Guida NIS2 · 9 min
GDPR vs NIS2: sovrapposizioni, differenze e quando un incidente attiva entrambi
GDPR e NIS2 toccano entrambi la sicurezza e comportano entrambi sanzioni pesanti, perciò vengono confusi, ma proteggono cose diverse e rispondono ad autorità diverse. Il rischio non è scegliere quello sbagliato; è non accorgersi che un singolo incidente può attivare entrambi, con tempistiche diverse. Questa guida traccia il confine, mostra le sovrapposizioni, spiega l'interazione (cooperazione e nessuna doppia sanzione) e dà una risposta netta ai team che servono clienti soggetti a entrambi.
Punti chiave
- Il GDPR protegge i dati personali e si applica a quasi ogni organizzazione; NIS2 protegge la resilienza informatica e si applica solo ai soggetti essenziali e importanti designati.
- Un incidente può richiedere due notifiche: una notifica di violazione dei dati personali alla vostra autorità di controllo entro 72 ore (GDPR art. 33) e una relazione al vostro CSIRT a 24h/72h/un mese (NIS2 art. 23).
- Sono pensati per integrarsi: le autorità cooperano (NIS2 art. 35) e non si è sanzionati due volte per la stessa condotta, ma valutate e notificate comunque secondo ciascuno dove si applica.
Cosa regola ciascuno
GDPR e NIS2 sono entrambi atti dell'UE che toccano la sicurezza, e vengono confusi, ma proteggono cose diverse. Il GDPR protegge i dati personali; NIS2 protegge la continuità e la sicurezza dei servizi essenziali. Un'organizzazione può facilmente essere soggetta a entrambi insieme.
La distinzione più netta: il GDPR chiede «proteggete i dati personali delle persone?» e si applica a quasi ogni organizzazione che li tratta. NIS2 chiede «la vostra organizzazione è resiliente sul piano operativo e informatico?» e si applica solo ai soggetti essenziali e importanti designati in settori specifici.
GDPR: dati personali, quasi tutti
Regolamento (UE) 2016/679, applicabile dal 2018. Disciplina il trattamento dei dati personali da parte di titolari e responsabili: base giuridica, diritti degli interessati e sicurezza del trattamento (art. 32). Applicato dalle autorità di protezione dei dati.
NIS2: cybersicurezza, soggetti designati
Direttiva (UE) 2022/2555, recepita nel diritto nazionale (termine 17 ottobre 2024). Disciplina la gestione del rischio di cybersicurezza (art. 21) e la notifica degli incidenti (art. 23) per i soggetti essenziali e importanti. Applicata dalle autorità nazionali di cybersicurezza e dai CSIRT.
La trappola: un incidente, due notifiche
Una sola violazione può attivare entrambi i regimi: ad autorità diverse, con tempistiche diverse. Conoscete entrambi:
Se un incidente di sicurezza riguarda dati personali, notificate alla vostra autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza: a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone.
Se è un incidente significativo, inviate al vostro CSIRT un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese.
Un attacco ransomware che cifra dati personali è, simultaneamente, un incidente significativo NIS2 e una violazione di dati personali GDPR: due adempimenti, due autorità, due tempistiche.
Dove si sovrappongono
Attuatene bene uno e parti dell'altro seguono. Entrambi richiedono:
- Sicurezza del trattamento / misure di gestione del rischio: controlli tecnici e organizzativi proporzionati.
- Notifica di incidente o violazione entro tempistiche definite, con documentazione di cosa è accaduto e di come avete risposto.
- Responsabilità: la dirigenza deve farsene carico, ed entrambi i regimi comportano sanzioni amministrative significative.
- Registri e prove: dovete poter dimostrare, non solo affermare, che i controlli esistono e funzionano.
- Garanzia sulle terze parti: GDPR tramite contratti con i responsabili (art. 28), NIS2 tramite sicurezza della supply chain (art. 21(2)(d)).
L'interazione chiave: cooperazione e nessuna doppia sanzione
NIS2 è stato scritto per integrarsi con il GDPR, non per duplicarlo. Ai sensi dell'articolo 35 di NIS2, quando un'autorità di cybersicurezza viene a conoscenza che un incidente presso un soggetto può comportare una violazione di dati personali notificabile ai sensi dell'art. 33 del GDPR, deve informare l'autorità di protezione dei dati senza ingiustificato ritardo. Le due autorità cooperano e si scambiano informazioni.
Fondamentale: non si è sanzionati due volte per la stessa condotta. Quando un'autorità di protezione dei dati impone una sanzione GDPR per una violazione, l'autorità NIS2 non può imporre anche una sanzione NIS2 (art. 34) derivante dalla stessa condotta. Ma è una tutela contro la doppia sanzione per un atto: non fonde i due obblighi. Continuate a valutare, documentare e notificare secondo ciascun regime dove si applica.
Quali obblighi si applichino dipende dai fatti: erano coinvolti dati personali, e siete un soggetto essenziale o importante? Confermate i dettagli presso la vostra autorità di protezione dei dati, la vostra autorità nazionale di cybersicurezza e una consulenza qualificata.
Quale si applica a voi?
La maggior parte delle organizzazioni risponde a uno; molte a entrambi:
Trattate dati personali ma non siete un soggetto essenziale/importante
Il GDPR si applica; NIS2 non si applica direttamente: sebbene la due diligence sulla supply chain di un cliente NIS2 possa comunque raggiungervi tramite i vostri contratti.
Siete un soggetto essenziale/importante che tratta pochi dati personali
NIS2 si applica integralmente; il GDPR si applica ai dati personali che trattate (dipendenti, clienti).
Siete soggetti a entrambi (il caso comune)
Gestite un unico processo di risposta agli incidenti che soddisfi entrambe le tempistiche: la vostra autorità di protezione dei dati entro 72 h per le violazioni di dati, il vostro CSIRT sul binario 24h/72h/un mese per gli incidenti significativi.
Siete fornitori o responsabili del trattamento
Aspettatevi sia clausole GDPR per i responsabili (art. 28) sia esame NIS2 della supply chain (art. 21(2)(d)) dai vostri clienti: questionari, richieste di prove e monitoraggio continuo.
Fonti: Regolamento (UE) 2016/679 (GDPR) e direttiva (UE) 2022/2555 (NIS2), in particolare l'art. 35 sull'interazione con il GDPR. Confermate come entrambi si applicano alla vostra situazione presso la vostra autorità di protezione dei dati e la vostra autorità nazionale di cybersicurezza.
Come aiuta norppa.io
Entrambi i regimi ora si attendono una garanzia continua e supportata da prove su fornitori e responsabili del trattamento: GDPR tramite la vigilanza sui responsabili (art. 28), NIS2 tramite la sicurezza della supply chain (art. 21(2)(d)). norppa.io monitora ogni dominio fornitore su più di cento punti di controllo ogni giorno, con ogni rilievo associato all'articolo NIS2 interessato ed esportabile per i vostri registri.
I questionari di autovalutazione colgono i controlli contrattuali e di processo che né un'autorità di protezione dei dati né un revisore di cybersicurezza vedono dall'esterno, e ogni risposta viene affiancata al profilo tecnico in tempo reale: così che, sia che la domanda arrivi dal lato protezione dei dati sia da NIS2, possiate mostrare prove attuali e corroborate anziché affermazioni.