In breve
- Il GDPR chiede misure adeguate al rischio e la capacità di dimostrarle.
- Le cinque misure che evitano la maggior parte dei danni: backup separati, aggiornamenti, due fattori, account personali, formazione.
- Un attacco che colpisce dati personali è un data breach: valutazione e, se serve, notifica al Garante entro 72 ore.
- NIS2: riguarda soprattutto aziende medie e grandi in 18 settori, ma anche i loro fornitori; obblighi dalla comunicazione dell’ACN.
- Una polizza cyber aiuta, ma richiede quasi sempre misure minime già attive.
Le misure che contano davvero
| Misura | Cosa significa in pratica | Contro cosa protegge |
|---|---|---|
| Backup | Almeno tre copie, su due supporti diversi, una fuori sede o non collegata; prova di ripristino periodica. | Ransomware, guasti, errori |
| Aggiornamenti | Sistemi, programmi, router e plugin aggiornati; niente sistemi operativi fuori supporto. | Vulnerabilità note |
| Autenticazione a due fattori | Su email, gestionali, cloud, home banking, accessi remoti. | Furto di password |
| Account personali | Niente credenziali condivise; amministratore solo a chi serve; disattivazione immediata di chi lascia. | Abusi, accessi non tracciati |
| Protezione dei dispositivi | Antivirus gestito, cifratura di portatili e telefoni, blocco schermo. | Malware, furto o smarrimento |
| Formazione | Riconoscere phishing, falsi bonifici, allegati sospetti; procedura per segnalare. | Truffe e ingegneria sociale |
| Rete | Router aggiornato, password cambiate, rete ospiti separata, accessi remoti tramite VPN. | Intrusioni |
Per i problemi su singoli computer vedi virus e sicurezza; per la rete router e rete.
Cosa chiede il GDPR
L’articolo 32 del GDPR chiede misure tecniche e organizzative adeguate, tenendo conto della natura dei dati, dei rischi e dei costi. Significa che uno studio medico o un commercialista, che trattano dati delicati, devono fare di più di un negozio con l’elenco dei clienti. Le misure vanno documentate: chi controlla chiede cosa hai fatto, non cosa intendevi fare. Una breve politica di sicurezza, il registro dei trattamenti con le misure indicate e le istruzioni ai dipendenti sono il minimo: vedi nomine e registri e GDPR e informative.
NIS2: chi è coinvolto
- Si applica in genere alle imprese medie e grandi di settori come energia, trasporti, sanità, acqua, infrastrutture digitali, servizi ICT gestiti, produzione di beni critici, alimentare, rifiuti, servizi postali e altri, per un totale di 18 settori.
- Alcune realtà sono incluse a prescindere dalle dimensioni, e i fornitori di soggetti NIS2 ricevono comunque richieste contrattuali di sicurezza.
- I soggetti si registrano sul portale dell’ACN e aggiornano i dati ogni anno nei primi mesi; gli obblighi decorrono dalla comunicazione individuale dell’ACN.
- Gli obblighi: misure di base di gestione del rischio, responsabilità degli organi di amministrazione, notifica degli incidenti significativi (pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese).
- Le sanzioni arrivano fino a 10 milioni o al 2% del fatturato mondiale per i soggetti essenziali.
Se subisci un attacco
- Isola i dispositivi colpiti dalla rete, senza spegnerli se puoi, e cambia le password da un dispositivo pulito.
- Non pagare riscatti senza aver parlato con un tecnico e con le autorità: non garantisce il recupero.
- Valuta se sono coinvolti dati personali: se sì, è un data breach con 72 ore per la notifica al Garante. Vedi data breach.
- Denuncia alla Polizia Postale, anche online.
- Ripristina dai backup dopo aver capito come sono entrati, altrimenti si ripete.
- Se la posta è stata violata, avvisa clienti e fornitori: i falsi IBAN nelle email sono la truffa più frequente. Vedi email e PEC.
Lavoro da remoto e dispositivi personali
Chi lavora da casa o dal telefono personale porta i dati aziendali fuori dall’ufficio. Servono poche regole scritte: accesso ai sistemi solo tramite VPN o servizi con due fattori, niente documenti di lavoro salvati su chiavette o cloud personali, dispositivi con blocco schermo e cifratura, possibilità di cancellare a distanza i dati aziendali da un telefono perso. Le stesse regole valgono per collaboratori esterni e tirocinanti, che spesso usano computer propri.
Fornitori, cloud e polizze
Gestionale in cloud, assistenza informatica, hosting e software esterni trattano i tuoi dati: vanno scelti con garanzie adeguate e nominati responsabili del trattamento. Chiedi dove stanno i dati, chi fa i backup e in quanto tempo si ripristina. Le polizze cyber coprono costi di ripristino, fermo e responsabilità verso terzi, ma chiedono quasi sempre due fattori, backup separati e aggiornamenti: leggi bene le esclusioni.
Cosa fa il consulente su Intervento
Descrivi attività, numero di dipendenti, dispositivi, servizi cloud e come fai i backup. L’orientamento gratuito ti indica i punti deboli più probabili. Con l’Esperto un consulente privacy e sicurezza verificato ti risponde per iscritto entro 4 ore: priorità, misure da documentare e se rientri nella NIS2. Con il livello Soluzione prepara la politica di sicurezza o un piano di adeguamento, su preventivo.
Questa guida descrive le regole generali in vigore al 20 ottobre 2026. Per un attacco in corso conta la rapidità: isola i dispositivi e chiedi subito il livello Live a un tecnico.
