Aiutiamo le organizzazioni a trasformare le questioni normative in attività che i gruppi di lavoro possono assegnare e monitorare. Partiamo dalle attività, dai servizi o dai sistemi da esaminare, rivediamo le procedure e i documenti disponibili e individuiamo dove chiarire responsabilità, controlli o evidenze.
Normativa UE di riferimento
GDPR · Regolamento generale sulla protezione dei dati
Il GDPR disciplina la raccolta, l’uso, la conservazione e la condivisione dei dati personali. Stabilisce gli obblighi di titolari e responsabili del trattamento e riconosce diritti agli interessati.
Disposizioni principali
Individuare una base giuridica e raccogliere solo i dati necessari (artt. 5–6). Spiegare come sono utilizzati i dati e rispondere alle richieste degli interessati (artt. 12–22). Integrare la protezione dei dati e misure di sicurezza adeguate, notificare le violazioni nei casi previsti e valutare i trattamenti ad alto rischio (artt. 25, 32–35).
Rischi in caso di non conformità
Le autorità possono limitare o vietare il trattamento. A seconda della violazione, le sanzioni possono arrivare a 10 milioni di euro o al 2% del fatturato annuo mondiale, oppure a 20 milioni di euro o al 4%. Per le imprese si applica il valore più elevato nella fascia pertinente (artt. 58, 83).
Riferimenti normativi
AI Act · Regolamento europeo sull’intelligenza artificiale
L’AI Act stabilisce regole per i sistemi di IA e i modelli di IA per finalità generali. Gli obblighi dipendono dal ruolo dell’organizzazione, dalla finalità del sistema e dalla sua classificazione di rischio.
Disposizioni principali
Adottare misure per l’alfabetizzazione in materia di IA e verificare l’assenza di pratiche vietate (artt. 4–5). Per i sistemi ad alto rischio, considerare requisiti come gestione dei rischi, governance dei dati, documentazione e sorveglianza umana, oltre agli obblighi specifici di chi utilizza il sistema (artt. 9–15, 26). Verificare gli obblighi di trasparenza per gli usi previsti, inclusi alcuni contenuti generati dall’IA (art. 50).
Rischi in caso di non conformità
Le pratiche vietate possono comportare sanzioni fino a 35 milioni di euro o al 7% del fatturato annuo mondiale. Per alcune altre violazioni le sanzioni possono arrivare a 15 milioni di euro o al 3%. L’art. 99 stabilisce criteri di calcolo specifici, con massimali inferiori per le PMI.
Riferimenti normativi
NIS2 · Direttiva sulla cybersicurezza
La NIS2 rafforza la cybersicurezza in determinati settori. I requisiti applicabili dipendono, tra l’altro, dai servizi erogati, dalle dimensioni del soggetto e dalla classificazione prevista dalla normativa nazionale.
Disposizioni principali
Attribuire agli organi di gestione la supervisione delle misure di cybersicurezza (art. 20). Predisporre misure per la gestione degli incidenti, la continuità operativa e la sicurezza della catena di approvvigionamento (art. 21). Notificare gli incidenti significativi all’autorità competente o al team di risposta entro i termini previsti (art. 23).
Rischi in caso di non conformità
Le autorità possono disporre misure correttive e applicare sanzioni previste dalla normativa nazionale. Per le violazioni degli artt. 21 o 23, la NIS2 impone massimali nazionali pari almeno a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali e a 7 milioni di euro o all’1,4% per i soggetti importanti, prendendo il valore più elevato in ciascun caso (art. 34).
Riferimenti normativi
CER · Direttiva sulla resilienza dei soggetti critici
La direttiva CER mira a proteggere i servizi essenziali dalle interruzioni. Si applica ai soggetti critici individuati dalle autorità nazionali e considera rischi come eventi naturali, incidenti e atti intenzionali (artt. 6, 12).
Disposizioni principali
Valutare i rischi che possono interrompere i servizi essenziali (art. 12). Adottare misure proporzionate per prevenire gli incidenti, proteggere le strutture, rispondere e ripristinare i servizi (art. 13). Notificare gli incidenti che interrompono in modo significativo, o possono interrompere in modo significativo, la fornitura di servizi essenziali (art. 15).
Rischi in caso di non conformità
Le autorità possono effettuare ispezioni, richiedere evidenze e disporre misure correttive. Le sanzioni sono definite dalla normativa nazionale e variano in base al Paese e alla violazione (artt. 21–22).
Riferimenti normativi
