Accompagniamo aziende private ed enti pubblici dalla prima valutazione alla certificazione ISO/IEC 27001, costruendo un unico impianto che risponde insieme a NIS2, GDPR e Regolamento europeo sull'intelligenza artificiale. Meno documenti, nessuna contraddizione, un solo team di riferimento.
Queste normative chiedono in larga parte le stesse cose: valutare il rischio, adottare misure proporzionate, gestire gli incidenti, controllare i fornitori, formare le persone. Costruire quattro progetti separati significa fare lo stesso lavoro quattro volte e ritrovarsi con documenti che si contraddicono. Noi partiamo da un sistema di gestione unico e lo estendiamo.
Ogni ambito si può affrontare da solo. Insieme, costano meno di quanto costerebbero separati.
Quando un cliente, un bando o un gruppo industriale ve la chiede. O quando serve un'ossatura seria per tutto il resto.
Quando non è chiaro se l'organizzazione rientri nel perimetro, o ci rientra e le misure vanno costruite.
Quando la privacy è formalmente a posto ma nessuno la tiene aggiornata, o non ha mai retto a una verifica vera.
Quando in azienda si usano già strumenti di intelligenza artificiale, spesso senza che la direzione sappia quali e come.
È la domanda più frequente, ed è il motivo per cui si comincia sempre da una valutazione.
Un attacco che coinvolge dati personali può far scattare insieme la notifica prevista dalla NIS2 (preallarme entro 24 ore, notifica entro 72) e quella di data breach al Garante (entro 72 ore). Se le procedure non sono coordinate si sbaglia su entrambe, davanti a regimi sanzionatori che arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali NIS2, e fino a 20 milioni o al 4% per il GDPR.
La NIS2 chiede agli organi di amministrazione di approvare le misure di gestione del rischio, sovrintenderne l'attuazione e seguire una formazione specifica. Gli amministratori rispondono direttamente delle violazioni: delegare tutto al responsabile IT non mette più al riparo né l'azienda né chi la guida. Per i soggetti essenziali, nei casi più gravi, è prevista anche l'incapacità temporanea a ricoprire funzioni dirigenziali.
Committenti pubblici e grandi gruppi chiedono la ISO/IEC 27001 già in fase di qualifica dei fornitori. Nelle gare, soprattutto in ambito ICT, la certificazione è spesso requisito di partecipazione o vale punteggio premiale. E poiché la NIS2 obbliga i soggetti coinvolti a verificare la sicurezza dei propri fornitori, la richiesta arriva a cascata anche a chi non rientra direttamente nel perimetro.
Chatbot, assistenti di scrittura, strumenti di analisi: quasi ogni organizzazione li usa, pochissime sanno quali e con quali dati. Mentre il dibattito sull'applicazione dell'AI Act è ancora aperto, alcuni obblighi valgono già: da febbraio 2025 chi utilizza sistemi di IA deve garantire un'adeguata alfabetizzazione del personale, e le pratiche vietate espongono a sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale.
Interviste alle funzioni, lettura di politiche, contratti, fornitori e strumenti in uso. Due aziende dello stesso settore hanno rischi diversi.
Gap analysis sui quattro fronti con una priorità esplicita: cosa è urgente, cosa può aspettare, cosa non si applica.
Un solo sistema di gestione, documenti scritti con chi dovrà applicarli, formazione. E, dove serve, il percorso di certificazione.
Audit interni, aggiornamento normativo, prove delle procedure di incidente. Un sistema non si consegna: si mantiene.
La consulenza GRC si inserisce nelle service line di Lama&Associati dedicate a ICT, Safety&Security e organizzazione aziendale: chi lavora al vostro sistema di gestione conosce anche i processi che deve proteggere.
Raccontateci dove si trova oggi la vostra organizzazione e quali richieste o scadenze avete davanti. Vi diciamo con franchezza quali dei quattro ambiti vi riguardano, da dove converrebbe cominciare e se possiamo esservi utili.