La crescente digitalizzazione e l’ampliamento delle superfici di attacco informatico hanno posto la sicurezza dei dati e delle reti al centro delle strategie di compliance e gestione del rischio aziendale. In questo contesto, il Regolamento generale sulla protezione dei dati (GDPR) e la direttiva Network and Information Security 2 (NIS2) rappresentano due pilastri normativi fondamentali, entrambi incentrati sull’adozione di misure di sicurezza adeguate. Tuttavia, pur condividendo obiettivi di protezione e resilienza, presentano approcci e requisiti specifici che è cruciale comprendere per una governance integrata ed efficace.
Il quadro normativo delle misure di sicurezza nell’articolo 32 GDPR
L’articolo 32 del GDPR definisce in modo esplicito le misure tecniche e organizzative necessarie per garantire un livello di sicurezza adeguato al rischio associato al trattamento dei dati personali. Queste misure devono tenere conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà degli interessati.
In particolare, l’articolo 32 prescrive, tra le altre, le seguenti azioni:
- la pseudonimizzazione e la cifratura dei dati personali;
- la capacità di garantire la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
- la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai dati in caso di incidente;
- processi di verifica, valutazione e valutazione regolare dell’efficacia delle misure implementate.
Il focus primario è sulla protezione dei dati personali, ma l’articolo 32 si estende a considerare la sicurezza dell’intero ciclo di vita del dato, con un’attenzione particolare al rischio che un evento possa compromettere i diritti degli interessati.
Le caratteristiche distintive e i requisiti della direttiva NIS2
La direttiva NIS2, evoluzione della prima direttiva NIS, mira a rafforzare la sicurezza delle reti e dei sistemi informativi nell’Unione europea, ampliando il perimetro di applicazione e innalzando gli standard minimi di sicurezza per operatori di servizi essenziali e fornitori di servizi digitali. La NIS2 stabilisce obblighi più stringenti in termini di governance della sicurezza e gestione del rischio ICT.
Al centro della direttiva vi è l’adozione di misure di sicurezza “tecniche e organizzative” adeguate a prevenire e mitigare gli incidenti informatici, con un’enfasi particolare sulla resilienza complessiva delle infrastrutture critiche e sui processi di gestione degli incidenti.
Tra i requisiti chiave della NIS2 si evidenziano:
- l’implementazione di politiche di sicurezza informatica integrate e coerenti con le best practice internazionali;
- la valutazione continua del rischio e la gestione proattiva delle vulnerabilità;
- l’obbligo di segnalazione tempestiva degli incidenti di sicurezza alle autorità competenti;
- la formazione e sensibilizzazione del personale coinvolto nella gestione ICT;
- l’adozione di misure di sicurezza specifiche per la protezione delle reti e dei sistemi informativi critici.
Punti di contatto tra l’articolo 32 GDPR e i requisiti NIS2
Nonostante i diversi ambiti di applicazione, GDPR e NIS2 condividono principi e misure comuni, che possono essere considerati complementari e sinergici nel garantire la sicurezza e la protezione dei dati e delle reti. Alcuni elementi di sovrapposizione sono particolarmente rilevanti per le organizzazioni chiamate a rispettare entrambi i framework normativi.
- Approccio basato sul rischio: entrambi richiedono un’analisi continua e dinamica del rischio, orientata all’identificazione e mitigazione delle minacce più rilevanti per la sicurezza dei dati personali e delle infrastrutture.
- Misure tecniche e organizzative: la necessità di implementare misure efficaci per garantire confidenzialità, integrità, disponibilità e resilienza è un cardine comune, sebbene con un focus più specifico sulla protezione del dato per il GDPR e sulla sicurezza delle reti per la NIS2.
- Gestione degli incidenti: entrambe le normative prevedono la capacità di rilevare, rispondere e ripristinare tempestivamente in caso di eventi di sicurezza, con obblighi di notifica che contribuiscono alla trasparenza e alla mitigazione del rischio.
- Formazione e consapevolezza: la NIS2 esplicita maggiormente l’importanza della formazione del personale, ma anche il GDPR riconosce un ruolo fondamentale alla cultura della sicurezza all’interno dell’organizzazione.
- Monitoraggio e miglioramento continuo: l’articolo 32 e la NIS2 insistono sulla necessità di processi regolari di verifica, audit e aggiornamento delle misure di sicurezza, per mantenere un livello di protezione adeguato nel tempo.
Le sfide e i falsi miti nella convergenza delle misure di sicurezza
Un falso mito ricorrente è ritenere che il rispetto dell’articolo 32 GDPR possa automaticamente garantire la compliance alla NIS2, o viceversa. In realtà, pur essendoci sinergie evidenti, le specificità tecniche e organizzative di ciascuna disciplina richiedono approcci differenziati e spesso integrati, che tengano conto della natura delle informazioni trattate e delle infrastrutture coinvolte.
Una sfida significativa risiede nella necessità di armonizzare i processi interni di gestione della sicurezza, evitando duplicazioni o lacune dovute a interpretazioni diverse dei requisiti normativi. Il coinvolgimento congiunto di figure chiave come il DPO, il CISO e i responsabili ICT diventa strategico per costruire una governance coerente e resiliente.
Inoltre, la complessità tecnica delle misure richieste comporta una continua attenzione all’aggiornamento tecnologico e alla formazione specialistica, soprattutto in un contesto in rapido mutamento come quello delle minacce cyber.
Verso un modello integrato di Data Governance e sicurezza
Integrare le prescrizioni dell’articolo 32 GDPR con i requisiti della NIS2 non è solo un obbligo normativo, ma rappresenta un’opportunità strategica per rafforzare la sicurezza complessiva dell’organizzazione e migliorare la fiducia di clienti, partner e stakeholder. Un modello di Data Governance efficace deve pertanto abbracciare una visione olistica che coniughi protezione dei dati, sicurezza delle reti e gestione del rischio ICT.
Solo attraverso un approccio integrato e multidisciplinare è possibile garantire una protezione reale e duratura, che vada oltre la mera compliance e contribuisca a creare valore sostenibile nel tempo. Per approfondire come strutturare una strategia di sicurezza e Data Governance efficace e conforme, è possibile richiedere consulenza, demo o supporto specialistico visitando https://gdprlab.it/contatti/.
GDPRLab è un brand dell’ecosistema s-mart
Approfondimento: Richiedi una consulenza sulla Data Governance.
