Cybersicurezza, resilienza digitale e sicurezza dei prodotti

La cybersicurezza non è più una responsabilità esclusivamente tecnica. La continuità dei servizi, la protezione delle informazioni, la sicurezza dei prodotti digitali e la capacità di prevenire e gestire gli incidenti incidono direttamente sulla governance societaria, sui rapporti con clienti e fornitori, sulla responsabilità degli amministratori e sulla possibilità di operare in mercati regolamentati.

La dipendenza da infrastrutture ICT, servizi cloud, software, piattaforme e catene di fornitura digitali espone le imprese a rischi operativi, contrattuali, regolatori e reputazionali strettamente connessi. Un singolo incidente può attivare contemporaneamente obblighi di notifica, procedure di continuità operativa, responsabilità verso clienti e partner, comunicazioni agli interessati, interventi delle autorità e misure relative alla sicurezza dei prodotti immessi sul mercato.

L’Avv. Alessandro del Ninno assiste imprese, gruppi societari, operatori regolamentati, fornitori tecnologici ed enti pubblici nella progettazione e nell’attuazione di programmi di governance della cybersicurezza, gestione del rischio ICT e resilienza digitale.

L’assistenza coordina la Direttiva NIS 2 e il D.lgs. 4 settembre 2024, n. 138 con il Regolamento DORA e il D.lgs. 10 marzo 2025, n. 23, il Cyber Resilience Act, il Regolamento generale sulla sicurezza dei prodotti, la normativa nazionale sulla cybersicurezza, il Perimetro di sicurezza nazionale cibernetica e la disciplina sulla resilienza dei soggetti critici. Sono inoltre considerate, quando pertinenti, le regole sulla certificazione europea di cybersicurezza, sulla protezione dei dati personali, sull’Intelligenza Artificiale, sulla responsabilità da prodotto e le ulteriori normative settoriali applicabili.

L’obiettivo non è la produzione di documentazione standard, ma la costruzione di un sistema nel quale responsabilità, procedure, controlli e contratti siano coerenti con il funzionamento effettivo dell’organizzazione e possano essere dimostrati nei confronti delle autorità, dei clienti e delle controparti commerciali.

Governance, perimetro normativo e programmi di adeguamento

L’assistenza può iniziare dalla verifica delle normative concretamente applicabili all’organizzazione. L’analisi considera il settore di attività, le dimensioni dell’impresa, i servizi effettivamente erogati, il ruolo svolto nella catena di fornitura, l’appartenenza a un gruppo societario, la tipologia dei clienti e la natura dei prodotti o delle tecnologie commercializzati.

Questa attività consente di individuare correttamente gli obblighi derivanti da NIS 2, DORA, Cyber Resilience Act, disciplina nazionale sulla cybersicurezza, sicurezza dei prodotti e normative settoriali, chiarendo i rapporti di specialità, complementarità o applicazione parallela tra le diverse fonti.

All’esito dell’assessment vengono predisposti una matrice delle normative applicabili, un quadro delle responsabilità, una gap analysis e una roadmap di adeguamento graduata per priorità, rischi e scadenze.

L’Avv. Alessandro del Ninno assiste inoltre nella predisposizione e revisione delle policy e delle procedure relative alla governance della sicurezza, alla gestione degli asset, alle identità e agli accessi, alla continuità operativa, ai backup, alla gestione delle vulnerabilità, alla sicurezza dello sviluppo, alla manutenzione dei sistemi, alla gestione delle modifiche e alla catena di approvvigionamento.

L’attività viene svolta in coordinamento con CISO, CIO, DPO, Legal, Compliance, Risk Management, Internal Audit, Procurement e funzioni di business, mantenendo distinta la valutazione giuridica dalle scelte tecniche, ma assicurando che queste ultime siano coerenti con gli obblighi normativi e adeguatamente documentate.

NIS 2, D.lgs. n. 138/2024 e prassi dell’ACN

L’Avv. Alessandro del Ninno assiste le organizzazioni nella valutazione dell’assoggettamento alla disciplina NIS, nella qualificazione come soggetti essenziali o importanti e nella gestione dell’intero percorso previsto dal D.lgs. n. 138/2024 e dai provvedimenti dell’Agenzia per la cybersicurezza nazionale.

Il supporto comprende la registrazione e l’aggiornamento delle informazioni sulla piattaforma ACN, l’individuazione del punto di contatto e degli ulteriori referenti, l’esame delle comunicazioni ricevute dall’Agenzia e la gestione delle eventuali richieste di chiarimento o revisione.

Una specifica area di assistenza riguarda l’elencazione e la categorizzazione delle attività e dei servizi dell’organizzazione. Il servizio comprende la ricostruzione delle attività e dei servizi NIS, la loro riconduzione alle macro-aree definite dall’ACN, lo svolgimento dell’analisi di impatto e la predisposizione delle evidenze necessarie a motivare le classificazioni effettuate.

L’assistenza riguarda inoltre l’individuazione dei fornitori rilevanti NIS e la ricostruzione delle dipendenze presenti nella catena di approvvigionamento digitale, coordinando l’analisi giuridica con i processi di business impact analysis, vendor management e gestione del rischio di terze parti.

Per l’attuazione delle misure di gestione dei rischi e degli obblighi di notifica vengono considerate le specifiche di base, le determinazioni, le tassonomie e le linee guida adottate dall’ACN. Per i fornitori di servizi digitali soggetti al Regolamento di esecuzione (UE) 2024/2690, l’assistenza comprende anche l’applicazione dei requisiti tecnici e metodologici europei e dei criteri settoriali per la qualificazione degli incidenti significativi.

Il supporto non si limita alla revisione dei documenti, ma comprende la verifica della loro coerenza con i processi effettivi, l’individuazione delle evidenze da conservare e la preparazione dell’organizzazione alle attività di vigilanza e controllo.

Responsabilità degli organi societari e organizzazione della funzione cyber

La normativa NIS e il quadro DORA attribuiscono agli organi di amministrazione e direttivi compiti diretti di approvazione, supervisione e controllo delle misure di gestione dei rischi cyber e ICT.

L’Avv. Alessandro del Ninno assiste nella definizione del modello di governance, nella distribuzione dei poteri e delle responsabilità e nel coordinamento tra Consiglio di amministrazione, management, CISO, CIO, DPO, Risk Management, Compliance, Internal Audit e funzioni operative.

Il servizio comprende la predisposizione di delibere, deleghe, procure, regolamenti dei comitati, procedure di escalation e flussi informativi. Vengono definiti i contenuti e la periodicità del reporting, affinché gli organi societari ricevano informazioni comprensibili e adeguate sui rischi, sugli incidenti, sulle vulnerabilità, sui fornitori critici, sui risultati dei test e sullo stato dei programmi di adeguamento.

Particolare attenzione viene riservata alla documentazione delle decisioni, alla verifica delle risorse stanziate e alla formazione degli amministratori e dei dirigenti. L’obiettivo è assicurare che il coinvolgimento del vertice non rimanga meramente formale e che le decisioni possano essere ricostruite e motivate in sede ispettiva, sanzionatoria o contenziosa.

Incident response, notifiche e gestione delle crisi

La gestione di un incidente informatico richiede decisioni tecniche, legali e organizzative coordinate. Occorre ricostruire l’accaduto, preservare le evidenze, classificare l’evento, valutarne gli impatti e individuare tempestivamente le comunicazioni dovute alle autorità, ai clienti, agli interessati e alle controparti contrattuali.

L’Avv. Alessandro del Ninno assiste nella predisposizione e revisione dei piani di incident response, delle matrici di escalation, dei criteri di classificazione e dei flussi informativi interni. Il supporto comprende la definizione del crisis team e l’organizzazione delle attività di analisi e delle interlocuzioni legali nel rispetto del segreto professionale e delle regole applicabili alla riservatezza delle comunicazioni con il difensore.

Per i soggetti NIS, l’assistenza riguarda la qualificazione degli incidenti significativi e la gestione delle notifiche al CSIRT Italia secondo i termini, le tassonomie e le procedure applicabili.

Quando l’incidente coinvolge dati personali, entità finanziarie, prodotti con elementi digitali, soggetti del Perimetro nazionale o amministrazioni destinatarie della Legge n. 90/2024, vengono coordinati i diversi obblighi di segnalazione, evitando comunicazioni incoerenti o valutazioni frammentarie.

L’assistenza può essere attivata anche nel corso dell’incidente e comprende il coordinamento con consulenti forensi, assicuratori, fornitori tecnologici, organi societari e autorità. Sono inoltre predisposti la relazione conclusiva, il piano di remediation e la documentazione necessaria a motivare le decisioni adottate, compresa l’eventuale scelta di non procedere a una determinata notifica.

Il servizio comprende anche la progettazione di esercitazioni, simulazioni e tabletop exercises finalizzati a verificare la capacità dell’organizzazione di assumere decisioni tempestive e di attivare correttamente i diversi livelli di escalation.

Supply chain, fornitori ICT e contratti di cybersicurezza

La resilienza dell’organizzazione dipende in misura crescente da fornitori cloud, software house, outsourcer, managed service provider, fornitori di servizi di sicurezza gestiti, integratori e subfornitori.

L’Avv. Alessandro del Ninno assiste nella progettazione dei processi di selezione, classificazione e monitoraggio dei fornitori, nella predisposizione dei questionari di due diligence e nella valutazione delle garanzie tecniche, organizzative e contrattuali offerte.

L’analisi considera la criticità del servizio, i sistemi e i dati accessibili, la localizzazione delle infrastrutture, le dipendenze tecnologiche, l’impiego di subfornitori, le concentrazioni di rischio e gli effetti che un’interruzione o una compromissione potrebbero produrre sull’organizzazione.

I contratti vengono predisposti o revisionati con riferimento alle misure di sicurezza, agli standard applicabili, agli obblighi di cooperazione, all’accesso alle informazioni, ai diritti di audit, ai test, alla gestione delle vulnerabilità, alle notifiche degli incidenti, alla continuità operativa, al disaster recovery, alla portabilità e alle strategie di uscita.

Particolare attenzione è dedicata alla catena dei subfornitori, alle condizioni per la loro sostituzione, alla localizzazione delle prestazioni e ai casi nei quali l’impresa debba ottenere dal fornitore informazioni o poteri necessari per adempiere a obblighi propri.

L’assistenza riguarda inoltre la negoziazione delle responsabilità, delle manleve, dei livelli di servizio, delle assicurazioni e dei rimedi applicabili in caso di incidente, indisponibilità, perdita di dati o violazione degli obblighi di sicurezza.

DORA e resilienza operativa digitale del settore finanziario

L’Avv. Alessandro del Ninno assiste le entità finanziarie nell’applicazione del Regolamento (UE) 2022/2554 – DORA e del D.lgs. 10 marzo 2025, n. 23, coordinando tali fonti con la disciplina di settore e con gli standard tecnici adottati a livello europeo.

Per le entità finanziarie rientranti anche nel perimetro NIS, viene preliminarmente delimitato il rapporto tra i due regimi. DORA opera infatti quale atto settoriale dell’Unione per gli obblighi da esso disciplinati, mentre le disposizioni NIS continuano a rilevare per gli ambiti o i soggetti non coperti dalla disciplina finanziaria speciale.

L’assistenza riguarda il quadro di gestione del rischio ICT, la governance dell’organo di gestione, la classificazione e segnalazione degli incidenti, il programma di test della resilienza operativa digitale e, quando applicabili, i threat-led penetration tests.

Un’area centrale concerne il rischio derivante da terze parti ICT. Il supporto comprende la classificazione delle funzioni essenziali o importanti, la due diligence, la valutazione delle concentrazioni, la negoziazione dei contratti, la gestione dei diritti di audit e accesso, la definizione delle strategie di uscita e la verifica delle catene di subappalto in conformità agli atti europei di secondo livello, incluso il Regolamento delegato (UE) 2025/532.

L’Avv. Alessandro del Ninno assiste inoltre nella costruzione e nell’aggiornamento del registro delle informazioni relativo agli accordi contrattuali per l’utilizzo di servizi ICT, verificando la qualità dei dati, la corretta classificazione dei servizi e la coerenza con la documentazione contrattuale.

I fornitori ICT non sono indistintamente destinatari dell’intero regime DORA. Per i fornitori ordinari, l’assistenza riguarda principalmente gli obblighi contrattuali, le richieste delle entità finanziarie e la posizione nella catena di subfornitura. Per i fornitori terzi di servizi ICT designati come critici, il supporto comprende anche il quadro europeo di sorveglianza e le interlocuzioni con le autorità competenti.

Cyber Resilience Act e sicurezza dei prodotti con elementi digitali

Il Regolamento (UE) 2024/2847 – Cyber Resilience Act introduce requisiti orizzontali di cybersicurezza per prodotti hardware e software con elementi digitali messi a disposizione sul mercato dell’Unione.

L’Avv. Alessandro del Ninno assiste fabbricanti, importatori, distributori, rappresentanti autorizzati, sviluppatori e open-source software stewards nella verifica dell’applicabilità del Regolamento e nella qualificazione del ruolo assunto rispetto al prodotto.

Il supporto comprende la valutazione dei rischi di cybersicurezza, l’integrazione della sicurezza fin dalla progettazione, la gestione delle vulnerabilità, gli aggiornamenti di sicurezza, la determinazione del periodo di supporto e la predisposizione della documentazione tecnica e delle informazioni destinate agli utilizzatori.

L’assistenza riguarda inoltre la classificazione del prodotto, anche alla luce delle descrizioni tecniche stabilite dal Regolamento di esecuzione (UE) 2025/2392, la scelta della procedura di valutazione della conformità, la dichiarazione UE di conformità, la marcatura CE e i rapporti con organismi notificati e autorità di vigilanza del mercato.

Una specifica area di intervento concerne la gestione delle vulnerabilità lungo l’intero ciclo di vita del prodotto: inventario dei componenti software, procedure di ricezione e trattamento delle segnalazioni, divulgazione coordinata, correzioni, aggiornamenti, gestione delle dipendenze e conservazione delle evidenze.

Sono inoltre valutate la disciplina delle soluzioni di trattamento remoto dei dati, l’integrazione di componenti open source, la posizione dei relativi stewards e il coordinamento del Cyber Resilience Act con le altre normative europee applicabili.

L’assistenza comprende la preparazione agli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi applicabili dall’11 settembre 2026, nonché alla relativa Single Reporting Platform. Il programma di adeguamento viene strutturato anche in vista dell’applicazione del nucleo principale degli obblighi del Regolamento dall’11 dicembre 2027.

GPSR, sicurezza generale e responsabilità per i prodotti digitali

Il Regolamento (UE) 2023/988 sulla sicurezza generale dei prodotti si applica ai prodotti destinati ai consumatori e opera in modo complementare rispetto alla normativa europea settoriale di armonizzazione.

L’assistenza consiste innanzitutto nel verificare quali aspetti e rischi siano già disciplinati dal Cyber Resilience Act o da altre normative settoriali e quali rimangano soggetti alle regole generali del GPSR.

Nella valutazione della sicurezza vengono considerati, quando rilevanti, i rischi derivanti dalle funzionalità digitali, dalle vulnerabilità informatiche, dalle connessioni con altri prodotti e dalle caratteristiche evolutive, predittive o basate sull’Intelligenza Artificiale che possano incidere sulla sicurezza fisica del prodotto.

L’Avv. Alessandro del Ninno assiste produttori, importatori, distributori, operatori del commercio elettronico e fornitori di mercati online nella predisposizione dei processi di valutazione del rischio, tracciabilità e monitoraggio successivo alla commercializzazione.

Il supporto riguarda le informazioni da rendere nelle vendite a distanza, la gestione dei reclami e degli incidenti, le comunicazioni attraverso il Safety Business Gateway, le azioni correttive, il ritiro e il richiamo dei prodotti e i rapporti con le autorità di vigilanza.

La sicurezza informatica viene così coordinata con la disciplina sulla sicurezza generale e sulla responsabilità da prodotto, evitando che una vulnerabilità software idonea a provocare danni alle persone o ai beni venga trattata come una questione esclusivamente tecnica.

Quadro nazionale, soggetti critici e certificazione europea

L’assistenza comprende l’applicazione della Legge 28 giugno 2024, n. 90 e delle linee guida adottate dall’ACN per il rafforzamento della resilienza dei soggetti interessati.

Il supporto riguarda l’individuazione degli obblighi, la designazione del referente per la cybersicurezza, la revisione delle misure organizzative e tecniche e la gestione delle segnalazioni e delle notifiche secondo la tassonomia degli incidenti adottata dall’ACN nel 2026.

Per le organizzazioni comprese nel Perimetro di sicurezza nazionale cibernetica, l’assistenza concerne il coordinamento tra la disciplina del Perimetro, gli obblighi NIS, le procedure di procurement, le notifiche degli incidenti e le verifiche relative a beni, sistemi e servizi ICT destinati a funzioni o servizi essenziali dello Stato.

Per i soggetti interessati dal D.lgs. 4 settembre 2024, n. 134, vengono coordinati i profili di cybersicurezza con la disciplina sulla resilienza dei soggetti critici, integrando continuità operativa, sicurezza fisica, dipendenze essenziali e gestione delle crisi.

L’Avv. Alessandro del Ninno assiste inoltre le imprese nella valutazione dei sistemi europei di certificazione della cybersicurezza previsti dal Cybersecurity Act, incluso il sistema EUCC, verificandone la rilevanza ai fini regolatori, contrattuali, commerciali o di accesso al mercato.

Per gli operatori coinvolti nei meccanismi europei di preparazione e risposta, l’assistenza può riguardare anche gli strumenti previsti dal Cyber Solidarity Act, comprese le esercitazioni, i servizi di risposta e i rapporti con i meccanismi europei destinati agli incidenti significativi o su vasta scala.

Audit, due diligence, autorità, contenzioso e formazione

L’Avv. Alessandro del Ninno assiste le imprese nella pianificazione e gestione di audit legali e regolatori sulla cybersicurezza, svolti anche in coordinamento con vulnerability assessment, penetration test, red teaming e ulteriori verifiche tecniche.

L’attività legale riguarda la definizione del perimetro dell’audit, le autorizzazioni necessarie, la tutela delle informazioni, la gestione dei risultati, la qualificazione delle criticità e la documentazione delle azioni correttive.

Nelle operazioni di acquisizione, investimento, finanziamento, outsourcing o partnership tecnologica vengono svolte due diligence sui programmi di sicurezza, sugli incidenti pregressi, sui fornitori, sui prodotti digitali, sui contratti e sullo stato di conformità alle normative applicabili.

L’analisi consente di individuare passività regolatorie, dipendenze critiche, obblighi di remediation e rischi da considerare nella determinazione del prezzo, nelle dichiarazioni e garanzie, nelle condizioni sospensive e nei piani di integrazione successivi all’operazione.

L’assistenza comprende le interlocuzioni e i procedimenti dinanzi all’ACN, al CSIRT Italia, alle autorità finanziarie competenti, al Garante per la protezione dei dati personali e alle autorità di vigilanza del mercato. Sono gestite richieste di informazioni, attività ispettive, contestazioni, procedimenti correttivi e sanzionatori.

L’attività contenziosa riguarda le controversie con fornitori ICT, clienti e partner, le responsabilità derivanti da incidenti o interruzioni, l’inadempimento degli obblighi di sicurezza, le richieste risarcitorie, la tutela dei segreti commerciali e le contestazioni sulla sicurezza dei prodotti.

In caso di attacco informatico, il supporto può estendersi alla preservazione delle prove, alla predisposizione di denunce e querele, ai rapporti con l’autorità giudiziaria e al coordinamento dei profili penali con le responsabilità amministrative, contrattuali e societarie.

L’Avv. Alessandro del Ninno progetta inoltre percorsi formativi per organi di amministrazione, dirigenti, General Counsel, CISO, CIO, DPO, Compliance, Risk Management, Procurement, HR, Internal Audit e funzioni operative. La formazione viene costruita sui processi reali dell’organizzazione e affronta, mediante casi pratici, la gestione degli incidenti, la responsabilità degli amministratori, la supply chain, la contrattualistica ICT, la sicurezza dei prodotti e i rapporti con le autorità.

Il supporto può essere prestato anche in forma continuativa, affiancando il cliente nella valutazione di nuovi servizi e fornitori, nell’aggiornamento della documentazione, nella gestione delle scadenze, nelle esercitazioni e nel monitoraggio della normativa e della prassi applicativa.

L’obiettivo complessivo è offrire alle imprese un unico presidio legale specialistico capace di coordinare governance, tecnologia, contratti, sicurezza dei prodotti, gestione degli incidenti e rapporti con le autorità, intervenendo prima che una vulnerabilità tecnica si trasformi in una crisi operativa, regolatoria o reputazionale.