata. Un DPO esterno qualificato, capace di leggere insieme privacy e cybersicurezza, può seguire con continuità ciò che al loro interno quasi nessuno ha il tempo di presidiare.

Sul piano operativo, il DPO esterno raccoglie le evidenze nel corso dell’anno, prepara il dossier di riesame, coordina le riunioni preparatorie con IT e responsabili di funzione, presenta al CDA una sintesi pronta per deliberare, traduce le decisioni in azioni concrete e ne tiene traccia, mantiene la documentazione aggiornata per audit, ispezioni o verifiche dei clienti.

Quando il direttore generale è preso dalla chiusura del trimestre, quando l’IT manager è dentro un progetto di migrazione, quando il commerciale insegue un cliente strategico, qualcuno deve comunque evitare che il presidio sulla sicurezza venga lasciato decadere. Il DPO esterno è la figura che lo tiene sotto controllo con continuità, anche nei periodi in cui l’attenzione di tutti è altrove.

Il secondo valore, meno ovvio ma altrettanto rilevante, è lo sguardo indipendente. Un DPO esterno non ha conflitti di interesse interni. Non risponde all’IT manager che ha scelto i sistemi che ora vanno valutati. Non risponde al CFO che ha stretto i budget sulla sicurezza. Può dire al CDA quello che il management interno fatica a dire: dove sono i punti deboli, quali decisioni sono state rimandate troppo a lungo, su cosa serve investire prima che diventi un’emergenza.

Se il tuo DPO esterno ha anche competenze in materia di cybersecurity, gestione del rischio e sistemi organizzativi, può essere la figura più adatta per accompagnare l’azienda nel percorso NIS2. Non perché la NIS2 lo preveda come ruolo obbligatorio, ma perché il suo lavoro è già vicino ai temi che il decreto mette al centro: responsabilità del vertice, gestione degli incidenti, fornitori, formazione, procedure, evidenze documentali e riesame periodico.

Affidare il coordinamento NIS2 a un DPO competente consente di evitare due binari separati: da una parte la privacy, dall’altra la sicurezza informatica. Il punto non è trasformare il DPO in tecnico IT, ma usare una figura già abituata a ragionare per rischi, responsabilità, processi e prove documentali.

Cosa puoi fare adesso

Tre passaggi, in ordine di urgenza, per non farti trovare scoperto.

Verifica la tua posizione.
Controlla se hai ricevuto la PEC di ACN e se sei già registrato sul portale NIS. Poi confronta la tua attività con gli allegati I e II del D.Lgs. 138/2024 (sul sito ACN), tenendo conto delle soglie dimensionali e delle eccezioni per chi fornisce servizi critici. Se da solo non arrivi a una risposta certa, è proprio il genere di analisi che un DPO può chiudere per te in poche ore. Controllarlo adesso richiede un’ora. Scoprirlo dal questionario di un cliente, come è capitato al produttore alimentare, costa settimane di lavoro e decine di migliaia di euro in più.

Armonizza GDPR e NIS 2.
La gestione del data breach, il registro dei trattamenti, la valutazione del rischio, la formazione del personale, le policy di sicurezza: quello che hai già per il GDPR può essere esteso anche alla NIS 2, senza rifare tutto da capo. Una procedura integrata per gli incidenti, costruita sui tempi più stretti della NIS2, consente di presidiare anche la valutazione del data breach GDPR e, quando ricorrono i presupposti dell’articolo 33, la notifica al Garante entro 72 ore. . Un registro dei rischi e degli incidenti che copre dati personali e sistemi informativi vale copre le necessità di entrambe le normative.

Formalizza il riesame della direzione.
Metti in agenda una riunione semestrale, definisci chi partecipa, decidi cosa si guarda, redigi un verbale, assegna azioni con scadenze. Una riunione semestrale, messa a verbale, produce l’evidenza che dieci confronti informali non lasciano mai. Per il Garante, l’ACN e i tuoi clienti enterprise, è il segnale più chiaro che in azienda la sicurezza è una scelta di governance, non un adempimento burocratico.

La tua azienda rientra tra i soggetti NIS 2?

Verifica con noi gli adempimenti e come integrarli con la compliance GDPR. Una prima consulenza ti permette di capire dove sei, cosa manca e come muoverti, con un solo interlocutore per GDPR e NIS 2.
Prenota la tua consulenza gratuita.