NIS2 e GDPR: differenze, doppia notifica degli incidenti e cosa coordinare
Due leggi diverse che si incontrano a ogni incidente con dati personali. Cosa proteggono, chi notifica a chi e in quanto tempo, e come costruire un solo processo invece di due.
«Abbiamo già fatto il GDPR, quindi la NIS2 è coperta»: è una delle frasi che sentiamo più spesso, ed è sbagliata a metà. Le due leggi si somigliano nel metodo, basato sul rischio, e si incontrano a ogni incidente che tocca dati personali. Ma proteggono cose diverse, hanno autorità diverse e chiedono notifiche diverse, con termini che non coincidono.
Questa guida mette a confronto NIS2 e GDPR, spiega la doppia notifica al CSIRT Italia e al Garante privacy e indica cosa conviene coordinare per non fare due volte lo stesso lavoro.
Cosa proteggono
Il GDPR, regolamento (UE) 2016/679, protegge le persone e i loro dati personali. Vale per chiunque tratti dati personali, a qualsiasi dimensione: un'azienda di cinque persone con un gestionale clienti è già titolare del trattamento. L'autorità in Italia è il Garante per la protezione dei dati personali.
La NIS2, in Italia il d.lgs. 138/2024, protegge la sicurezza e la continuità dei servizi importanti per la società e l'economia, attraverso la sicurezza dei sistemi informativi e di rete. Vale solo per i soggetti essenziali e importanti, cioè per chi svolge certe attività ed è di norma almeno una media impresa (a chi si applica). L'autorità è l'ACN, e gli incidenti si notificano al CSIRT Italia.
Il decreto lascia espressamente ferma la disciplina sulla protezione dei dati personali (art. 3, c. 11) e chiede di trattare i dati personali solo nella misura necessaria ai suoi fini, nel rispetto del GDPR e del Codice privacy (art. 8, c. 1). Le due discipline quindi si sommano: nessuna sostituisce l'altra.
Le differenze, punto per punto
| NIS2 (d.lgs. 138/2024) | GDPR (reg. UE 2016/679) | |
|---|---|---|
| Cosa protegge | Sicurezza e continuità dei servizi e dei sistemi | Dati personali e diritti delle persone |
| A chi si applica | Soggetti essenziali e importanti nell'elenco ACN | Chiunque tratti dati personali, come titolare o responsabile |
| Autorità | ACN; notifiche al CSIRT Italia | Garante per la protezione dei dati personali |
| Misure di sicurezza | Misure di base ACN, elenco preciso di requisiti (art. 24; det. 379907/2025) | Misure adeguate al rischio, scelte dal titolare (art. 32) |
| Cosa si notifica | Incidenti significativi, anche senza dati personali (art. 25) | Violazioni dei dati personali, anche senza blocco dei servizi (art. 33) |
| Termini | 24 ore, 72 ore, un mese | Senza ingiustificato ritardo e, ove possibile, entro 72 ore |
| Chi risponde | Gli organi di amministrazione (art. 23) | Il titolare del trattamento (art. 24 GDPR) |
| Sanzioni massime | 10 milioni o 2% (essenziali), 7 milioni o 1,4% (importanti), con minimi (art. 38) | 10 milioni o 2% per gli obblighi di sicurezza e notifica (art. 83, par. 4); 20 milioni o 4% per altre violazioni (par. 5) |
La doppia notifica
Un attacco ransomware che blocca la produzione e cifra il gestionale con le anagrafiche dei clienti è, nello stesso momento, un possibile incidente significativo NIS2 e una violazione di dati personali GDPR. Le notifiche sono due, a destinatari diversi, con contenuti e termini propri:
| Al CSIRT Italia (NIS2) | Al Garante privacy (GDPR) | |
|---|---|---|
| Quando scatta | Incidente significativo, secondo i tipi fissati dall'ACN | Violazione di dati personali, salvo che sia improbabile un rischio per le persone |
| Primo termine | Pre-notifica entro 24 ore dalla conoscenza (art. 25, c. 5, lett. a) | Senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne siete venuti a conoscenza (art. 33, par. 1) |
| Seguito | Notifica entro 72 ore, relazione finale entro un mese (art. 25, c. 5) | Informazioni anche in più fasi, se non disponibili subito (art. 33, par. 4) |
| Chi invia | Il referente CSIRT dal Portale ACN | Il titolare del trattamento, con la procedura online del Garante |
| Verso le persone | Comunicazione ai destinatari dei servizi se opportuno, sentito il CSIRT (art. 25, c. 9) | Comunicazione agli interessati se il rischio è elevato (art. 34) |
I casi possibili sono tre: un incidente significativo senza dati personali (per esempio un attacco che ferma gli impianti) va solo al CSIRT; una violazione di dati che non è un incidente significativo NIS2 (per esempio un'email con dati sanitari inviata al destinatario sbagliato) va solo al Garante, se c'è un rischio per le persone; quando sono entrambe le cose, partono entrambe. In ogni caso il GDPR chiede di documentare tutte le violazioni dei dati personali, anche quelle non notificate (art. 33, par. 5).
Se siete responsabili del trattamento per un cliente, per esempio un fornitore IT o un servizio in cloud, il GDPR vi chiede di informare il titolare senza ingiustificato ritardo (art. 33, par. 2), mentre per la NIS2 notificate voi, se siete soggetti NIS. Tipi di incidente e contenuto delle notifiche sono in notifica degli incidenti.
Le autorità si parlano, e niente doppia multa
Il decreto regola i rapporti tra ACN e Garante (art. 14, c. 2):
- l'ACN coopera con il Garante negli incidenti che comportano violazioni di dati personali, senza toccare le sue competenze (lett. a);
- se in una verifica l'ACN scopre che la violazione delle misure di sicurezza può aver causato una violazione di dati personali da notificare, ne informa il Garante senza indebito ritardo (lett. b);
- se il Garante applica una sanzione pecuniaria per una violazione di quel tipo, l'ACN non applica la propria sanzione per lo stesso comportamento, ma può comunque usare i suoi poteri di esecuzione, come diffide e istruzioni (lett. c).
Due conseguenze pratiche. La prima: una notifica fatta a un'autorità non vi esonera dall'altra, e l'altra autorità può venirne a conoscenza comunque. La seconda: la regola sulla doppia sanzione vale solo per lo stesso comportamento, non elimina gli altri obblighi NIS2. I numeri delle sanzioni NIS2 sono in le sanzioni.
Ruoli diversi: DPO, punto di contatto, referente CSIRT
Il responsabile della protezione dei dati (DPO) è una figura del GDPR, non della NIS2: non sostituisce il punto di contatto né il referente CSIRT e non va indicato tra gli organi di amministrazione. Può però essere un ottimo alleato: conosce i trattamenti, i fornitori e la procedura per le violazioni dei dati. Le figure NIS2 sono spiegate in ruoli e responsabilità.
Lo stesso vale per i fornitori. Il contratto o l'atto di nomina come responsabile del trattamento (art. 28 GDPR) e le clausole di sicurezza che le misure ACN chiedono nei contratti con i fornitori (misura GV.SC-05) possono stare nello stesso allegato, con un solo canale per segnalare incidenti e violazioni. Come scriverle è in NIS2 e fornitori.
Cosa coordinare, in concreto
- Una sola procedura per gli incidenti, con due rami di decisione: è significativo per la NIS2? Ci sono dati personali e un rischio per le persone? Il piano di gestione degli incidenti deve dire chi decide cosa, entro quando.
- Un solo registro per incidenti e violazioni, con un campo per ciascuna notifica: serve sia per l'art. 33, par. 5, del GDPR sia per la relazione finale al CSIRT.
- Un'analisi del rischio coordinata. La valutazione del rischio NIS2 riguarda i sistemi, quella GDPR i trattamenti: possono usare la stessa base di asset e fornitori.
- Log e amministratori di sistema. Le misure ACN chiedono di registrare accessi remoti e amministrativi (PR.PS-04); se trattate dati personali, il provvedimento del Garante del 27 novembre 2008 chiede di conservare gli accessi degli amministratori di sistema per almeno sei mesi. Conviene un'unica politica di conservazione.
- Formazione comune su phishing, credenziali e segnalazione degli incidenti, con moduli specifici per chi ha ruoli in uno o nell'altro processo.
- Esercitazioni: provate il caso «ransomware con dati personali» sulla carta, con DPO, referente CSIRT e chi decide.
Da dove partire
Se non sapete se la NIS2 vi riguarda, partite dalla verifica gratuita: il GDPR vi riguarda comunque. Per tenere insieme incidenti e violazioni potete usare il modello di registro degli incidenti. In Pilot la tappa sugli incidenti prepara procedura, ruoli e registro con le due notifiche già previste: provatelo gratis. Se volete integrare il sistema privacy che avete con gli obblighi NIS2 senza rifare i documenti, c'è la consulenza NIS2 dello Studio.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
Un'azienda di fantasia, Meccanica Rossi, dalla verifica alla registrazione ACN, alle misure, a un incidente simulato e al piano dei primi 90 giorni: per ogni passo cosa chiede la legge e cosa fare in pratica.
Guardate il webinar gratis
