Servizi
Sistemi che restano
Le regole europee su dati e tecnologia si sovrappongono più di quanto sembri. L’inventario dei sistemi che serve per la NIS2 è lo stesso che serve per la ISO 27001. L’analisi del rischio fatta per la ISO regge anche le valutazioni d’impatto del GDPR.
Per questo le fondamenta si costruiscono una volta sola. Quello che cambia da un progetto all’altro è cosa ci si mette sopra.
Il primo sistema
Compliance GDPR
A chi serve
A chiunque tratti dati personali: clienti, dipendenti, candidati, fornitori, utenti del sito. Cioè a tutti.
Il problema
Quasi tutte le aziende hanno «fatto la privacy» una volta. Quasi nessuna ha un sistema che si aggiorna quando cambia un fornitore, un software o un reparto.
Come si costruisce
1 Data mapping e registri
Mappo i processi aziendali che comportano trattamenti di dati personali e da lì scrivo il registro del titolare — e quello del responsabile, se lavori anche per conto di altri.
2 Fornitori e responsabili
Individuo chi tratta dati per conto tuo e redigo i contratti che li vincolano. È il punto in cui quasi tutte le aziende sono scoperte.
3 Organigramma e autorizzati
Reparti, mansioni, chi è autorizzato a trattare che cosa. Da qui escono le lettere di autorizzazione al personale e le nomine degli amministratori di sistema.
4 Informative
Per clienti, fornitori, dipendenti e chiunque altro sia coinvolto. Scritte per essere lette, non per essere archiviate.
5 Analisi del rischio e valutazioni d’impatto
Ogni trattamento registrato passa per un’analisi del rischio. Dove serve una valutazione d’impatto, la costruiamo insieme.
6 Asset e misure di sicurezza
Inventario di quello che usi per trattare i dati, e delle misure che lo proteggono — collegate ai trattamenti per cui servono.
7 Policy e procedure
Quelle che servono davvero alla tua organizzazione: violazioni dei dati, richieste delle persone, uso della strumentazione informatica, modello organizzativo privacy.
Le persone si formano
Le regole le applicano le persone. La formazione è un piano a sé, che va avanti tutto l’anno.
Il sistema si rivede
Assessment almeno annuali: quando cambia un fornitore, un software o un reparto, il sistema cambia con loro.
Mi chiami quando serve
Consulenza da remoto illimitata, telefono e videochiamata, negli orari dello studio. Nessun conteggio delle ore.
Hai un sistema che risponde alle tre domande che contano — chi tratta quali dati, perché, e con quale garanzia — e che sai aggiornare quando cambia qualcosa.
Tutto vive nel software, e tu hai le credenziali per guardarci dentro e scaricare i documenti quando ti servono. È una consulenza continuativa: un avviamento all’inizio, poi un canone annuale.
E se ti serve un DPO
In certi casi il Responsabile della protezione dei dati è obbligatorio; in altri conviene averlo comunque, perché serve una figura che risponda e che resti nel tempo. Posso assumere l’incarico per la tua organizzazione, oppure affiancare il DPO che hai già.
Se ne parla in call: dipende da che cosa fai e da chi te lo sta chiedendo.
Il secondo sistema
Compliance NIS2
A chi serve
Alle imprese che rientrano fra i soggetti essenziali e importanti, e alle loro filiere: i clienti obbligati ribaltano i requisiti sui fornitori per contratto, quindi la NIS2 arriva anche a chi non ci rientra direttamente.
Il problema
La prima domanda non è «cosa devo fare», è «rientro o no» — e si sbaglia in tutte e due le direzioni. La seconda è che la NIS2 non si chiude comprando un firewall: chiede un sistema di gestione del rischio.
Prima fase — si costruisce il modello
- Nomine e governance. Chi risponde di che cosa.
- Processi e analisi di impatto. Quanto puoi stare fermo, entro quanto devi ripartire, quanti dati puoi permetterti di perdere.
- Asset, sistemi e fornitori, con le schede di chi ha accesso, valutati per criticità.
- Analisi del rischio, scenario per scenario, prima e dopo le misure.
- Piano di trattamento: che cosa si fa, chi lo fa, entro quando.
- Documentazione del modello: manuale, politiche e procedure, dalla gestione degli accessi alla continuità operativa.
- Verifica sulla checklist ACN e presentazione alla direzione, che approva e mette in funzione il modello.
Seconda fase — si tiene in vita
Un modello lasciato a sé stesso torna a essere carta nel giro di un anno.
La mappatura si aggiorna a ogni cambiamento rilevante, l’analisi del rischio si rifà ogni anno o quando succede qualcosa, l’audit verifica che il modello sia stato davvero recepito, e le politiche si affinano sull’esperienza operativa. Più il supporto quando arriva un incidente o una richiesta dell’Agenzia.
Sai con certezza se rientri, hai un modello approvato dalla direzione e un sistema che continua a girare invece di fermarsi alla consegna.
E la ISO 27001
Non è un obbligo. Nessuna legge impone a un’impresa di certificarsi: è una norma volontaria, e chi te la vende come un adempimento ti sta vendendo male una cosa buona.
Nella pratica non te la chiede lo Stato: te la chiedono i tuoi clienti, nei capitolati di gara, nei questionari di qualifica fornitori e nelle richieste di chi è soggetto a NIS2 e ribalta i requisiti sulla filiera. Non è un obbligo di legge: è un requisito di mercato — e un requisito di mercato non concede proroghe.
Il lavoro somiglia molto a quello della NIS2, ed è per questo che si fanno insieme: contesto e perimetro, inventario degli asset, valutazione del rischio, dichiarazione di applicabilità sui controlli dell’Allegato A, politiche e procedure, audit interno e riesame di direzione, fino all’audit dell’ente di certificazione.
Per le società informatiche
Sei una società informatica con clienti in NIS2?
La NIS2 chiede due cose diverse. Una è tecnica — segmentazione della rete, backup, autenticazione forte, log, rilevamento — ed è il tuo mestiere. L’altra è governance: mappare processi, asset e fornitori, analizzare il rischio, scrivere il modello organizzativo e le sue politiche, tenerlo vivo e saperlo dimostrare a un’ispezione. È il mio.
Se i tuoi clienti ti stanno chiedendo la NIS2 e non vuoi costruirti in casa una struttura legale e organizzativa per rispondere, quella parte la porto io.
Il cliente resta tuo
Io lavoro sul modello; il rapporto commerciale e tecnico resta in mano a te.
Quello che porto
Assessment e mappatura di processi, asset e fornitori; analisi del rischio e piano di trattamento; il corpus documentale del modello; la verifica sulla checklist ACN.
Quello che resta dopo
Il mantenimento annuale — mappatura aggiornata, rischio rifatto, audit — che è la parte che tiene il cliente legato nel tempo.
Ognuno il suo pezzo
Le misure tecniche le implementi tu: non vendo firewall e non faccio remediation.
E tutto il resto che tocca la tecnologia
Chi produce o compra software si accorge per primo delle regole nuove, e ha bisogno di contratti che reggano. Me ne occupo su due fronti.
I contratti
Sviluppo software, licenze e SaaS, managed service provider, EULA, accordi di riservatezza, hosting. Scritti o revisionati per la parte che ti riguarda: quello che prometti, quello che ti prometti, e che cosa succede quando qualcosa non funziona.
Le regole che arrivano
L’Europa non ha smesso di scrivere. Non le elenco qui, perché l’elenco invecchia: se è una regola europea e tocca tecnologia o dati, me ne occupo — anche quando ha un nome che non hai ancora sentito.
L’AI Act è quella di cui mi chiedono di più: se usi sistemi di intelligenza artificiale al lavoro, il primo obbligo riguarda la competenza di chi li usa.
Non sai da quale cominciare?
È la domanda più frequente, e la risposta dipende da tre cose: cosa fa la tua azienda, chi sono i tuoi clienti, e cosa ti hanno già chiesto. Trenta minuti bastano per stabilirlo.