NIS2 e GDPR aziende: cosa deve fare un’impresa per essere in regola
Tra NIS2 e GDPR molte aziende fanno confusione. La differenza, in breve: il GDPR protegge i dati personali e impone misure di sicurezza adeguate, mentre la NIS2 estende obblighi di sicurezza informatica a interi settori e alle loro filiere, raggiungendo anche le PMI fornitrici. Capita spesso di scoprire di avere obblighi solo quando un cliente più grande li richiede o quando arriva una contestazione.
GDPR: cosa chiede in concreto sulla sicurezza
Il GDPR è la legge europea sulla protezione dei dati personali, in vigore da anni. Al di là dei moduli di consenso che tutti conosciamo, contiene un obbligo preciso: adottare misure “adeguate” per proteggere i dati (è l’Articolo 32). In pratica significa avere backup, controlli sugli accessi e protezione contro perdite e furti.
C’è anche un secondo obbligo importante: se subisci una violazione che coinvolge dati personali, in molti casi devi notificarla entro 72 ore. Non essere pronti a farlo è già di per sé un problema.
NIS2: la novità che riguarda molte più aziende
La NIS2 è una direttiva europea più recente e meno conosciuta, ma è quella che sta cambiando le carte in tavola. Mentre la versione precedente riguardava poche grandi infrastrutture, la NIS2 allarga molto il campo: coinvolge aziende di settori considerati importanti e, soprattutto, può raggiungere anche realtà medio-piccole che fanno parte della filiera di fornitura di soggetti obbligati.
In parole semplici: anche se la tua azienda non è direttamente nell’elenco, potresti dover rispettare certi requisiti perché lavori come fornitore di chi ci rientra.
Non sai se la Nis2 ti riguarda?
Contatta i nostri consulenti e ricevi una valutazione gratuita del tuo livello di protezione.
La tua azienda è tra i soggetti obbligati?
Capire se rientri negli obblighi dipende da settore, dimensione e dai rapporti con i tuoi clienti e fornitori. Un segnale concreto da non ignorare: se un cliente importante inizia a chiederti requisiti di sicurezza informatica per continuare a lavorare con te, è molto probabile che la questione ti riguardi già.
Questi obblighi non vivono isolati: fanno parte del più ampio tema della sicurezza informatica per le aziende, di cui la conformità normativa è solo un tassello.
I primi passi per metterti in regola
Non serve partire dalla burocrazia. I primi passi utili sono gli stessi che migliorano la tua sicurezza reale: mappare quali dati tratti e dove sono, mettere in sicurezza i backup, attivare un secondo livello di accesso, formare le persone e definire chi fa cosa in caso di emergenza. La conformità, in buona parte, è la conseguenza di una sicurezza fatta bene.
Verifica subito a che punto sei rispetto agli obblighi.
Compila la scheda in 3 minuti e scopri subito il profilo di rischio della tua azienda!
Non sai se la Nis2 ti riguarda?
Contatta i nostri consulenti e ricevi una valutazione gratuita del tuo livello di protezione.
Domande frequenti su NIS2 e GDPR
Il GDPR protegge i dati personali e impone misure di sicurezza adeguate (Art. 32) e la notifica delle violazioni. La NIS2 impone requisiti di sicurezza informatica a interi settori e alle loro filiere, raggiungendo anche PMI che sono fornitrici di soggetti obbligati.
Può applicarsi indirettamente: anche se la tua azienda non è nell’elenco dei settori obbligati, potresti dover rispettare requisiti di sicurezza perché fornisci un’azienda che vi rientra. Il segnale tipico è un cliente che inizia a chiederti garanzie di sicurezza.
Oltre alle possibili sanzioni, rischia di non essere in grado di notificare una violazione entro le 72 ore previste e di perdere clienti che richiedono garanzie. Mettersi in regola coincide in gran parte con adottare misure di sicurezza di base efficaci.