NIS2 e GDPR: la parte tecnica della conformità
Le norme chiedono misure concrete: noi le realizziamo e le documentiamo
La direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, e il GDPR non chiedono un timbro: chiedono misure di sicurezza adeguate, verificabili e documentate. Noi non facciamo consulenza legale, facciamo la parte tecnica: mettere in pratica quelle misure sui vostri sistemi e lasciare per iscritto la prova che ci sono.
Cosa chiedono davvero le norme
NIS2 riguarda un elenco ampio di settori, dalla sanità ai trasporti, dalle utility alla manifattura, e coinvolge anche molte medie imprese e i loro fornitori: registrazione presso l’Agenzia per la Cybersicurezza Nazionale, gestione del rischio, continuità operativa, sicurezza della catena di fornitura, obblighi di segnalazione degli incidenti con tempi stretti e responsabilità in capo agli amministratori. Il GDPR, all’articolo 32, chiede misure tecniche adeguate al rischio e, in caso di violazione dei dati, la notifica entro 72 ore. In pratica, entrambe chiedono le stesse cose a chi gestisce i sistemi: sapere cosa si ha, tenerlo aggiornato, controllarlo, poterlo ripristinare e potersi accorgere di un attacco.
Caratteristiche chiave
Sapere cosa c'è e chi accede
Inventario di server, apparati e servizi, controllo degli accessi con privilegi minimi, autenticazione a più fattori, revisione periodica delle utenze e chiusura di quelle inutilizzate.
Accorgersi in tempo
Raccolta e conservazione dei log, monitoraggio continuo con Zabbix e sorveglianza degli eventi di sicurezza con Wazuh: senza registri e allarmi non si dimostra nulla e non ci si accorge di nulla.
Resistere e ripartire
Backup verificati e copie non modificabili, repliche in sede diversa, prove di ripristino documentate, segmentazione della rete e aggiornamenti regolari: sono le misure che trasformano un attacco in un disservizio di qualche ora.
Come vi affianchiamo
- Ricognizione tecnica dell'infrastruttura e dei punti deboli
- Piano di adeguamento con priorità, tempi e costi
- Realizzazione delle misure: accessi, log, backup, segmentazione, aggiornamenti
- Documentazione delle misure adottate, da consegnare a consulenti e auditor
- Supporto in caso di incidente, per ricostruire i fatti e rispettare i tempi di notifica
Chi fa cosa, detto chiaramente
Noi portiamo la parte che si tocca: sistemi configurati come le norme richiedono, registri che esistono davvero, backup che si sono dimostrati ripristinabili e un interlocutore tecnico raggiungibile quando serve rispondere in fretta.
Gli adempimenti formali — registro dei trattamenti, valutazione d’impatto, nomine, rapporti con le autorità — restano in capo al vostro consulente o al DPO. Se non ne avete uno, non vi lasciamo a metà strada: collaboriamo con un legale specializzato in protezione dei dati e conformità che possiamo affiancare al progetto, così la parte giuridica e quella tecnica procedono insieme e parlano la stessa lingua. Restano comunque due incarichi distinti: il consulente risponde della conformità formale, noi delle misure tecniche.