Molte aziende che hanno già affrontato un percorso di adeguamento al GDPR, negli ultimi tempi, si trovano a fare i conti con una nuova sigla: NIS2. La domanda più immediata è: si tratta della stessa cosa? Bisogna ripartire da zero? La risposta è più sfumata di un semplice sì o no, ed è proprio in questa sfumatura che si nasconde l’opportunità di risparmiare tempo e risorse.
L’obiettivo del GDPR: proteggere i dati personali
Il Regolamento Generale sulla Protezione dei Dati (GDPR) nasce con un obiettivo preciso: tutelare i diritti e le libertà delle persone fisiche in relazione al trattamento dei loro dati personali. Il perno del GDPR è quindi il dato personale in sé: come viene raccolto, trattato, conservato, condiviso, e quali garanzie ha la persona a cui quel dato si riferisce. Le misure di sicurezza richieste dal GDPR (l’articolo 32, in particolare) sono funzionali a questo scopo: servono a proteggere i dati personali da accessi non autorizzati, perdite o trattamenti illeciti.
L’obiettivo della NIS2: la resilienza dei sistemi e dei servizi
La NIS2 parte da un obiettivo diverso, anche se collegato: garantire un livello elevato di sicurezza e resilienza delle reti e dei sistemi informativi che sostengono servizi essenziali o importanti per l’economia e la società, indipendentemente dal fatto che questi sistemi trattino o meno dati personali. Il perno della NIS2 non è il dato personale, ma la continuità e l’affidabilità del servizio erogato: un ospedale, una rete di distribuzione energetica o una piattaforma cloud devono restare operativi e sicuri anche a prescindere dal tipo di informazioni che gestiscono.
In sintesi: il GDPR guarda soprattutto a “cosa succede ai dati delle persone”, la NIS2 guarda soprattutto a “quanto sono resilienti e sicuri i sistemi che fanno funzionare servizi critici”. Sono prospettive diverse, ma che nella pratica aziendale finiscono per intrecciarsi spesso.
Dove le due normative si sovrappongono
Ci sono almeno due aree in cui GDPR e NIS2 richiedono, di fatto, attività molto simili:
La notifica degli incidenti. Sia il GDPR sia la NIS2 prevedono obblighi di notifica in caso di eventi rilevanti, sebbene con presupposti, tempistiche, autorità destinatarie e soglie di gravità differenti (il GDPR si concentra sulle violazioni di dati personali, la NIS2 sugli incidenti che impattano la sicurezza dei sistemi e la continuità del servizio, indipendentemente dalla presenza di dati personali coinvolti). Un’azienda che ha già una procedura interna di gestione degli incidenti per il GDPR ha già una base organizzativa utile, ma dovrà verificarne ed eventualmente ampliarne i criteri di attivazione e i destinatari della notifica ai fini NIS2.
Le misure tecniche e organizzative di sicurezza. Molte misure richieste (gestione degli accessi, cifratura, backup, formazione del personale, gestione delle vulnerabilità) sono elementi comuni a entrambe le normative, perché rappresentano buone pratiche di sicurezza informatica in generale, non specifiche di una normativa piuttosto che dell’altra.
Dove le due normative restano distinte
Ci sono però differenze sostanziali che è importante non trascurare:
Il perimetro soggettivo. Il GDPR si applica, con poche eccezioni, a qualunque organizzazione che tratti dati personali, indipendentemente da settore e dimensione. La NIS2 si applica solo a specifici settori e, in generale, solo sopra determinate soglie dimensionali, come abbiamo visto in un altro articolo di questo blog.
L’autorità di riferimento. Per il GDPR, in Italia, l’autorità competente è il Garante per la protezione dei dati personali. Per la NIS2, l’autorità competente è l’Agenzia per la Cybersicurezza Nazionale (ACN). Sono due enti distinti, con procedure, portali di notifica e modalità di vigilanza differenti.
Le sanzioni. Anche gli impianti sanzionatori seguono logiche e parametri distinti, con criteri di calcolo e fasce di riferimento specifiche per ciascuna normativa, che vanno considerate separatamente e non come un unico rischio cumulativo automaticamente sommabile.
Essere già GDPR-compliant aiuta, ma non basta
Un’azienda che ha già affrontato seriamente il percorso di adeguamento al GDPR parte, senza dubbio, avvantaggiata rispetto alla NIS2: ha già una cultura interna di gestione del rischio legato ai dati, probabilmente ha già policy di sicurezza, un registro dei trattamenti, procedure di gestione degli incidenti e una minima consapevolezza diffusa tra il personale. Tutto questo è un capitale utile, da non buttare via e da riutilizzare.
Ma sarebbe un errore pensare che questo lavoro renda automaticamente l’azienda conforme anche alla NIS2. Il perimetro di analisi della NIS2 è più ampio del solo dato personale: riguarda la sicurezza complessiva dei sistemi, la continuità operativa, la gestione del rischio lungo la supply chain, la governance della sicurezza a livello di vertice aziendale. Sono ambiti che il percorso GDPR, per sua natura, non copre integralmente.
Un percorso unico per non duplicare i costi
L’approccio più efficiente, per un’azienda che deve affrontare entrambi gli adempimenti, non è trattarli come due progetti separati e scollegati, ma costruire un percorso di adeguamento unico che parta da una mappatura comune di sistemi, dati, processi e rischi, e che poi si articoli nelle specificità richieste da ciascuna normativa. In questo modo si evita di:
- ripetere due volte attività di analisi molto simili (mappatura dei sistemi, valutazione dei rischi, verifica delle misure di sicurezza esistenti);
- creare procedure di gestione degli incidenti parallele e scollegate, con il rischio di confusione su chi fare cosa in caso di emergenza reale;
- coinvolgere due volte, in momenti diversi, le stesse persone in azienda per raccogliere le stesse informazioni.
Un percorso integrato consente invece di ottimizzare tempi e costi, mantenendo comunque la necessaria distinzione tra i due adempimenti dove richiesto dalla normativa.
Un unico check-up per orientarti su entrambi i fronti
Se la tua azienda ha già lavorato sul GDPR e vuole capire cosa manca per la NIS2, evitando di ripartire da zero, il check-up gratuito NIS2 di Defendia su defendia.pro/nis2 è un buon punto di partenza per avere un quadro chiaro, senza duplicare il lavoro già fatto.
Domande frequenti
Se sono già a norma con il GDPR, sono automaticamente a norma anche con la NIS2?
No. Essere in regola con il GDPR è un ottimo punto di partenza, perché molte misure di sicurezza e la cultura interna di gestione del rischio sono già presenti, ma la NIS2 richiede requisiti aggiuntivi e specifici (gestione del rischio lungo la supply chain, governance della sicurezza a livello di amministrazione, misure di resilienza dei sistemi) che il solo adeguamento GDPR non copre. Serve una verifica specifica per capire cosa manca.
Le due normative richiedono due referenti diversi in azienda?
Non esiste un obbligo generale univoco identico per ogni azienda, perché dipende dalla struttura organizzativa interna, ma nella pratica GDPR e NIS2 fanno riferimento a due autorità diverse (il Garante Privacy e l’ACN) e a competenze in parte distinte (protezione dei dati personali da un lato, sicurezza e resilienza dei sistemi dall’altro). Molte aziende scelgono di mantenere un referente per la protezione dei dati (come il DPO, dove nominato) e un referente per la sicurezza informatica NIS2, con un buon livello di coordinamento tra i due ruoli, per evitare sia sovrapposizioni sia vuoti di responsabilità.
Non sai se la tua azienda rientra negli obblighi NIS2?
Richiedi un check-up gratuito e senza impegno: in pochi minuti avrai un quadro chiaro della tua posizione rispetto alla normativa.
