Normative europee sulla Cybersecurity in sintesi
- Le normative UE sulla Cybersecurity stanno cambiando l’approccio alla compliance. GDPR, NIS2 e DORA non richiedono solo adempimenti formali, ma un ripensamento di governance, rischio e protezione di dati e infrastrutture.
- L’adeguamento efficace parte da un percorso strutturato e ciclico. Serve un assessment iniziale, l’individuazione dei gap, la definizione di ruoli e responsabilità e una revisione periodica delle misure adottate.
- La formazione del personale è una leva centrale di conformità e difesa. Sensibilizzazione ed e-learning aiutano a diffondere comportamenti corretti, riducendo il rischio.
- L’adeguamento può diventare un’opportunità di miglioramento organizzativo: consente di ottimizzare processi, introdurre strumenti innovativi e rafforzare la resilienza aziendale.
Minacce informatiche sempre più insidiose hanno spinto il legislatore europeo a sviluppare nel tempo una serie di nuove normative, pensate per proteggere cittadini, aziende e organizzazioni pubbliche dell’Unione. Tra queste spiccano per importanza il regolamento GDPR, la direttiva NIS2 e il regolamento DORA. Le normative puntano ad aumentare la resilienza operativa e la protezione di dati e infrastrutture critiche e stanno riorientando le strategie delle organizzazioni, che devono necessariamente adeguarsi al quadro regolatorio. Non si tratta solo di attrezzarsi per rispondere ai requisiti e rispettare le scadenze: il cambiamento è tale che va ripensato l’approccio alla compliance e alla gestione del rischio, cogliendo l’occasione per migliorare davvero la governance della gestione dei dati e della cybersecurity. Con una visione d’insieme che consideri i punti in comune delle diverse norme, ogni azienda deve dunque comprendere come tradurre gli obblighi in processi concreti e sostenibili.
Come adeguarsi alle normative sulla Cybersecurity
“L’utilizzo sempre più massiccio e pervasivo di servizi software e l’aumento dell’interdipendenza nelle catene del valore digitali accentuano la significatività del rischio e la necessità di una risposta decisa – spiega Giorgia Dragoni, Ricercatrice Senior dell’Osservatorio Cybersecurity & Data Protection e docente del corso della Digital Management Academy Cybersecurity e protezione dei dati: salvaguardare il patrimonio digitale. Per questo motivo, negli anni è stata progressivamente intensificata la normativa italiana ed europea che tocca gli aspetti tecnologici, aumentando gli standard di sicurezza dei sistemi informativi. Non basta, però, garantire la puntuale osservanza dei requisiti previsti dalla norma. Per sfruttare al meglio l’opportunità è fondamentale definire un percorso di adeguamento ben strutturato, con ruoli e responsabilità definiti e chiaramente attribuibili”.
Questo percorso deve partire da una valutazione iniziale (assessment) per poi identificare le aree non conformi rispetto ai requisiti e individuare le attività da svolgere, considerando anche l’introduzione di nuovi ruoli o di una nuova struttura aziendale. Si tratta sempre di percorsi ciclici, che vanno periodicamente verificati perché le condizioni esterne e interne sono costantemente in evoluzione.
L’approccio corretto tiene anche conto del fatto che le normative sono tra loro correlate. Ad esempio, il GDPR e il recente Regolamento sull’Intelligenza Artificiale hanno molti punti in comune, mentre NIS2 e DORA hanno obiettivi analoghi, ma destinatari e applicazioni diverse. Diventa quindi essenziale armonizzare la gestione, chiarendo differenze, punti di contatto e aree di impatto giuridico e organizzativo.
Perché è importante la formazione del personale per la Cybersecurity
Elemento essenziale di questo percorso è la progettazione ed erogazione di attività di sensibilizzazione e formazione del personale. Vanno previste iniziative mirate come ad esempio la programmazione di percorsi modulari di e-Learning, al fine di garantire la piena consapevolezza e la corretta applicazione delle regole da parte di tutti i soggetti coinvolti.
Il percorso di conformità può trasformarsi da costo a una reale opportunità se l’organizzazione riesce a cogliere l’occasione per ripensare i processi, ottimizzare l’organizzazione interna e introdurre strumenti innovativi a beneficio dell’intera azienda. In quest’ottica, la formazione diventa la leva per “portare a bordo” tutti i collaboratori.
Inoltre, ormai è noto che l’anello più debole della catena della Cybersecurity è proprio l’essere umano: la vera protezione si ottiene con la consapevolezza di tutti, mantenendo sempre alto il livello di sensibilità ai possibili inganni che gli attaccanti mettono in atto per aprire falle nelle barriere protettive. La posta in gioco è molto alta: basti pensare che, secondo dati Clusit, in Italia si registra un continuo aumento degli incidenti, con un numero di eventi gravi censiti sul territorio nazionale più che raddoppiato in un anno, dai 125 del primo semestre 2024 ai 280 dello stesso periodo 2025.
Quali sono le principali normative europee: GDPR, NIS2 e DORA
Vediamo ora in sintesi quali sono le principali normative europee che riguardano la Cybersecurity e la data protection.
GDPR (General Data Protection Regulation)
Il regolamento europeo GDPR, entrato in vigore il 25 maggio 2018 in tutti gli stati membri dell’Unione, ha l’obiettivo di armonizzare e aggiornare le normative vigenti sulla privacy dei dati. Lo scopo principale del GDPR è quello di proteggere i cittadini europei nell’economia globale, dando loro la garanzia che tutti i loro dati personali vengano trattati nel pieno rispetto dei diritti di ciascuno. Allo stesso tempo, il regolamento assicura la circolazione libera ma controllata dei dati all’interno della comunità dell’UE.
Ogni azienda che tratta dati personali dei cittadini dell’Unione Europea deve essere conforme al GDPR, indipendentemente dalla sua sede. Il regolamento prevede multe significative per chi non rispetta i requisiti del trattamento dati.
NIS e NIS2 (Network and Information Security)
La direttiva NIS è stata promulgata nel luglio 2016, con l’obiettivo di stabilire misure per raggiungere un alto livello comune di sicurezza delle reti e dei sistemi informativi, rafforzando la cooperazione a livello locale e comunitario. La sua estensione è la direttiva NIS2, che fissa al 31 ottobre 2026 il termine ultimo per la prima fase di attuazione e che ha un ambito di applicabilità più ampio, includendo settori e soggetti che non erano coperti dalla NIS1.
La direttiva NIS stabilisce misure per migliorare la sicurezza del mercato interno dell’UE. Promuove la cultura della gestione del rischio, con un approccio moderno alla sicurezza, vincolando gli operatori di servizi essenziali e i fornitori di servizi digitali (mercati online, motori di ricerca, cloud provider) al rispetto di misure minime di sicurezza e mirando a prevenire, rilevare e affrontare gli incidenti. Anche in questo caso sono previste sanzioni amministrative per il mancato rispetto di questi requisiti.
DORA (Digital Operational Resilience Act)
DORA è la normativa relativa alla resilienza operativa digitale per il settore finanziario, ovvero banche e assicurazioni. È divenuta applicabile da gennaio 2025, ed è stata introdotta per implementare efficacemente sistemi di gestione dei rischi. DORA introduce obblighi di governance e sicurezza per i diversi attori che operano in ambito finanziario, con un particolare focus sulle tecnologie dell’informazione e della comunicazione.