Studio Legale Dalla Riva . via Flavio Ostilio 14 . 32100 - Belluno - tel. 0437950724 - email info (at) studiodallariva.it
SE CHI PROPONE DI SEMINARE LE MONETE D’ORO NEL CAMPO DEI MIRACOLI, NON PUÒ ESSERE CHE IL GATTO E LA VOLPE…
Recentemente, un cliente mi ha raccontato di aver subito una truffa finanziaria, peraltro ancora in corso, dove ha perso circa 15 mila euro, una parte non piccola dei suoi risparmi.
Il suo racconto è una sorta di decalogo di come avvengono questo tipo di truffe, che da esterni sembra impossibile che avvengano, eppure sono ricorrenti. Tant’è che la vittima, prima di contattarmi, aveva già fatto denuncia-querela: l’ufficiale di polizia, nel redigerla, ha ripreso, pressoché in toto, una denuncia precedente di pochi giorni prima, avvenuta in modo identico.
Di seguito vorrei sintetizzare la tecnica utilizzata per ingannare la vittima:
1. Tutto è iniziato grazie ad un banner di un sito di trading online di una sedicente società con sede a Londra, che prometteva rendimenti notevoli. Questo ha incuriosito la vittima, la quale ha chiesto chiarimenti in merito. La vittima è stata contattata da una persona che si è presentata con modi molto professionali e cortesi. Il mio cliente dice di aver controllato bene il sito, che gli è apparso molto professionale (dalle mie verifiche su whois del dominio, il sito è stato creato circa 5 mesi prima e non presentava alcuna indicazione circa le autorizzazioni amministrative per l’attività di trading e consulenza relativa…);
2. Per aprire una posizione e il relativo account all'interno della piattaforma di trading, un presunto consulente finanziario ha chiesto alla vittima una cifra minima di circa 300 euro, senza chiedere alcun documento di identità, ma solo il nome e l’email. La vittima ora poteva accedere alla piattaforma di trading per vedere le proprie operazioni di trading, effettuate soprattutto tramite criptovaluta;
3. In seguito, la vittima è stata sollecitata ad investire altre somme, per evitare di perdere un importante trend di mercato delle criptovalute ed altri tipi di investimenti ed è stata convinta ad investire quasi 3 mila euro;
4. Accedendo alla sua area riservata, la vittima ha cominciato a vedere come il suo investimento è iniziato a salire di valore molto in fretta. Il consulente ha chiamato più volte la vittima al suo cellulare per evidenziare questo trend favorevole, suggerendogli sempre in modo molto cortese e professionale di investire ancora per non perdere questa opportunità. La vittima, convinta, ha investito circa altri 5000 euro;
5. Poco dopo, la vittima è stata chiamata da un altro presunto consulente finanziario, in sostituzione del precedente, dicendo che ora sarebbe stato seguito da lui e, con lusinghe molto convincenti, ha convinto la vittima ad investire circa altri 7000 euro;
6. La vittima è stata continuamente contattata dal presunto consulente per tenerla aggiornata sul suo portafoglio. La vittima ha constatato con molta soddisfazione che, sulla piattaforma di trading, il proprio capitale investito, nel giro di pochi mesi, è arrivato al valore di 70.000 dollari. A questo punto, la vittima ha quindi chiesto di monetizzare il proprio investimento;
7. Alla richiesta, gli è stato risposto che sarebbe stato possibile farlo velocemente, ma prima doveva versare una somma pari al 26% della somma guadagnata, pari a circa 10 mila euro, perché dovevano essere pagate le imposte nel Regno Unito. La vittima ha evidenziato che lui le tasse le paga in Italia e quindi non ha senso tale indicazione; comunque basterebbe scalare l’importo dovuto, dalla somma guadagnata con l’investimento;
8. A questo punto la vittima si rende conto che è una truffa e presenta denuncia-querela, e poi mi contatta per capire cosa fare. Nel frattempo, viene ancora contattato dal presunto consulente, che gli invia anche documentazione a giustificazione del pagamento anticipato delle imposte: si tratta di una sorta di contabile con il logo di una piattaforma di criptovalute molto nota, documento ben costruito, dove viene evidenziata la somma da pagare per le imposte.
9. La vittima, durante tutta la truffa, è stata sempre chiamata sul cellulare con numeri sempre diversi, con impossibilità di utilizzare gli stessi numeri per richiamare il consulente.
La vittima, dopo quest’ultima richiesta, non ha più versato nulla, presentando denuncia-querela, dove l’ufficiale di polizia gli ha confermato la frequenza di questo tipo di truffe (tanto da avere redatto una denuncia-querela fotocopia di qualche giorno prima), lamentando anche la difficoltà di avere informazioni dalle autorità straniere.
Ho dato alcuni consigli al mio cliente su come agire per tentare di recuperare le somme perdute ed avere giustizia e vedremo cosa accadrà. Ho comunque spiegato al mio cliente che è stato capace di fermarsi senza troppi danni, perché altri invece continuano a versare per cercare di recuperare almeno il capitale investito.
Questo ennesimo caso mi ha spinto a condividere le mie riflessioni sul perché tali truffe, che appaiono così evidenti, hanno così successo (e continueranno ad averne) e mi sono dato alcune provvisorie risposte:
a) Un primo fattore è che nel mondo di internet è presente uno storytelling molto accattivante e, in molti casi, anche veritiero, di persone che tramite il trading su criptovalute e altri strumenti finanziari hanno fatto molto denaro, cambiando il loro stile di vita, esposto anche sui social;
b) Shakespeare diceva che siamo fatti di sogni, e per moltissime persone è fortissimo il sogno di cambiare la propria vita, dove le ristrettezze economiche, vere o ritenute tali, o ancora il proprio lavoro insoddisfacente, creano un senso di frustrazione permanente che spinge in tutti i modi a cercare un modo per cambiare vita però senza dover fare troppi sacrifici (altrimenti perché hanno così successo le lotterie…);
c) Questo forte desiderio di cambiamento prende il sopravvento sulla parte razionale del nostro cervello che, a fronte di alcuni elementi (ben conosciuti dai truffatori e gang cyber), come un sito ben costruito con grafica accattivante, approccio cortese e professionale, senso di urgenza, visione di una ricchezza a portata di mano, rendono il nostro cervello incapace di vedere l’ovvio, come l’assenza di autorizzazione ad operare (mai chiesta), l’assenza di un numero fisso telefonico, l’impossibilità di rintracciare chi chiama… o, meglio ancora, impedisce di capire che chi propone di seminare le monete d’oro nel campo dei miracoli, non può essere che il gatto e la volpe…;
d) Spesso tali truffe vanno avanti perché la vittima non si consiglia con nessuno, tanto meno con un professionista che conosce e di provata affidabilità, ma procede convinto di essere in grado di valutare l’investimento da solo, anche perché così risparmia i soldi di una consulenza;
e) Non si deve poi pensare che siano solo le persone sprovvedute a cadere in questo tipo di truffe, ma anche persone preparate vi cadono (come un commercialista o un generale dei servizi segreti in pensione), proprio perché a prendere il sopravvento è un meccanismo psicologico difficile da fermare e che spinge ad agire in modo incontrollato.
Nel sito della Consob ci sono pagine intere dedicate a sedicenti società finanziarie che operano senza autorizzazioni, con tanto di avvisi su come regolarsi prima di affidarsi a dei consulenti finanziari.
Le truffe finanziarie sono un fenomeno diffuso che, ben presto, diventerà ancora più grave tramite l’impiego dell’intelligenza artificiale, che renderà ancora più efficiente questo tipo di truffe (e non solo).
Like Back to Top Seen 49 times Liked 0 times
x
Subscribe to Updates
If you enjoyed this, why not subscribe to free email updates ?
Subscribe to Blog updates
Alternatively, you can subscribe via RSS 
All email subscriptions must be confirmed to comply with GDPR.
Related Posts
Studiodallariva | 06th May 2026 | cyber security
COMPLIANCE NIS2: DEFINIRE CORRETTAMENTE IL PERIMETRO NIS DEL TUO GRUPPO Di recente mi sono trovato a dialogare con un responsabile IT di un importante gruppo italiano con filiali anche estere, in cui il perimetro NIS2 risultava composto da tre soggetti essenziali e uno importante. Durante la descrizione delle attività delle società del gruppo, si è arrivati alla capogruppo che era stata qualificata come soggetto importante. Dalla descrizione delle attività svolte e in particolare dai servizi erogati a favore delle altre società del gruppo, anche non soggetti NIS, ho sollevato dubbi sulla sua qualificazione come soggetto importante, suggerendo un approfondimento. La risposta è stata che la qualificazione era senza dubbio corretta perché tale qualificazione era quella assegnata dalla stessa ACN, durante la fase di registrazione presso la sua piattaforma informatica. Ora la qualificazione di un’organizzazione come soggetto NIS, salvo i casi di identificazione governativa (art. 3 commi 8 ,9 decreto NIS), deriva, per le imprese, esclusivamente dall’applicazione dei criteri previsti dall’art. 3 commi 1-5 e 10 in combinato disposto con l’art. 6 del decreto NIS. La qualificazione ottenuta nella piattaforma dell’ACN in sede di registrazione ai sensi del successivo art. 7 comma 1, ha solo valore dichiarativo della qualificazione del soggetto NIS e si basa sui dati inseriti dal Punto di contatto e a volte, come mi è già capitato, la valutazione finale proposta, non è sempre corrispondente ai criteri normativi (si apre in questo caso una procedura ad hoc di verifica). Quindi fare solo affidamento sulla proposta della piattaforma ACN di qualificazione come soggetto NIS, essenziale o importante, della propria organizzazione, può creare l’illusione circa la sua correttezza. Ma quali sono le conseguenze sanzionatorie in caso di qualificazione errata? Una specifica sanzione amministrativa pecuniaria è quella prevista dall’art. 38 commi 10, lett. a), b) e 11 del decreto NIS, che arriva fino allo 0,1% o 0,007%, rispettivamente per i soggetti essenziali e importanti, del totale del fatturato annuo su scala mondiale per l’esercizio precedente, calcolato sulla base della raccomandazione 2003/361/CE (con i minimi di cui al precedente art. 9). Si tratta tutto sommato di una sanzione gestibile, ma il problema non è questo. Esiste una norma poco conosciuta, che è il comma 13 dell’art. 38 del decreto, che prevede che in caso di mancata o tardiva registrazione di cui all’art. 7, sono comunque contestate tutte le violazioni previste dai precedenti commi 8, 9 (quindi le violazioni degli artt. 23, 24 e 25 rispettivamente sulla governance, sull’adozione delle misure di sicurezza e sulle notifiche degli incidenti) e si applica la sanzione per la violazione più grave aumentata fino al triplo. Vediamo alcune possibili ipotesi: il soggetto non si registra e, quindi, non viene inserito nell’elenco dei soggetti NIS, anche se in realtà era un soggetto NIS; il soggetto si registra, ma erra nella compilazione del modulo di registrazione, e quindi non viene per questo qualificato come soggetto NIS e non viene inserito nel relativo elenco; il soggetto si registra ed erra nella compilazione del modulo di registrazione e sulla base dei dati inseriti, viene qualificato come importante anziché essenziale. Il soggetto allora potrebbe sentirsi legittimato ad adempiere solo agli obblighi previsti per i soggetti importanti, omettendo quelli più gravosi previsti per i soggetti essenziali. Tutto dipende, da cosa si intende per “mancata registrazione”? Il citato comma 13 dell’art. 38 si riferisce alla “mancata o tardiva registrazione di cui all’art. 7” con una chiara indicazione che la registrazione deve essere quella prevista dall’art. 7 del decreto NIS. Questo articolo prevede una registrazione mediante una corretta applicazione delle norme ivi indicate (tra cui l’art. 3 del decreto NIS, sui criteri...
Studiodallariva | 21st April 2026 | cyber security
COMPLIANCE NIS 2: OBBLIGO DI COMUNICARE L’ELENCO DEI FORNITORI RILEVANTI NIS Autore: avv. Gianluca Dalla Riva del foro di Belluno L’ACN, quale Autorità nazionale competente NIS, ha emanato il 13.04.2026 la determinazione n. 127437/2026[1], che aggiorna e sostituisce la precedente determinazione n. 379887 del 19.12.2025 e introduce due novità importanti nell’ambito degli obblighi di registrazione dei soggetti NIS nella piattaforma ACN ex art. 7 decreto NIS[2]. Si tratta di una determinazione che pone norme giuridiche di natura secondaria che trovano la propria fonte del diritto nell’art. 31 del decreto NIS, che conferisce all’ACN, nella veste di Autorità nazionale competente NIS, mediante il procedimento di cui al successivo art. 40 comma 5[3], il potere di stabilire per i soggetti NIS obblighi proporzionati e graduali per l’attuazione degli adempimenti ivi indicati. La prima novità della determinazione è l’obbligo di elencare i “fornitori rilevanti NIS” come previsto dagli artt. 16 e 18, da effettuare dal 15 aprile al 31 maggio, la seconda novità riguarda l’obbligo di comunicare l’elencazione e categorizzazione delle attività e dei servizi del soggetto NIS previsto dal capo V della determinazione in parola da effettuare dal 1° maggio al 30 giugno di ogni anno[4]. Per quest’ultimo adempimento a breve sarà pubblicato da ACN il modello di categorizzazione, unitamente al materiale informativo a supporto per cui ci si riserva un approfondimento su questo specifico adempimento in seguito, concentrando invece l’analisi sull’obbligo di elencazione dei fornitori rilevanti NIS. Obbligo di elencazione dei fornitori rilevanti NIS Appare prima di tutto fondamentale partire da una approfondita esegesi normativa iniziando dall’art. 16 della determinazione n. 12743/2026 che prevede, come detto, l’obbligo annuale, dal 15 aprile al 31 maggio, di comunicare o aggiornare nella piattaforma ACN, tramite il “Servizio NIS/aggiornamento annuale informazioni”, una serie di informazioni tra cui quelle previste dal terzo comma, lettera g), che riguardano l’obbligo di comunicare l’elenco dei fornitori rilevanti NIS. Tale elenco viene comunicato ai fini dell’articolo 3, comma 9, lettera f), del decreto NIS[5], cioè finalizzato alla c.d. identificativa governativa di un soggetto NIS[6]. Infatti, l’art. 3 del decreto NIS prevede l’individuazione di un soggetto NIS non solo mediante applicazione automatica degli specifici criteri oggettivi quali la tipologia di settore critico di cui agli allegati I e II e il criterio dimensionale, a seconda dei casi[7], ma prevede particolari situazioni in cui è direttamente l’ACN, quale Autorità nazionale competente NIS, su proposta dell’Autorità di settore interessata, sentito il Tavolo per l’attuazione della disciplina NIS, ad identificare un soggetto come soggetto NIS, indipendentemente dalle sue dimensioni[8]. Di particolare rilevanza sono le ipotesi elencate nel comma 9 dell’art. 3 dove per la sua applicabilità è previsto sia che il soggetto rientri in uno dei settori o delle tipologie di cui agli allegati I, II, III e IV, indipendentemente dalle sue dimensioni, sia che ricorra almeno una delle situazioni descritte nelle lettere elencate da a) a f). L’ultima lettera f), si riferisce all’ipotesi che un soggetto sia considerato critico quale elemento sistemico della catena di approvvigionamento, anche digitale, di uno o più soggetti essenziali o importanti. In parole più semplici, si tratta di fornitori che offrono beni o servizi ad uno o più soggetti NIS, la cui mancanza è in grado non solo di compromettere la fornitura di questi ultimi, ma si può riverberare poi a livello sistemico su tutta la catena di approvvigionamento con gravi conseguenze economico-sociali. Una delle ragioni per cui può essere compromessa la fornitura è certamente la scarsa sicurezza informatica, ragione per cui, ricorrendo tali condizioni, è stata introdotta dalla...
Studiodallariva | 08th November 2025 | cyber security
La scadenza del 31 dicembre per la designazione e comunicazione del referente CSIRT (come da determinazione ACN n. 333017/2025 art. 7) si avvicina, e i soggetti NIS stanno chiamando i loro MSP (Managed Service Providers) per chiedere supporto.La normativa permette (a differenza del Punto di Contatto) che questo ruolo sia affidato a una persona fisica esterna purché abbia competenze di cybersecurity e conosca in modo approfondito i sistemi informativi e di rete del soggetto NIS (un ritratto dell’MSP…).Chi accetta l'incarico (e gli MSP più accorti lo hanno già intuito) deve affrontare un impegno organizzativo non da poco, essendo evidenti le responsabilità legali e operative da gestire.Si tratta di regolare una complessa ripartizione di ruoli e compiti, tenendo conto anche di questi elementi:⏰ TEMPI RISTRETTI: I termini di notifica (24h per la pre-notifica, 72h per la notifica) sono brevissimi e decorrono dalla "conoscenza" dell'incidente;💸 SANZIONI MILIONARIE: In caso di violazione dell’art. 25 del decreto NIS che riguarda gli obblighi di notifica, le sanzioni partono da un minimo 233.333/500.000 e arrivano a 7 o 10 milioni di euro o, se maggiori, fino all’1,4 al 2% del fatturato mondiale (dipende se il soggetto NIS è importante o essenziale). Una rivalsa del cliente contro il referente CSIRT per errori di notifica è uno scenario possibile;📞 REPERIBILITÀ H24: Il referente CSIRT e i sostituti devono essere operativi 24/7/365 o comunque reperibili in termini molto brevi, quindi, oltre a personale competente (che va formato), ci vuole un turn over idoneo (direi minimo almeno 1 referente + 2 sostituti).🔒 DATI PERSONALI: vanno gestite inoltre tutte le problematiche aggiuntive relative alla protezione dei dati personali, dato che il referente CSIRT e i sostituti possono dover trattare dati personali per svolgere il suo incarico.Non è poi così semplice per un MSP rifiutarsi di soddisfare questa esigenza del cliente, soggetto NIS, perché il rischio è che si rivolga ai concorrenti.Una soluzione è che l’MSP riduca “i rischi legali” con una idonea contrattualistica che lo tuteli in modo adeguato (anche perché altrimenti nessuno vorrà svolgere l’incarico di referente CSIRT), oltre ovviamente a doversi riorganizzare per proporre questo tipo di servizio, che non potrà certo essere economico.Lo stesso problema si pone poi nel caso dei gruppi societari, quando una società fornisce servizi “MSP” alle altre del gruppo, soggetti NIS. Anche in questo caso, sarà quasi inevitabile la designazione tra i dipendenti della prima società “MSP”, del referente CSIRT e sostituti.Tutto poi deve essere pronto in tempi strettissimi dato che la scadenza del 31 dicembre è alle porte.Si tratta di una nuova sfida per l’MSP e per i gruppi societari che possono superare anche con un adeguato supporto legale, ma è necessario essere tempestivi perché la tematica è complessa e i tempi molto stretti....
Studiodallariva | 23rd April 2025 | cyber security
DIRETTIVA NIS 2: CRITICITA’ DELLA DETERMINAZIONE ACN DEL 14/04/2025 N. 164179 CHE STABILISCE MODALITÀ E SPECIFICHE DI BASE PER L’ADEMPIMENTO DEGLI OBBLIGHI SPETTANTI AI SOGGETTI NIS, ESSENZIALI E IMPORTANTI L’ACN (Agenzia per la cybersicurezza nazionale) ha dato avvio alla seconda fase di implementazione della normativa secondaria relativa al decreto NIS (d.lgs. 4.09.2024 n. 138), adottando, tra le altre, la determinazione del 14.04.2025 n. 164179 che definisce le specifiche di base per l’adempimento degli obblighi da parte dei soggetti essenziali e importanti, derivanti dalla nuova normativa NIS. La lettura di questa determinazione presenta alcune criticità che si ritiene opportuno segnalare. Mancata adozione preliminare della procedura di informazione prevista dalla direttiva (UE) 2015/1535 L’art. 2 rubricato “Adozione delle specifiche di base”, prevede che: “1. In fase di prima applicazione del decreto NIS sono adottate le specifiche di base di cui agli allegati 1, 2, 3 e 4, facenti parte integrante della presente determinazione. Le misure di sicurezza di base, a carico degli organi di amministrazione e direttivi e in materia di misure di gestione dei rischi per la sicurezza informatica, sono stabiliti: a) per i soggetti importanti, nell’allegato 1; b) per i soggetti essenziali, nell’allegato 2. Gli incidenti significativi di base sono stabiliti: a) per i soggetti importanti, nell’allegato 3; b) per i soggetti essenziali, nell’allegato 4. “. In questo articolo si stabiliscono in modo puntuale le specifiche di base che devono rispettare i soggetti NIS, essenziali ed importanti, sia per la gestione dei rischi per la sicurezza informatica, richiamandosi al FNCS-DP (Framework Nazionale per la Cybersecurity e la Data Protection) che è stato aggiornato, sia per le notifiche per gli incidenti significativi. Il successivo art. 3 prevede anche i termini per l’adozione delle specifiche di base, rispettivamente per la gestione dei rischi in 18 mesi e per le notifiche di incidente significativo in 9 mesi, decorrenti dalla comunicazione di inserimento nell’elenco dei soggetti NIS. La determinazione, però, nell’ultimo art. 10 comma 3, stabilisce il termine di entrata in vigore dell’art. 2 commi 1 e 2 e dell’art. 3 che è prevista dal giorno successivo dall’esperimento della procedura di informazione prevista dalla direttiva (UE) n. 2015/1535. Questa direttiva (UE) n. 2015/1535 è stata attuata in Italia con il d.lgs. 15.12.2017 n. 233, che ha modificato la legge 21.06.1986 n. 317, “Disposizioni di attuazione di disciplina europea in materia di normazione europea e procedura d'informazione nel settore delle regolamentazioni tecniche e delle regole relative ai servizi della società dell'informazione”, dove in sintesi è previsto che i progetti di regole tecniche che uno Stato membro intenda adottare, devono essere, prima dell’adozione, notificati alla Commissione Europea ed agli altri Stati membri, tramite l’Unità Centrale di Notifica che si trova presso il Ministero delle Imprese e del Made in Italy (già Ministero dello Sviluppo Economico). Inoltre, dalla notifica bisogna attendere un periodo di minimo tre mesi, salvo ulteriori proroghe (art. 9 legge 1986 n. 317 cit.), prima dell’adozione del progetto di regola tecnica. La Commissione e gli Stati membri possono intervenire, con le modalità indicate nella legge 1986 n. 317 citata e dalla direttiva 2015/1535 cit., per verificare se la normativa tecnica proposta possa qualificarsi come misura restrittiva della concorrenza, senza che sussista una valida ragione volta a soddisfare un interesse generale. Questa normativa ha lo scopo quindi di evitare che gli Stati membri possano introdurre tramite regole tecniche, restrizioni al libero commercio all’interno del mercato unico europeo, come già accaduto in passato. Nell’art. 10 co. 1 della determinazione ACN n. 164179 cit., si segue una procedura inver...
STUDIO LEGALE DALLA RIVA | 05th July 2024 | Responsabilità amministratori
RESPONSABILITÀ CIVILE VERSO I TERZI DEGLI AMMINISTRATORI, SINDACI E REVISORI IN CASO DI PERDITA DEL CAPITALE SOCIALE: SENTENZA DELLA CORTE DI APPELLO DI VENEZIA SEZ. SPEC. IN MATERIA DI IMPRESA DEL 24.07.2023 N. 1630/2023 – UN PRECEDENTE IMPORTANTE PER AMMINISTRATORI, SINDACI E REVISORI ED ANCHE PER CHI DEVE RECUPERARE I PROPRI CREDITI PERDUTICon questo precedente si aprono nuove strade per recuperare i propri crediti verso società che pur avendo perduto da tempo il capitale sociale, abbiamo continuato l'attività sociale.Rendo disponibile la sentenza (anonimizzata) della Corte di Appello di Venezia Sez. Spec. in materia di impresa n. 1630/2023, preceduta da un mio articolo con alcune riflessione, sperando possa essere di aiuto anche ad altri. PER LEGGERE A SCHERMO INTERO CLICCA SUL QUADRATINO BIANCO IN BASSO A DESTRA. ...
STUDIO LEGALE DALLA RIVA | 05th July 2024 | Blogging
RINGRAZIAMENTI AL SERVICE LIONS CLUB PADOVA ANTENORE: 🔐 LE PERSONE COME PRIMA LINEA DI DIFESA CONTRO ATTACCHI DEI CRIMINAL HACKER: L’IMPORTANZA DELLA FORMAZIONE - EVENTO DEL 3 FEBBRAIO 2023 🎓Ho avuto l’onore di partecipare come relatore all'evento organizzato dal Service Lions Club Padova Antenore, insieme a Stefano Benato, esperto di cyber security con cui collaboro. Abbiamo discusso di casi reali di attacchi da parte dei criminal hacker che utilizzano il social engineering, dimostrando come queste tattiche siano in grado di superare le barriere tecnologiche, colpendo direttamente l'essere umano e le sue vulnerabilità.L'uditorio è rimasto molto colpito nel vedere come dati sensibili siano stati pubblicati nelle bacheche di queste gang criminali. Provate ad immaginare cartelle cliniche, referti, documenti personali di un centro sanitario con oltre 40 medici, nonché pratiche gestire da uno studio professionale, visibili in rete alle mercé di chiunque anche di altri criminali. La soluzione per ridurre i rischi che abbiamo proposto è la formazione del personale delle organizzazioni per riconoscere e contrastare questo tipo di attacchi.Solo una formazione personalizzata e flessibile può far maturare quella cultura della cyber security per far diventare le persone la prima linea di difesa contro questi attacchi. E’ proprio quello che stiamo facendo io e Stefano Benato: insieme proponiamo alle organizzazioni un percorso tramite un ecosistema formativo personalizzato su più livelli di consulenza integrata che definiamo #firewallumano (vedi https://studiumline.it/firewallumano).Desidero esprimere la mia gratitudine al Lions Club per averci offerto l'opportunità di condividere questi temi di fondamentale importanza ed ai partecipanti per l'interesse dimostrato attraverso domande e riflessioni molto interessanti. La formazione, che fa maturare nel tempo la cultura della cyber security, rappresenta l’elemento chiave per prevenire e ridurre gli attacchi informatici anche nel futuro, dove l’intelligenza artificiale sarà sempre più utilizzata, con la necessità da parte delle persone di essere preparate a gestire anche questo tipo di situazioni. 💪🛡️🌐 ...
Recent Posts
Studiodallariva | 06th May 2026 | cyber security
COMPLIANCE NIS2: DEFINIRE CORRETTAMENTE IL PERIMETRO NIS DEL TUO GRUPPO Di recente mi sono trovato a dialogare con un responsabile IT di un importante gruppo italiano con filiali anche estere, in cui il perimetro NIS2 risultava composto da tre soggetti essenziali e uno importante. Durante la descrizione delle attività delle società del gruppo, si è arrivati alla capogruppo che era stata qualificata come soggetto importante. Dalla descrizione delle attività svolte e in particolare dai servizi erogati a favore delle altre società del gruppo, anche non soggetti NIS, ho sollevato dubbi sulla sua qualificazione come soggetto importante, suggerendo un approfondimento. La risposta è stata che la qualificazione era senza dubbio corretta perché tale qualificazione era quella assegnata dalla stessa ACN, durante la fase di registrazione presso la sua piattaforma informatica. Ora la qualificazione di un’organizzazione come soggetto NIS, salvo i casi di identificazione governativa (art. 3 commi 8 ,9 decreto NIS), deriva, per le imprese, esclusivamente dall’applicazione dei criteri previsti dall’art. 3 commi 1-5 e 10 in combinato disposto con l’art. 6 del decreto NIS. La qualificazione ottenuta nella piattaforma dell’ACN in sede di registrazione ai sensi del successivo art. 7 comma 1, ha solo valore dichiarativo della qualificazione del soggetto NIS e si basa sui dati inseriti dal Punto di contatto e a volte, come mi è già capitato, la valutazione finale proposta, non è sempre corrispondente ai criteri normativi (si apre in questo caso una procedura ad hoc di verifica). Quindi fare solo affidamento sulla proposta della piattaforma ACN di qualificazione come soggetto NIS, essenziale o importante, della propria organizzazione, può creare l’illusione circa la sua correttezza. Ma quali sono le conseguenze sanzionatorie in caso di qualificazione errata? Una specifica sanzione amministrativa pecuniaria è quella prevista dall’art. 38 commi 10, lett. a), b) e 11 del decreto NIS, che arriva fino allo 0,1% o 0,007%, rispettivamente per i soggetti essenziali e importanti, del totale del fatturato annuo su scala mondiale per l’esercizio precedente, calcolato sulla base della raccomandazione 2003/361/CE (con i minimi di cui al precedente art. 9). Si tratta tutto sommato di una sanzione gestibile, ma il problema non è questo. Esiste una norma poco conosciuta, che è il comma 13 dell’art. 38 del decreto, che prevede che in caso di mancata o tardiva registrazione di cui all’art. 7, sono comunque contestate tutte le violazioni previste dai precedenti commi 8, 9 (quindi le violazioni degli artt. 23, 24 e 25 rispettivamente sulla governance, sull’adozione delle misure di sicurezza e sulle notifiche degli incidenti) e si applica la sanzione per la violazione più grave aumentata fino al triplo. Vediamo alcune possibili ipotesi: il soggetto non si registra e, quindi, non viene inserito nell’elenco dei soggetti NIS, anche se in realtà era un soggetto NIS; il soggetto si registra, ma erra nella compilazione del modulo di registrazione, e quindi non viene per questo qualificato come soggetto NIS e non viene inserito nel relativo elenco; il soggetto si registra ed erra nella compilazione del modulo di registrazione e sulla base dei dati inseriti, viene qualificato come importante anziché essenziale. Il soggetto allora potrebbe sentirsi legittimato ad adempiere solo agli obblighi previsti per i soggetti importanti, omettendo quelli più gravosi previsti per i soggetti essenziali. Tutto dipende, da cosa si intende per “mancata registrazione”? Il citato comma 13 dell’art. 38 si riferisce alla “mancata o tardiva registrazione di cui all’art. 7” con una chiara indicazione che la registrazione deve essere quella prevista dall’art. 7 del decreto NIS. Questo articolo prevede una registrazione mediante una corretta applicazione delle norme ivi indicate (tra cui l’art. 3 del decreto NIS, sui criteri...
Studiodallariva | 21st April 2026 | cyber security
COMPLIANCE NIS 2: OBBLIGO DI COMUNICARE L’ELENCO DEI FORNITORI RILEVANTI NIS Autore: avv. Gianluca Dalla Riva del foro di Belluno L’ACN, quale Autorità nazionale competente NIS, ha emanato il 13.04.2026 la determinazione n. 127437/2026[1], che aggiorna e sostituisce la precedente determinazione n. 379887 del 19.12.2025 e introduce due novità importanti nell’ambito degli obblighi di registrazione dei soggetti NIS nella piattaforma ACN ex art. 7 decreto NIS[2]. Si tratta di una determinazione che pone norme giuridiche di natura secondaria che trovano la propria fonte del diritto nell’art. 31 del decreto NIS, che conferisce all’ACN, nella veste di Autorità nazionale competente NIS, mediante il procedimento di cui al successivo art. 40 comma 5[3], il potere di stabilire per i soggetti NIS obblighi proporzionati e graduali per l’attuazione degli adempimenti ivi indicati. La prima novità della determinazione è l’obbligo di elencare i “fornitori rilevanti NIS” come previsto dagli artt. 16 e 18, da effettuare dal 15 aprile al 31 maggio, la seconda novità riguarda l’obbligo di comunicare l’elencazione e categorizzazione delle attività e dei servizi del soggetto NIS previsto dal capo V della determinazione in parola da effettuare dal 1° maggio al 30 giugno di ogni anno[4]. Per quest’ultimo adempimento a breve sarà pubblicato da ACN il modello di categorizzazione, unitamente al materiale informativo a supporto per cui ci si riserva un approfondimento su questo specifico adempimento in seguito, concentrando invece l’analisi sull’obbligo di elencazione dei fornitori rilevanti NIS. Obbligo di elencazione dei fornitori rilevanti NIS Appare prima di tutto fondamentale partire da una approfondita esegesi normativa iniziando dall’art. 16 della determinazione n. 12743/2026 che prevede, come detto, l’obbligo annuale, dal 15 aprile al 31 maggio, di comunicare o aggiornare nella piattaforma ACN, tramite il “Servizio NIS/aggiornamento annuale informazioni”, una serie di informazioni tra cui quelle previste dal terzo comma, lettera g), che riguardano l’obbligo di comunicare l’elenco dei fornitori rilevanti NIS. Tale elenco viene comunicato ai fini dell’articolo 3, comma 9, lettera f), del decreto NIS[5], cioè finalizzato alla c.d. identificativa governativa di un soggetto NIS[6]. Infatti, l’art. 3 del decreto NIS prevede l’individuazione di un soggetto NIS non solo mediante applicazione automatica degli specifici criteri oggettivi quali la tipologia di settore critico di cui agli allegati I e II e il criterio dimensionale, a seconda dei casi[7], ma prevede particolari situazioni in cui è direttamente l’ACN, quale Autorità nazionale competente NIS, su proposta dell’Autorità di settore interessata, sentito il Tavolo per l’attuazione della disciplina NIS, ad identificare un soggetto come soggetto NIS, indipendentemente dalle sue dimensioni[8]. Di particolare rilevanza sono le ipotesi elencate nel comma 9 dell’art. 3 dove per la sua applicabilità è previsto sia che il soggetto rientri in uno dei settori o delle tipologie di cui agli allegati I, II, III e IV, indipendentemente dalle sue dimensioni, sia che ricorra almeno una delle situazioni descritte nelle lettere elencate da a) a f). L’ultima lettera f), si riferisce all’ipotesi che un soggetto sia considerato critico quale elemento sistemico della catena di approvvigionamento, anche digitale, di uno o più soggetti essenziali o importanti. In parole più semplici, si tratta di fornitori che offrono beni o servizi ad uno o più soggetti NIS, la cui mancanza è in grado non solo di compromettere la fornitura di questi ultimi, ma si può riverberare poi a livello sistemico su tutta la catena di approvvigionamento con gravi conseguenze economico-sociali. Una delle ragioni per cui può essere compromessa la fornitura è certamente la scarsa sicurezza informatica, ragione per cui, ricorrendo tali condizioni, è stata introdotta dalla...
Studiodallariva | 08th November 2025 | cyber security
La scadenza del 31 dicembre per la designazione e comunicazione del referente CSIRT (come da determinazione ACN n. 333017/2025 art. 7) si avvicina, e i soggetti NIS stanno chiamando i loro MSP (Managed Service Providers) per chiedere supporto.La normativa permette (a differenza del Punto di Contatto) che questo ruolo sia affidato a una persona fisica esterna purché abbia competenze di cybersecurity e conosca in modo approfondito i sistemi informativi e di rete del soggetto NIS (un ritratto dell’MSP…).Chi accetta l'incarico (e gli MSP più accorti lo hanno già intuito) deve affrontare un impegno organizzativo non da poco, essendo evidenti le responsabilità legali e operative da gestire.Si tratta di regolare una complessa ripartizione di ruoli e compiti, tenendo conto anche di questi elementi:⏰ TEMPI RISTRETTI: I termini di notifica (24h per la pre-notifica, 72h per la notifica) sono brevissimi e decorrono dalla "conoscenza" dell'incidente;💸 SANZIONI MILIONARIE: In caso di violazione dell’art. 25 del decreto NIS che riguarda gli obblighi di notifica, le sanzioni partono da un minimo 233.333/500.000 e arrivano a 7 o 10 milioni di euro o, se maggiori, fino all’1,4 al 2% del fatturato mondiale (dipende se il soggetto NIS è importante o essenziale). Una rivalsa del cliente contro il referente CSIRT per errori di notifica è uno scenario possibile;📞 REPERIBILITÀ H24: Il referente CSIRT e i sostituti devono essere operativi 24/7/365 o comunque reperibili in termini molto brevi, quindi, oltre a personale competente (che va formato), ci vuole un turn over idoneo (direi minimo almeno 1 referente + 2 sostituti).🔒 DATI PERSONALI: vanno gestite inoltre tutte le problematiche aggiuntive relative alla protezione dei dati personali, dato che il referente CSIRT e i sostituti possono dover trattare dati personali per svolgere il suo incarico.Non è poi così semplice per un MSP rifiutarsi di soddisfare questa esigenza del cliente, soggetto NIS, perché il rischio è che si rivolga ai concorrenti.Una soluzione è che l’MSP riduca “i rischi legali” con una idonea contrattualistica che lo tuteli in modo adeguato (anche perché altrimenti nessuno vorrà svolgere l’incarico di referente CSIRT), oltre ovviamente a doversi riorganizzare per proporre questo tipo di servizio, che non potrà certo essere economico.Lo stesso problema si pone poi nel caso dei gruppi societari, quando una società fornisce servizi “MSP” alle altre del gruppo, soggetti NIS. Anche in questo caso, sarà quasi inevitabile la designazione tra i dipendenti della prima società “MSP”, del referente CSIRT e sostituti.Tutto poi deve essere pronto in tempi strettissimi dato che la scadenza del 31 dicembre è alle porte.Si tratta di una nuova sfida per l’MSP e per i gruppi societari che possono superare anche con un adeguato supporto legale, ma è necessario essere tempestivi perché la tematica è complessa e i tempi molto stretti....
Studiodallariva | 23rd April 2025 | cyber security
DIRETTIVA NIS 2: CRITICITA’ DELLA DETERMINAZIONE ACN DEL 14/04/2025 N. 164179 CHE STABILISCE MODALITÀ E SPECIFICHE DI BASE PER L’ADEMPIMENTO DEGLI OBBLIGHI SPETTANTI AI SOGGETTI NIS, ESSENZIALI E IMPORTANTI L’ACN (Agenzia per la cybersicurezza nazionale) ha dato avvio alla seconda fase di implementazione della normativa secondaria relativa al decreto NIS (d.lgs. 4.09.2024 n. 138), adottando, tra le altre, la determinazione del 14.04.2025 n. 164179 che definisce le specifiche di base per l’adempimento degli obblighi da parte dei soggetti essenziali e importanti, derivanti dalla nuova normativa NIS. La lettura di questa determinazione presenta alcune criticità che si ritiene opportuno segnalare. Mancata adozione preliminare della procedura di informazione prevista dalla direttiva (UE) 2015/1535 L’art. 2 rubricato “Adozione delle specifiche di base”, prevede che: “1. In fase di prima applicazione del decreto NIS sono adottate le specifiche di base di cui agli allegati 1, 2, 3 e 4, facenti parte integrante della presente determinazione. Le misure di sicurezza di base, a carico degli organi di amministrazione e direttivi e in materia di misure di gestione dei rischi per la sicurezza informatica, sono stabiliti: a) per i soggetti importanti, nell’allegato 1; b) per i soggetti essenziali, nell’allegato 2. Gli incidenti significativi di base sono stabiliti: a) per i soggetti importanti, nell’allegato 3; b) per i soggetti essenziali, nell’allegato 4. “. In questo articolo si stabiliscono in modo puntuale le specifiche di base che devono rispettare i soggetti NIS, essenziali ed importanti, sia per la gestione dei rischi per la sicurezza informatica, richiamandosi al FNCS-DP (Framework Nazionale per la Cybersecurity e la Data Protection) che è stato aggiornato, sia per le notifiche per gli incidenti significativi. Il successivo art. 3 prevede anche i termini per l’adozione delle specifiche di base, rispettivamente per la gestione dei rischi in 18 mesi e per le notifiche di incidente significativo in 9 mesi, decorrenti dalla comunicazione di inserimento nell’elenco dei soggetti NIS. La determinazione, però, nell’ultimo art. 10 comma 3, stabilisce il termine di entrata in vigore dell’art. 2 commi 1 e 2 e dell’art. 3 che è prevista dal giorno successivo dall’esperimento della procedura di informazione prevista dalla direttiva (UE) n. 2015/1535. Questa direttiva (UE) n. 2015/1535 è stata attuata in Italia con il d.lgs. 15.12.2017 n. 233, che ha modificato la legge 21.06.1986 n. 317, “Disposizioni di attuazione di disciplina europea in materia di normazione europea e procedura d'informazione nel settore delle regolamentazioni tecniche e delle regole relative ai servizi della società dell'informazione”, dove in sintesi è previsto che i progetti di regole tecniche che uno Stato membro intenda adottare, devono essere, prima dell’adozione, notificati alla Commissione Europea ed agli altri Stati membri, tramite l’Unità Centrale di Notifica che si trova presso il Ministero delle Imprese e del Made in Italy (già Ministero dello Sviluppo Economico). Inoltre, dalla notifica bisogna attendere un periodo di minimo tre mesi, salvo ulteriori proroghe (art. 9 legge 1986 n. 317 cit.), prima dell’adozione del progetto di regola tecnica. La Commissione e gli Stati membri possono intervenire, con le modalità indicate nella legge 1986 n. 317 citata e dalla direttiva 2015/1535 cit., per verificare se la normativa tecnica proposta possa qualificarsi come misura restrittiva della concorrenza, senza che sussista una valida ragione volta a soddisfare un interesse generale. Questa normativa ha lo scopo quindi di evitare che gli Stati membri possano introdurre tramite regole tecniche, restrizioni al libero commercio all’interno del mercato unico europeo, come già accaduto in passato. Nell’art. 10 co. 1 della determinazione ACN n. 164179 cit., si segue una procedura inver...