Compliance e protezione dati: GDPR, NIS2, DORA, AI Act

Le normative cambiano, la richiesta di fondo resta una

GDPR, NIS2, DORA, AI Act, più le regole di settore come IVASS ed EIOPA nel finanziario: gli obblighi si sono moltiplicati, ognuno con il suo linguaggio, le sue scadenze, le sue sanzioni.

Sotto la superficie, però, convergono su un punto tecnico solo: garantire che il dato resti riservato e verificabile anche quando esce dai sistemi che lo hanno generato. La cifratura all'origine e il controllo di chi accede sono il denominatore comune di quasi tutti i requisiti. È da questo punto che conviene costruire la conformità, prima ancora che dal singolo adempimento.

GDPR E CIFRATURA

Quando il dato è illeggibile, una violazione pesa molto meno

L'art. 32 del GDPR chiede misure tecniche adeguate e mette la cifratura tra le prime. C'è un effetto pratico spesso trascurato: se i dati esfiltrati restano cifrati e inintelligibili, l'obbligo di comunicare la violazione agli interessati (art. 34) può venire meno. La cifratura vale due volte: soddisfa il requisito e riduce l'impatto quando qualcosa va storto.

FileGrant cifra i file alla creazione e mantiene la protezione anche fuori dai tuoi sistemi; con EmailGrant la stessa logica copre messaggi e allegati. La cifratura che adottiamo guarda già agli standard post-quantum in corso di adozione presso il NIST, pensata per i dati che devono restare riservati per anni.

NIS2

NIS2 porta la responsabilità fino al vertice

La Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, alza gli obblighi per i soggetti essenziali e importanti e assegna una responsabilità diretta agli organi di gestione. Tra i requisiti: controllo degli accessi, tracciabilità delle attività, notifica tempestiva degli incidenti.

Qui servono due presidi che lavorano insieme, sui file e sugli endpoint. FileGrant governa chi apre ogni documento e consente la revoca immediata quando qualcosa non torna; RemoteGrant monitora i dispositivi e registra le attività, così un incidente diventa individuabile e segnalabile nei tempi che la direttiva impone.

DORA

DORA: la resilienza vale anche per i dati che affidi a terzi

Il Regolamento (UE) 2022/2554 chiede al settore finanziario resilienza operativa digitale e un controllo stringente sul rischio delle terze parti ICT.

Nel momento in cui un file esce verso un fornitore, un consulente o una controparte, la responsabilità sul dato resta comunque tua.

FileGrant estende il controllo oltre il confine aziendale: accessi per ruolo, scadenze, revoca dopo la condivisione, traccia di ogni apertura.

RemoteGrant applica cifratura e policy sugli endpoint e blocca i trasferimenti non autorizzati nelle sessioni remote, un punto sensibile per banche e assicurazioni soggette anche a IVASS ed EIOPA.

AI ACT E SHADOW AI

La conformità sull'AI comincia prima che il dato entri nel modello

L'AI Act aggiunge nuovi obblighi mentre quelli del GDPR restano pienamente validi. Il rischio più concreto, intanto, si chiama Shadow AI: dipendenti che incollano documenti riservati dentro chatbot pubblici. Il dato esce dal tuo controllo nell'istante esatto in cui viene inviato a un LLM esterno.

AIGrant porta l'intelligenza artificiale dentro il perimetro: interroga i tuoi documenti in linguaggio naturale senza esporli a modelli pubblici ed eredita permessi e classificazione dai file stessi. La produttività dell'AI resta a disposizione, la riservatezza del dato pure.

AUDIT E CATENA DI CUSTODIA

L'audit chiede evidenze, e le evidenze vivono nei log

GDPR, NIS2 e DORA convergono su una richiesta molto pratica: dimostrare chi ha fatto cosa, quando e con quali autorizzazioni. La minaccia più difficile da intercettare qui è l'insider legittimo, chi possiede accessi validi e li usa oltre il dovuto.

Ogni azione sui file protetti con FileGrant lascia una traccia inalterabile (creazione, apertura, modifica, condivisione, revoca), pronta da esibire in sede di audit. SecretGrant applica lo stesso principio a credenziali e chiavi API, tra i primi obiettivi di chi cerca di muoversi lateralmente in rete.

Domande frequenti

Quali normative impongono la cifratura dei dati aziendali?

Nessuna norma impone un algoritmo specifico, ma diverse chiedono una cifratura adeguata al rischio. L'art. 32 del GDPR cita esplicitamente la cifratura tra le misure tecniche adeguate; NIS2 e DORA richiedono protezione, controllo degli accessi e tracciabilità. Nella pratica si adottano AES-256 per i dati a riposo e TLS 1.3 in transito, con una transizione verso standard post-quantum per i dati che devono restare riservati per anni.

La cifratura esonera dall'obbligo di notifica di un data breach?

Non sempre, ma incide molto. L'art. 34 del GDPR prevede che la comunicazione della violazione agli interessati possa non essere necessaria se i dati coinvolti erano protetti con misure, come la cifratura, che li rendono inintelligibili a chi non è autorizzato. Restano validi gli altri obblighi, inclusa la notifica al Garante ex art. 33.

Cosa richiede la NIS2 alle aziende italiane?

La Direttiva (UE) 2022/2555 è stata recepita in Italia con il D.Lgs. 138/2024. Impone a soggetti essenziali e importanti misure di gestione del rischio, controllo degli accessi, tracciabilità delle attività e notifica tempestiva degli incidenti, con responsabilità diretta degli organi di gestione. Il riferimento attuativo più aggiornato è la Determinazione ACN 127437 del 13 aprile 2026.

Come si applica DORA al rischio delle terze parti ICT? Il Regolamento (UE) 2022/2554, applicabile dal 17 gennaio 2025, chiede al settore finanziario resilienza operativa digitale e un controllo stringente sui fornitori ICT. La responsabilità sul dato resta dell'entità finanziaria anche quando il file è affidato a un fornitore o a una controparte: servono accessi per ruolo, revoca dopo la condivisione e traccia di ogni apertura.

Cos'è la Shadow AI e perché è un problema di compliance?

La Shadow AI è l'uso non governato di strumenti di intelligenza artificiale pubblici da parte dei dipendenti, ad esempio incollare documenti riservati in un chatbot esterno. Il dato esce dal controllo aziendale nell'istante in cui viene inviato a un LLM esterno, con rischi su GDPR e AI Act. Un'AI privata on-premise mantiene i documenti dentro il perimetro.

Come si dimostra la conformità in fase di audit?

GDPR, NIS2 e DORA convergono su una richiesta pratica: dimostrare chi ha fatto cosa, quando e con quali autorizzazioni. Servono log inalterabili delle azioni sui dati (creazione, apertura, modifica, condivisione, revoca), estendibili anche a credenziali e chiavi API. La minaccia più difficile da intercettare è l'insider legittimo, che usa accessi validi oltre il dovuto.

Conforme perché protetto: la compliance che parte dal dato