Molte organizzazioni ritengono di avere il GDPR sotto controllo: registro dei trattamenti aggiornato, nomine in regola, procedure di notifica dei data breach già collaudate. Ma dal 2026 è entrata pienamente in vigore anche la NIS2, la direttiva europea sulla sicurezza informatica recepita con il D.Lgs. 138/2024 e per un numero crescente di aziende questo significa rimettere in discussione proprio le procedure che credevano già solide.
Entro il 31 ottobre 2026, chi rientra nel perimetro NIS2 deve avere misure di sicurezza verificabili, non solo dichiarate: da quella data l’Agenzia per la Cybersicurezza Nazionale potrà avviare le attività ispettive. E qui emerge il punto che riguarda direttamente la tua compliance GDPR: le due normative si intrecciano proprio sulla sicurezza dei sistemi che trattano dati personali.
Il rischio più concreto non è tanto ignorare la NIS2 quanto trattare GDPR e NIS2 come due binari separati: procedure privacy da una parte, adempimenti di cybersecurity dall’altra, senza che nessuno verifichi dove i due mondi si toccano davvero. Ed è proprio lì, nella gestione degli incidenti e nella sicurezza dei sistemi, che si annidano le lacune più frequenti.
C’è poi un secondo livello di confusione, ancora più diffuso: molte aziende non hanno chiaro come NIS2 e GDPR si intreccino. Le due normative sono distinte – la NIS2 riguarda un perimetro più ristretto di soggetti essenziali e importanti, il GDPR si applica invece a chiunque tratti dati personali – ma si sovrappongono proprio dove serve più attenzione: la sicurezza dei sistemi che gestiscono quei dati, e la gestione degli incidenti quando qualcosa va storto.
Ecco i tre ambiti su cui concentrare l’attenzione nelle prossime settimane.
- Misure di sicurezza di base
-
- Gestione del rischio: politiche di analisi dei rischi documentate e aggiornate, non prodotte una volta e archiviate.
- Sicurezza della supply chain: mappatura dei fornitori critici, in particolare quelli che gestiscono servizi cloud o servizi IT gestiti, con obblighi contrattuali di sicurezza e notifica inseriti nei contratti.
- Formazione degli organi di gestione: il D.Lgs. 138/2024 richiede che gli organi di amministrazione seguano una formazione specifica in materia di sicurezza informatica, non è delegabile solo al reparto IT.
- Gestione degli incidenti: due flussi da coordinare
-
- Tempistiche NIS2: preallerta entro 24 ore, notifica formale entro 72 ore, relazione finale entro un mese, verso il CSIRT Italia.
- Tempistiche GDPR: notifica al Garante entro 72 ore in caso di violazione di dati personali con rischio per gli interessati.
- Il punto critico: un incidente che coinvolge dati personali può richiedere entrambe le notifiche, con tempistiche e destinatari diversi. Serve una procedura unica che sappia attivare entrambi i flussi senza ritardi o sovrapposizioni confuse.
- Coordinamento tra le figure coinvolte
-
- DPO e responsabile della sicurezza informatica: la NIS2 non prevede una figura equivalente al DPO, ma nella pratica il coinvolgimento del DPO è spesso necessario per la sovrapposizione di competenze sulla protezione dei dati.
- Aggiornamento annuale: tra aprile e maggio va aggiornato l’elenco di dati, asset e referenti sulla piattaforma ACN, un adempimento che si ripete ogni anno, non una tantum.
Il nostro presidio è la compliance GDPR: verifichiamo lo stato della protezione dati e dove si intreccia con gli obblighi NIS2, aggiornando la documentazione dove serve. Per la parte più tecnica come la sicurezza infrastrutturale e la gestione del rischio informatico, collaboriamo con chi se ne occupa direttamente, così che il lavoro sul fronte privacy e quello sul fronte cybersecurity procedano allineati.
Se la tua azienda rientra nel perimetro NIS2, o gestisce dati per conto di chi vi rientra, il 31 ottobre non è più una data lontana. Inizia l’adeguamento verificando la tua compliance GDPR alla luce dei nuovi obblighi: capire cosa manca oggi sul fronte privacy è più semplice e meno costoso che scoprirlo durante un’ispezione.
