Compliance NIS2, GDPR, AI Act e ISO 27001
Trasformiamo gli obblighi normativi in un sistema di gestione che regge un audit e riduce il rischio reale: analisi delle lacune, misure tecniche, documentazione, formazione ed evidenze. Un unico referente per cyber e AI compliance.
Direttiva NIS2: chi è soggetto e cosa deve fare
La direttiva NIS2 (recepita in Italia con il D.Lgs. 138/2024) estende gli obblighi di sicurezza informatica a molti settori considerati essenziali o importanti: energia, trasporti, sanità, acqua, infrastrutture digitali, servizi ICT gestiti, pubblica amministrazione, rifiuti, alimentare, manifattura di dispositivi e chimica, tra gli altri. Rientrano di norma le organizzazioni con almeno 50 dipendenti o 10 milioni di euro di fatturato, oltre a soggetti specifici individuati per criticità.
Gli obblighi principali sono la registrazione presso l'ACN, l'adozione di misure di gestione del rischio proporzionate, la notifica degli incidenti significativi entro le finestre previste (pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese) e la responsabilità diretta degli organi di amministrazione, che devono essere formati.
Il nostro intervento parte dalla verifica dell'ambito di applicazione e arriva alla documentazione delle misure: analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, controllo degli accessi, crittografia, formazione.
- Verifica dell'ambito di applicazione e della categoria (essenziale o importante)
- Gap analysis rispetto alle misure minime del D.Lgs. 138/2024
- Procedura di notifica incidenti allineata alle scadenze ACN
- Sicurezza della supply chain e clausole contrattuali per i fornitori
- Formazione degli organi di amministrazione e del personale
- Documentazione ed evidenze pronte per le ispezioni
GDPR: protezione dei dati personali e data breach
Il Regolamento UE 2016/679 richiede di sapere quali dati personali tratti, con quale base giuridica, per quanto tempo, con quali misure di sicurezza e con quali fornitori. In caso di violazione dei dati, la notifica al Garante va valutata e, se dovuta, inviata entro 72 ore dalla conoscenza dell'evento.
Allineiamo la parte documentale (registro dei trattamenti, informative, nomine dei responsabili, DPIA) alla parte tecnica: cifratura, backup verificati, gestione degli accessi, log, procedura di data breach realmente utilizzabile sotto pressione.
- Registro dei trattamenti e revisione delle informative
- DPIA per trattamenti a rischio elevato, AI inclusa
- Accordi con responsabili del trattamento (art. 28)
- Procedura di gestione e notifica dei data breach
- Supporto al DPO o servizio di DPO esterno
AI Act: obblighi, alfabetizzazione IA e classificazione dei sistemi
Il Regolamento UE 2024/1689 (AI Act) classifica i sistemi di intelligenza artificiale per livello di rischio — inaccettabile, alto, limitato, minimo — e assegna obblighi diversi a fornitori e utilizzatori. Dal 2 febbraio 2025 si applicano i divieti sulle pratiche vietate e l'obbligo di alfabetizzazione in materia di IA previsto dall'articolo 4: chi sviluppa o utilizza sistemi di IA deve garantire un livello adeguato di competenza al proprio personale.
Per le organizzazioni questo significa tre cose concrete: inventariare i sistemi di IA in uso (compresi quelli introdotti dai singoli reparti), classificarli per rischio e documentare la formazione erogata al personale.
- Inventario dei sistemi di IA e classificazione del rischio
- Alfabetizzazione AI (art. 4) con attestati e registro presenze
- Valutazione dei fornitori di modelli e servizi AI
- Policy interna sull'uso dell'IA generativa
- Integrazione con GDPR e DPIA sui trattamenti automatizzati
ISO/IEC 27001 e ISO/IEC 42001: certificazioni che reggono l'audit
ISO/IEC 27001 è lo standard di riferimento per il sistema di gestione della sicurezza delle informazioni; ISO/IEC 42001 è il primo standard dedicato ai sistemi di gestione dell'intelligenza artificiale. Entrambi richiedono un impianto documentale coerente e, soprattutto, prove che i controlli funzionino.
Accompagniamo l'organizzazione dall'analisi iniziale all'audit di certificazione: ambito, analisi del rischio, dichiarazione di applicabilità, controlli, audit interno e gestione dei rilievi.
- Definizione dell'ambito e analisi del contesto
- Risk assessment e Statement of Applicability
- Set documentale completo di policy e procedure
- Audit interno e preparazione all'audit di certificazione
Scuole: obbligo formativo sull'IA e fondi DM 219/2025
Per le istituzioni scolastiche l'obbligo di alfabetizzazione sull'intelligenza artificiale si incrocia con una linea di finanziamento dedicata: il DM 219/2025 rende rendicontabili i percorsi formativi sull'IA per il personale scolastico.
Abbiamo strutturato sette percorsi pronti e rendicontabili, allineati a AI Act art. 4, GDPR, DigComp 3.0 e alle linee guida ministeriali, erogati da formatori certificati.
- 7 percorsi formativi rendicontabili, componibili per modulo
- Formatori certificati CISSP, CEH, ISO 27001/42001, Google ML, Azure AI
- Documentazione e attestati per la rendicontazione
- Supporto alla progettazione dell'intervento formativo
Audit, evidenze e rapporti con le autorità
Essere conformi e dimostrarlo sono due attività diverse. Prepariamo il fascicolo di evidenze che serve davanti a un auditor, a un cliente enterprise che invia un questionario di sicurezza, a un'assicurazione cyber o all'autorità di controllo in caso di incidente.
Includiamo audit interni periodici, gestione dei rilievi, verifica dei fornitori critici e supporto operativo durante le richieste esterne.
- Fascicolo di evidenze sempre aggiornato
- Risposta a questionari di sicurezza dei clienti
- Audit sui fornitori critici
- Supporto in caso di ispezione o incidente notificabile
Domande frequenti su normativa e compliance
Non sai se sei soggetto a NIS2 o all'AI Act?
Ti diciamo in una call se e come le normative si applicano alla tua organizzazione, quali sono le scadenze rilevanti e quali interventi vanno fatti per primi. Poi decidi tu.