NIS2 readiness
Perimetro, gap analysis legale, governance, policy, responsabilità, supply chain e flussi di segnalazione.
Practice group · Cyber & Data
Cybersecurity e data governance
Governance di sicurezza, dati e incidenti per collegare obblighi normativi, organizzazione interna e responsabilità nella supply chain.
01 / Scope
Problemi affrontati
L'analisi legale parte dai fatti operativi. Queste sono questioni ricorrenti, ma perimetro e priorità vengono definiti sul singolo progetto.
- 01Determinare l'ambito soggettivo NIS2 e coordinare responsabilità degli organi, valutazione del rischio e misure applicabili.
- 02Gestire un data breach o incidente cyber rispettando finestre di notifica diverse senza compromettere indagini ed evidenze.
- 03Regolare fornitori cloud, MSP, software e trattamento dati con obblighi misurabili, audit e catene di subfornitura trasparenti.
- 04Costruire una data governance che distingua titolarità, ruoli privacy, accessi, conservazione, riuso e trasferimenti internazionali.
02 / Services
Servizi
L'assistenza può riguardare una singola questione o coordinare più filoni. Perimetro, presupposti e deliverable vengono definiti prima dell'incarico.
GDPR e privacy
Ruoli, informative, registri, contratti, DPIA, trasferimenti e gestione dei diritti degli interessati.
Incident response
Playbook legale, valutazione delle notifiche, coordinamento con tecnici e comunicazioni a autorità e interessati.
Contratti cyber
Requisiti di sicurezza, livelli di servizio, audit, subfornitori, cooperazione negli incidenti e responsabilità.
Data governance
Classificazione dei dati, regole di accesso e riuso, conservazione, condivisione e documentazione delle decisioni.
Verifiche e contenzioso
Gestione di richieste delle autorità, reclami, audit, contestazioni contrattuali e conservazione delle evidenze.
03 / Framework
Quadro normativo essenziale
La disciplina applicabile dipende da attività, soggetti e territori coinvolti. Le fonti seguenti sono un punto di partenza, non un elenco esaustivo.
Direttiva (UE) 2022/2555
NIS2 rafforza governance, misure di gestione del rischio, reporting degli incidenti e sicurezza della supply chain.
Regolamento (UE) 2016/679
Il GDPR disciplina trattamento, accountability, sicurezza, data breach, valutazioni d'impatto e trasferimenti.
DORA e regole settoriali
Nel settore finanziario e in altri comparti regolati si aggiungono requisiti specifici di resilienza e outsourcing.
Data Act e Data Governance Act
Accesso, condivisione e portabilità dei dati introducono nuovi rapporti contrattuali e vincoli sul riuso.
04 / Method
Un metodo costruito sulla questione
Lo Studio combina analisi giuridica e comprensione del contesto operativo. Il parere rende espliciti presupposti, dipendenze e decisioni, evitando una lettura astratta delle norme.
Ricostruire i fatti
Identifichiamo modello operativo, soggetti, documenti, tecnologie, decisioni e scadenze.
Definire il quadro
Distinguiamo obblighi, scelte contrattuali, incertezze e profili che richiedono un apporto tecnico.
Stabilire le priorità
Le opzioni sono esposte con conseguenze, dipendenze e una sequenza che l'organizzazione possa attuare.
Seguire l'attuazione
Assistiamo nella redazione, nelle negoziazioni, nelle decisioni interne e nei rapporti con controparti o autorità.
05 / Connections
Aree e analisi correlate
06 / FAQ
Domande frequenti
La NIS2 riguarda solo grandi infrastrutture?
No. Ambito, dimensione, settore e ruolo dell'organizzazione devono essere verificati secondo la disciplina europea e nazionale di recepimento.
Ogni incidente cyber deve essere notificato?
Non necessariamente. Soglia, impatto, regime applicabile e tempistiche vanno valutati rapidamente e documentati.
Un accordo sul trattamento dati copre anche il rischio cyber?
Solo in parte. Sono spesso necessari requisiti tecnici e organizzativi, audit, cooperazione, continuità, subfornitura e rimedi specifici.
Chi deve partecipare alla risposta a un incidente?
Direzione, funzioni tecniche, privacy, legale, comunicazione e fornitori rilevanti, con ruoli definiti prima dell'emergenza.
Inquadriamo il progetto e le sue priorità.
Descrivi l'attività, la decisione da prendere e le eventuali scadenze. Un primo scambio consente di verificare conflitti, perimetro e informazioni necessarie. L'invio non costituisce conferimento dell'incarico.