TL;DR per il DPO
Se il tuo cliente e' un 'soggetto essenziale' o 'soggetto importante' NIS2 (es. sanita', energia, banche, trasporti, fornitori cloud, piattaforme online), DEVI coordinare con il Responsabile Sicurezza/CISO sui processi di gestione incidenti. NIS2 richiede notifica iniziale entro 24h ad ACN; GDPR richiede notifica entro 72h al Garante. Stesso incident potrebbe attivare entrambi i regimi - il flusso deve essere unico per evitare contraddizioni nelle dichiarazioni.
Cosa cambia con il D.Lgs. 138/2024
Il D.Lgs. 138/2024 del 4 settembre 2024 ha recepito in Italia la Direttiva NIS2 (UE 2022/2555). E' in vigore dal 16 ottobre 2024 ma le sanzioni applicano dal 1 gennaio 2026. L'Agenzia per la Cybersicurezza Nazionale (ACN) e' l'autorita' competente per la registrazione dei soggetti e per la ricezione delle notifiche di incident. La novita' rispetto a NIS1: ambito ampliato a 18 settori (vs 7 prima), incluse cloud platforms, datacenter, ICT-managed services, social networks. Soglie dimensionali: medie imprese (50+ dipendenti, 10M+ fatturato) automaticamente in scope.
Il rapporto fra NIS2 e GDPR
I due regimi hanno scopi diversi ma sovrapposizioni operative significative:
- NIS2: protegge la SICUREZZA DELLA RETE E DEI SISTEMI INFORMATIVI. Focus su disponibilita' e integrita' dei servizi essenziali (potabilizzazione, energia, pagamenti, sanita')
- GDPR: protegge i DATI PERSONALI degli interessati. Focus su riservatezza, integrita' e accountability sul trattamento di persone fisiche
- Sovrapposizione: un incident di sicurezza che colpisce dati personali attiva ENTRAMBI i regimi. Es. ransomware che cifra DB clienti = NIS2 (disponibilita' compromessa) + GDPR (data breach)
- Sanzioni cumulative: NIS2 prevede fino a 10M EUR / 2% fatturato per essenziali e 7M / 1.4% per importanti. GDPR fino a 20M / 4%. POSSONO essere cumulate per lo stesso evento
- Autorita' diverse: ACN per NIS2, Garante per GDPR. Devono coordinarsi ma non sempre lo fanno tempestivamente - serve che l'azienda lo faccia
Il rischio doppia sanzione
Se l'azienda dichiara ad ACN che 'l'incident e' contenuto, nessun dato personale compromesso' e poi al Garante dichiara 'data breach significativo con esfiltrazione', le due dichiarazioni contraddittorie attivano sanzioni aggiuntive per dichiarazioni inesatte (ACN art. 8 D.Lgs. 138/2024, Garante art. 83.5.h GDPR). Il DPO deve essere coinvolto fin dalla prima dichiarazione ACN per allineare il messaggio.
Chi e' il NIS Coordinator e cosa fa il DPO
Il D.Lgs. 138/2024 introduce il ruolo del 'soggetto designato come punto di contatto unico' (in pratica un coordinatore NIS, spesso il CISO o il Responsabile Sicurezza). Questo ruolo NON deve essere il DPO. Pero':
- Il DPO deve avere accesso ai processi NIS2 (sa cosa fa il NIS Coordinator)
- Il DPO deve essere notificato di OGNI incident NIS2 che possa coinvolgere dati personali (entro 4h dall'apertura del ticket interno)
- Il DPO partecipa alla valutazione 'questo e' anche un data breach?' nelle prime 12h
- Il DPO firma la notifica al Garante (se serve) con autonomia, anche se ACN ha gia' ricevuto la propria
- Il DPO segue la chiusura dell'incident e verifica l'aggiornamento del Registro art. 30 + DPIA dove rilevante
Checklist operativa: cosa fare se un cliente e' soggetto NIS2
- Verifica scope: il cliente e' essenziale (Allegato I) o importante (Allegato II) del D.Lgs. 138/2024? Soglia dimensionale rispettata?
- Registrazione ACN: il cliente si e' registrato sul portale ACN? La registrazione era richiesta entro il 17 gennaio 2025
- Punto di contatto: chi e' il NIS Coordinator? E' nominato per iscritto? Hai i contatti?
- Politica gestione incidenti: esiste? Include un capitolo 'coordinamento con DPO'? Tempistiche: entro 4h dal trigger interno deve essere notificato anche il DPO
- Template notifiche: sono stati predisposti i template per notifica ACN (allegato 6 D.Lgs.) E notifica Garante (modello B Garante)? Sono coerenti?
- Tabletop exercise: e' stato fatto un esercizio simulato di incident multi-regime nell'ultimo anno?
- Catena fornitori: il cliente ha mappato i fornitori critici NIS2 (cloud, MSP, ICT, software fornitori) e ha clausole contrattuali in linea con art. 30 D.Lgs. 138/2024?
- Formazione: il management ha fatto la formazione obbligatoria NIS2 (art. 23)?
- Audit annuale: e' stato pianificato l'audit annuale di sicurezza NIS2? Il DPO partecipera' alla parte 'data protection'?
Come comunicare con il NIS Coordinator senza pestare i piedi
Spesso il DPO esterno trova resistenza dal CISO/NIS Coordinator interno. Suggerimenti pratici:
- Premessa chiara: 'non voglio fare il tuo lavoro, voglio che lavoriamo insieme su un fronte specifico'
- Documentazione condivisa: chiedi una cartella condivisa con Politica incidenti, Registro incidenti, template notifiche - solo lettura per il DPO, non scrivi
- Riunione operativa: chiedi una call ogni 2 mesi di 30 minuti per allineamento (non chiedere accessi sistemi - non sono di competenza DPO)
- Notifiche automatiche: chiedi che il sistema di ticketing aggiunga il DPO in CC quando si crea un ticket categoria 'security incident'
- Documenta il rifiuto: se il NIS Coordinator/CISO rifiuta cooperazione, METTILO PER ISCRITTO (email al Titolare) per accountability art. 38 GDPR sulla tua indipendenza e accesso alle informazioni
In DPO Workspace
La sezione Eventi/Workflow include un template 'Incident NIS2 multi-regime' che si attiva automaticamente quando un cliente NIS2-flagged segnala un incident. Genera checklist 24h ACN + 72h Garante con tempistiche separate ma coordinate. Le notifiche sono pre-compilate con i dati cliente.
Risorse aggiuntive
Fonte ufficiale:D.Lgs. 138/2024 - Recepimento Direttiva NIS2 (testo consolidato)Fonte ufficiale:ACN - Agenzia per la Cybersicurezza Nazionale - Portale registrazione NISFonte ufficiale:ENISA - NIS2 Implementation Guidance 2025Fonte ufficiale:Garante - Indicazioni coordinamento NIS-GDPR (2025)Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
