Tre normative, una direzione
NIS2, DORA e GDPR hanno ambiti diversi ma condividono lo stesso principio: chi guida l’organizzazione deve approvare le misure di gestione del rischio, verificarne l’attuazione e poterne dimostrare l’adeguatezza.
| Normativa | Chi riguarda | Ruolo del vertice | Notifica degli incidenti |
|---|---|---|---|
| NIS2 D.Lgs. 138/2024 | Soggetti essenziali e importanti nei settori critici: energia, trasporti, sanità, PA, digitale, manifattura e altri | Approva le misure, ne supervisiona l’attuazione, segue una formazione dedicata e ne risponde | Preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese |
| DORA Reg. UE 2022/2554 | Entità finanziarie e fornitori ICT terzi che le servono; applicabile dal 17 gennaio 2025 | L’organo di gestione ha la responsabilità ultima del rischio ICT e approva il quadro di gestione | Notifica iniziale entro 4 ore dalla classificazione come grave (e non oltre 24 ore dalla scoperta), intermedia entro 72 ore, finale entro un mese |
| GDPR Reg. UE 2016/679 | Ogni organizzazione che tratta dati personali | Il titolare risponde dell’adeguatezza delle misure tecniche e organizzative (accountability) | Violazione dei dati al Garante entro 72 ore; comunicazione agli interessati se il rischio è elevato |
Agli organi di amministrazione è richiesto non solo di garantire la sicurezza, ma di poterne dimostrare l’adeguatezza.
Un incidente, più obblighi
Un attacco ransomware a un ospedale, a una banca o a un’utility può attivare contemporaneamente più normative, con autorità e scadenze diverse. Senza un processo unico, le prime ore si consumano nel capire a chi comunicare cosa.
- 4 ore
- DORA: notifica iniziale
- 24 ore
- NIS2: preallarme al CSIRT
- 72 ore
- NIS2 e GDPR: notifica
- 1 mese
- NIS2 e DORA: relazione finale
Un unico sistema di controlli
La risposta efficiente non è moltiplicare i progetti di conformità, ma costruire un solo sistema di controlli che soddisfi i requisiti comuni: governance e ruoli, gestione del rischio, risposta agli incidenti, controllo dei fornitori, test di resilienza, continuità operativa e formazione del vertice.
Cinque domande per il board
- Quali normative si applicano alla nostra organizzazione, e a quali delle nostre società o servizi?
- Chi risponde del rischio digitale e con quale mandato?
- Abbiamo un unico processo di gestione degli incidenti che rispetti tutte le scadenze di notifica?
- Quali fornitori rappresentano il rischio più elevato per la nostra continuità?
- Con quali indicatori misuriamo, nel tempo, la nostra postura?
Assessment integrato NIS2 · DORA · GDPR
Perimetro normativo, gap analysis su un unico quadro di controlli, piano di adeguamento e briefing per il vertice.
Scopri Advisory & Education