GDPR · NIS2 · Cyber Resilience Act · Digital Services Act · ISO 2700x · Modello 231
La compliance giusta ti protegge due volte: da sanzioni e da esclusioni
Compliance normativa significa evitare sanzioni, ma anche non essere escluso da gare, contratti e audit dei grandi clienti. Ti accompagniamo nell’intero percorso di adeguamento a GDPR, NIS2, CRA, DSA e ISO 2700x: gap analysis, documentazione pronta all’uso, ruoli di DPO, CISO, CTO e CAIO in consulenza esterna. Nessuna sorpresa quando arriva l’audit.
Trent’anni di lavoro con le imprese italiane ci hanno insegnato una cosa: la compliance affrontata con ordine non pesa. Lo diventa solo quando la si rimanda.
Un solo ombrello, cinque normative:
cosa devi sapere in breve
GDPR
Il Regolamento (UE) 2016/679 resta la base di tutto: qualsiasi trattamento di dati personali, incluso quello legato a strumenti di cybersecurity e AI, deve rispettarne i principi di liceità, minimizzazione e sicurezza. Le implicazioni cyber sono dirette: un incidente di sicurezza che coinvolge dati personali è anche una data breach da notificare al Garante entro 72 ore.
Cyber Resilience Act (CRA)
Il Regolamento CRA riguarda chi produce o distribuisce prodotti con elementi digitali (software, IoT, dispositivi connessi) e introduce requisiti di sicurezza fin dalla progettazione. Dall’11 giugno 2026 sono attive le disposizioni sulla notifica degli organismi di valutazione della conformità, dall’11 settembre 2026 scattano gli obblighi di comunicazione delle vulnerabilità attivamente sfruttate, mentre la piena applicazione arriva l’11 dicembre 2027.
Digital Services Act (DSA)
Il Regolamento (UE) 2022/2065 impone trasparenza sugli algoritmi, verifica dei venditori terzi (KYBC, Know Your Business Customer) e gestione tracciabile delle segnalazioni di contenuti illeciti a piattaforme e marketplace online, con sanzioni fino al 6% del fatturato globale. Riguarda chi vende online intermediando venditori terzi, anche piccole realtà.
ISO 2700x
Le norme della famiglia ISO/IEC 27001 non sono un obbligo legale ma lo standard internazionale di riferimento per un sistema di gestione della sicurezza delle informazioni (ISMS): adottarle rende più semplice dimostrare conformità sia a NIS2 che a GDPR durante un audit, ed è spesso richiesto come prerequisito nelle gare d’appalto.
NIS2: la tua azienda è pronta o rischia sanzioni?
Il D.Lgs. 138/2024, che recepisce la Direttiva NIS2 (UE 2022/2555), è in vigore dal 16 ottobre 2024, ma il 2026 è l’anno in cui gli obblighi diventano concreti: ACN ha fissato un calendario preciso di scadenze e chi non si adegua rischia sanzioni e responsabilità dirette dei dirigenti.
Il calendario NIS2 2026 in un’occhiata
Le determinazioni ACN n. 127437 e n. 127434/2026 scandiscono un anno di adempimenti obbligatori, dalla registrazione di gennaio alla “deadlock date” di ottobre.
Chi era già registrato come soggetto NIS2 nel 2025 non ha diritto a proroghe; i nuovi soggetti inseriti nel 2026 hanno tempo fino al 31 luglio 2027 per le misure sui sistemi DNS. La mancata osservanza espone l’ente alle sanzioni previste dall’art. 38 del decreto.
Il ciclo PDCA: il metodo che mettiamo al servizio della tua compliance
Applichiamo la logica PDCA per costruire un sistema di gestione del rischio realmente sostenibile nel tempo, non solo un adempimento burocratico.
- Plan: definizione e condivisione delle responsabilità, analisi dei rischi e documentazione come base per la formazione del personale
- Do: policy e procedure operative, capacità di individuare situazioni anomale, piano di risposta agli incidenti
- Check: impianto documentale come criterio di riferimento per audit e ispezioni
- Act: individuazione e implementazione di azioni di miglioramento continuo dei presidi di sicurezza
“Perché ho ricevuto un questionario NIS2 se non sono un soggetto obbligato?”
Se il tuo cliente è un soggetto NIS2 essenziale o importante, la legge lo obbliga a valutare i rischi di tutti i fornitori il cui servizio, se compromesso, danneggerebbe la sua continuità operativa: dai fornitori ICT (cloud, SOC, help desk) ai fornitori di “Servizi Infungibili” (Critici non sostituibili):
- Dipendenze digitali: Sistemi IT essenziali e unici per l’azienda
- Dipendenze fisiche o di processo: Aziende terze che forniscono beni o servizi che non possono essere sostituiti senza causare un blocco significativo delle attività del cliente.
Per questo anche piccole aziende fuori dal perimetro NIS2 diretto ricevono questionari su sicurezza e gestione incidenti. Chi non risponde in modo adeguato rischia di essere escluso dalla catena di fornitura, perché la responsabilità resta comunque in capo al cliente obbligato.
Come ti aiutiamo a rispondere:
Cybersecurity e Modello 231: un obbligo che si allarga
Il CNDCEC, con l’Informativa n. 88 del 18 maggio 2026, ha pubblicato il documento “Cybersecurity e Modello 231: integrazione dei rischi informatici nella governance d’impresa”. L’art. 24-bis del D.Lgs. 231/2001 estende la responsabilità amministrativa dell’ente a reati come accesso abusivo a sistemi informatici (art. 615-ter c.p.), diffusione illecita di codici di accesso (art. 615-quater c.p.) e danneggiamento di dati o sistemi (artt. 635-bis e ss.). La Legge 90/2024 ha inasprito sanzioni e fattispecie, imponendo l’aggiornamento dei Modelli di organizzazione, gestione e controllo (MOG) e un ruolo più attivo dell’Organismo di Vigilanza sul rischio cyber.
