NIS2, GDPR e Modello 231

Tre norme, una sola sicurezza: NIS2, GDPR e Modello 231 spiegati e messi in pratica per la piccola e media impresa.

Un attacco informatico non fa partire un solo obbligo, ma tre: la notifica al CSIRT Italia (NIS2), la notifica al Garante (GDPR) e le informazioni all'Organismo di Vigilanza (Modello 231). Se i tre faldoni sono scritti da persone diverse, il giorno dell'incidente nessuno sa chi deve fare che cosa, e quando.

Questo manuale parte da una convinzione semplice: la sicurezza è una sola. Cambia chi chiede conto e con quale conseguenza; ciò che l'azienda deve fare davvero (sapere che cosa possiede, controllare chi accede, fare i backup e provarli, scegliere bene i fornitori, formare le persone, accorgersi in fretta di un incidente) si fa una volta e si documenta bene.

Che cosa trovate

• Come capire se la NIS2 vi riguarda: settori, soglie dimensionali, gruppi e imprese collegate.

• Le date che contano: coorti 2025 e 2026, termini per le misure e per le notifiche, calendario annuale sul portale ACN.

• Le misure di base dell'ACN (37 per i soggetti importanti, 43 per gli essenziali) spiegate una alla volta, con l'evidenza da conservare e il collegamento con GDPR e Modello 231.

• Governance: chi decide, che cosa approvano gli organi di amministrazione, punto di contatto e referente CSIRT.

• Un solo registro dei rischi, la gestione dei fornitori e della catena di fornitura, una sola formazione.

• Una procedura per gli incidenti con tre orologi (24 e 72 ore NIS2, 72 ore GDPR, informazione all'OdV), con un esempio ora per ora.

• Continuità operativa e backup; reati informatici e Modello 231; segnalazioni (whistleblowing); il ruolo dell'OdV.

• Prove da conservare, controlli, audit interno e sanzioni, fino a un piano di 90 giorni.

• Nove appendici pronte da adattare: matrice delle misure, procedura incidenti, registro incidenti, piano di formazione, checklist fornitori, scheda per il consiglio di amministrazione, traccia di verbale dell'OdV, glossario, fonti.

A chi serve

Titolari e amministratori di PMI, responsabili IT e della sicurezza, DPO, componenti di Organismo di Vigilanza, consulenti che seguono piccole aziende. Non servono competenze giuridiche né tecniche: ogni riferimento normativo è indicato con articolo e, dove serve, con il comma, e dove il testo di legge lascia dubbi il libro lo dichiara.

Aggiornato al 21 ottobre 2026. Libro divulgativo: non ha valore legale e non sostituisce il parere di un professionista che conosca la vostra azienda.