Tre sigle che finiscono sulla stessa scrivania e che, se affrontate insieme, chiedono in buona parte le stesse cose.
Molte aziende scoprono di dover affrontare la conformità non per iniziativa propria, ma perché un cliente più grande manda un questionario di qualifica fornitore. È il modo peggiore per cominciare: si risponde di corsa a domande di cui non si conosce il peso, e si scopre in ritardo che alcune risposte richiedevano mesi di lavoro.
Questa pagina mette in fila cosa chiedono NIS2, GDPR e ISO/IEC 27001, chi ci rientra e cosa hanno in comune. Non è una consulenza legale: è la lettura operativa di chi quelle misure poi le deve implementare sui sistemi.
La direttiva NIS2 ha allargato in modo netto la platea dei soggetti obbligati rispetto alla direttiva precedente, includendo settori come manifattura di determinati prodotti, trasporti, gestione dei rifiuti, alimentare, chimico e fornitori di servizi digitali. Il recepimento italiano è affidato all'ACN, che gestisce la registrazione dei soggetti e ne cura gli obblighi.
Il punto che sorprende molte PMI è il secondo: anche chi non rientra direttamente nel perimetro può trovarsi a doversi adeguare perché fornisce un soggetto che ci rientra. NIS2 chiede infatti espressamente di gestire i rischi della catena di fornitura, e il modo pratico in cui questo si traduce è che il cliente grande gira ai suoi fornitori i requisiti sotto forma di clausole contrattuali.
Le misure richieste non sono esotiche: analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, controllo degli accessi, uso della crittografia, formazione. Due elementi però cambiano il gioco rispetto al passato: la notifica degli incidenti significativi ha tempi stretti, e la responsabilità è esplicitamente in capo agli organi di amministrazione, che devono anche formarsi.
Se siete fornitori di un'azienda soggetta a NIS2, gli obblighi vi arrivano per contratto anche se il vostro settore non è nell'elenco. Conviene sapere in anticipo cosa firmerete.
Il punto del GDPR che riguarda più direttamente il rapporto con un fornitore IT è l'articolo 28. Chi gestisce i vostri sistemi tratta dati personali per vostro conto e, in quel rapporto, è responsabile del trattamento mentre l'azienda cliente resta titolare. Quel rapporto va regolato da un contratto scritto che dica quali dati, per quali finalità, per quanto tempo, con quali misure di sicurezza e con quali sub-fornitori.
È un documento che spesso manca, o che esiste in una versione generica firmata anni fa e mai più aggiornata. In caso di ispezione o di violazione, è una delle prime cose che vengono chieste. Con i nostri clienti l'atto di nomina è parte del contratto di servizio, non un allegato da recuperare dopo.
L'altro punto pratico è la violazione dei dati: quando succede, i tempi per la notifica al Garante sono stretti e la decisione va presa con informazioni incomplete. Avere deciso prima chi valuta, chi decide e chi scrive è metà del lavoro.
ISO/IEC 27001 è lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni. La cosa più fraintesa è cosa certifichi: non certifica che un'azienda sia sicura, certifica che ha un sistema per gestire la sicurezza, cioè che ha identificato i propri rischi, deciso come trattarli, assegnato responsabilità e messo in piedi un ciclo di verifica e miglioramento.
Per un fornitore IT è rilevante per un motivo concreto: chi vi affida i propri sistemi vi sta estendendo il proprio perimetro di rischio, e sempre più spesso vuole una garanzia verificata da terzi anziché una dichiarazione. Nei questionari di qualifica fornitore la domanda compare quasi sempre.
Quando un cliente chiede garanzie sul modo in cui il fornitore gestisce i suoi sistemi, la risposta che vale è quella che si può mettere per iscritto e far controllare: le misure effettivamente applicate, il contratto di responsabile del trattamento ai sensi dell'articolo 28, la tracciabilità degli accessi, l'elenco dei sub-fornitori. È materiale verificabile subito, ed è quello che nella maggior parte dei questionari di qualifica viene chiesto per primo.
Una certificazione in corso, invece, non è verificabile da chi legge: senza ente, numero e data resta una dichiarazione. Per questo, su questa pagina, quando ci sarà da annunciarne una la annunceremo con quegli estremi e non prima.
Le tre normative chiedono in larga parte le stesse cose, con parole diverse: sapere quali sistemi e quali dati avete, controllare chi accede a cosa, saper ripristinare dopo un incidente, gestire i fornitori, formare le persone, tenere traccia di quello che succede. Affrontarle come tre progetti separati significa fare tre volte lo stesso lavoro.
L'ordine che consigliamo è sempre lo stesso, indipendentemente dalla sigla che vi ha portato qui. Primo: sapere cosa avete, perché non si protegge quello che non si sa di avere. Secondo: le misure che riducono davvero il rischio di fermarsi, cioè backup verificati, accessi controllati, endpoint protetti. Terzo: la documentazione che dimostra che le prime due cose esistono, perché in sede di verifica quello che non è scritto non è successo.
Chi parte dal terzo punto si ritrova con un raccoglitore di procedure perfette e un'infrastruttura invariata. È l'errore più comune e il più costoso.
Dipende dal settore in cui opera e dalla dimensione, con l'avvertenza che alcuni soggetti rientrano indipendentemente dalla dimensione. La verifica formale si fa sui criteri stabiliti dalla normativa e dalle indicazioni dell'ACN, ed è una valutazione che va fatta per iscritto e conservata, anche quando l'esito è negativo.
Attenzione al caso più frequente fra le PMI venete: non rientrare direttamente ma essere fornitori di un soggetto che rientra. In quel caso gli obblighi arrivano per via contrattuale e nella pratica sono molto simili.
La direttiva prevede sanzioni amministrative pecuniarie di importo significativo, differenziate fra soggetti essenziali e importanti e parametrate al fatturato annuo mondiale, oltre a misure non pecuniarie. Gli importi esatti applicabili in Italia dipendono dal decreto di recepimento e vanno verificati con un consulente legale sul caso specifico.
La novità che pesa di più, però, non è l'importo: è la responsabilità personale degli organi di amministrazione sull'adozione delle misure. Non è più una questione che si delega interamente all'IT.
Il Responsabile della Protezione dei Dati è obbligatorio nei casi previsti dall'articolo 37 del GDPR: autorità e organismi pubblici, e soggetti privati la cui attività principale consista in trattamenti che richiedono monitoraggio regolare e sistematico su larga scala oppure in trattamenti su larga scala di categorie particolari di dati.
Molte PMI manifatturiere non rientrano in questi casi e non sono obbligate. Restano però obbligate a tutto il resto: registro dei trattamenti, misure adeguate, contratti con i responsabili, gestione delle violazioni. L'assenza dell'obbligo di DPO viene spesso letta, a torto, come assenza di obblighi.
Le misure tecniche che spostano davvero il rischio (backup verificati con un ripristino di prova, accessi con secondo fattore, endpoint protetti e monitorati, accessi remoti chiusi) si mettono in piedi tipicamente in poche settimane.
La parte organizzativa e documentale, cioè analisi dei rischi, procedure, formazione e gestione dei fornitori, è un percorso di mesi.
Un percorso verso la certificazione ISO/IEC 27001 richiede tempi più lunghi, perché lo standard chiede che il sistema di gestione sia in funzione da un periodo sufficiente a produrre evidenze: non si certifica un sistema acceso il mese prima dell'audit.
Noi ci occupiamo della parte tecnica e organizzativa che ricade sui sistemi: misure di sicurezza, tracciamento, backup e continuità, gestione degli incidenti, formazione del personale, documentazione di quello che è stato implementato.
È la parte che nella maggior parte dei casi determina se un'azienda è davvero adeguata o solo sulla carta.
L'inquadramento giuridico (se rientrate nel perimetro, come qualificare i trattamenti, come sono scritte le clausole contrattuali) resta un lavoro da consulente legale o da DPO, e lavoriamo volentieri al fianco del vostro. Diffidate di chi vende l'adeguamento normativo completo come un pacchetto tecnico.
Portatecelo. Nell'assessment gratuito guardiamo quali risposte l'infrastruttura di oggi vi permette di dare onestamente, e quali richiedono lavoro prima di poter essere firmate.