NORMATIVE EUROPEE E NAZIONALI

CONFORMITÀ A NORMATIVE

CONFORMITÀ A NORMATIVE

Il quadro normativo su cybersecurity e intelligenza artificiale è cambiato più negli ultimi tre anni che nei venti precedenti. NIS2, Cyber Resilience Act, AI Act, DORA, Legge 90/2024 e le determinazioni dell’Agenzia per la Cybersicurezza Nazionale introducono obblighi puntuali, scadenze certe e responsabilità dirette in capo agli organi di amministrazione. Euristica ti aiuta a capire quali norme si applicano davvero alla tua organizzazione, a tradurle in adempimenti concreti e a mantenere la conformità nel tempo, con evidenze dimostrabili in caso di controllo.

illustrazione euristica conformità a normative

Dalla norma all’adempimento: un percorso guidato, proporzionato e documentato

IL CONTESTO

IL CONTESTO

Le nuove regole europee non riguardano soltanto le grandi organizzazioni o i settori critici.

Attraverso gli obblighi sulla catena di fornitura, la conformità di un’azienda diventa un requisito contrattuale per i suoi fornitori: sempre più imprese si trovano a dover dimostrare il proprio livello di sicurezza per poter continuare a lavorare con i propri clienti.

A questo si aggiunge un elemento nuovo: la responsabilità non è più solo del reparto IT. Le normative recenti attribuiscono agli organi di amministrazione e direttivi il compito di approvare le misure, sovrintendere alla loro attuazione e seguire percorsi formativi specifici, con sanzioni che possono arrivare fino alla sospensione temporanea dalle funzioni dirigenziali.
Il rischio più frequente che incontriamo non è l’inadempienza consapevole, ma la frammentazione: adempimenti affrontati uno alla volta, documenti prodotti per l’occasione, scadenze rincorse all’ultimo. Un impianto unico, costruito bene, risponde contemporaneamente a più norme.

LE NORMATIVE EUROPEE

LE NORMATIVE EUROPEE

Ti affianchiamo sui provvedimenti già applicabili e su quelli di prossima attuazione, con un presidio costante sull’evoluzione del quadro regolatorio.

DIRETTIVA NIS2

Direttiva (UE) 2022/2555

Gestione del rischio, sicurezza della catena di fornitura, notifica degli incidenti significativi e responsabilizzazione del vertice aziendale per i soggetti essenziali e importanti. In Italia è recepita dal D.Lgs. 138/2024 e resa operativa dalle determinazioni ACN.

REGOLAMENTO DORA

Regolamento (UE) 2022/2554

Resilienza operativa digitale per il settore finanziario e assicurativo: governance ICT, gestione del rischio informatico, registro degli accordi con i fornitori ICT, testing e segnalazione degli incidenti gravi. Riguarda anche i fornitori ICT terzi che servono entità finanziarie.

DIRETTIVA CER

Direttiva (UE) 2022/2557

Resilienza dei soggetti critici sul piano fisico e organizzativo, complementare alla NIS2: valutazione dei rischi, piani di resilienza, continuità dei servizi essenziali. In Italia è recepita dal D.Lgs. 134/2024.

CYBER RESILIENCE ACT

Regolamento (UE) 2024/2847

Requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali. Dall’11 settembre 2026 sono operativi gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi, con allarme rapido entro 24 ore; dall’11 dicembre 2027 si applicano i requisiti essenziali, la documentazione tecnica, la marcatura CE e il periodo di supporto. Riguarda fabbricanti, importatori e distributori, software incluso.

AI ACT

Regolamento (UE) 2024/1689

Disciplina l’intelligenza artificiale in base al rischio. Sono già applicabili i divieti sulle pratiche vietate, gli obblighi sui modelli per finalità generali, l’alfabetizzazione all’IA e, dal 2 agosto 2026, gli obblighi di trasparenza dell’articolo 50. Il Digital Omnibus — Regolamento (UE) 2026/1744 — ha spostato le regole sui sistemi ad alto rischio al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I): un tempo utile, non un rinvio da attendere passivamente.

DATA ACT, GDPR ED ECOSISTEMA EUROPEO DEI DATI

Regolamento (UE) 2023/2854 sull’accesso e la portabilità dei dati generati da prodotti connessi e servizi cloud, clausole contrattuali, obblighi di switching. Insieme al GDPR e ai regolamenti su identità digitale e spazi europei dei dati, definisce il contesto in cui le misure di sicurezza devono essere progettate.

LE NORMATIVE NAZIONALI ITALIANE

LE NORMATIVE NAZIONALI ITALIANE

Il legislatore italiano ha anticipato e integrato il quadro europeo con provvedimenti propri, in larga parte attuati tramite l’Agenzia per la Cybersicurezza Nazionale.

D.Lgs. 138/2024 e determinazioni ACN

Registrazione e aggiornamento annuale sulla piattaforma ACN, designazione del punto di contatto, notifica degli incidenti significativi al CSIRT Italia secondo la sequenza 24 ore – 72 ore – relazione finale, adozione delle misure di sicurezza di base secondo gli allegati tecnici. Per i soggetti inseriti in elenco nel 2025 il termine per le misure è fissato a ottobre 2026; per quelli inseriti nel 2026 il percorso è graduale, con scadenze successive.

Legge 90/2024 — rafforzamento della cybersicurezza nazionale

Per le pubbliche amministrazioni e i soggetti indicati dalla legge: segnalazione degli incidenti entro 24 ore, struttura preposta alla cybersicurezza, nomina del referente per la cybersicurezza quale punto di contatto con ACN, riscontro alle segnalazioni di vulnerabilità, adeguamento alle linee guida sulla crittografia e ai requisiti di sicurezza nei contratti pubblici di beni e servizi informatici.

Perimetro di Sicurezza Nazionale Cibernetica

Per i soggetti inclusi nel Perimetro: censimento di reti e sistemi ICT, notifica degli incidenti, procedure di approvvigionamento di beni e servizi ICT e rapporti con il Centro di Valutazione e Certificazione Nazionale.

Qualificazione cloud ACN e iscrizione al Marketplace della PA

Supportiamo i fornitori che vogliono erogare servizi IaaS, PaaS e SaaS alle pubbliche amministrazioni lungo tutto l’iter previsto dal Regolamento cloud ACN: verifica preliminare del livello di qualifica sostenibile, gap analysis sui requisiti tecnico-organizzativi, predisposizione delle evidenze documentali, presentazione dell’istanza sul Portale dei Servizi ACN, gestione delle richieste di chiarimento dell’Agenzia e successivi rinnovi e comunicazioni periodiche.

Legge 132/2025 sull’intelligenza artificiale

La legge italiana sull’IA definisce principi, ambiti di applicazione settoriale e governance nazionale, in raccordo con l’AI Act. Il quadro si sta completando con i decreti legislativi delegati: monitoriamo l’iter e ne anticipiamo gli impatti operativi su imprese e amministrazioni.

COME FUNZIONA

COME FUNZIONA

  • Analisi di applicabilità

    Partiamo dal tuo settore, dalle dimensioni, dai servizi erogati e dalla catena di fornitura per stabilire quali norme si applicano, a quale titolo e con quali scadenze. Il risultato è un quadro degli obblighi effettivi, senza allarmismi e senza omissioni.

  • Gap analysis

    Confrontiamo la situazione reale dell’organizzazione — misure tecniche, processi, documentazione, contratti — con i requisiti applicabili, e misuriamo la distanza da colmare.

  • Piano di adeguamento

    Definiamo interventi, priorità, responsabilità e tempi, calibrati sul rischio e sulle risorse disponibili, in modo da arrivare alle scadenze con un percorso governato anziché con una corsa finale.

  • Attuazione e documentazione

    Ti affianchiamo nell’adozione delle misure e nella produzione delle evidenze: policy, procedure, registri, analisi dei rischi, procedure di notifica, requisiti contrattuali per i fornitori.

  • Mantenimento

    Riesami periodici, aggiornamento rispetto alle nuove determinazioni e ai nuovi provvedimenti, supporto in caso di incidente, di verifica ispettiva o di richiesta da parte dell’autorità.

illustrazione checklist cybersecurity

CONFORMITÀ A NORMATIVE:
IL NOSTRO SERVIZIO

CONFORMITÀ A NORMATIVE: IL NOSTRO SERVIZIO

Assessment di applicabilità e censimento degli obblighi

Individuazione delle normative applicabili, classificazione del soggetto, mappatura degli adempimenti e delle relative scadenze in un unico documento di sintesi per la direzione.

Gap analysis e piano di adeguamento

Verifica puntuale rispetto ai requisiti tecnici e organizzativi richiesti, con piano di intervento articolato per priorità, responsabilità e tempi.

Adempimenti verso le autorità

Registrazione e aggiornamento sulle piattaforme ACN, designazione dei ruoli previsti, predisposizione delle procedure di notifica degli incidenti, supporto all’iter di qualificazione cloud e alle comunicazioni periodiche.

Governance, policy e documentazione

Politiche di sicurezza, analisi dei rischi, procedure operative, gestione degli incidenti, continuità operativa, gestione degli accessi e dei fornitori: un corpo documentale coerente, non un archivio di modelli generici.

Sicurezza della catena di fornitura

Qualifica dei fornitori, clausole contrattuali di sicurezza, questionari di valutazione e gestione dei requisiti che i tuoi clienti trasferiscono a te.

Formazione e sensibilizzazione

Percorsi dedicati agli organi di amministrazione e direttivi, formazione tecnica per i referenti IT e attività di awareness per il personale, con contenuti costruiti sul contesto reale dell’organizzazione.

FAQ SULLA CONFORMITÀ NORMATIVA

FAQ SULLA CONFORMITÀ NORMATIVA

Dipende dal settore di attività, dalle dimensioni, dai servizi erogati e, sempre più spesso, dal ruolo che l’azienda ricopre nella catena di fornitura di un soggetto obbligato. L’analisi di applicabilità serve esattamente a questo: stabilire con criteri oggettivi se e a quale titolo una norma si applica.
Molto probabilmente sì, ma per una via indiretta. I soggetti obbligati devono valutare e monitorare la sicurezza dei propri fornitori: se lavori con loro, riceverai richieste di garanzie, questionari e clausole contrattuali. Prepararsi in anticipo è un vantaggio commerciale, oltre che di sicurezza.
No. Alcuni obblighi dell’AI Act sono già applicabili, tra cui i divieti, l’alfabetizzazione all’IA e la trasparenza verso chi interagisce con un sistema di intelligenza artificiale. Inoltre l’uso di sistemi di IA produce già oggi effetti sotto altre norme, a partire dal GDPR. Il tempo guadagnato serve a costruire la governance, non a rimandarla.
Le normative recenti la collocano espressamente in capo agli organi di amministrazione e direttivi, che devono approvare le misure, sovrintenderne l’attuazione e seguire una formazione specifica. L’attuazione operativa può essere delegata o affidata all’esterno; la responsabilità resta al vertice.
La conformità è il risultato di misure realmente adottate e mantenute nel tempo, non di un documento. Il nostro compito è definire il perimetro degli obblighi, individuare le lacune, supportare l’attuazione e produrre le evidenze necessarie: la decisione di adottare le misure e le risorse per mantenerle restano dell’organizzazione.
Scattano termini di notifica molto stretti, che nella maggior parte dei casi partono da 24 ore. Per questo la procedura di gestione e notifica degli incidenti va predisposta e provata prima, non improvvisata durante l’emergenza. Ti affianchiamo sia nella preparazione sia nella gestione operativa.

PERCHÉ SCEGLIERE EURISTICA

PERCHÉ SCEGLIERE EURISTICA

Da oltre 30 anni affianchiamo imprese, professionisti e pubbliche amministrazioni nella protezione di sistemi, dati e infrastrutture informatiche, unendo competenze tecniche, presidio normativo e assistenza continuativa.

illustrazione rete team euristica
  • Oltre 30 anni di esperienza nel settore IT

  • Competenze specialistiche in information & cyber security
  • Un unico referente per IT, sicurezza e conformità
  • Consulenti con esperienza diretta su audit e verifiche ispettive
  • Approccio proporzionato alle dimensioni e al rischio dell’organizzazione
  • Documentazione pronta all’uso e personalizzata sul contesto del cliente
  • Formazione dedicata agli organi di amministrazione e al personale
  • Monitoraggio costante dell’evoluzione normativa e degli standard
  • Collaborazione con partner tecnologici e legali specializzati

  • Soluzioni progettate per garantire sicurezza, continuità operativa e valore di business

Trasforma gli obblighi in un percorso di sicurezza

Le scadenze normative sono un’occasione per mettere ordine: capire quali rischi corri davvero, quali misure hai già, quali ti mancano. Costruiamo insieme un percorso di conformità sostenibile, proporzionato alla tua organizzazione e capace di reggere nel tempo.

contattaci

Contattaci per ricevere informazioni sui nostri servizi o per richiedere una consulenza personalizzata. Il nostro team è pronto a supportarti.


    Informativa Completa Privacy & Cookie Policy

    Euristica Srl, in qualità di titolare del trattamento, ha aggiornato la policy privacy in conformità al Regolamento Europeo 2016/679 in materia di protezione dei dati personali.
    Per maggiori info si invita a leggere l'informativa privacy completa al link
    Privacy Policy