In regola sul piano tecnico, prima che arrivi il questionario.

Dal check alle prove consegnabili

Le cose che ci chiedono sempre.

• Siamo una piccola realtà: la NIS2 ci riguarda davvero?

  Forse non come soggetto diretto, ma quasi certamente come fornitore. Se lavori per un’azienda in perimetro NIS, quella deve censirti tra i fornitori rilevanti e trasferirti obblighi di sicurezza per contratto: e per i fornitori non esistono esenzioni dimensionali. In pratica: la normativa non ti scrive, te la gira il tuo cliente sotto forma di questionario.

• Cos’è la nomina ad amministratore di sistema e perché ci serve?

  È un provvedimento del Garante del 2008, tuttora in vigore, che riguarda chiunque abbia accesso privilegiato ai vostri sistemi — incluso il vostro fornitore IT. Richiede una designazione scritta, un elenco aggiornato, la registrazione degli accessi conservata almeno sei mesi e una verifica annuale. È l’adempimento più diffusamente ignorato che incontriamo, ed è anche tra i più semplici da sistemare.

• Perché ci parlate di metadati della posta?

  Perché il Garante ha indicato in 21 giorni il limite orientativo di conservazione dei metadati di posta, oltre il quale si ricade nell’articolo 4 dello Statuto dei Lavoratori e servono accordo sindacale o autorizzazione dell’Ispettorato. Le prime sanzioni sono già state emesse. La maggior parte dei provider non consente nemmeno di modificare quel parametro: noi verifichiamo la vostra configurazione e ve lo diciamo chiaramente.

• Quindi ci mettete a norma?

  No, e diffidate di chi ve lo promette. Noi ci occupiamo della parte tecnica: configurazioni, ritenzioni, log, backup, evidenze e documentazione tecnica. La valutazione legale, le informative e i pareri restano competenza di un consulente privacy o di un avvocato, con cui collaboriamo volentieri. La conformità nasce dall’incontro delle due cose, non da una sola.

• Quanto tempo serve per adeguarsi?

  Il check tecnico richiede pochi giorni. La messa in opera dipende da cosa emerge: ridurre le ritenzioni eccessive e attivare i registri degli accessi è questione di ore, rifare la gestione della posta o dei backup richiede più tempo. Il primo report ve lo diamo comunque subito, così sapete a cosa andate incontro prima di spendere.

• Ci è arrivato un questionario di sicurezza da un cliente: potete rispondere voi?

  Sì, è una delle richieste più frequenti in questo periodo. Compiliamo il questionario con evidenze reali sui sistemi che gestiamo e vi segnaliamo le voci che richiedono una risposta vostra o del vostro consulente legale. Se emergono lacune tecniche, vi diciamo cosa serve per colmarle.