Blog Group: GDPR (30 posts)

Studiodallariva | 06th May 2026 | GDPR

COMPLIANCE NIS2: DEFINIRE CORRETTAMENTE IL PERIMETRO NIS DEL TUO GRUPPO Di recente mi sono trovato a dialogare con un responsabile IT di un importante gruppo italiano con filiali anche estere, in cui il perimetro NIS2 risultava composto da tre soggetti essenziali e uno importante. Durante la descrizione delle attività delle società del gruppo, si è arrivati alla capogruppo che era stata qualificata come soggetto importante. Dalla descrizione delle attività svolte e in particolare dai servizi erogati a favore delle altre società del gruppo, anche non soggetti NIS, ho sollevato dubbi sulla sua qualificazione come soggetto importante, suggerendo un approfondimento. La risposta è stata che la qualificazione era senza dubbio corretta perché tale qualificazione era quella assegnata dalla stessa ACN, durante la fase di registrazione presso la sua piattaforma informatica. Ora la qualificazione di un’organizzazione come soggetto NIS, salvo i casi di identificazione governativa (art. 3 commi 8 ,9 decreto NIS), deriva, per le imprese, esclusivamente dall’applicazione dei criteri previsti dall’art. 3 commi 1-5 e 10 in combinato disposto con l’art. 6 del decreto NIS. La qualificazione ottenuta nella piattaforma dell’ACN in sede di registrazione ai sensi del successivo art. 7 comma 1, ha solo valore dichiarativo della qualificazione del soggetto NIS e si basa sui dati inseriti dal Punto di contatto e a volte, come mi è già capitato, la valutazione finale proposta, non è sempre corrispondente ai criteri normativi (si apre in questo caso una procedura ad hoc di verifica). Quindi fare solo affidamento sulla proposta della piattaforma ACN di qualificazione come soggetto NIS, essenziale o importante, della propria organizzazione, può creare l’illusione circa la sua correttezza. Ma quali sono le conseguenze sanzionatorie in caso di qualificazione errata? Una specifica sanzione amministrativa pecuniaria è quella prevista dall’art. 38 commi 10, lett. a)...

Studiodallariva | 21st April 2026 | GDPR

COMPLIANCE NIS 2: OBBLIGO DI COMUNICARE L’ELENCO DEI FORNITORI RILEVANTI NIS Autore: avv. Gianluca Dalla Riva del foro di Belluno L’ACN, quale Autorità nazionale competente NIS, ha emanato il 13.04.2026 la determinazione n. 127437/2026[1], che aggiorna e sostituisce la precedente determinazione n. 379887 del 19.12.2025 e introduce due novità importanti nell’ambito degli obblighi di registrazione dei soggetti NIS nella piattaforma ACN ex art. 7 decreto NIS[2]. Si tratta di una determinazione che pone norme giuridiche di natura secondaria che trovano la propria fonte del diritto nell’art. 31 del decreto NIS, che conferisce all’ACN, nella veste di Autorità nazionale competente NIS, mediante il procedimento di cui al successivo art. 40 comma 5[3], il potere di stabilire per i soggetti NIS obblighi proporzionati e graduali per l’attuazione degli adempimenti ivi indicati. La prima novità della determinazione è l’obbligo di elencare i “fornitori rilevanti NIS” come previsto dagli artt. 16 e 18, da effettuare dal 15 aprile al 31 maggio, la seconda novità riguarda l’obbligo di comunicare l’elencazione e categorizzazione delle attività e dei servizi del soggetto NIS previsto dal capo V della determinazione in parola da effettuare dal 1° maggio al 30 giugno di ogni anno[4]. Per quest’ultimo adempimento a breve sarà pubblicato da ACN il modello di categorizzazione, unitamente al materiale informativo a supporto per cui ci si riserva un approfondimento su questo specifico adempimento in seguito, concentrando invece l’analisi sull’obbligo di elencazione dei fornitori rilevanti NIS. Obbligo di elencazione dei fornitori rilevanti NIS Appare prima di tutto fondamentale partire da una approfondita esegesi normativa iniziando dall’art. 16 della determinazione n. 12743/2026 che prevede, come detto, l’obbligo annuale, dal 15 aprile al 31 maggio, di comunicare o aggiornare nella piattaforma ACN, tramite il “Servizio NIS/aggiornamento annuale ...

Studiodallariva | 08th November 2025 | GDPR

La scadenza del 31 dicembre per la designazione e comunicazione del referente CSIRT (come da determinazione ACN n. 333017/2025 art. 7) si avvicina, e i soggetti NIS stanno chiamando i loro MSP (Managed Service Providers) per chiedere supporto.La normativa permette (a differenza del Punto di Contatto) che questo ruolo sia affidato a una persona fisica esterna purché abbia competenze di cybersecurity e conosca in modo approfondito i sistemi informativi e di rete del soggetto NIS (un ritratto dell’MSP…).Chi accetta l'incarico (e gli MSP più accorti lo hanno già intuito) deve affrontare un impegno organizzativo non da poco, essendo evidenti le responsabilità legali e operative da gestire.Si tratta di regolare una complessa ripartizione di ruoli e compiti, tenendo conto anche di questi elementi:⏰ TEMPI RISTRETTI: I termini di notifica (24h per la pre-notifica, 72h per la notifica) sono brevissimi e decorrono dalla "conoscenza" dell'incidente;💸 SANZIONI MILIONARIE: In caso di violazione dell’art. 25 del decreto NIS che riguarda gli obblighi di notifica, le sanzioni partono da un minimo 233.333/500.000 e arrivano a 7 o 10 milioni di euro o, se maggiori, fino all’1,4 al 2% del fatturato mondiale (dipende se il soggetto NIS è importante o essenziale). Una rivalsa del cliente contro il referente CSIRT per errori di notifica è uno scenario possibile;📞 REPERIBILITÀ H24: Il referente CSIRT e i sostituti devono essere operativi 24/7/365 o comunque reperibili in termini molto brevi, quindi, oltre a personale competente (che va formato), ci vuole un turn over idoneo (direi minimo almeno 1 referente + 2 sostituti).🔒 DATI PERSONALI: vanno gestite inoltre tutte le problematiche aggiuntive relative alla protezione dei dati personali, dato che il referente CSIRT e i sostituti possono dover trattare dati personali per svolgere il suo incarico.Non è poi così semplice per un MSP rifiutarsi di soddisfare questa esigenza del cliente, soggetto NIS, perché il risch...

Studiodallariva | 23rd April 2025 | GDPR

DIRETTIVA NIS 2: CRITICITA’ DELLA DETERMINAZIONE ACN DEL 14/04/2025 N. 164179 CHE STABILISCE MODALITÀ E SPECIFICHE DI BASE PER L’ADEMPIMENTO DEGLI OBBLIGHI SPETTANTI AI SOGGETTI NIS, ESSENZIALI E IMPORTANTI L’ACN (Agenzia per la cybersicurezza nazionale) ha dato avvio alla seconda fase di implementazione della normativa secondaria relativa al decreto NIS (d.lgs. 4.09.2024 n. 138), adottando, tra le altre, la determinazione del 14.04.2025 n. 164179 che definisce le specifiche di base per l’adempimento degli obblighi da parte dei soggetti essenziali e importanti, derivanti dalla nuova normativa NIS. La lettura di questa determinazione presenta alcune criticità che si ritiene opportuno segnalare. Mancata adozione preliminare della procedura di informazione prevista dalla direttiva (UE) 2015/1535 L’art. 2 rubricato “Adozione delle specifiche di base”, prevede che: “1. In fase di prima applicazione del decreto NIS sono adottate le specifiche di base di cui agli allegati 1, 2, 3 e 4, facenti parte integrante della presente determinazione. Le misure di sicurezza di base, a carico degli organi di amministrazione e direttivi e in materia di misure di gestione dei rischi per la sicurezza informatica, sono stabiliti: a) per i soggetti importanti, nell’allegato 1; b) per i soggetti essenziali, nell’allegato 2. Gli incidenti significativi di base sono stabiliti: a) per i soggetti importanti, nell’allegato 3; b) per i soggetti essenziali, nell’allegato 4. “. In questo articolo si stabiliscono in modo puntuale le specifiche di base che devono rispettare i soggetti NIS, essenziali ed importanti, sia per la gestione dei rischi per la sicurezza informatica, richiamandosi al FNCS-DP (Framework Nazionale per la Cybersecurity e la Data Protection) che è stato aggiornato, sia per le notifiche per gli incidenti significativi. Il successivo art. 3 prevede anche i termini per l’adozione delle specifiche di base, rispettivamente p...

Studiodallariva | 16th April 2025 | GDPR

DIRETTIVA NIS 2: L’ACN DA AVVIO ALLA SECONDA FASE DI ATTUAZIONE Ieri l’ACN ha comunicato nel suo sito di aver dato avvio alla seconda fase di attuazione della direttiva NIS 2 come attuata dal decreto NIS (d.lgs. 2024 n. 138), adottando una serie di determine molto rilevanti per una corretta compliance. La determina di più immediata applicazione è la n. 136117/2025 del 10.04.2025 che sostituisce ed aggiorna la precedente n. 38565 del 26.11.2024, in quanto prevede adempimenti da attuare entro maggio 2025. Infatti nella determina n. 136117/2025 sono indicate le informazioni che i soggetti NIS (che hanno ricevuto conferma di esserlo da parte della stessa ACN entro il 15.04.2025) devono registrare nella piattaforma ACN: in particolare ora c’è anche il sostituto del punto di contatto (art. 5) e le ulteriori informazioni di cui all’art. 15 comma 3 (si veda anche l’art. 7, commi 4 e 5 del decreto NIS). Altra determina ACN è la n. 164179 del 14.04.2025, con la quale sono state indicate le modalità e specifiche per l’adempimento degli obblighi di cui agli artt. 23, 24, 25, 29 e 32, con 4 allegati che riportano le specifiche tecniche: Determinazione ACN 164179 del 10 aprile 2025 – Specifiche di base per l'adempimento agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS.     Allegato recante le specifiche di base per l'adempimento agli obblighi di cui agli articoli 23 e 24 per i soggetti importanti.           Allegato recante le specifiche di base per l'adempimento agli obblighi di cui agli articoli 23 e 24 per i soggetti essenziali.           Allegato recante le specifiche di base per l'adempimento agli obblighi di cui all'articolo 25 per i soggetti importanti. Allegato recante le specifiche di base per l'adempimento agli obblighi di cui all'articolo 25 per i soggetti essenziali. Questa determina definisce gli obblighi di notifica di cui all’art. 25 decreto NIS da attuare entro il gennaio 2026, oltre agli...

Studiodallariva | 23rd February 2025 | GDPR

DIRETTIVA NIS 2: PROBLEMI CON LA CLAUSOLA DI SALVAGUARDIA IN FASE DI REGISTRAZIONE Tra i problemi di registrazione, non ci sono solo le ripetute interruzioni della piattaforma dell’ACN (ho dovuto invitare il cliente ad effettuare la registrazione delle sue società sabato mattina alle 8.00), ma c’è l’impossibilità di chiedere l’applicazione della clausola di salvaguardia per le società che non sono un gruppo d’impresa perché manca una direzione e coordinamento, ma sono collegate tra loro in base all’allegato alla raccomandazione 2003/361/CE e non ricorre una delle ipotesi di cui all’art. 3 comma 10 del decreto NIS. Secondo la definizione dell’art. 1 co. 1 lett. s) determinazione ACN 38565/2024 (ripresa anche dall’art. 1 co. 1 lett. f) DPCM n. 221 del 9.12.2024), è impresa collegata un soggetto che soddisfa i criteri di cui all’art. 3 §§ 2 e 3 dell’allegato alla racc. 2003/361/CE (quindi è associata o collegata) oppure che fa parte di un gruppo d’impresa. Quest’ultimo è definito dall’art. 1 co. 1 lett. u) determinazione ACN 38565/2024 (ripresa anche dall’art. 1 co. 1 lett. g) DPCM n. 221 cit), come società, imprese o enti che esercitano o sono sottoposti alla direzione e coordinamento di una società, di un ente o di una persona. Quindi possono esistere società tra loro collegate che non sono un gruppo. Non solo e qui c’è il problema: possono esistere società collegate che non sono un gruppo e dove non ricorre alcuna delle ipotesi previste dall’art. 3 comma 10 del decreto NIS, quindi in sostanza autonome sotto il profilo informatico sia a livello organizzativo sia tecnico. Ebbene in questo caso, non si riesce ad effettuare correttamente la registrazione e neppure a chiedere la clausola di salvaguardia. Infatti se si compilano le sezioni seguenti in questo modo: ***************** [CNT.2.1] L'organizzazione fa parte di un gruppo d'imprese? NO [CNT.3.1] L'organizzazione ha imprese collegate ai sensi della Determi...

Studiodallariva | 11th February 2025 | GDPR

ECCO IL SEGUITO IL DPCM SULLA CLAUSOLA DI SALVAGUARDIA   E' ARRIVATO IL DPCM 9.12.2024 n. 221 SULLA CLAUSOLA DI SALVAGUARDIASi tratta di un DPCM di difficile applicazione per i gruppi societari che centralizzano la gestione dei servizi informatici presso la capogruppo o altra società del gruppo dato che è richiesta la totale indipendenza tecnica.Questo comporterà che rientrano nel perimetro della direttiva NIS 2 anche società collegate che svolgono attività nella tipologia di settori critici che da sole sarebbero micro o piccole imprese, se collegate ad un gruppo con soglie di valori superiori alla piccola impresa ai sensi dell'art. 2 dell'allegato alla raccomandazione 2003/361/CE e non c'è totale indipendenza.La clausola va richiesta in sede di registrazione documentando sui sui presupposti perché deve essere l'ACN che la riconosce.Quindi il decreto NIS diventa molto rigoroso nella sua applicazione.Nel link trovate il testo in pdf sistemato e da stampare.   Sei interessato ad approfondire clicca qui.   ...

Studiodallariva | 28th January 2025 | GDPR

DIRETTIVA NIS 2: CHIEDI UN PARERE LEGALE PER CHI TI SUPPORTA NEL DEFINIRE IL PERIMETRO NIS 2 DELLA TUA ORGANIZZAZIONE E FATTI ASSISTERE FINO ALLA FASE DI REGISTRAZIONE   Come noto, le organizzazioni che rientrano nel perimetro di applicabilità della direttiva NIS 2 attuata dal decreto legislativo 4.09.2024 n. 138 c.d. decreto NIS, si trovano di fronte al complesso compito di definire se e in che termini la propria organizzazione rientri in questo perimetro, definendo poi quali soggetti sono essenziali o importanti. Le disposizioni del decreto NIS sono davvero complicate anche per un giurista (almeno lo è stato per me), dovendosi confrontare con moltissimi richiami normativi, come regolamenti e direttive comunitarie, normative interne (c’è anche il codice civile…), nonché questioni di diritto societario e contabili (con eccezioni varie…). Una pletora di questioni che richiede molto impegno nello studio e attenzione, che difficilmente sono alla portata di una normale azienda, anche se dotata di giuristi interni (a meno che non abbiano avuto il tempo di studiarci sopra per molto tempo). Sbagliare poi è facile perché ci sono davvero moltissime sottigliezze e cavilli (anche aggiunti dall’ACN nelle sue FAQ), che richiedono, a mio sommesso avviso, davvero molta attenzione e prudenza nelle scelte da inserire poi nella fase di registrazione presso la piattaforma dell’ACN. Entro il 28 febbraio 2025, è necessario per i soggetti NIS compilare la scheda di registrazione, che è costruita in modo che devi scegliere tra moltissimi riferimenti normativi, che se non hai studiato bene le norme con le varie connessione, ti trovi impossibilitato a proseguire. Nelle organizzazioni poi sto osservando che nessuno vuole prendersi la responsabilità di definire il perimetro NIS e ancora meno la qualifica di soggetto essenziale o importante, quanto poi spieghi le responsabilità di chi materialmente compila la registrazione…diventa difficile trovare chi vuole farlo...

Studiodallariva | 20th January 2025 | GDPR

SONO SANZIONABILI I SOGGETTI NIS DEI SETTORI DIGITALI CHE SI SONO REGISTRATI TARDIVAMENTE DOPO IL 17.01.2025 MA ENTRO IL 28.02.2025? Sembra proprio di no. Sto esaminando una questione che riguarda il problema della registrazione tardiva dei soggetti NIS relativi alla tipologia dei settori digitali, che avvengono dopo il 17.01.2025, ma entro il termine del 28.02.2025. Intendo per soggetti NIS relativi alla tipologia dei settori digitali, quelli definiti nell’articolo 42 (con rubrica “Fase di prima applicazione”) comma 1 lett. a) del decreto NIS (d.lgs. 4.09.2024 n. 138), in cui si prevede la registrazione nella piattaforma entro il 17.01.2025 e che sono i seguenti: i fornitori di servizi di sistema dei nomi di dominio i gestori di registri dei nomi di dominio di primo livello i fornitori di servizi di registrazione dei nomi di dominio i fornitori di servizi di cloud computing fornitori di servizi di data center fornitori di reti di distribuzione dei contenuti i fornitori di servizi gestiti i fornitori di servizi di sicurezza gestiti i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network. Il problema da affrontare è se il mancato rispetto del termine del 17.01.2025 rientri nella fattispecie sanzionatoria di cui all’art. 38 comma 10, lett. a) del decreto NIS, che prevede quanto segue: “10. Con le sanzioni amministrative pecuniarie di cui al comma 11 sono punite le seguenti violazioni: a) mancata registrazione, comunicazione o aggiornamento delle informazioni ai sensi dell’articolo 7, commi 1, 3, 4, 5 e 7;. Il successivo comma 11 prevede la sanzione così determinata: “11. Le violazioni di cui al comma 10, fermi restando i minimi edittali di cui al comma 9, sono punite per i soggetti privati: a) per i soggetti essenziali, con sanzioni amministrative pecuniarie fino a un massimo dello 0,1% del totale del fatturato annuo su scala mondiale per l’esercizio precedente del soggetto,...

Studiodallariva | 07th January 2025 | GDPR

DIRETTIVA NIS 2: WEBINAR DEDICATO ALLA REGISTRAZIONE PRESSO LA PIATTAFORMA ACN (Agenzia per la Cybersicurezza Nazionale)La fase di registrazione presso la piattaforma dell’ACN, si sta rivelando più complessa di quanto appariva all’inizio, perché richiede una prima autovalutazione quale soggetto NIS della propria organizzazione per decidere di registrarsi, sulla base di complessi criteri previsti dal decreto NIS (d.lgs. 4.09.2024 n. 138). Io stesso ho inviato una prima segnalazione all’ACN circa una imprecisione nelle FAQ sul modo di calcolare i criteri dimensionali delle PMI, segnalazione che è stata accolta, vedi sul punto il mio articolo.Proprio ieri ho mandato un’altra segnalazione sempre in relazione ai criteri dimensionali delle PMI in relazione all’allegato alla raccomandazione 2003/261/CE, partendo dal presupposto che questo allegato si applica in toto, tranne per l’art. 3 § 4 espressamente escluso dall’art. 2 § 1 comma 1 della direttiva NIS 2, e poi anche dall’art. 3 comma 3 del decreto NIS.E’ chiaro che escludere un parte dell’allegato, vuol dire logicamente ritenere applicabile la restante parte non esclusa, con tutta una serie di conseguenze pratiche anche in sede di registrazione.Se questa tesi è condivisibile, allora c’è quanto meno un’altra imprecisione sulle FAQ dell'ACN ed anche nella stessa procedura di registrazione, in particolare nella parte relativa alla indicazione dei criteri dimensionali.Appena arriverà la risposta dell’ACN, pubblicherò la problematica.Di questo problema in anteprima e di altre questioni relative alla procedura di registrazione ne andremo a parlare io e Stefano Benato, esperto di sicurezza informatica, nel nostro webinar dedicato solo alla registrazione presso la piattaforma dell’ACN, con l’esame anche di un certo numero di casi pratici simili a quelli che che stiamo già affrontando con i nostri clienti:🌍 Webinar sulla NIS 2 - la fase di registrazione nella piattaforma ACN: problemat...

Studiodallariva | 10th December 2024 | GDPR

Il presente articolo vuole esaminare una possibile imprecisione normativa indicata nelle FAQ punto 1.6 dell’ACN (Agenzia per la Cybersicurezza Nazionale), circa i criteri di individuazione delle imprese di medie dimensioni in applicazione della raccomandazione 2003/361/CE richiamata dall’art. 3 commi 2, 3, 4 del decreto legislativo 4.09.2024 n. 138 di attuazione della direttiva 2022/2555/UE c.d. direttiva NIS 2. In particolare, nel punto 1.6 delle FAQ https://www.acn.gov.it/portale/faq/nis si legge quanto segue: “1.6 Come faccio a sapere se sono una grande, media o piccola impresa? Per la definizione di media impresa occorre far riferimento ai requisiti dimensionali indicati nell’articolo 2, paragrafo 1, dell'allegato alla raccomandazione 2003/361/CE nonché, in modo più specifico, alla Guida dell’utente alla definizione di PMI (pubblicata dalla Commissione europea nel 2020). Quest’ultima prevede espressamente che il requisito dimensionale di una impresa deve essere soddisfatto sulla base sia del numero di dipendenti effettivi sia del criterio economico, da conseguire attraverso il fatturato annuo o, in alternativa, il totale annuo di bilancio. Le medie imprese hanno: tra 50 e 249 dipendenti effettivi; un fatturato annuo superiore ai 10 e inferiore a 50 milioni di euro oppure, in alternativa, un totale di bilancio annuo superiore ai 10 e inferiore ai 43 milioni di euro. …” Valori di soglia superiori identificano la grande impresa e valori di soglia inferiori identificano le piccole e le micro imprese.” In base a quanto indicato nel punto 1.6 in parola, viene specificato come media impresa quella che ha un numero di dipendenti effettivi compreso tra 50 e 249, escludendo quindi quelle imprese che pur avendo meno di 50 dipendenti, hanno un fatturato e un totale di bilancio superiore a 10 milioni di euro (e rientrano nei limiti di fatturato e totale di bilancio rispettivamente 50 milioni e 43 milioni di euro, perché altrimenti superando ...

Studiodallariva | 30th October 2024 | GDPR

🌍 Webinar sulla NIS 2 (Direttiva 2022/2555/UE) e Decreto di Attuazione 🌍 📅 Data: 18/09/2024 🕒Orario: 9:00 - 13:00 e 14:00 - 16:00 (6h) 💻Modalità: Online (a pagamento vd. locandina allegata)Sono davvero entusiasta di aver organizzato, insieme a Stefano Benato, questo seminario per approfondire la Direttiva NIS 2 e il decreto legislativo di attuazione (il testo in bozza è stato inviato al Parlamento ed approvato dal Consiglio dei Ministri in data 7 agosto e presto sarà pubblicato in Gazzetta Ufficiale).L'obiettivo è aiutare le aziende a prepararsi al meglio agli adempimenti conseguenti.🔐 La Direttiva NIS 2 rappresenta un passo fondamentale per la sicurezza informatica delle aziende e delle pubbliche amministrazioni, ma si presenta come una normativa complessa e articolata, che richiede una lettura attenta e approfondita. Proprio per questo motivo, abbiamo strutturato un seminario di almeno 6 ore.👉 Cosa aspettarsi dal webinar? Dialogheremo con i partecipanti per mettere a fuoco le novità più importanti e capire le tempistiche degli adempimenti, alcuni dei quali sono molto ravvicinati.Come avvocato, insieme a Stefano Benato, esperto di sicurezza informatica, offriremo una lettura integrata giuridico-tecnica, anche attraverso l'analisi di casi pratici visti nell'ottica della NIS 2. Clicca sull'immagine per ogni ulteriore informazione.   ...

Studiodallariva | 02nd October 2024 | GDPR

DECRETO LEGISLATIVO 4 settembre 2024, n. 138 Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell'Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148.        ...

Studiodallariva | 24th September 2024 | GDPR

E' stato pubblicato sulla G.U. del 23-09-2024, il decreto legislativo 4 settembre 2024 n. 134 avente ad oggetto "Attuazione della direttiva (UE) 2022/2557 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativa alla resilienza dei soggetti critici e che abroga la precedente direttiva 2008/114/CE del Consiglio"    ...

Studiodallariva | 02nd September 2024 | GDPR

  PERIMETRO NIS 2: ATTENZIONE, E’ PIÙ AMPIO DI QUELLO CHE SI CREDE   Non c’è dubbio che nella prima fase di compliance alla direttiva NIS 2, sia davvero fondamentale capire se la propria azienda è da considerarsi soggetto essenziale o importante, e quindi direttamente tenuta a registrarsi presso la piattaforma (da attivare) dell’ACN (Agenzia per la Cybersicurezza Nazionale) ed evitare fin da subito le sanzioni previste (dall’art. 38 co. 10, 11 in combinato disposto con l’art. 7 dello schema di decreto legislativo già approvato dal Consiglio dei Ministri il 7 agosto scorso e che presto sarà pubblicato nella Gazzetta Ufficiale). Per stabilire se un’azienda è soggetto essenziale o importante, diversi sono i criteri da considerare; i più noti sono quelli del criterio dimensionale e della tipologia del settore critico, di cui agli allegati I e II, ma spesso assunti come gli unici criteri esistenti, mentre esistono altri criteri altrettanto importanti ma poco considerati, la cui mancata analisi può portare a gravi errori. Non entro su questi ultimi, ma vorrei catalizzare in primo luogo l’attenzione su come già l’analisi del primo criterio dimensionale avvenga spesso in modo non corretto rispetto alla norma, prendendo come indice della dimensione il numero di dipendenti e il fatturato o il patrimonio della società che tratta quel particolare settore critico, per verificare se rientri o superi i parametri della media azienda. Questa valutazione invece va svolta tenendo conto della raccomandazione 2003/361/CE, considerando il gruppo societario. Ci sono anche situazioni di società, nell’ambito di un gruppo, che non svolgono attività critica, non superano i criteri dimensionali, ma, a certe condizioni previste dallo schema di decreto legislativo, sono da considerarsi soggetti importanti o addirittura, in casi particolari, soggetti essenziali (situazioni anche ricorrenti). Non solo, ma anche l’interpretazione del settore critico richiede ...

Studiodallariva | 30th August 2024 | GDPR

Sono molto  davvero entusiasta di aver organizzato, insieme a Stefano Benato, esperto di sicurezza informatica, questo seminario per approfondire la Direttiva NIS 2 e il decreto legislativo di attuazione, Per ogni ulteriore informazione, clicca qui.   ECCO LA LOCANDINA DEL SEMINARIO ONLINE !   ...

Studiodallariva | 12th July 2024 | GDPR

Si è tenuta la sessione di #firewallumano live su linkedin oggi 12.07.2024 - 14.30...è disponibile il video della live, clicca qui!...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

  Per una visione dinamica clicca qui   ...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

WEBINAR In data 22.06.2021 ore 15:30 IN COLLABORAZIONE CON CORETECH Abstract: Come noto la tematica relativa alla protezione dei dati personali sarà la sfida continua per tutti coloro che in particolare gestiscono sistemi informatici, proprio perché al loro interno avvengono i trattamenti di dati personali. Si tratta di una problematica inevitabile e sempre più pressante per le aziende proprio perché oltre i rischi di sanzioni molto elevate, si aggiungono anche possibili blocchi di trattamento di dati personali eseguiti in modo illegittimo, senza considerare la perdita reputazionale, particolarmente grave, proprio perché le persone chiedono sempre di più tutela dei propri dati personali prima di iniziare un qualunque contatto commerciale o professionale. La protezione dei dati personali richiede di raggiungere la compliance al regolamento GDPR, obiettivo complesso da raggiungere, che necessita un cambio di mentalità organizzativa che vede nella cultura della protezione dei dati personali la stella polare per orientarsi. Il webinar ha l’obiettivo di proporre un approccio ragionato per iniziare un percorso per fasi relativamente alla compliance privacy all’interno della propria organizzazione o anche presso il proprio cliente, specie per quanto riguarda i sistemi informatici. La compliance privacy è un tema complesso che può essere affrontato solo sulla base di una formazione continua sulla materia della protezione dei dati personali, unica via per raggiungere quella competenza per poter interfacciarsi con i soggetti coinvolti e raggiungere una adeguata autonomia gestionale in questo ambito. Relatori: Avvocato Gianluca Dalla Riva, Studio Legale Dalla Riva e Roberto Beneduci Ceo di CoreTech. PER ISCRIZIONI CLICCA QUI...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

   ...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

OLTRE LA RESILIENZA CYBER: LA FORMAZIONE QUALE PILASTRO DEL BUSINESS 🌱💼   Dopo oltre sei anni dedicati alla formazione a livello professionale, ultimi tre dei quali in collaborazione con Stefano Benato, ho maturato la convinzione che la formazione sia la linfa vitale per qualsiasi business. Molte volte, l'attenzione è posta sui numeri, sugli strumenti, sulle strategie, dimenticando che al centro di ogni attività ci sono le persone E sono proprio le persone che determinano il successo o il fallimento di un'azienda. 🧑💼👩💼 Perché? 🤔 Se i collaboratori adottano i comportamenti giusti in relazione all'attività aziendale, il business cresce 📈; al contrario, se questi comportamenti non sono corretti o adeguati, i clienti non saranno contenti e il business ristagnerà. 😢 La formazione motiva le persone a cambiare i loro comportamenti. Se questi comportamenti sono proprio quelli richiesti dal mercato e ricercati dai clienti, ecco che si incrementa il business. Più la formazione è efficace, più l’azienda migliora la propria attività ed è apprezzata dal mercato. Non solo, ma i dipendenti vedono la formazione come prezioso fattore di crescita personale e questo li fidelizza alla propria azienda. Ma la vera domanda è: come creare una formazione efficace e coinvolgente? 🤔🧠💬 Per rispondere a questa domanda ho studiato molti libri, utilizzato approcci diversificati (Action Mapping, Design Thinking, Kolb's esperiential learning, Gagne's Nine Events of Instruction, ADDIE…), messo in piedi una piattaforma e-learning (www.studiumline.it), testato moltissimi software e collaborato insieme con Stefano Benato, discutendo moltissimo e aprendo le nostre menti verso soluzioni innovative. Oggi ho maturato una risposta. E’ necessario creare un ecosistema formativo permanente per realizzare una didattica flessibile perché le persone sono diverse tra loro e questo richiede dinamicità. Facciamo un esempio concreto basato sull...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

📜 LE POLIZZE CYBER RISK VANNO LETTE CON ATTENZIONE 📜Una delle prime cose che faccio quando devo valutare una polizza assicurativa di qualunque tipo, è quella di leggere le condizioni di esclusione. È lì che valuti l’efficacia della polizza.Dato che mi occupo di aiutare le organizzazioni a gestire la protezione dei dati personali e il rischio cyber (tramite la formazione in collaborazione con Stefano Benato), tra le cose che vengono esaminate ci sono le polizze cyber risk, che recentemente sono spuntate come funghi 🍄.Da una parte promettono la tutela assicurativa dei rischi cyber come indennizzo dei costi di ripristino dei sistemi IT, perdite finanziarie in caso di frode informatica, supporto tecnico tramite partner qualificati, ecc., dall’altra con le esclusioni, rendono non operativa la polizza per una gran parte del rischio 🚫.Ecco una clausola di esclusione di una polizza cyber risk di una delle più note assicurazioni che vorrei condividere con te:“La “compagnia di assicurazione” non è obbligata per:x) danni cagionati a seguito della Compromissione di Sistema IT dell’Assicurato, a seguito di esecuzione da parte degli utenti del Sistema IT stesso, di Malware provenienti da Supporti rimovibili o da connessioni remote, inclusa la messaggistica e-mail;”Questa clausola esclude l’operatività della polizza nell’ipotesi che gli utenti di un sistema IT, cioè i dipendenti di un'organizzazione, diano esecuzione ad un malware perché proveniente da supporti rimovibili (caso classico… le chiavette USB raccolte per terra…) o da connessione remote (siti fake), compresa l’e-mail, cioè a seguito di attacco phishing 🎣.Il phishing tramite e-mail rappresenta almeno l’80 per cento (ma c’è chi arriva a dire il 90-95 per cento) degli attacchi cyber di successo che colpiscono le organizzazioni, quindi di fatto questa esclusione sta dicendo che nell’80 per cento dei casi o più, la polizza non opera.Se un ransomware distrugge i sis...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

COME BERNIE MADOFF HA UTILIZZATO GLI STESSI INGANNI PSICOLOGICI TIPICI DELLE TRUFFE INFORMATICHE (CHIAMATE BEC: BUSINESS EMAIL COMPROMISE)   11 dicembre 2008, in piena crisi finanziaria, veniva arrestato Bernie Madoff, il truffatore più grande della storia, colui che ha creato una truffa finanziaria piramidale, nota come schema Ponzi, che è arrivata a 65 miliardi di dollari tra capitali versati e guadagni fittizi. La cosa particolare è che, in oltre 30 anni, Madoff è riuscito ad ingannare non solo privati investitori, ma anche organizzazioni finanziarie e banche tra le più note al mondo e pure di diversi paesi. Ha ingannato persino la SEC (la nostra CONSOB per capirci), nonostante avesse ricevuto molteplici e specifiche segnalazioni. Come è stato possibile l’inganno? La cosa interessante è che le circostanze di questa truffa sono comuni, per molti versi, a quelle che attualmente esistono nel mondo digitale cioè alle truffe informatiche, chiamate tecnicamente truffe BEC (Business Email Compromise). Esse puntano ad ingannare il personale delle organizzazioni, per convincerlo a bonificare somme ingenti ad IBAN indicati dal truffatore stesso (o ad inviare informazioni “preziose”). E’ come un siluro sparato da un sommergibile nascosto nel mondo digitale: te ne accorgi solo quando colpisce l’obiettivo, o meglio, quando i soldi sono spariti. Anche in questo caso, le vittime sono spesso persone esperte, anche con molti anni di esperienza amministrativa-finanziaria, eppure vengono ingannate lo stesso. Quali sono allora gli elementi che inducono le vittime a cadere nella truffa, superando la loro stessa preparazione, illudendo il loro cervello, convinte di operare in modo corretto? Ecco cosa emerge facendo un raffronto tra le due tipologie di truffe: Creare fiducia nella vittima. Madoff: Madoff, ex presidente della NASDAQ, era una figura rispettata in tutto il mondo finanziario. La sua reputazione precedeva ogni dubbio. Madoff, vestito dei su...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

SILENZIOSO TSUNAMI NORMATIVO: DIRETTIVA NIS 2, REGOLAMENTO DORA E WHISTEBLOWING E VITA DURA PER I FORNITORI 🌊💼Studiando la normativa sopra citata mi pare stia arrivando in modo silenzioso un dirompente cambio di paradigma normativo per quanto riguarda la cyber security che coinvolgerà intere filiere di fornitura, obbligando molti fornitori a rendere conto del loro modo di gestire la sicurezza informatica 🔒, senza nessuno sconto.🔗Tra la fine del 2024 e l'inizio del 2025 in poi, inizierà questo tsunami normativo che coglierà molti di sorpresa. 😲Questa normativa estende il perimetro di sicurezza per i soggetti “critici”, la cui attività è essenziale o comunque importante per la tenuta di un paese, anche alla propria rete di fornitura, che dovrà essere debitamente monitorata e verificata in relazione alla postura e resilienza cyber security. 🛡️🌐Credo che sia un bene prendersi per tempo perché adeguarsi ai numerosi adempimenti richiederà tempo ⏱ nonché un certo impegno di risorse umane ed economiche e questo anche per i fornitori che verranno inevitabilmente coinvolti.Appare utile, già da ora, cominciare a studiare la normativa citata 📚 e ti metto qui un primo link per scaricarla per tua comodità, se non lo ha già fatto, clicca qui. Si, ma che centra il whistleblowing 📢 ? Centra, perché sarà possibile effettuare segnalazioni anche per le violazioni relative alla normativa NIS 2 (che sostituirà la direttiva NIS e relativo decreto legislativo di recepimento), quindi lo spazio di impunità si riduce.Se non hai visto il decreto legislativo 10.03.2023 n. 24 e la normativa relativa, clicca qui.D’altronde gli attaccanti stanno considerando le aziende italiane come una sorta di bancomat sempre aperto, sarebbe bello far capire loro che è il bancomat è chiuso.Che ne pensi? Sono io che esagero? Leggerò volentieri le tue riflessioni nei commenti.Vorrei organizzare un webinar in proposito, fammi sapere nei commenti (o mandami un...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

QUI DI SEGUITO IN FORMATO IN FORMATO FLIPBOOK PUOI VISIONARE IL REGOLAMENTO DORA E LE DIRETTIVE NIS 2 E CER    ...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

Da oltre tre anni collaboro con Stefano Benato, esperto di cyber security 👨💻, per offrire servizi di consulenza e formazione relativi alla sicurezza informatica 🖥️ e protezione dei dati personali 🛡️ Quando parliamo con le aziende 🏢, quasi sempre per le PMI ci troviamo di fronte al problema della difficoltà di comunicazione tra la direzione aziendale (di solito CEO e C.d.A.) e il responsabile IT 🗣️. Il responsabile IT chiede di parlare di cyber security con la direzione, portando magari un piano di sicurezza che prevede un certo budget da impiegare in nuove risorse umane, in nuove tecnologie con supporto esterno (EDR, AI, backup, SOC …) 📊 e poi anche la formazione dei dipendenti sul social engineering 🎓. Già solo essere ascoltati è difficile perché c’è sempre qualcos'altro di urgente ⏰ e comunque solo dal CEO, anche perché la cyber security al C.d.A. interessa poco e comunque non è di loro competenza 🤷♂️. C’è da dire che spiegare la cyber security in modo chiaro e semplice, senza astrusi richiami tecnici, non è proprio così facile e richiede una certa capacità di comunicazione che non sempre i responsabili IT hanno maturato 🗨️.  Questa incomunicabilità è tale da portare alle dimissioni del responsabile IT 🚪, che in certi casi si ripetono regolarmente, per cui l’azienda può trovarsi anche senza responsabile IT per lunghi periodi ⌛. Una dimostrazione evidente di questa mentalità gestoria sono le dichiarazioni rilasciate da un direttore generale di fronte a un attacco cyber ad un’azienda veneta: «Ci siamo sentiti soli, isolati, abbandonati; questo non è il nostro campo di gioco. Gli imprenditori del Nordest sono abituati a lavorare, non ad affrontare situazioni del genere. Associazioni di categoria e istituzioni dovrebbero esserci più vicine» 💬.  Sul punto vd. il mio post e video di commento con anche Stefano Benato📝 https://www.linkedin.com/posts/avv-gianlucadallariva_firewa...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

Recentemente, ho avuto una conversazione con un dirigente di un'azienda per cui gestisco le segnalazioni interne. Mi ha raccontato come molte aziende non abbiano ancora iniziato ad adeguarsi al Decreto Legislativo 10 marzo 2024, n. 24, nonostante l'adeguamento sia obbligatorio e soggetto a sanzioni da 10.000 a 50.000 euro. Questa situazione non mi sorprende, visto che anche altri professionisti del settore mi hanno espresso considerazioni simili, rilevando anche un'aperta ostilità verso il whistleblowing, considerandolo inutile con la giustificazione che "tanto da noi nessuno segnala". In effetti, ci sono diverse difficoltà che impediscono il raggiungimento della compliance: Capire la normativa: Un primo ostacolo è rappresentato dalla necessità di spiegare alla direzione cos'è il whistleblowing, la sua dinamica e come organizzarsi per rispettare la normativa. Io mi sono preparato delle slide e propongo un seminario interno di 2 ore circa, che svela gli arcani sconosciuti del whistleblowing che genera un certo impatto per i numerosi adempimenti e soprattutto per le difficoltà da superare, in particolare, quella di cui al punto seguente; Ricerca di un gestore delle segnalazioni: È difficile trovare qualcuno disposto a ricoprire il ruolo di gestore delle segnalazioni, incarico che richiede competenze legali e nella protezione dei dati personali, oltre alla consapevolezza delle responsabilità dirette in caso di sanzioni da parte dell'ANAC (le sanzioni infatti riguardano direttamente i soggetti, non l’azienda, che in certi casi è solo obbligata in solido). E’ un problema non da poco, perché in azienda quanto sanno dei rischi sanzionatori, nessuno ne vuole sapere. A questo si aggiunge che, quasi sempre, neppure l’OdV (l’Organismo di Vigilanza del modello 231), è disponibile alla gestione delle segnalazioni, perché è maggioritaria la tesi “purista” nel senso che essendo l’OdV solo organo di sorveglianza e controllo, non può gestire le...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

Uno degli attacchi dei criminal hacker che passano sottotraccia per le remore delle aziende a renderlo noto, è la truffa BEC (Business Email Compromise) che consiste, semplificando, nell’inganno volto a convincere la vittima, di solito un dipendente, a bonificare somme anche molto consistenti ad un conto corrente diverso rispetto a quello legittimo. Detto in termini più semplici: il denaro viene inviato al conto corrente dell’hacker e non al vero destinatario. E’ poi quasi sempre troppo tardi per bloccare il bonifico: il danno è ormai fatto. Quando succede in un’azienda, si passa dall’incredulità allo shock misto ad una silenziosa vergogna in coloro che all’interno dell’azienda sono stati ingannati, quasi sempre persone esperte, non certo sprovveduti. Si tratta di un fenomeno molto rilevante che dovrebbe far accendere i campanelli di allarme nelle direzioni aziendali per adottare quelle contromisure volte a ridurre il rischio, ma questo è un rischio poco percepito perché emerge pochissimo nei mass media, tranne che a livello giudiziario. Negli ultimi anni, si trovano sempre più sentenze che si occupano di questo tipo di truffe BEC dove si tratta di valutare, dal punto di vista giuridico, se il pagamento fatto all’hacker è valido ed efficace per il debitore liberandolo rispetto al creditore. Un recente caso trattato dal tribunale di Belluno appare utile per spiegare come ragiona un giudice. Una ditta ottiene un decreto ingiuntivo per una fornitura di oltre 48 mila euro verso un suo cliente, il quale ha proposto opposizione al decreto, sostenendo di aver pagato la fornitura esattamente all’IBAN indicato nella fattura allegata alla mail appartenente al creditore, come da consolidata prassi. La cliente opponente deposita l’email, la fattura con indicato l’IBAN e la contabile del bonifico. Si precisa anche che la mail con la fattura è stata inviata proprio dall’indirizzo email in uso alla ditta fornitrice (un indirizzo gmail.com…...

STUDIO LEGALE DALLA RIVA | 05th July 2024 | GDPR

ULTIME SANZIONI DEL GARANTE, COMPLIANCE PRIVACY E SERVIZI DIGITALI: ALCUNE RIFLESSIONI STRATEGICHE Gli ultimi provvedimenti sanzionatori del Garante per la Protezione dei Dati personali, coinvolgenti società sia acquirenti sia fornitrici di servizi informatici, stanno assumendo dimensioni tali a livello sia qualitativo sia quantitativo che probabilmente, in tempi brevi, si giungerà ad un radicale cambio di paradigma circa le modalità di fornitura dei servizi digitali.  Questo cambiamento in atto dovrebbe portare le aziende fornitrici di servizi informatici, anche extraeuropee, a muovere alcune riflessioni sulle proprie strategie commerciali future, per rispondere in modo adeguato a quello che si prospetta essere nient’altro che un radicale cambiamento del mercato dei servizi digitali. Tale assunto si poggia proprio sull’atteggiamento molto severo assunto dal Garante verso quelle organizzazioni che utilizzano o forniscono servizi informatici senza il rispetto della normativa privacy. Alcuni degli ultimi provvedimenti sanzionatori del Garante Basti vedere come il Garante, tra il 2020 e il 2021, abbia sanzionato ripetutamente sia titolari del trattamento, acquirenti di servizi informatici, sia responsabili o sub-responsabili del trattamento, fornitori dei predetti servizi, proprio perché i trattamenti di dati personali svolti con tali servizi violavano molteplici disposizioni del Regolamento GDPR. Ecco alcuni esempi significativi: a) L’Ente Roma Capitale è stato sanzionato (17.12.2020 [9524175]) una prima volta per € 500.000,00 per un sistema informatico di prenotazione di appuntamenti per l’erogazione dei servizi di municipali e sanitari, che violava molteplici disposizioni del regolamento GDPR (tra cui informativa non idonea artt. 13-14, mancata nomina del responsabile del trattamento art. 28, mancata adozione di idonee misure organizzative e tecniche a protezione dei dati artt. 5 § 2, 24, 32, assenza di una data retention policy art. 5 § 1...