L’inclusione dipende dall’incrocio tra i criteri dimensionali (almeno 50 dipendenti o 10 milioni di euro di fatturato) e i settori di attività elencati negli Allegati del D.Lgs. 138/2024. Tuttavia, esistono numerose eccezioni indipendenti dalle dimensioni (es. fornitori di servizi digitali, infrastrutture critiche). Noi offriamo un servizio mirato di Assessment di Qualificazione per accertare formalmente la posizione della vostra azienda.

Legalmente potreste esserlo, ma commercialmente probabilmente no. La NIS2 impone ai soggetti obbligati di monitorare la sicurezza della propria catena di approvvigionamento (Supply Chain). Di conseguenza, se la vostra azienda è fornitrice di realtà più grandi (es. banche, aziende energetiche, grandi industrie), vi verranno contrattualmente richiesti gli stessi standard NIS2 per non essere esclusi dal loro elenco fornitori.

La NIS2 introduce una responsabilità diretta e personale per gli organi di amministrazione e direttivi. Oltre alle sanzioni pecuniarie per l’azienda, l'ACN (Agenzia per la Cybersicurezza Nazionale) ha il potere di richiedere la sospensione temporanea degli amministratori dalle cariche sociali e vietare l'esercizio di funzioni dirigenziali fino al completo adeguamento.

La regola fondamentale è "meglio tardi che mai". Regolarizzare la propria posizione in ritardo, ma in modo proattivo e volontario tramite un piano di adeguamento (remediation plan), costituisce una forte attenuante legale e dimostra alle autorità la volontà di cooperare, riducendo drasticamente il rischio di sanzioni massime in caso di controlli.

Le tempistiche di notifica al CSIRT Italia (ACN) sono rigidissime: un pre-allarme entro 24 ore dal momento in cui si viene a conoscenza dell'incidente significativo, seguito da una notifica dettagliata entro 72 ore e da una relazione finale entro un mese. Assistiamo le aziende nella redazione di piani di Incident Response legalmente conformi a queste tempistiche.

Forniamo un supporto globale che unisce la competenza giuridica a quella strategico-organizzativa: dall'assessment iniziale per la classificazione alla gap analysis dei processi esistenti; dalla redazione di policy interne, procedure di gestione del rischio e piani di incident response, fino alla revisione e aggiornamento dei contratti con i fornitori rilevanti (Supply Chain Due Diligence).

Il nostro focus è la compliance legale, la contrattualistica e la governance del rischio. Lavoriamo in stretta sinergia con i vostri dipartimenti IT interni o con i vostri fornitori di servizi informatici esterni. Qualora l'azienda non disponga di partner tecnologici, possiamo collaborare con professionisti e tecnici informatici di nostra fiducia per garantire una copertura a 360 gradi.

Non esiste una tariffa standard o un pacchetto predefinito, poiché ogni realtà aziendale presenta un livello di complessità unico. Il costo dipende dal settore di operatività, dalla struttura societaria (presenza di holding, controllate, sedi estere), dal livello di maturità informatica di partenza e dal numero di fornitori da mappare. Ogni preventivo viene personalizzato su misura in base alle reali esigenze e dimensioni del cliente, garantendo la massima trasparenza sui costi.

Il percorso inizia con un primo colloquio conoscitivo volto a inquadrare preliminarmente l'attività e le dimensioni dell'azienda. In seguito a questo confronto, formuleremo una proposta economica dettagliata e un piano d'azione personalizzato per l'avvio delle attività di compliance.

La sicurezza informatica e la conformità legale sono processi dinamici. La NIS2 richiede un monitoraggio continuo e aggiornamenti periodici, come la finestra obbligatoria annuale (15 aprile – 31 maggio) per l'aggiornamento dei punti di contatto e delle informazioni sui fornitori sul portale ACN. Se ne avete bisogno offriamo contratti di assistenza continuativa per garantire che l'azienda rimanga protetta e a norma nel tempo.

La NIS2 non sostituisce il GDPR o il Modello Organizzativo 231, ma si integra con essi. Un incidente informatico può comportare contemporaneamente un data breach (GDPR), un reato informatico societario (231) e una violazione NIS2. Noi possiamo supportarvi per creare un framework di conformità integrato, evitando duplicazioni di procedure e ottimizzando gli investimenti già sostenuti dall'azienda.

Il D.Lgs. 138/2024 richiede un approccio basato sul rischio e multirischio. Le misure minime includono: politiche di analisi dei rischi e di sicurezza dei sistemi informatici, gestione degli incidenti, continuità operativa (es. backup e disaster recovery), sicurezza della catena di approvvigionamento, crittografia e l'uso di soluzioni di autenticazione a più fattori (MFA). Noi possiamo aiutarvi a tradurre questi requisiti tecnici in policy legali e procedure aziendali vincolanti.

L'ACN può disporre ispezioni, verifiche documentali e audit mirati, sia ex ante (per i Soggetti Essenziali) sia a seguito di incidenti o segnalazioni (per i Soggetti Importanti). In caso di ispezione, noi offriamo un servizio di difesa e assistenza legale strategica, presidiando i rapporti con l'Autorità, verificando la correttezza delle richieste e supportando il management nella stesura di memorie difensive o piani di rimedio.

Sì, l'Articolo 20 del Decreto prevede espressamente l'obbligo per gli organi di governo e per i dipendenti di seguire corsi di formazione periodici in materia di cybersecurity. Possiamo aiutarvi a progettare ed erogare sessioni di formazione giuridico-organizzativa mirate per il management (C-Suite) e per il personale, elementi indispensabili per dimostrare la due diligence aziendale in caso di controlli.

La NIS2 è una norma giuridica che impatta sulla governance societaria, sulla responsabilità civile e penale degli amministratori e sui contratti commerciali. Un'agenzia informatica può sicuramente assistervi per implementare le misure di sicurezza informatiche, ma non può blindare legalmente la responsabilità degli organi direttivi, né redigere clausole contrattuali a tutela della Supply Chain o gestire un contenzioso sanzionatorio con l'ACN. Noi uniamo la comprensione del rischio tecnologico alla necessaria solidità legale. Poiché ogni struttura aziendale è unica, la nostra assistenza non prevede soluzioni standardizzate: ogni intervento e relativo preventivo vengono calibrati su misura in base al vostro settore, al modello organizzativo e al livello di rischio effettivo.

Il Regolamento si applica a una platea vastissima di soggetti e non si limita a chi sviluppa sistemi di Intelligenza Artificiale, definiti dalla norma come Fornitori. L'obbligo di compliance si estende anche agli Importatori, ai Distributori e, soprattutto, agli Utilizzatori professionali denominati Deployer. Rientrano in quest'ultima categoria tutte le aziende che integrano o utilizzano strumenti di IA per lo svolgimento della propria attività aziendale, come ad esempio i software per il recruiting, la profilazione dei clienti o la gestione automatizzata della supply chain.

L'AI Act adotta un approccio rigorosamente basato sul rischio e classifica i sistemi di IA in quattro macro-categorie ben distinte. Si va dal rischio inaccettabile, che comporta il divieto assoluto del sistema come nel caso del social scoring, al rischio alto, che assoggetta l'azienda a severissimi obblighi di compliance per i sistemi usati nelle risorse umane o nella sanità. Vi sono poi i sistemi a rischio limitato, sottoposti principalmente a obblighi di trasparenza come i chatbot, e infine quelli a rischio minimo, che sono esenti da obblighi specifici. Offriamo un servizio mirato di AI Mapping per classificare correttamente i sistemi in uso ed evidenziare i relativi obblighi legali.

L'impianto sanzionatorio dell'AI Act è strutturato per colpire severamente l'inosservanza delle regole, prevedendo sanzioni pecuniarie amministrative persino più elevate di quelle del GDPR. Le multe possono raggiungere i 35 milioni di euro o il 7% del fatturato mondiale annuo per l'utilizzo di pratiche vietate, oppure assestarsi fino a 15 milioni di euro o al 3% del fatturato per la violazione degli obblighi sui sistemi ad alto rischio. A queste penalità economiche si sommano il grave danno reputazionale per il brand e il potenziale provvedimento di blocco o ritiro immediato del software dal mercato.

L'AI Act non cancella le normative esistenti, ma si sovrappone a esse creando un quadro di compliance multidimensionale. Lo sviluppo, l'addestramento e l'impiego dei modelli di IA impattano direttamente sulla disciplina della privacy per il trattamento dei dati personali e sulle norme del Copyright per l'utilizzo di dataset protetti da diritto d'autore. Possiamo supportarvi nell'analisi congiunta di queste materie, garantendo che l'adozione dell'IA in azienda avvenga senza creare pericolose falle legali o vulnerabilità su altri fronti normativi.

Offriamo una consulenza strategico-legale completa per governare in sicurezza l'introduzione dell'Intelligenza Artificiale nei processi aziendali. Ci occupiamo dell'audit dei sistemi impiegati, della redazione delle AI Policy interne per i dipendenti, del supporto nella valutazione d'impatto sui diritti fondamentali e della revisione dei contratti di licenza con i fornitori dei software. Poiché ogni modello di business integra l'IA in modo unico e con diversi livelli di complessità tecnologica, ogni nostro intervento e il relativo preventivo vengono interamente strutturati e personalizzati ad hoc sulle specifiche esigenze del cliente.