NIS2 · Misure di base ACN · DPO esterno · GDPR
Cybersecurity, protezione dei dati e incarichi di DPO per imprese che preferiscono prevenire un incidente piuttosto che doverlo spiegare. Adempimenti NIS2, misure di base ACN, GDPR: messi in fila, documentati, difendibili.
$ elemento14 audit --target "la-tua-azienda"
test di ripristino backupMAI ESEGUITO
registrazione portale ACNOK
referente CSIRTNON DESIGNATO
misure di base14 / 43
procedura incidenti 24h/72hASSENTE
formazione organi di amministrazioneNO
fornitori rilevantiPARZIALE
! esposizione: ELEVATA — serve un piano, non un altro PDF.
$
// 01 Cosa faccio
Sicurezza informatica e protezione dei dati non sono mondi separati: lo stesso attacco può essere un incidente NIS2 e un data breach GDPR. Per questo li seguo insieme.
// area 1 · cybersecurity
Adempimenti del D.Lgs. 138/2024 dalla registrazione sul Portale ACN alla gestione degli incidenti, con le misure di sicurezza costruite, attuate e documentate.
// area 2 · protezione dei dati
Responsabile della protezione dei dati esterno per aziende private e adeguamento completo al GDPR, con chi conosce anche la sicurezza informatica che c’è dietro.
// 02 Il punto
Con il D.Lgs. 138/2024 gli organi di amministrazione approvano le misure di gestione del rischio, ne sovrintendono l’attuazione e ne rispondono. E devono pure formarsi. Tradotto: «non lo sapevo» non è più una strategia difensiva.
Elemento14 nasce per chi vuole arrivare preparato: ruoli chiari, misure adottate, evidenze in ordine, persone che sanno cosa fare quando qualcosa va storto. Il resto è rumore.
24h
per la pre-notifica di un incidente significativo al CSIRT Italia.
10M€
o il 2% del fatturato mondiale: la sanzione massima per i soggetti essenziali.
116
requisiti delle misure di base per i soggetti essenziali. 87 per gli importanti.
18mesi
concessi ai soggetti inseriti nel 2025 per le misure di base. Per quasi tutti, già finiti.
// 03 Consulenza NIS2 e cybersecurity
Il D.Lgs. 138/2024 non si “legge”: si esegue. Ti accompagno in ogni adempimento, dalla registrazione sul Portale ACN fino alla verifica delle misure.
Audit interni sulle misure adottate, controllo delle evidenze, simulazioni di verifica. Meglio scoprire le lacune da soli che in sede di ispezione.
Approfondisci 02 Adempimenti ACNRegistrazione, punto di contatto, referente CSIRT, aggiornamento annuale, elenco dei fornitori rilevanti, categorizzazione di attività e servizi. Ogni finestra, ogni anno.
Approfondisci 03 Il cuore del lavoroGap analysis requisito per requisito, piano di adeguamento, policy, procedure, evidenze. Non un PDF da cassetto: un sistema che regge a una verifica.
Approfondisci 04 Incident responseProcedura di gestione e notifica, criteri di significatività, ruoli, modelli pronti e simulazioni. Per decidere in fretta senza decidere male.
Approfondisci 05 GovernanceFormazione degli organi di amministrazione e del personale, deleghe, approvazioni, verbali: la governance che l’art. 23 pretende, senza teatro.
Approfondisci 06 Supply chainMappatura e valutazione dei fornitori, clausole contrattuali di sicurezza, rischio di filiera. Utile anche se il soggetto NIS2 è il tuo cliente.
Approfondisci// 04 Privacy e DPO
Assumo l’incarico di DPO per aziende private e seguo l’adeguamento privacy dalla A alla Z. E visto che un attacco informatico spesso è anche un data breach, gestire NIS2 e GDPR con un’unica regia significa una procedura, un registro, zero contraddizioni.
Un incidente, due notifiche
Due autorità, due valutazioni, un’unica crisi. Meglio avere una procedura sola, scritta prima.
Responsabile della protezione dei dati esterno: indipendente, raggiungibile, coinvolto prima delle decisioni e non dopo. Pareri, audit, relazione annuale.
Approfondisci Adeguamento GDPRRegistro dei trattamenti, informative, nomine dei responsabili, DPIA, videosorveglianza, cookie e sito web. Costruiti sulla tua realtà.
Approfondisci Data breachProcedura, registro delle violazioni, valutazione del rischio, notifica al Garante e comunicazione agli interessati quando serve.
Approfondisci// 05 Misure di sicurezza di base ACN
Le specifiche di base dell’ACN traducono l’art. 24 del D.Lgs. 138/2024 in 37 misure per i soggetti importanti e 43 per gli essenziali, organizzate sulle sei funzioni del Framework nazionale. Tutte obbligatorie. Tutte da dimostrare.
Govern
Ruoli, responsabilità, politiche, gestione del rischio e della filiera. Approvate da chi amministra, non solo da chi le scrive.
Identify
Inventario di sistemi, servizi e fornitori, valutazione del rischio. Non puoi proteggere ciò che non sai di avere.
Protect
Identità e accessi, autenticazione forte, formazione, sicurezza dei dati, aggiornamenti e configurazioni sicure.
Detect
Monitoraggio ed eventi anomali. Accorgersi di un’intrusione dopo tre mesi non conta come “rilevare”.
Respond
Gestione degli incidenti e notifica al CSIRT Italia nei tempi di legge. Con ruoli e modelli pronti.
Recover
Continuità operativa e ripristino. Un backup mai ripristinato non è un backup: è una speranza.
// 06 Calendario NIS2
Le prossime date che contano, aggiornate in automatico. Quelle in rosso sono già passate: se ti riguardano, non sei in anticipo.
Prossima scadenza · scade tra
Designazione del referente CSIRT
Soggetti inseriti nell’elenco nel 2026 · entro 31 dicembre 2026
Arrivaci preparatoMisure di sicurezza di base
Soggetti inseriti nell’elenco NIS nel 2025
18 mesi dalla comunicazione di inserimento: per la gran parte, ottobre 2026. Fa fede la data della tua comunicazione.
Designazione del referente CSIRT
Soggetti inseriti nell’elenco nel 2026
Entro il 31 dicembre dell’anno di inserimento nell’elenco.
Scatta la notifica degli incidenti
Soggetti inseriti nell’elenco nel 2026
Pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
Registrazione e aggiornamento sul Portale ACN
Soggetti che rientrano nel perimetro NIS
Ogni anno, dal 1° gennaio al 28 febbraio.
Aggiornamento informazioni ed elenco fornitori rilevanti
Tutti i soggetti NIS
Ogni anno, dal 15 aprile al 31 maggio.
Categorizzazione di attività e servizi
Tutti i soggetti NIS
Ogni anno, dal 1° maggio al 30 giugno.
Misure di sicurezza di base
Soggetti inseriti nell’elenco nel 2026
Termine fissato dalla Determinazione ACN 127434/2026.
Calendario indicativo basato sul D.Lgs. 138/2024 e sulle Determinazioni ACN vigenti. Per la tua organizzazione fanno fede le comunicazioni ricevute dall’ACN.
// 07 Metodo
Sistemi, servizi, fornitori, responsabilità. Prima di cambiare qualcosa, bisogna sapere come lavori davvero.
Gap analysis misura per misura, requisito per requisito. Onesta, anche quando fa male.
Priorità per rischio, policy, procedure, registri. Lavoro con il tuo IT e i tuoi fornitori, non al posto loro.
Scadenze annuali, incidenti, novità normative, verifiche periodiche. La conformità non è una foto: è un film.
Elemento 14 · Silicio. La base di ogni chip, quindi di ogni dato e di ogni rischio digitale. Il nome non è un caso.
// 08 Chi sono
DPO · Consulente Privacy, NIS2 e Cybersecurity
Mi occupo di protezione dei dati personali e di sicurezza delle informazioni. Assumo l’incarico di DPO per aziende private e affianco imprese e organizzazioni nel percorso di adeguamento alla NIS2: dagli adempimenti sul Portale ACN alle misure di base, fino alla gestione degli incidenti. Il mio lavoro è semplice da descrivere e difficile da fare: trasformare norme scritte per tutti in misure che funzionano per te.
// 09 Notizie
La cybersecurity non si costruisce sulla carta. Eppure, ancora oggi, troppe organizzazioni ignorano le vulnerabilità presenti nei propri sistemi informativi.Sistemi obsoleti, servizi esposti su Internet senza adeguate protezioni,…
Leggi :// 10 Domande frequenti
Se la tua non c’è, è probabilmente quella giusta da farmi al telefono.
Sono le misure di sicurezza che l’ACN richiede ai soggetti NIS2: 37 per gli importanti, 43 per gli essenziali, organizzate sulle sei funzioni del Framework nazionale (governo, identificazione, protezione, rilevamento, risposta, ripristino). Vanno adottate, attuate e soprattutto documentate.
Adesso partono i termini: designazione del referente CSIRT, notifica degli incidenti, misure di base, aggiornamenti annuali sul Portale. Le prime due cose da mettere in piedi sono una gap analysis sulle misure di base e una procedura incidenti che funzioni davvero.
L’ACN può svolgere verifiche e ispezioni e, nei casi previsti, irrogare sanzioni anche rilevanti. La scelta peggiore è restare fermi: un piano di adeguamento concreto, datato e in esecuzione è il modo migliore per ridurre l’esposizione. Si comincia subito.
Formalmente sì, in pratica raramente. I soggetti NIS2 devono gestire il rischio dei propri fornitori: se lavori per loro ti chiederanno garanzie, questionari e clausole contrattuali. Meglio arrivarci con le risposte pronte.
Per un’azienda privata lo è quando le attività principali comportano il monitoraggio regolare e sistematico di persone su larga scala, oppure il trattamento su larga scala di dati particolari (es. sanitari) o relativi a reati (art. 37 GDPR). Negli altri casi è una scelta. Spesso molto conveniente.
No, se uno conosce bene entrambe. Le due normative si sovrappongono su gestione del rischio, fornitori e incidenti: lavorarci insieme evita doppioni, contraddizioni e costi inutili.
// ultima chiamata (per fortuna, non in senso letterale)
Una prima chiamata per capire a che punto sei con misure di base, incidenti e governance, e quanto manca. Senza gergo, senza allarmismi, senza impegno.
// modulo di richiesta