Politica di sicurezza, procedura e registro degli incidenti con le scadenze 24/72 ore, registro fornitori critici e inventario asset, in Word ed Excel.

Guida

Notifica incidenti e sicurezza dei fornitori

Guida

Sanzioni NIS2 e responsabilità personale

// Glossario

56 termini del glossario con il tag «Conformità normativa».

Access Review

Il processo periodico di verifica sistematica di chi ha accesso a cosa, per individuare e correggere permessi non più necessari o mai revocati.

Accountability (GDPR)

Il principio secondo cui non basta essere conformi al GDPR, ma bisogna anche essere in grado di dimostrarlo attivamente in ogni momento.

ACN (Agenzia per la Cybersicurezza Nazionale)

L'autorità italiana responsabile del coordinamento delle politiche nazionali di cybersicurezza e dell'attuazione della normativa NIS2 in Italia.

AI Act (Regolamento UE)

Il regolamento europeo che classifica i sistemi di intelligenza artificiale in base al rischio che comportano e impone obblighi proporzionati a ciascuna categoria.

Anonimizzazione

Un processo che rende impossibile, in modo permanente e irreversibile, ricollegare un dato a una persona fisica identificabile.

Audit di conformità

Una verifica sistematica e documentata di quanto un'organizzazione rispetta effettivamente i requisiti normativi o gli standard a cui dichiara di aderire.

Autenticazione a più fattori (MFA)

Non basta più la password: serve una seconda prova che sei davvero tu.

Base giuridica del trattamento

Il fondamento legale, tra quelli previsti dal GDPR, che rende lecito il trattamento di dati personali da parte di un'organizzazione.

Binding Corporate Rules (BCR)

Un insieme di regole interne vincolanti, approvate dalle autorità di controllo, che permettono a un gruppo multinazionale di trasferire liberamente dati tra le proprie entità.

Chain of Custody

La documentazione tracciabile di ogni passaggio e manipolazione di una prova digitale, necessaria per garantirne l'integrità e l'ammissibilità legale.

CIS Controls

Un insieme prioritizzato di azioni di sicurezza concrete e pratiche, sviluppato dal Center for Internet Security, pensato per essere immediatamente applicabile.

Clausole Contrattuali Standard (SCC)

Modelli contrattuali approvati dalla Commissione Europea che forniscono garanzie adeguate per legittimare il trasferimento di dati personali verso paesi extra-UE.

Codice di condotta settoriale (GDPR)

Un insieme di regole specifiche per un settore, elaborato dalle associazioni di categoria e approvato dal garante, che dettaglia come applicare il GDPR in quel contesto.

Consenso informato

Una delle basi giuridiche del GDPR: un'espressione di volontà libera, specifica, informata e inequivocabile con cui l'interessato accetta il trattamento dei propri dati.

Cookie Policy

Il documento informativo che spiega quali cookie e tecnologie di tracciamento simili usa un sito web, e a quale scopo.

CSIRT

Il gruppo nazionale, all'interno dell'ACN, responsabile di coordinare la risposta a incidenti di sicurezza informatica di rilevanza nazionale.

Cyber Resilience Act

Il regolamento europeo che impone requisiti di sicurezza informatica obbligatori sui prodotti hardware e software immessi sul mercato dell'UE.

Data Breach (Violazione dei Dati)

Quando dati riservati escono dal perimetro aziendale — per errore o per attacco.

Data Residency

Il requisito, spesso normativo, secondo cui determinati dati devono essere fisicamente conservati ed elaborati all'interno di uno specifico paese o area geografica.

Data Retention

La definizione di per quanto tempo un'organizzazione conserva determinati dati prima di cancellarli o anonimizzarli, secondo criteri documentati.

Diritto alla portabilità dei dati

Il diritto dell'interessato di ricevere i propri dati personali in un formato strutturato e trasferirli a un altro fornitore senza ostacoli.

Diritto di accesso (GDPR)

Il diritto dell'interessato di ottenere conferma se i propri dati vengono trattati e, in caso affermativo, di accedere a quei dati e alle informazioni correlate.

Disaster Recovery

Il piano scritto che dice esattamente cosa fare quando l'infrastruttura principale smette di funzionare.

DORA (Digital Operational Resilience Act)

Il regolamento europeo che impone requisiti specifici di resilienza operativa digitale al settore finanziario e ai suoi fornitori critici di tecnologia.

DPIA (Valutazione d'impatto privacy)

Un'analisi obbligatoria per i trattamenti di dati personali che presentano un rischio elevato per i diritti e le libertà delle persone coinvolte.

DPO (Data Protection Officer)

La figura, obbligatoria in determinati casi previsti dal GDPR, responsabile di supervisionare la conformità di un'organizzazione alla normativa sulla protezione dei dati.

eIDAS

Il regolamento europeo che disciplina l'identificazione elettronica e i servizi fiduciari, come la firma digitale, con validità legale in tutta l'UE.

Firma digitale

Un meccanismo crittografico che garantisce l'autenticità e l'integrità di un documento digitale, verificabile da chiunque possieda la chiave pubblica del firmatario.

Forensics informatica

La disciplina che raccoglie, preserva e analizza prove digitali in modo rigoroso, utilizzabili anche in sede legale o investigativa.

Gap Analysis di conformità

Un'analisi che confronta lo stato attuale di un'organizzazione con i requisiti di una normativa o standard, evidenziando le lacune da colmare.

GDPR

Il regolamento europeo che decide come puoi raccogliere, usare e proteggere i dati personali.

Identity Governance

Il framework di policy e processi che garantisce che l'assegnazione e la revoca degli accessi seguano regole coerenti e verificabili nel tempo.

Impact Tolerance

Il livello massimo di interruzione di un servizio critico che un'organizzazione può tollerare prima che le conseguenze diventino inaccettabili.

Interessato (GDPR)

La persona fisica identificata o identificabile a cui si riferiscono i dati personali oggetto di trattamento.

ISO 22301

Lo standard internazionale per i sistemi di gestione della continuità operativa, che definisce come un'organizzazione si prepara e risponde a interruzioni gravi.

ISO 27001

Lo standard internazionale più diffuso per la gestione della sicurezza delle informazioni, che certifica un sistema di gestione, non solo controlli tecnici isolati.

Licensing Compliance

La verifica che l'uso effettivo del software in un'organizzazione rispetti pienamente i termini delle licenze acquistate.

NIST Cybersecurity Framework

Un framework volontario e ampiamente adottato, sviluppato dall'ente statunitense NIST, che organizza le attività di sicurezza informatica in categorie funzionali chiare.

PCI DSS

Lo standard di sicurezza obbligatorio per qualunque organizzazione che gestisce, elabora o memorizza dati di carte di pagamento.

Perimetro di Sicurezza Nazionale Cibernetica

Il quadro normativo italiano, precedente alla NIS2, che individua i soggetti pubblici e privati la cui compromissione avrebbe un impatto sulla sicurezza nazionale.

Privacy by Default

Il principio secondo cui le impostazioni predefinite di un sistema devono già garantire il massimo livello di protezione dei dati personali possibile.

Privacy by Design

Il principio secondo cui la protezione dei dati personali va integrata fin dalla progettazione di un sistema o processo, non aggiunta successivamente.

Pseudonimizzazione

Una tecnica che sostituisce le informazioni identificative dirette con un identificativo artificiale, rendendo i dati non direttamente attribuibili senza informazioni aggiuntive.

Ransomware

Il malware che cifra i tuoi dati e chiede un riscatto per restituirteli.

Registro dei trattamenti

Il documento obbligatorio previsto dal GDPR che elenca in modo dettagliato tutte le attività di trattamento di dati personali svolte da un'organizzazione.

Registro violazioni dati (data breach log)

Il registro interno, obbligatorio secondo il GDPR, in cui un'organizzazione documenta ogni violazione di dati personali, anche quella non notificata al garante.

Resilienza Operativa

La capacità complessiva di un'organizzazione di continuare a fornire servizi essenziali durante interruzioni gravi, integrando aspetti tecnici, organizzativi e di terze parti.

Responsabile del trattamento

Il soggetto esterno che tratta dati personali per conto del titolare, secondo istruzioni ricevute e vincolato da un contratto specifico previsto dal GDPR.

Segregation of Duties (SoD)

Il principio organizzativo che divide compiti critici tra più persone, così che nessun singolo individuo possa completare da solo un'azione ad alto rischio.

SOC 2

Uno standard di attestazione, diffuso soprattutto negli Stati Uniti, che verifica i controlli di sicurezza, disponibilità e riservatezza di un fornitore di servizi.

Soggetto essenziale (NIS2)

La categoria di organizzazioni soggette agli obblighi più stringenti della direttiva NIS2, tipicamente operanti in settori considerati più critici.

Soggetto importante (NIS2)

La categoria di organizzazioni soggette alla direttiva NIS2 con obblighi sostanzialmente simili ai soggetti essenziali ma con vigilanza principalmente reattiva.

Titolare del trattamento

Il soggetto, persona fisica o giuridica, che determina finalità e mezzi del trattamento di dati personali e ne è responsabile principale.

Trasferimento dati extra-UE

Il trasferimento di dati personali verso paesi al di fuori dello Spazio Economico Europeo, soggetto a garanzie specifiche previste dal GDPR.

Vulnerability Assessment

La scansione sistematica che trova le porte lasciate aperte prima che le trovi qualcun altro.

Whistleblowing

Il sistema che permette a dipendenti o collaboratori di segnalare in modo protetto e riservato illeciti o irregolarità di cui vengono a conoscenza sul lavoro.

// Guide

15 guide con il tag «Conformità normativa».

NIS2 · Allegato I

NIS2 in sanità: ospedali, cliniche, laboratori e farmaceutico

NIS2 e settore sanitario: prestatori di assistenza sanitaria, laboratori di riferimento UE, ricerca sui medicinali, fabbricazione di farmaci e dispositivi critici, secondo l'Allegato I del D.Lgs. 138/2024.

NIS2 · Allegato I

NIS2 nei trasporti: aereo, ferroviario, marittimo e stradale

NIS2 nei trasporti: vettori aerei, gestori aeroportuali, controllo del traffico aereo, ferrovie, compagnie di navigazione, porti e autorità stradali secondo l'Allegato I del D.Lgs. 138/2024.

NIS2 · Allegato II

NIS2 nel settore alimentare: produzione industriale e distribuzione all'ingrosso

NIS2 e settore alimentare: le imprese alimentari che si occupano di distribuzione all'ingrosso e di produzione industriale e trasformazione sono nell'Allegato II del D.Lgs. 138/2024. Ristoranti e negozi no.

NIS2 · Allegato II

NIS2 nel settore chimico: fabbricazione, distribuzione e produzione di articoli

NIS2 e settore chimico: imprese che fabbricano o distribuiscono sostanze e miscele e che producono articoli da sostanze o miscele (regolamento REACH), secondo l'Allegato II del D.Lgs. 138/2024.

NIS2 · Allegato I

NIS2 nel settore energia: chi rientra tra elettrico, gas, petrolio e idrogeno

NIS2 e settore energia: imprese elettriche, distributori e trasmissione, produttori, punti di ricarica, teleriscaldamento, petrolio, gas e idrogeno secondo l'Allegato I del D.Lgs. 138/2024.

NIS2 · Allegato II

NIS2 nella gestione dei rifiuti: quali imprese rientrano

NIS2 e gestione dei rifiuti: le imprese che si occupano della gestione dei rifiuti sono nell'Allegato II del D.Lgs. 138/2024, escluse quelle per cui non è l'attività economica principale.

NIS2 · Allegato II

NIS2 nella manifattura: dispositivi medici, elettronica, macchinari e mezzi di trasporto

NIS2 e manifattura: dispositivi medici e diagnostici in vitro, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto (NACE C26-C30), secondo l'Allegato II del D.Lgs. 138/2024.

NIS2 · Allegato III

NIS2 nella pubblica amministrazione: ministeri, regioni, comuni e ASL

NIS2 e pubblica amministrazione: amministrazioni centrali (sempre essenziali), regioni, città metropolitane, comuni sopra 100.000 abitanti e capoluoghi di regione, ASL e altri enti pubblici dell'Allegato III del D.Lgs. 138/2024.

NIS2 · Allegato I

NIS2 per acqua potabile e acque reflue: gestori idrici e depuratori

NIS2 e servizio idrico: fornitori e distributori di acqua potabile e imprese che raccolgono, smaltiscono o trattano acque reflue, settori 6 e 7 dell'Allegato I del D.Lgs. 138/2024.

NIS2 · Allegato I

NIS2 per cloud, data center, DNS e telecomunicazioni

NIS2 e infrastrutture digitali: punti di interscambio internet, DNS, registri TLD, cloud computing, data center, CDN, servizi fiduciari e comunicazioni elettroniche, con i casi che valgono a qualsiasi dimensione.

NIS2 · Allegato I

NIS2 per i fornitori di servizi gestiti e di sicurezza gestiti (MSP, MSSP)

I fornitori di servizi gestiti e di sicurezza gestiti business-to-business sono nell'Allegato I del D.Lgs. 138/2024: chi rientra, quando si è essenziali e cosa cambia per chi fa assistenza IT alle aziende.

NIS2 · Allegato II

NIS2 per marketplace, motori di ricerca, social network e registrar

NIS2 e fornitori di servizi digitali: mercati online, motori di ricerca, piattaforme di social network e servizi di registrazione dei nomi di dominio, settore 6 dell'Allegato II del D.Lgs. 138/2024.

NIS2

NIS2 per settore: chi rientra negli allegati del D.Lgs. 138/2024

NIS2 settore per settore: energia, trasporti, banche, sanità, acqua, infrastrutture digitali, servizi IT gestiti, rifiuti, chimica, alimentare, manifattura, servizi digitali, pubblica amministrazione e Allegato IV, con le soglie per essenziali e impo

NIS2 · Allegato IV

NIS2 per trasporto pubblico locale, università, cultura e società in house (Allegato IV)

L'Allegato IV del D.Lgs. 138/2024: trasporto pubblico locale, istituti di istruzione che fanno ricerca, attività di interesse culturale e società in house, partecipate e a controllo pubblico. Rientrano a qualsiasi dimensione se l'ACN li individua.

NIS2 · Allegato I

NIS2, banche e mercati finanziari: perché vale il regolamento DORA

Enti creditizi, sedi di negoziazione e controparti centrali sono nell'Allegato I del D.Lgs. 138/2024, ma per gestione del rischio e notifica degli incidenti si applica il regolamento DORA (UE) 2022/2554.

// Tag correlati

Cybersecurity NIS2 ACN, Agenzia per la cybersicurezza nazionale Gestione degli incidenti Normativa europea Backup e disaster recovery Continuità operativa Sicurezza Settori NIS2 CSIRT ISO 27001 Sicurezza della supply chain