All the latest Blog Posts Business https://studiodallariva.webboss.site avv.dallariva@gmail.com (c) 2023 - 2026 en-gb

COMPLIANCE NIS2: DEFINIRE CORRETTAMENTE IL PERIMETRO NIS DEL TUO GRUPPO Di recente mi sono trovato a dialogare con un responsabile IT di un importante gruppo italiano con filiali anche estere, in cui il perimetro NIS2 risultava composto da tre soggetti essenziali e uno importante. Durante la descrizione delle attività delle società del gruppo, si è arrivati alla capogruppo che era stata qualificata come soggetto importante. Dalla descrizione delle attività svolte e in particolare dai servizi erogati a favore delle altre società del gruppo, anche non soggetti NIS, ho sollevato dubbi sulla sua qualificazione come soggetto importante, suggerendo un approfondimento. La risposta è stata che la qualificazione era senza dubbio corretta perché tale qualificazione era quella assegnata dalla stessa ACN, durante la fase di registrazione presso la sua piattaforma informatica. Ora la qualificazione di un’organizzazione come soggetto NIS, salvo i casi di identificazione governativa (art. 3 commi 8 ,9 decreto NIS), deriva, per le imprese, esclusivamente dall’applicazione dei criteri previsti dall’art. 3 commi 1-5 e 10 in combinato disposto con l’art. 6 del decreto NIS. La qualificazione ottenuta nella piattaforma dell’ACN in sede di registrazione ai sensi del successivo art. 7 comma 1, ha solo valore dichiarativo della qualificazione del soggetto NIS e si basa sui dati inseriti dal Punto di contatto e a volte, come mi è già capitato, la valutazione finale proposta, non è sempre corrispondente ai criteri normativi (si apre in questo caso una procedura ad hoc di verifica). Quindi fare solo affidamento sulla proposta della piattaforma ACN di qualificazione come soggetto NIS, essenziale o importante, della propria organizzazione, può creare l’illusione circa la sua correttezza. Ma quali sono le conseguenze sanzionatorie in caso di qualificazione errata? Una specifi

]]> Studiodallariva Wed, 06 May 2026 10:19:53 +0200 https://www.studiodallariva.it/blog/perma/1778055420/article/nis2-perimetro.html 1778055420 cyber security

COMPLIANCE NIS 2: OBBLIGO DI COMUNICARE L’ELENCO DEI FORNITORI RILEVANTI NIS Autore: avv. Gianluca Dalla Riva del foro di Belluno L’ACN, quale Autorità nazionale competente NIS, ha emanato il 13.04.2026 la determinazione n. 12743/2026[1], che aggiorna e sostituisce la precedente determinazione n. 379887 del 19.12.2025 e introduce due novità importanti nell’ambito degli obblighi di registrazione dei soggetti NIS nella piattaforma ACN ex art. 7 decreto NIS[2]. Si tratta di una determinazione che pone norme giuridiche di natura secondaria che trovano la propria fonte del diritto nell’art. 31 del decreto NIS, che conferisce all’ACN, nella veste di Autorità nazionale competente NIS, mediante il procedimento di cui al successivo art. 40 comma 5[3], il potere di stabilire per i soggetti NIS obblighi proporzionati e graduali per l’attuazione degli adempimenti ivi indicati. La prima novità della determinazione è l’obbligo di elencare i “fornitori rilevanti NIS” come previsto dagli artt. 16 e 18, da effettuare dal 15 aprile al 31 maggio, la seconda novità riguarda l’obbligo di comunicare l’elencazione e categorizzazione delle attività e dei servizi del soggetto NIS previsto dal capo V della determinazione in parola da effettuare dal 1° maggio al 30 giugno di ogni anno[4]. Per quest’ultimo adempimento a breve sarà pubblicato da ACN il modello di categorizzazione, unitamente al materiale informativo a supporto per cui ci si riserva un approfondimento su questo specifico adempimento in seguito, concentrando invece l’analisi sull’obbligo di elencazione dei fornitori rilevanti NIS. Obbligo di elencazione dei fornitori rilevanti NIS Appare prima di tutto fondamentale partire da una approfondita esegesi normativa iniziando dall’art. 16 della determinazione n. 12743/2026 che prevede, come detto, l’obbligo annuale, dal 15 aprile

]]> Studiodallariva Tue, 21 Apr 2026 12:30:20 +0200 https://www.studiodallariva.it/blog/perma/1776767280/article/compliance-nis-2-fornitori-rilevanti-nis.html 1776767280 cyber security

La scadenza del 31 dicembre per la designazione e comunicazione del referente CSIRT (come da determinazione ACN n. 333017/2025 art. 7) si avvicina, e i soggetti NIS stanno chiamando i loro MSP (Managed Service Providers) per chiedere supporto.La normativa permette (a differenza del Punto di Contatto) che questo ruolo sia affidato a una persona fisica esterna purché abbia competenze di cybersecurity e conosca in modo approfondito i sistemi informativi e di rete del soggetto NIS (un ritratto dell’MSP…).Chi accetta l'incarico (e gli MSP più accorti lo hanno già intuito) deve affrontare un impegno organizzativo non da poco, essendo evidenti le responsabilità legali e operative da gestire.Si tratta di regolare una complessa ripartizione di ruoli e compiti, tenendo conto anche di questi elementi:⏰ TEMPI RISTRETTI: I termini di notifica (24h per la pre-notifica, 72h per la notifica) sono brevissimi e decorrono dalla "conoscenza" dell'incidente;💸 SANZIONI MILIONARIE: In caso di violazione dell’art. 25 del decreto NIS che riguarda gli obblighi di notifica, le sanzioni partono da un minimo 233.333/500.000 e arrivano a 7 o 10 milioni di euro o, se maggiori, fino all’1,4 al 2% del fatturato mondiale (dipende se il soggetto NIS è importante o essenziale). Una rivalsa del cliente contro il referente CSIRT per errori di notifica è uno scenario possibile;📞 REPERIBILITÀ H24: Il referente CSIRT e i sostituti devono essere operativi 24/7/365 o comunque reperibili in termini molto brevi, quindi, oltre a personale competente (che va formato), ci vuole un turn over idoneo (direi minimo almeno 1 referente + 2 sostituti).🔒 DATI PERSONALI: vanno gestite inoltre tutte le problematiche aggiuntive relative alla protezione dei dati personali, dato che il referente CSIRT e i sostituti possono dover trattare dati personali per svolgere il suo incarico.Non è poi così semplice per un MSP rif

]]> Studiodallariva Sat, 08 Nov 2025 17:18:48 +0100 https://www.studiodallariva.it/blog/perma/1762618200/article/referente-csirt.html 1762618200 cyber security

DIRETTIVA NIS 2: CRITICITA’ DELLA DETERMINAZIONE ACN DEL 14/04/2025 N. 164179 CHE STABILISCE MODALITÀ E SPECIFICHE DI BASE PER L’ADEMPIMENTO DEGLI OBBLIGHI SPETTANTI AI SOGGETTI NIS, ESSENZIALI E IMPORTANTI L’ACN (Agenzia per la cybersicurezza nazionale) ha dato avvio alla seconda fase di implementazione della normativa secondaria relativa al decreto NIS (d.lgs. 4.09.2024 n. 138), adottando, tra le altre, la determinazione del 14.04.2025 n. 164179 che definisce le specifiche di base per l’adempimento degli obblighi da parte dei soggetti essenziali e importanti, derivanti dalla nuova normativa NIS. La lettura di questa determinazione presenta alcune criticità che si ritiene opportuno segnalare. Mancata adozione preliminare della procedura di informazione prevista dalla direttiva (UE) 2015/1535 L’art. 2 rubricato “Adozione delle specifiche di base”, prevede che: “1. In fase di prima applicazione del decreto NIS sono adottate le specifiche di base di cui agli allegati 1, 2, 3 e 4, facenti parte integrante della presente determinazione. Le misure di sicurezza di base, a carico degli organi di amministrazione e direttivi e in materia di misure di gestione dei rischi per la sicurezza informatica, sono stabiliti: a) per i soggetti importanti, nell’allegato 1; b) per i soggetti essenziali, nell’allegato 2. Gli incidenti significativi di base sono stabiliti: a) per i soggetti importanti, nell’allegato 3; b) per i soggetti essenziali, nell’allegato 4. “. In questo articolo si stabiliscono in modo puntuale le specifiche di base che devono rispettare i soggetti NIS, essenziali ed importanti, sia per la gestione dei rischi per la sicurezza informatica, richiamandosi al FNCS-DP (Framework Nazionale per la Cybersecurity e la Data Protection) che è stato aggiornato, sia per le notifiche per gli incidenti significativi. Il successivo art. 3 prevede anche

]]> Studiodallariva Wed, 23 Apr 2025 12:51:48 +0200 https://www.studiodallariva.it/blog/perma/1745405040/article/determinazione-acn-164179.html 1745405040 cyber security

DIRETTIVA NIS 2: L’ACN DA AVVIO ALLA SECONDA FASE DI ATTUAZIONE Ieri l’ACN ha comunicato nel suo sito di aver dato avvio alla seconda fase di attuazione della direttiva NIS 2 come attuata dal decreto NIS (d.lgs. 2024 n. 138), adottando una serie di determine molto rilevanti per una corretta compliance. La determina di più immediata applicazione è la n. 136117/2025 del 10.04.2025 che sostituisce ed aggiorna la precedente n. 38565 del 26.11.2024, in quanto prevede adempimenti da attuare entro maggio 2025. Infatti nella determina n. 136117/2025 sono indicate le informazioni che i soggetti NIS (che hanno ricevuto conferma di esserlo da parte della stessa ACN entro il 15.04.2025) devono registrare nella piattaforma ACN: in particolare ora c’è anche il sostituto del punto di contatto (art. 5) e le ulteriori informazioni di cui all’art. 15 comma 3 (si veda anche l’art. 7, commi 4 e 5 del decreto NIS). Altra determina ACN è la n. 164179 del 14.04.2025, con la quale sono state indicate le modalità e specifiche per l’adempimento degli obblighi di cui agli artt. 23, 24, 25, 29 e 32, con 4 allegati che riportano le specifiche tecniche: Determinazione ACN 164179 del 10 aprile 2025 – Specifiche di base per l'adempimento agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS.     Allegato recante le specifiche di base per l'adempimento agli obblighi di cui agli articoli 23 e 24 per i soggetti importanti.           Allegato recante le specifiche di base per l'adempimento agli obblighi di cui agli articoli 23 e 24 per i soggetti essenziali.           Allegato recante le specifiche di base per l'adempimento agli obblighi di cui all'articolo 25 per i soggetti importanti. Allegato recante le specifiche di base per l'adempimento agli obblighi di cui all'articolo 25

]]> Studiodallariva Wed, 16 Apr 2025 10:27:25 +0200 https://www.studiodallariva.it/blog/perma/1744791840/article/direttiva-nis-2-acn.html 1744791840 cyber security

DIRETTIVA NIS 2: PROBLEMI CON LA CLAUSOLA DI SALVAGUARDIA IN FASE DI REGISTRAZIONE Tra i problemi di registrazione, non ci sono solo le ripetute interruzioni della piattaforma dell’ACN (ho dovuto invitare il cliente ad effettuare la registrazione delle sue società sabato mattina alle 8.00), ma c’è l’impossibilità di chiedere l’applicazione della clausola di salvaguardia per le società che non sono un gruppo d’impresa perché manca una direzione e coordinamento, ma sono collegate tra loro in base all’allegato alla raccomandazione 2003/361/CE e non ricorre una delle ipotesi di cui all’art. 3 comma 10 del decreto NIS. Secondo la definizione dell’art. 1 co. 1 lett. s) determinazione ACN 38565/2024 (ripresa anche dall’art. 1 co. 1 lett. f) DPCM n. 221 del 9.12.2024), è impresa collegata un soggetto che soddisfa i criteri di cui all’art. 3 §§ 2 e 3 dell’allegato alla racc. 2003/361/CE (quindi è associata o collegata) oppure che fa parte di un gruppo d’impresa. Quest’ultimo è definito dall’art. 1 co. 1 lett. u) determinazione ACN 38565/2024 (ripresa anche dall’art. 1 co. 1 lett. g) DPCM n. 221 cit), come società, imprese o enti che esercitano o sono sottoposti alla direzione e coordinamento di una società, di un ente o di una persona. Quindi possono esistere società tra loro collegate che non sono un gruppo. Non solo e qui c’è il problema: possono esistere società collegate che non sono un gruppo e dove non ricorre alcuna delle ipotesi previste dall’art. 3 comma 10 del decreto NIS, quindi in sostanza autonome sotto il profilo informatico sia a livello organizzativo sia tecnico. Ebbene in questo caso, non si riesce ad effettuare correttamente la registrazione e neppure a chiedere la clausola di salvaguardia. Infatti se si compilano le sezioni seguenti in questo modo:

]]> Studiodallariva Sun, 23 Feb 2025 09:37:05 +0100 https://www.studiodallariva.it/blog/perma/1740299520/article/direttiva-nis-2-problemi-registrazione.html 1740299520 cyber security

ECCO IL SEGUITO IL DPCM SULLA CLAUSOLA DI SALVAGUARDIA Sei interessato ad approfondire clicca qui.   ...Continue Reading → You\'re reading PUBBLICATO IL DPCM SULLA CLAUSOLA DI SALVAGUARDIA by Studiodallariva, posted on STUDIO LEGALE DALLA RIVA.

]]> Studiodallariva Tue, 11 Feb 2025 10:19:43 +0100 https://www.studiodallariva.it/blog/perma/1739264820/article/dpcm-clausola-salvaguardia.html 1739264820 cyber security

DIRETTIVA NIS 2: CHIEDI UN PARERE LEGALE PER CHI TI SUPPORTA NEL DEFINIRE IL PERIMETRO NIS 2 DELLA TUA ORGANIZZAZIONE E FATTI ASSISTERE FINO ALLA FASE DI REGISTRAZIONE   Come noto, le organizzazioni che rientrano nel perimetro di applicabilità della direttiva NIS 2 attuata dal decreto legislativo 4.09.2024 n. 138 c.d. decreto NIS, si trovano di fronte al complesso compito di definire se e in che termini la propria organizzazione rientri in questo perimetro, definendo poi quali soggetti sono essenziali o importanti. Le disposizioni del decreto NIS sono davvero complicate anche per un giurista (almeno lo è stato per me), dovendosi confrontare con moltissimi richiami normativi, come regolamenti e direttive comunitarie, normative interne (c’è anche il codice civile…), nonché questioni di diritto societario e contabili (con eccezioni varie…). Una pletora di questioni che richiede molto impegno nello studio e attenzione, che difficilmente sono alla portata di una normale azienda, anche se dotata di giuristi interni (a meno che non abbiano avuto il tempo di studiarci sopra per molto tempo). Sbagliare poi è facile perché ci sono davvero moltissime sottigliezze e cavilli (anche aggiunti dall’ACN nelle sue FAQ), che richiedono, a mio sommesso avviso, davvero molta attenzione e prudenza nelle scelte da inserire poi nella fase di registrazione presso la piattaforma dell’ACN. Entro il 28 febbraio 2025, è necessario per i soggetti NIS compilare la scheda di registrazione, che è costruita in modo che devi scegliere tra moltissimi riferimenti normativi, che se non hai studiato bene le norme con le varie connessione, ti trovi impossibilitato a proseguire. Nelle organizzazioni poi sto osservando che nessuno vuole prendersi la responsabilità di definire il perimetro NIS e ancora meno la qualifica di soggetto essenziale o importante, quanto poi spieghi le responsabilità di

]]> Studiodallariva Tue, 28 Jan 2025 10:23:53 +0100 https://www.studiodallariva.it/blog/perma/1738055820/article/direttiva-nis-2-parere-legale.html 1738055820 cyber security

SONO SANZIONABILI I SOGGETTI NIS DEI SETTORI DIGITALI CHE SI SONO REGISTRATI TARDIVAMENTE DOPO IL 17.01.2025 MA ENTRO IL 28.02.2025? Sembra proprio di no. Sto esaminando una questione che riguarda il problema della registrazione tardiva dei soggetti NIS relativi alla tipologia dei settori digitali, che avvengono dopo il 17.01.2025, ma entro il termine del 28.02.2025. Intendo per soggetti NIS relativi alla tipologia dei settori digitali, quelli definiti nell’articolo 42 (con rubrica “Fase di prima applicazione”) comma 1 lett. a) del decreto NIS (d.lgs. 4.09.2024 n. 138), in cui si prevede la registrazione nella piattaforma entro il 17.01.2025 e che sono i seguenti: i fornitori di servizi di sistema dei nomi di dominio i gestori di registri dei nomi di dominio di primo livello i fornitori di servizi di registrazione dei nomi di dominio i fornitori di servizi di cloud computing fornitori di servizi di data center fornitori di reti di distribuzione dei contenuti i fornitori di servizi gestiti i fornitori di servizi di sicurezza gestiti i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network. Il problema da affrontare è se il mancato rispetto del termine del 17.01.2025 rientri nella fattispecie sanzionatoria di cui all’art. 38 comma 10, lett. a) del decreto NIS, che prevede quanto segue: “10. Con le sanzioni amministrative pecuniarie di cui al comma 11 sono punite le seguenti violazioni: a) mancata registrazione, comunicazione o aggiornamento delle informazioni ai sensi dell’articolo 7, commi 1, 3, 4, 5 e 7;. Il successivo comma 11 prevede la sanzione così determinata: “11. Le violazioni di cui al comma 10, fermi restando i minimi edittali di cui al comma 9, sono punite per i soggetti privati: a) per i soggetti essenziali, con sanzioni amministrative pecuniarie fino a un massimo dello 0,1% del totale del fatturato annuo su scala mondiale p

]]> Studiodallariva Mon, 20 Jan 2025 11:11:07 +0100 https://www.studiodallariva.it/blog/perma/1737367560/article/registrazione-tardiva.html 1737367560 cyber security

DIRETTIVA NIS 2: WEBINAR DEDICATO ALLA REGISTRAZIONE PRESSO LA PIATTAFORMA ACN (Agenzia per la Cybersicurezza Nazionale)La fase di registrazione presso la piattaforma dell’ACN, si sta rivelando più complessa di quanto appariva all’inizio, perché richiede una prima autovalutazione quale soggetto NIS della propria organizzazione per decidere di registrarsi, sulla base di complessi criteri previsti dal decreto NIS (d.lgs. 4.09.2024 n. 138). Io stesso ho inviato una prima segnalazione all’ACN circa una imprecisione nelle FAQ sul modo di calcolare i criteri dimensionali delle PMI, segnalazione che è stata accolta, vedi sul punto il mio articolo.Proprio ieri ho mandato un’altra segnalazione sempre in relazione ai criteri dimensionali delle PMI in relazione all’allegato alla raccomandazione 2003/261/CE, partendo dal presupposto che questo allegato si applica in toto, tranne per l’art. 3 § 4 espressamente escluso dall’art. 2 § 1 comma 1 della direttiva NIS 2, e poi anche dall’art. 3 comma 3 del decreto NIS.E’ chiaro che escludere un parte dell’allegato, vuol dire logicamente ritenere applicabile la restante parte non esclusa, con tutta una serie di conseguenze pratiche anche in sede di registrazione.Se questa tesi è condivisibile, allora c’è quanto meno un’altra imprecisione sulle FAQ dell'ACN ed anche nella stessa procedura di registrazione, in particolare nella parte relativa alla indicazione dei criteri dimensionali.Appena arriverà la risposta dell’ACN, pubblicherò la problematica.Di questo problema in anteprima e di altre questioni relative alla procedura di registrazione ne andremo a parlare io e Stefano Benato, esperto di sicurezza informatica, nel nostro webinar dedicato solo alla registrazione presso la piattaforma dell’ACN, con l’esame anche di un certo numero di casi pratici simili a quelli che che stiamo già a

]]> Studiodallariva Tue, 07 Jan 2025 16:52:08 +0100 https://www.studiodallariva.it/blog/perma/1736264100/article/webinar-direttiva-nis-2-la-fase-di-registrazione-p.html 1736264100 cyber security

Il presente articolo vuole esaminare una possibile imprecisione normativa indicata nelle FAQ punto 1.6 dell’ACN (Agenzia per la Cybersicurezza Nazionale), circa i criteri di individuazione delle imprese di medie dimensioni in applicazione della raccomandazione 2003/361/CE richiamata dall’art. 3 commi 2, 3, 4 del decreto legislativo 4.09.2024 n. 138 di attuazione della direttiva 2022/2555/UE c.d. direttiva NIS 2. In particolare, nel punto 1.6 delle FAQ https://www.acn.gov.it/portale/faq/nis si legge quanto segue: “1.6 Come faccio a sapere se sono una grande, media o piccola impresa? Per la definizione di media impresa occorre far riferimento ai requisiti dimensionali indicati nell’articolo 2, paragrafo 1, dell'allegato alla raccomandazione 2003/361/CE nonché, in modo più specifico, alla Guida dell’utente alla definizione di PMI (pubblicata dalla Commissione europea nel 2020). Quest’ultima prevede espressamente che il requisito dimensionale di una impresa deve essere soddisfatto sulla base sia del numero di dipendenti effettivi sia del criterio economico, da conseguire attraverso il fatturato annuo o, in alternativa, il totale annuo di bilancio. Le medie imprese hanno: tra 50 e 249 dipendenti effettivi; un fatturato annuo superiore ai 10 e inferiore a 50 milioni di euro oppure, in alternativa, un totale di bilancio annuo superiore ai 10 e inferiore ai 43 milioni di euro. …” Valori di soglia superiori identificano la grande impresa e valori di soglia inferiori identificano le piccole e le micro imprese.” In base a quanto indicato nel punto 1.6 in parola, viene specificato come media impresa quella che ha un numero di dipendenti effettivi compreso tra 50 e 249, escludendo quindi quelle imprese che pur avendo meno di 50 dipendenti, hanno un fatturato e un totale di bilancio superiore a 10 milioni di euro (e rientrano nei limiti di fatturato e totale di bilancio rispettivamente 50 milioni e

]]> Studiodallariva Tue, 10 Dec 2024 12:41:42 +0100 https://www.studiodallariva.it/blog/perma/1733830020/article/direttiva-nis-criteri-dimensionali-pmi.html 1733830020 cyber security

🌍 Webinar sulla NIS 2 (Direttiva 2022/2555/UE) e Decreto di Attuazione 🌍 📅 Data: 18/09/2024 🕒Orario: 9:00 - 13:00 e 14:00 - 16:00 (6h) 💻Modalità: Online (a pagamento vd. locandina allegata)Sono davvero entusiasta di aver organizzato, insieme a Stefano Benato, questo seminario per approfondire la Direttiva NIS 2 e il decreto legislativo di attuazione (il testo in bozza è stato inviato al Parlamento ed approvato dal Consiglio dei Ministri in data 7 agosto e presto sarà pubblicato in Gazzetta Ufficiale).L'obiettivo è aiutare le aziende a prepararsi al meglio agli adempimenti conseguenti.🔐 La Direttiva NIS 2 rappresenta un passo fondamentale per la sicurezza informatica delle aziende e delle pubbliche amministrazioni, ma si presenta come una normativa complessa e articolata, che richiede una lettura attenta e approfondita. Proprio per questo motivo, abbiamo strutturato un seminario di almeno 6 ore.👉 Cosa aspettarsi dal webinar? Dialogheremo con i partecipanti per mettere a fuoco le novità più importanti e capire le tempistiche degli adempimenti, alcuni dei quali sono molto ravvicinati.Come avvocato, insieme a Stefano Benato, esperto di sicurezza informatica, offriremo una lettura integrata giuridico-tecnica, anche attraverso l'analisi di casi pratici visti nell'ottica della NIS 2.   ...Continue Reading → You\'re reading WEBINAR DIRETTIVA NI2 27-11-2024 by Studiodallariva, posted on STUDIO LEGALE DALLA RIVA.

]]> Studiodallariva Wed, 30 Oct 2024 12:40:38 +0100 https://www.studiodallariva.it/blog/perma/1730288160/article/webinar2-direttiva-ni2.html 1730288160 cyber security

DECRETO LEGISLATIVO 4 settembre 2024, n. 138 Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell'Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148.      ...Continue Reading → You\'re reading Decreto legislativo 4.09.2024 n. 138 di attuazione della direttiva NIS 2 by Studiodallariva, posted on STUDIO LEGALE DALLA RIVA.

]]> Studiodallariva Wed, 02 Oct 2024 10:53:33 +0200 https://www.studiodallariva.it/blog/perma/1727858760/article/decreto-legislativo-2024-138.html 1727858760 cyber security

E' stato pubblicato sulla G.U. del 23-09-2024, il decreto legislativo 4 settembre 2024 n. 134 avente ad oggetto "Attuazione della direttiva (UE) 2022/2557 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativa alla resilienza dei soggetti critici e che abroga la precedente direttiva 2008/114/CE"    ...Continue Reading → You\'re reading Decreto legislativo 4.09.2024 n. 134 di attuazione della direttiva CER 2022/2557/2024 by Studiodallariva, posted on STUDIO LEGALE DALLA RIVA.

]]> Studiodallariva Tue, 24 Sep 2024 09:20:11 +0200 https://www.studiodallariva.it/blog/perma/1727162040/article/decreto-legislativo-134.html 1727162040 cyber security

PERIMETRO NIS 2: ATTENZIONE, E’ PIÙ AMPIO DI QUELLO CHE SI CREDE   Non c’è dubbio che nella prima fase di compliance alla direttiva NIS 2, sia davvero fondamentale capire se la propria azienda è da considerarsi soggetto essenziale o importante, e quindi direttamente tenuta a registrarsi presso la piattaforma (da attivare) dell’ACN (Agenzia per la Cybersicurezza Nazionale) ed evitare fin da subito le sanzioni previste (dall’art. 38 co. 10, 11 in combinato disposto con l’art. 7 dello schema di decreto legislativo già approvato dal Consiglio dei Ministri il 7 agosto scorso e che presto sarà pubblicato nella Gazzetta Ufficiale). Per stabilire se un’azienda è soggetto essenziale o importante, diversi sono i criteri da considerare; i più noti sono quelli del criterio dimensionale e della tipologia del settore critico, di cui agli allegati I e II, ma spesso assunti come gli unici criteri esistenti, mentre esistono altri criteri altrettanto importanti ma poco considerati, la cui mancata analisi può portare a gravi errori. Non entro su questi ultimi, ma vorrei catalizzare in primo luogo l’attenzione su come già l’analisi del primo criterio dimensionale avvenga spesso in modo non corretto rispetto alla norma, prendendo come indice della dimensione il numero di dipendenti e il fatturato o il patrimonio della società che tratta quel particolare settore critico, per verificare se rientri o superi i parametri della media azienda. Questa valutazione invece va svolta tenendo conto della raccomandazione 2003/361/CE, considerando il gruppo societario. Ci sono anche situazioni di società, nell’ambito di un gruppo, che non svolgono attività critica, non superano i criteri dimensionali, ma, a certe condizioni previste dallo schema di decreto legislativo, sono da considerarsi soggetti importanti o addirittura, in casi particolari, soggetti ess

]]> Studiodallariva Mon, 02 Sep 2024 16:47:48 +0200 https://www.studiodallariva.it/blog/perma/1725288180/article/perimetro-nis-2.html 1725288180 cyber security

...Continue Reading → You\'re reading SEMINARIO ONLIVE SULLA DIRETTIVA NIS 2 (2022/2555/UE) by Studiodallariva, posted on STUDIO LEGALE DALLA RIVA.

]]> Studiodallariva Fri, 30 Aug 2024 16:57:37 +0200 https://www.studiodallariva.it/blog/perma/1725029280/article/seminario-nis2.html 1725029280 cyber security

Si è tenuta la sessione di #firewallumano live su linkedin oggi 12.07.2024 - 14.30...è disponibile il video della live, clicca qui!...Continue Reading → You\'re reading °firewallumano linkedin live by Studiodallariva, posted on STUDIO LEGALE DALLA RIVA.

]]> Studiodallariva Fri, 12 Jul 2024 16:48:13 +0200 https://www.studiodallariva.it/blog/perma/1720795380/article/firewallumano-linkedin-live-01.html 1720795380 cyber security

Uno degli attacchi dei criminal hacker che passano sottotraccia per le remore delle aziende a renderlo noto, è la truffa BEC (Business Email Compromise) che consiste, semplificando, nell’inganno volto a convincere la vittima, di solito un dipendente, a bonificare somme anche molto consistenti ad un conto corrente diverso rispetto a quello legittimo. Detto in termini più semplici: il denaro viene inviato al conto corrente dell’hacker e non al vero destinatario. E’ poi quasi sempre troppo tardi per bloccare il bonifico: il danno è ormai fatto. Quando succede in un’azienda, si passa dall’incredulità allo shock misto ad una silenziosa vergogna in coloro che all’interno dell’azienda sono stati ingannati, quasi sempre persone esperte, non certo sprovveduti. Si tratta di un fenomeno molto rilevante che dovrebbe far accendere i campanelli di allarme nelle direzioni aziendali per adottare quelle contromisure volte a ridurre il rischio, ma questo è un rischio poco percepito perché emerge pochissimo nei mass media, tranne che a livello giudiziario. Negli ultimi anni, si trovano sempre più sentenze che si occupano di questo tipo di truffe BEC dove si tratta di valutare, dal punto di vista giuridico, se il pagamento fatto all’hacker è valido ed efficace per il debitore liberandolo rispetto al creditore. Un recente caso trattato dal tribunale di Belluno appare utile per spiegare come ragiona un giudice. Una ditta ottiene un decreto ingiuntivo per una fornitura di oltre 48 mila euro verso un suo cliente, il quale ha proposto opposizione al decreto, sostenendo di aver pagato la fornitura esattamente all’IBAN indicato nella fattura allegata alla mail appartenente al creditore, come da consolidata prassi. La cliente opponente deposita l’email, la fattura con indicato l’IBAN e la contabile del bonifico. Si precisa anche che la mail con la fattura è st

]]> STUDIO LEGALE DALLA RIVA Wed, 10 Apr 2024 09:28:14 +0200 https://www.studiodallariva.it/blog/perma/1712733840/article/truffa-bec-pagamento-hacker.html 1712733840 cyber security

SE CHI PROPONE DI SEMINARE LE MONETE D’ORO NEL CAMPO DEI MIRACOLI, NON PUÒ ESSERE CHE IL GATTO E LA VOLPE… Recentemente, un cliente mi ha raccontato di aver subito una truffa finanziaria, peraltro ancora in corso, dove ha perso circa 15 mila euro, una parte non piccola dei suoi risparmi. Il suo racconto è una sorta di decalogo di come avvengono questo tipo di truffe, che da esterni sembra impossibile che avvengano, eppure sono ricorrenti. Tant’è che la vittima, prima di contattarmi, aveva già fatto denuncia-querela: l’ufficiale di polizia, nel redigerla, ha ripreso, pressoché in toto, una denuncia precedente di pochi giorni prima, avvenuta in modo identico. Di seguito vorrei sintetizzare la tecnica utilizzata per ingannare la vittima: 1. Tutto è iniziato grazie ad un banner di un sito di trading online di una sedicente società con sede a Londra, che prometteva rendimenti notevoli. Questo ha incuriosito la vittima, la quale ha chiesto chiarimenti in merito. La vittima è stata contattata da una persona che si è presentata con modi molto professionali e cortesi. Il mio cliente dice di aver controllato bene il sito, che gli è apparso molto professionale (dalle mie verifiche su whois del dominio, il sito è stato creato circa 5 mesi prima e non presentava alcuna indicazione circa le autorizzazioni amministrative per l’attività di trading e consulenza relativa…); 2. Per aprire una posizione e il relativo account all'interno della piattaforma di trading, un presunto consulente finanziario ha chiesto alla vittima una cifra minima di circa 300 euro, senza chiedere alcun documento di identità, ma solo il nome e l’email. La vittima ora poteva accedere alla piattaforma di trading per vedere le proprie operazioni di trading, effettuate soprattutto tramite criptovaluta; 3. In seguito, la vittima è stata sollecitata ad investire altre s

]]> STUDIO LEGALE DALLA RIVA Thu, 21 Mar 2024 15:37:20 +0100 https://www.studiodallariva.it/blog/perma/1711031760/article/truffa-finanziaria.html 1711031760 cyber security

Recentemente, ho avuto una conversazione con un dirigente di un'azienda per cui gestisco le segnalazioni interne. Mi ha raccontato come molte aziende non abbiano ancora iniziato ad adeguarsi al Decreto Legislativo 10 marzo 2024, n. 24, nonostante l'adeguamento sia obbligatorio e soggetto a sanzioni da 10.000 a 50.000 euro. Questa situazione non mi sorprende, visto che anche altri professionisti del settore mi hanno espresso considerazioni simili, rilevando anche un'aperta ostilità verso il whistleblowing, considerandolo inutile con la giustificazione che "tanto da noi nessuno segnala". In effetti, ci sono diverse difficoltà che impediscono il raggiungimento della compliance: Capire la normativa: Un primo ostacolo è rappresentato dalla necessità di spiegare alla direzione cos'è il whistleblowing, la sua dinamica e come organizzarsi per rispettare la normativa. Io mi sono preparato delle slide e propongo un seminario interno di 2 ore circa, che svela gli arcani sconosciuti del whistleblowing che genera un certo impatto per i numerosi adempimenti e soprattutto per le difficoltà da superare, in particolare, quella di cui al punto seguente; Ricerca di un gestore delle segnalazioni: È difficile trovare qualcuno disposto a ricoprire il ruolo di gestore delle segnalazioni, incarico che richiede competenze legali e nella protezione dei dati personali, oltre alla consapevolezza delle responsabilità dirette in caso di sanzioni da parte dell'ANAC (le sanzioni infatti riguardano direttamente i soggetti, non l’azienda, che in certi casi è solo obbligata in solido). E’ un problema non da poco, perché in azienda quanto sanno dei rischi sanzionatori, nessuno ne vuole sapere. A questo si aggiunge che, quasi sempre, neppure l’OdV (l’Organismo di Vigilanza del modello 231), è disponibile alla gestione delle segnalazioni, perché è maggioritaria la tesi

]]> STUDIO LEGALE DALLA RIVA Mon, 18 Mar 2024 11:20:31 +0100 https://www.studiodallariva.it/blog/perma/1710757020/article/ritardo-compliance-whistleblowing.html 1710757020 whistleblowing

Da oltre tre anni collaboro con Stefano Benato, esperto di cyber security 👨💻, per offrire servizi di consulenza e formazione relativi alla sicurezza informatica 🖥️ e protezione dei dati personali 🛡️ Quando parliamo con le aziende 🏢, quasi sempre per le PMI ci troviamo di fronte al problema della difficoltà di comunicazione tra la direzione aziendale (di solito CEO e C.d.A.) e il responsabile IT 🗣️. Il responsabile IT chiede di parlare di cyber security con la direzione, portando magari un piano di sicurezza che prevede un certo budget da impiegare in nuove risorse umane, in nuove tecnologie con supporto esterno (EDR, AI, backup, SOC …) 📊 e poi anche la formazione dei dipendenti sul social engineering 🎓. Già solo essere ascoltati è difficile perché c’è sempre qualcos'altro di urgente ⏰ e comunque solo dal CEO, anche perché la cyber security al C.d.A. interessa poco e comunque non è di loro competenza 🤷♂️. C’è da dire che spiegare la cyber security in modo chiaro e semplice, senza astrusi richiami tecnici, non è proprio così facile e richiede una certa capacità di comunicazione che non sempre i responsabili IT hanno maturato 🗨️.  Questa incomunicabilità è tale da portare alle dimissioni del responsabile IT 🚪, che in certi casi si ripetono regolarmente, per cui l’azienda può trovarsi anche senza responsabile IT per lunghi periodi ⌛. Una dimostrazione evidente di questa mentalità gestoria sono le dichiarazioni rilasciate da un direttore generale di fronte a un attacco cyber ad un’azienda veneta: «Ci siamo sentiti soli, isolati, abbandonati; questo non è il nostro campo di gioco. Gli imprenditori del Nordest sono abituati a lavorare, non ad affrontare situazioni del genere. Associazioni di categoria e istituzioni dovrebbero esserci più vicine» 💬

]]> STUDIO LEGALE DALLA RIVA Mon, 20 Nov 2023 16:41:35 +0100 https://www.studiodallariva.it/blog/perma/1700494500/article/mitigare-i-rischi-di-attacco-cyber-dora-e-nis-2-e.html 1700494500 cyber security

SILENZIOSO TSUNAMI NORMATIVO: DIRETTIVA NIS 2, REGOLAMENTO DORA E WHISTEBLOWING E VITA DURA PER I FORNITORI 🌊💼Studiando la normativa sopra citata mi pare stia arrivando in modo silenzioso un dirompente cambio di paradigma normativo per quanto riguarda la cyber security che coinvolgerà intere filiere di fornitura, obbligando molti fornitori a rendere conto del loro modo di gestire la sicurezza informatica 🔒, senza nessuno sconto.🔗Tra la fine del 2024 e l'inizio del 2025 in poi, inizierà questo tsunami normativo che coglierà molti di sorpresa. 😲Questa normativa estende il perimetro di sicurezza per i soggetti “critici”, la cui attività è essenziale o comunque importante per la tenuta di un paese, anche alla propria rete di fornitura, che dovrà essere debitamente monitorata e verificata in relazione alla postura e resilienza cyber security. 🛡️🌐Credo che sia un bene prendersi per tempo perché adeguarsi ai numerosi adempimenti richiederà tempo ⏱ nonché un certo impegno di risorse umane ed economiche e questo anche per i fornitori che verranno inevitabilmente coinvolti.Appare utile, già da ora, cominciare a studiare la normativa citata 📚 e ti metto qui un primo link per scaricarla per tua comodità, se non lo ha già fatto, clicca qui. Si, ma che centra il whistleblowing 📢 ? Centra, perché sarà possibile effettuare segnalazioni anche per le violazioni relative alla normativa NIS 2 (che sostituirà la direttiva NIS e relativo decreto legislativo di recepimento), quindi lo spazio di impunità si riduce.Se non hai visto il decreto legislativo 10.03.2023 n. 24 e la normativa relativa, clicca qui.D’altronde gli attaccanti stanno considerando le aziende italiane come una sorta di bancomat sempre aperto, sarebbe bello far capire loro che è il bancomat è chiuso.Che ne pensi? Sono io che esagero? Leggerò

]]> STUDIO LEGALE DALLA RIVA Tue, 14 Nov 2023 09:37:34 +0100 https://www.studiodallariva.it/blog/perma/1699949880/article/direttiva-nis-2-regolamento-dora.html 1699949880 cyber security

QUI DI SEGUITO IN FORMATO IN FORMATO FLIPBOOK PUOI VISIONARE IL REGOLAMENTO DORA E LE DIRETTIVE NIS 2 E CER   .embed-container { position: fixed; top: 0; left: 0; right: 0; bottom: 0; margin: 0; padding: 0; overflow: hidden; width: 100%; max-width: 100%; z-index: 9999999;} .embed-container iframe, .embed-container object, .embed-container embed { position: absolute; top: 0; left: 0; width: 100%; height: 100%; }  ...Continue Reading → You\'re reading NORMATIVA CYBER SECURITY: REGOLAMENTO DORA, DIRETTIVE NIS 2 E CER by Studiodallariva, posted on STUDIO LEGALE DALLA RIVA.

]]> STUDIO LEGALE DALLA RIVA Tue, 14 Nov 2023 09:26:21 +0100 https://www.studiodallariva.it/blog/perma/1699950060/article/normativa-cyber-security-regolamento-dora-direttiv.html 1699950060 cyber security

RINGRAZIAMENTI AL SERVICE LIONS CLUB PADOVA ANTENORE: 🔐 LE PERSONE COME PRIMA LINEA DI DIFESA CONTRO ATTACCHI DEI CRIMINAL HACKER: L’IMPORTANZA DELLA FORMAZIONE - EVENTO DEL 3 FEBBRAIO 2023 🎓Ho avuto l’onore di partecipare come relatore all'evento organizzato dal Service Lions Club Padova Antenore, insieme a Stefano Benato, esperto di cyber security con cui collaboro. Abbiamo discusso di casi reali di attacchi da parte dei criminal hacker che utilizzano il social engineering, dimostrando come queste tattiche siano in grado di superare le barriere tecnologiche, colpendo direttamente l'essere umano e le sue vulnerabilità.L'uditorio è rimasto molto colpito nel vedere come dati sensibili siano stati pubblicati nelle bacheche di queste gang criminali. Provate ad immaginare cartelle cliniche, referti, documenti personali di un centro sanitario con oltre 40 medici, nonché pratiche gestire da uno studio professionale, visibili in rete alle mercé di chiunque anche di altri criminali. La soluzione per ridurre i rischi che abbiamo proposto è la formazione del personale delle organizzazioni per riconoscere e contrastare questo tipo di attacchi.Solo una formazione personalizzata e flessibile può far maturare quella cultura della cyber security per far diventare le persone la prima linea di difesa contro questi attacchi. E’ proprio quello che stiamo facendo io e Stefano Benato: insieme proponiamo alle organizzazioni un percorso tramite un ecosistema formativo personalizzato su più livelli di consulenza integrata che definiamo hashtag#firewallumano (vedi https://lnkd.in/eKaswx2k ).Desidero esprimere la mia gratitudine al Lions Club per averci offerto l'opportunità di condividere questi temi di fondamentale importanza ed ai partecipanti per l'interesse dimostrato attraverso domande e riflessioni molto interessanti. La formazione, che fa maturare nel tempo la cultura della cyber security, rappresenta l&r

]]> STUDIO LEGALE DALLA RIVA Tue, 14 Nov 2023 08:48:08 +0100 https://www.studiodallariva.it/blog/perma/1675755660/article/seminario-cyber-security-lions-club-padova-antenor.html 1675755660 Blogging

...Continue Reading → You\'re reading WEBINAR WHISTLEBLOWING 7-11-2023 ORE 12.00 by Studiodallariva, posted on STUDIO LEGALE DALLA RIVA.

]]> STUDIO LEGALE DALLA RIVA Thu, 26 Oct 2023 16:11:46 +0200 https://www.studiodallariva.it/blog/perma/1698329220/article/webinar-whistleblowing-7-11-2023-ore-1200.html 1698329220 whistleblowing