Data Protection System

Il GDPR (Regolamento UE 2016/679) è la normativa europea che tutela i dati personali dei cittadini dell’Unione. Devono rispettarlo tutte le organizzazioni — pubbliche e private — che trattano dati personali di cittadini UE, indipendentemente dalla sede legale dell’organizzazione. L’applicabilità si valuta caso per caso in rapporto ai dati trattati e alle finalità del trattamento.

La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024. Coinvolge operatori e fornitori nei settori critici (18 settori indicati dalla direttiva, es. energia, trasporti, sanità, finanza, digitale) e introduce obblighi rafforzati di gestione del rischio, governance e notifica degli incidenti. L’applicazione dipende dalla natura e dalla dimensione dell’ente.

• GDPR tutela i diritti degli interessati e regola il trattamento dei dati personali (privacy).
• NIS2 disciplina la cybersecurity e la resilienza operativa delle infrastrutture digitali e dei servizi essenziali.

Le due normative sono complementari: GDPR impone misure per proteggere i dati personali, NIS2 richiede misure tecniche e organizzative per garantire la continuità e la sicurezza dei servizi ICT.

Un data breach è qualsiasi evento che comporti distruzione, perdita, alterazione, divulgazione non autorizzata o accesso non autorizzato a dati personali. In caso di violazione il titolare del trattamento deve:

1. Valutare la gravità dell’evento;
2. Notificare il Garante per la Protezione dei Dati entro 72 ore dal momento in cui è venuto a conoscenza dell’incidente (salvo eccezioni giustificate);
3. Comunicare agli interessati quando il rischio per i loro diritti e libertà è elevato;
4. Attivare il piano di incident response e le azioni di mitigazione previste dal Data Protection System.

La NIS2 classifica le entità in base alla criticità dei servizi offerti e alla loro dimensione:

• Soggetti Essenziali: forniscono servizi fondamentali per la società (es. fornitori di energia). Sono sottoposti ai requisiti più stringenti.
• Soggetti Importanti: forniscono servizi critici ma con un impatto potenzialmente meno esteso.

La classificazione determina obblighi diversi in termini di governance, risk management e reporting.

Dipende: se tratti dati personali di cittadini UE sei soggetto al GDPR. Se operi in uno dei settori coperti dalla NIS2 e rientri nei criteri dimensionali, devi adempiere anche alla NIS2. Molte aziende si trovano a dover rispettare entrambe le normative; per questo è efficace un approccio integrato come il Data Protection System di ERSG.

Le sanzioni sono rilevanti:

• GDPR: fino a 20 milioni di euro o al 4% del fatturato annuo globale, a seconda del caso.
• NIS2: possono arrivare fino a 10 milioni di euro per i soggetti essenziali e 7 milioni di euro per i soggetti importanti.

Oltre alle sanzioni pecuniarie, la non conformità comporta rischi reputazionali e perdite operative.

Sì. Il servizio ERSG può prevedere l’assunzione del ruolo di DPO esterno, quando richiesto dalla normativa. Il DPO supporta il titolare del trattamento nella governance della privacy, funge da punto di contatto con le autorità di controllo e contribuisce alla gestione delle questioni relative ai diritti degli interessati.

La formazione è cruciale: una parte significativa degli incidenti ha origine da errori umani (es. phishing, uso improprio delle credenziali). I percorsi formativi ERSG includono simulazioni pratiche, campagne di sensibilizzazione e moduli di aggiornamento periodico, elementi che riducono significativamente il rischio operativo e migliorano la resilienza complessiva dell’organizzazione.

I primi passaggi consigliati sono:

1. GAP Analysis / Assessment iniziale per valutare il livello di conformità e le vulnerabilità;
2. Definizione del piano di adeguamento con priorità operative;
3. Implementazione tecnica e organizzativa (policy, controlli tecnici, incident response, ruoli e responsabilità);
4. Formazione e test periodici;
5. Audit e monitoraggio continuo per mantenere la conformità nel tempo. ERSG può affiancare l’azienda in ogni fase.

ERSG supporta il cliente nella gestione end-to-end dell’incidente: identificazione, contenimento, analisi forense preliminare, valutazione del rischio per gli interessati, redazione della notifica al Garante e dei report richiesti dalla NIS2, e supporto nella comunicazione verso stakeholder e utenti.

Sì. Il sistema è modulare e progettato per essere proporzionato alla dimensione e al rischio aziendale: le misure tecniche e organizzative vengono dimensionate in base al contesto operativo, evitando sovra-ingegnerizzazioni e garantendo un ritorno efficace sull’investimento di sicurezza.