Una società del settore sanitario privato (oltre 400 dipendenti e 5 sedi in Italia) si è rivolta a ERSG dopo aver subito un data breach causato da phishing, con perdita temporanea di dati sensibili di pazienti e blocco operativo per 36 ore.
Data Protection System
Dalla compliance al valore strategico
ERSG ha sviluppato il Data Protection System, un approccio integrato che consente alle organizzazioni di gestire in modo strutturato gli obblighi normativi in materia di protezione dei dati. L’obiettivo è trasformare la compliance in un reale vantaggio competitivo, generando benefici concreti e duraturi in termini di efficienza, affidabilità e governance.
Conformità GDPR e NIS2: un approccio integrato per la sicurezza aziendale
Oggi più che mai, la protezione dei dati sensibili e la sicurezza informatica non sono più un optional, ma un pilastro strategico per la crescita aziendale.
Il Regolamento Generale sulla Protezione dei Dati (GDPR) e la Direttiva NIS2 (recepita in Italia con il D.Lgs. 4 settembre 2024 n. 138) definiscono standard rigorosi, e la loro corretta applicazione è essenziale per garantire continuità operativa, reputazione e competitività.
ERSG ha sviluppato il Data Protection System, un approccio integrato che trasforma gli obblighi normativi in vantaggi concreti e duraturi per le organizzazioni.
Data Protection System
Integrare protezione dei dati, cybersecurity e compliance normativa.
Il Data Protection System di ERSG: integrazione tra GDPR e NIS2
Il metodo ERSG si articola in tre fasi principali:
Assessment integrato (GAP Analysis)
Analisi approfondita per individuare lacune, rischi e azioni correttive necessarie per l’allineamento normativo.
Implementazione di un sistema di protezione personalizzato
Progettazione di un sistema documentale e operativo con policy, procedure, piani di gestione del rischio, ruoli e strumenti digitali per la tutela dei dati e la sicurezza delle infrastrutture IT.
Formazione e consapevolezza del personale
Percorsi formativi su misura per aumentare la consapevolezza e la capacità di risposta del personale ai rischi informatici e alle minacce interne.
Vantaggi per la tua azienda con il Data Protection System di ERSG
Con il Data Protection System ERSG puoi:
- Rafforzare la fiducia di clienti e partner grazie a un sistema di protezione certificabile e verificabile.
- Ridurre il rischio di attacchi informatici e sanzioni attraverso procedure di controllo e monitoraggio continuo.
- Aumentare la competitività grazie a processi sicuri e auditabili.
- Garantire la continuità operativa e la resilienza dei sistemi informativi.
Le considerazioni della Dott.ssa Emilia Barbati
“Oggi, la protezione dei dati e la cybersecurity sono due facce della stessa medaglia. Le normative come GDPR e NIS2 non devono essere viste come un ostacolo, ma come un’opportunità per elevare la qualità e la fiducia negli stakeholder. Il nostro approccio integrato non si limita a un adempimento formale, ma costruisce una cultura della sicurezza informatica, dove ogni dipendente è parte attiva della protezione aziendale.”
Dott.ssa Emilia Barbati, Deputy Legal Manager, RODV, Mobility Manager
Come il Data Protection System ERSG ha ridotto del 70% gli incidenti informatici
Le considerazioni tecniche del Dott. Federico Mantovani
“Il Data Protection System di ERSG rappresenta un esempio concreto di integrazione funzionale tra requisiti normativi e processi aziendali. Dal punto di vista tecnico, il valore aggiunto risiede nella modularità: il sistema consente di implementare controlli di sicurezza in modo proporzionato al rischio reale, evitando soluzioni standardizzate e inefficaci. Inoltre, l’adozione di un approccio basato sull’evidenza e sulla misurabilità delle performance (KPI di sicurezza, audit periodici, indicatori di conformità) permette di mantenere nel tempo un livello elevato di protezione e accountability. In un contesto normativo sempre più stringente, la capacità di dimostrare la conformità e la resilienza informatica non è solo un requisito legale, ma un vero vantaggio competitivo.”
Federico Mantovani
Consulente QHSE | Auditor Sistemi di Gestione
Consulente QHSE | Auditor Sistemi di Gestione
Valore strategico
Sistema di gestione dei dati e della sicurezza
Consolidare affidabilità, resilienza e governance nel tempo.
FAQ – Domande frequenti su GDPR e NIS2
1. Cos’è il GDPR e chi deve rispettarlo?
Il GDPR (Regolamento UE 2016/679) è la normativa europea che tutela i dati personali dei cittadini dell’Unione. Devono rispettarlo tutte le organizzazioni — pubbliche e private — che trattano dati personali di cittadini UE, indipendentemente dalla sede legale dell’organizzazione. L’applicabilità si valuta caso per caso in rapporto ai dati trattati e alle finalità del trattamento.
2. Cos’è la Direttiva NIS2 e quali soggetti coinvolge?
La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024. Coinvolge operatori e fornitori nei settori critici (18 settori indicati dalla direttiva, es. energia, trasporti, sanità, finanza, digitale) e introduce obblighi rafforzati di gestione del rischio, governance e notifica degli incidenti. L’applicazione dipende dalla natura e dalla dimensione dell’ente.
3. Qual è la differenza pratica tra GDPR e NIS2?
- GDPR tutela i diritti degli interessati e regola il trattamento dei dati personali (privacy).
- NIS2 disciplina la cybersecurity e la resilienza operativa delle infrastrutture digitali e dei servizi essenziali.
Le due normative sono complementari: GDPR impone misure per proteggere i dati personali, NIS2 richiede misure tecniche e organizzative per garantire la continuità e la sicurezza dei servizi ICT.
4. Che cos’è un “data breach” e cosa devo fare in caso di violazione?
Un data breach è qualsiasi evento che comporti distruzione, perdita, alterazione, divulgazione non autorizzata o accesso non autorizzato a dati personali. In caso di violazione il titolare del trattamento deve:
- Valutare la gravità dell’evento;
- Notificare il Garante per la Protezione dei Dati entro 72 ore dal momento in cui è venuto a conoscenza dell’incidente (salvo eccezioni giustificate);
- Comunicare agli interessati quando il rischio per i loro diritti e libertà è elevato;
- Attivare il piano di incident response e le azioni di mitigazione previste dal Data Protection System.
5. Cosa significa essere “soggetto essenziale” o “soggetto importante” secondo la NIS2?
La NIS2 classifica le entità in base alla criticità dei servizi offerti e alla loro dimensione:
- Soggetti Essenziali: forniscono servizi fondamentali per la società (es. fornitori di energia). Sono sottoposti ai requisiti più stringenti.
- Soggetti Importanti: forniscono servizi critici ma con un impatto potenzialmente meno esteso.
La classificazione determina obblighi diversi in termini di governance, risk management e reporting.
6. Devo applicare sia il GDPR sia la NIS2?
Dipende: se tratti dati personali di cittadini UE sei soggetto al GDPR. Se operi in uno dei settori coperti dalla NIS2 e rientri nei criteri dimensionali, devi adempiere anche alla NIS2. Molte aziende si trovano a dover rispettare entrambe le normative; per questo è efficace un approccio integrato come il Data Protection System di ERSG.
7. Quali sono le sanzioni per la mancata conformità?
Le sanzioni sono rilevanti:
- GDPR: fino a 20 milioni di euro o al 4% del fatturato annuo globale, a seconda del caso.
- NIS2: possono arrivare fino a 10 milioni di euro per i soggetti essenziali e 7 milioni di euro per i soggetti importanti.
Oltre alle sanzioni pecuniarie, la non conformità comporta rischi reputazionali e perdite operative.
8. Il Data Protection System include la figura del DPO (Data Protection Officer)?
Sì. Il servizio ERSG può prevedere l’assunzione del ruolo di DPO esterno, quando richiesto dalla normativa. Il DPO supporta il titolare del trattamento nella governance della privacy, funge da punto di contatto con le autorità di controllo e contribuisce alla gestione delle questioni relative ai diritti degli interessati.
9. Come aiuta la formazione a migliorare la sicurezza aziendale?
La formazione è cruciale: una parte significativa degli incidenti ha origine da errori umani (es. phishing, uso improprio delle credenziali). I percorsi formativi ERSG includono simulazioni pratiche, campagne di sensibilizzazione e moduli di aggiornamento periodico, elementi che riducono significativamente il rischio operativo e migliorano la resilienza complessiva dell’organizzazione.
10. Quali sono i primi passi per avviare un percorso di conformità?
I primi passaggi consigliati sono:
- GAP Analysis / Assessment iniziale per valutare il livello di conformità e le vulnerabilità;
- Definizione del piano di adeguamento con priorità operative;
- Implementazione tecnica e organizzativa (policy, controlli tecnici, incident response, ruoli e responsabilità);
- Formazione e test periodici;
- Audit e monitoraggio continuo per mantenere la conformità nel tempo. ERSG può affiancare l’azienda in ogni fase.
11. In che modo ERSG gestisce la notifica degli incidenti verso le autorità competenti?
ERSG supporta il cliente nella gestione end-to-end dell’incidente: identificazione, contenimento, analisi forense preliminare, valutazione del rischio per gli interessati, redazione della notifica al Garante e dei report richiesti dalla NIS2, e supporto nella comunicazione verso stakeholder e utenti.
12. Il Data Protection System di ERSG è scalabile per PMI e grandi aziende?
Sì. Il sistema è modulare e progettato per essere proporzionato alla dimensione e al rischio aziendale: le misure tecniche e organizzative vengono dimensionate in base al contesto operativo, evitando sovra-ingegnerizzazioni e garantendo un ritorno efficace sull’investimento di sicurezza.