Diritto UE: GDPR, DORA, CRA e AI Act

Il Regolamento generale sulla protezione dei dati (GDPR), regolamento (UE) 2016/679, è la legge dell’UE sul trattamento delle informazioni sulle persone. Si applica direttamente in ogni Stato membro e riguarda qualsiasi trattamento di dati personali, cioè informazioni che identificano una persona direttamente o indirettamente, da parte di organizzazioni nell’UE e di organizzazioni esterne che offrono beni o servizi a persone nell’UE o ne monitorano il comportamento. Le idee di fondo sono semplici: avere una base giuridica per ogni uso, usare solo ciò che serve, tenere i dati esatti e non più a lungo del necessario, proteggerli, informare gli interessati ed essere in grado di dimostrarlo. Le persone hanno diritti come accesso, rettifica e cancellazione. Per un team di sicurezza il GDPR conta due volte: i log di sicurezza sono essi stessi dati personali, e un incidente può essere una violazione dei dati personali con un proprio obbligo di notifica. La legge nazionale aggiunge regole, per esempio sui dati dei dipendenti, quindi verifichi la Sua.

Spesso sì, e in un contesto di sicurezza conviene presumerlo. Un dato personale è qualsiasi informazione su una persona identificabile direttamente o indirettamente, e il GDPR cita gli identificativi online tra gli esempi. Un indirizzo IP non porta un nome, ma di solito vi si può collegare: in azienda l’indirizzo di un portatile rimanda alla persona che lo usa, e un fornitore di accesso può associare un indirizzo pubblico a un abbonato. La Corte di giustizia dell’UE ha stabilito che un indirizzo IP dinamico può essere un dato personale per il gestore di un sito che dispone di mezzi legali per identificare la persona che lo usa. In pratica tratti log di rete, nomi dei dispositivi e registrazioni delle connessioni come dati personali: con una base giuridica, accesso limitato, conservazione solo per il tempo necessario e menzione nel registro dei trattamenti. NetSenX li tratta come dati personali secondo il proprio accordo sul trattamento dei dati e li conserva nell’UE.

Una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali. È più ampia di una fuga: un ransomware che cifra un database clienti è una violazione anche se nulla è stato copiato, perché i dati sono diventati indisponibili, e lo sono anche un’e-mail inviata ai destinatari sbagliati o un portatile non cifrato smarrito. Non ogni incidente di sicurezza è una violazione dei dati personali, perché alcuni non riguardano dati personali, e non ogni violazione va notificata. Secondo l’articolo 33 del GDPR, il titolare la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per le persone; ogni violazione va comunque documentata. Decida con il Suo responsabile della protezione dei dati. Dal piano Starter NetSenX prepara per lui una bozza di notifica ai sensi dell’articolo 33 dai dati dell’incidente; la valutazione del rischio e l’invio restano a Lei.

Il titolare decide perché e come i dati personali vengono trattati; il responsabile li tratta per conto del titolare e secondo le sue istruzioni. Quando la Sua azienda usa un servizio di sicurezza per monitorare la rete, di norma è l’azienda il titolare dei dati di rete e il fornitore è il responsabile. Al titolare spettano gli obblighi principali: base giuridica, trasparenza verso gli interessati, risposta alle loro richieste, decisione sulla notifica delle violazioni. Il responsabile deve seguire le Sue istruzioni documentate, garantire riservatezza e sicurezza, ricorrere a sub-responsabili solo con la Sua autorizzazione, assisterLa in caso di violazioni e richieste, e restituire o cancellare i dati alla fine. Lo stabilisce un contratto, di solito chiamato accordo sul trattamento dei dati. I ruoli dipendono dai fatti, non dalle etichette: un fornitore che usa i Suoi dati per scopi propri diventa titolare per quell’uso. Per NetSenX, TriStiX S.L. agisce come responsabile e la Sua organizzazione come titolare, come indica l’accordo pubblicato.

Richiede misure adeguate al rischio, non un elenco chiuso. Titolare e responsabile devono adottare misure tecniche e organizzative che tengano conto dello stato dell’arte, dei costi di attuazione, della natura e delle finalità del trattamento e della probabilità e gravità del danno per le persone. Il GDPR fa alcuni esempi: pseudonimizzazione e cifratura, la capacità di assicurare riservatezza, integrità, disponibilità e resilienza dei sistemi, la capacità di ripristinare i dati dopo un incidente e una procedura per testare e valutare regolarmente le misure. Ogni azienda deve quindi decidere, documentare e riesaminare che cosa è adeguato per i propri dati, ed essere in grado di motivarlo. Accorgersi di una violazione ne fa parte, perché non si può notificare né contenere ciò che non si vede, e molte violazioni emergono da un’attività di rete insolita. NetSenX può essere una di queste misure: in ogni piano rileva beaconing, scansioni, movimento laterale e volumi in uscita insoliti. Se l’insieme delle misure sia adeguato resta una Sua valutazione.

Secondo il GDPR, solo in alcuni casi: autorità pubbliche e organizzazioni le cui attività principali consistono nel monitoraggio regolare e sistematico delle persone su larga scala o nel trattamento su larga scala di categorie particolari di dati, come quelli sanitari. Molte medie imprese non rientrano in questi casi, ma la legge nazionale può aggiungerne altri. In Germania il § 38 del BDSG richiede un responsabile quando, di norma, almeno 20 persone sono stabilmente addette al trattamento automatizzato di dati personali, oltre ad altri casi. Verifichi la legge del Suo paese. Anche senza obbligo qualcuno deve occuparsi della protezione dei dati, e un referente designato aiuta quando corre il termine di notifica di una violazione. Se lo nomina, deve essere coinvolto tempestivamente nelle questioni di protezione dei dati, agire in modo indipendente e riferire al vertice dell’azienda. Uno strumento di sicurezza non cambia la necessità, anche se il monitoraggio di rete è un tema che dovrebbe esaminare. Dal piano Starter NetSenX prepara una bozza di notifica di violazione ai sensi del GDPR per chi ricopre quel ruolo.

Di solito sì, purché il monitoraggio sia necessario alla sicurezza e proporzionato, e Lei documenti il bilanciamento. Il GDPR consente il trattamento necessario per il legittimo interesse del titolare, a meno che prevalgano i diritti degli interessati, e i suoi considerando indicano la sicurezza delle reti e dell’informazione come uno di questi interessi, nella misura strettamente necessaria e proporzionata. Ciò significa mettere per iscritto un breve test di bilanciamento: che cosa monitora e perché, perché mezzi meno invasivi non basterebbero, quali garanzie applica e per quanto conserva i dati. Monitorare metadati alla ricerca di segnali d’attacco pesa diversamente dal leggere il contenuto dei messaggi o dall’osservare il comportamento di singole persone. Informi i dipendenti nell’informativa e verifichi il diritto del lavoro nazionale, che può richiedere di consultare le rappresentanze dei lavoratori o di raggiungere un accordo con loro. NetSenX è pensato per tenere il bilanciamento dalla parte prudente: registra metadati, non decifra mai il traffico e riporta l’uso dell’IA per dispositivo e programma anziché per persona. La valutazione giuridica resta Sua.

Per le violazioni più gravi, fino a 20 milioni di euro o al 4 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore, ai sensi dell’articolo 83, paragrafo 5, del GDPR. Questo livello massimo riguarda le violazioni dei principi di base, della base giuridica, dei diritti degli interessati e dei trasferimenti internazionali. Un livello inferiore riguarda altri obblighi, come la sicurezza del trattamento e la notifica delle violazioni, con massimi più bassi fissati nello stesso articolo. Sono tetti, non tariffe: l’autorità decide caso per caso, tenendo conto di natura, gravità e durata della violazione, dolo o colpa, misure adottate per limitare il danno, violazioni precedenti e cooperazione. La sanzione è solo una conseguenza; l’autorità può anche ordinare lo stop del trattamento, e gli interessati possono chiedere il risarcimento. Ciò che riduce l’esposizione è una diligenza ordinaria e dimostrabile: conoscere i propri trattamenti, misure di sicurezza documentate, una procedura per le violazioni che funziona e notifiche puntuali. NetSenX aiuta in una parte, accorgersi presto di una violazione e, dal piano Starter, preparare la bozza di notifica; non elimina il rischio di sanzione.

Il regolamento sulla resilienza operativa digitale (DORA), regolamento (UE) 2022/2554, è la legge dell’UE che vuole rendere banche, assicurazioni, imprese di investimento, istituti di pagamento e altre entità finanziarie capaci di resistere a guasti tecnologici e attacchi informatici e di riprendersi. Si applica direttamente in ogni Stato membro e si fonda su alcuni pilastri: un quadro di gestione del rischio ICT di cui risponde l’organo di gestione; la classificazione e la segnalazione degli incidenti gravi connessi alle ICT all’autorità competente; test periodici della resilienza operativa digitale, con test di penetrazione basati sulle minacce per alcune entità; la gestione del rischio dei fornitori terzi di servizi ICT, con requisiti contrattuali e una strategia di uscita; e la condivisione volontaria di informazioni sulle minacce. Per i fornitori designati come critici dalle autorità europee di vigilanza, DORA aggiunge una supervisione diretta. Per un’entità finanziaria DORA è la norma speciale e prevale sulle regole generali di NIS2 dove si sovrappongono. Se fornisce servizi ICT a entità finanziarie, si aspetti che DORA arrivi tramite contratti e questionari. NetSenX non è uno strumento DORA in quanto tale; il suo rilevamento può supportare la parte di monitoraggio di un quadro di rischio ICT.

Attribuisce la responsabilità ultima della gestione del rischio ICT all’organo di gestione, che non può trasferirla al reparto IT né a un fornitore. Secondo DORA l’organo di gestione definisce, approva e supervisiona il quadro di gestione del rischio ICT e risponde della sua attuazione. In pratica significa approvare la strategia di resilienza operativa digitale e le politiche su cui si basa, stabilire e riesaminare il budget, approvare gli accordi con i fornitori terzi di servizi ICT e la politica per il loro utilizzo, essere informato degli incidenti gravi e delle loro conseguenze, e mantenere aggiornate le proprie conoscenze con la formazione. Per gli amministratori è un dovere di governo societario che un’autorità di vigilanza può esaminare: verbali, documenti approvati e prove che i rapporti sono stati letti e seguiti. Chieda alla funzione compliance come la Sua organizzazione documenta queste decisioni e consulti gli orientamenti dell’autorità di vigilanza nazionale per i dettagli. NetSenX non ha alcun ruolo in questo governo, ma i suoi alert e i report di conformità in PDF, dal piano Starter, possono essere una delle fonti di informazione dell’organo di gestione.

Il regolamento sulla ciberresilienza (CRA), regolamento (UE) 2024/2847, è la legge dell’UE sulla sicurezza dei prodotti con elementi digitali: hardware e software che si collegano a un dispositivo o a una rete, da router e telecamere ad app e sistemi operativi venduti nell’UE. Impone obblighi ai fabbricanti, e obblighi più leggeri a importatori e distributori. I prodotti devono essere progettati pensando alla sicurezza, immessi sul mercato senza vulnerabilità sfruttabili note e con impostazioni predefinite sicure, e ricevere aggiornamenti di sicurezza per un periodo di assistenza stabilito dal fabbricante. I fabbricanti devono gestire le vulnerabilità in modo ordinato, documentare i componenti che usano e segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi, come stabilisce l’articolo 14. Alcune categorie, come i prodotti di sicurezza e gli apparati di rete, sono soggette a una valutazione della conformità più rigorosa, e i prodotti che rispettano i requisiti portano la marcatura CE. Le date di applicazione di ciascuna parte sono fissate nelle disposizioni finali. Se si limita ad acquistare e usare prodotti, il CRA soprattutto La aiuta: si aspetti dai fornitori periodi di assistenza e impegni di aggiornamento più chiari.

Sì, se immettono software sul mercato dell’UE come prodotto: applicazioni installabili, firmware, sistemi operativi, librerie vendute commercialmente e app mobili sono prodotti con elementi digitali, e la società che li mette a disposizione con il proprio nome è il fabbricante. Gli obblighi comprendono una valutazione dei rischi, la sicurezza fin dalla progettazione e per impostazione predefinita, la gestione e correzione delle vulnerabilità durante il periodo di assistenza, la documentazione dei componenti, informazioni e istruzioni di sicurezza per gli utenti e la segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi ai sensi dell’articolo 14. Il software libero e open source sviluppato o fornito al di fuori di un’attività commerciale è in gran parte escluso, e le organizzazioni che sostengono progetti open source destinati a uso commerciale, i cosiddetti steward del software open source, hanno obblighi più leggeri. Il software sviluppato solo per uso interno non viene immesso sul mercato. Se vende software, cominci elencando i prodotti, i relativi periodi di assistenza e il processo di gestione delle vulnerabilità, e legga il regolamento per i dettagli. NetSenX non valuta se il Suo software rispetta i requisiti.

In genere non a un servizio online puro, ma può riguardare la parte cloud di un prodotto. Il CRA si applica ai prodotti con elementi digitali messi a disposizione sul mercato. Il software fornito solo come servizio via internet, senza un prodotto installato dal cliente, ne è in linea di principio escluso; la sicurezza di questi servizi riguarda soprattutto NIS2, se il fornitore vi rientra. Il CRA copre però anche il trattamento dei dati da remoto che un fabbricante progetta come parte di un prodotto, quando senza di esso il prodotto non potrebbe svolgere una delle sue funzioni: il back-end cloud di una telecamera intelligente o di un sensore di rete fornito con un agente ne sono esempi tipici. Una società che vende sia un componente installabile sia un servizio cloud può quindi avere obblighi CRA per l’insieme. Distingua le parti della Sua offerta installate dai clienti da quelle che girano solo presso di Lei, e legga con attenzione le definizioni del regolamento. NetSenX, che fornisce agenti insieme a un servizio cloud, si pone la stessa domanda.

Una distinta base del software (SBOM) è un elenco leggibile da macchina dei componenti di un software, come librerie e relative versioni, simile a un elenco di ingredienti. Consente a un fabbricante, e a chiunque la riceva, di capire rapidamente se una vulnerabilità appena pubblicata riguarda un prodotto. Il CRA richiede ai fabbricanti di individuare e documentare i componenti dei loro prodotti, anche redigendo una SBOM in un formato di uso comune e leggibile da macchina che copra almeno le dipendenze di primo livello. Fa parte della documentazione tecnica; il regolamento non obbliga il fabbricante a pubblicarla, anche se le autorità possono chiederla. Se acquista software, chieda ai fornitori se mantengono una SBOM e come la usano per seguire le vulnerabilità, invece di pretendere il file stesso. I formati diffusi sono CycloneDX e SPDX. NetSenX non genera SBOM per i Suoi prodotti, e un sensore di rete non vede quali librerie ci sono dentro un’applicazione.

Il regolamento sull’intelligenza artificiale, regolamento (UE) 2024/1689, è la legge dell’UE che disciplina i sistemi di IA in base al rischio che presentano. Alcune pratiche sono vietate, come il punteggio sociale e certi usi del riconoscimento delle emozioni sul lavoro. I sistemi ad alto rischio, elencati per ambito, come l’IA usata nella selezione del personale, nella gestione dei lavoratori, nelle decisioni di credito o come componente di sicurezza di infrastrutture critiche, devono rispettare requisiti di gestione del rischio, qualità dei dati, documentazione, sorveglianza umana, accuratezza e sicurezza prima e dopo l’immissione sul mercato. Alcuni sistemi hanno obblighi di trasparenza, per esempio avvisare che si sta parlando con un chatbot. La maggior parte delle altre IA, come i filtri antispam, non ha obblighi specifici. Regole a parte riguardano i modelli di IA per finalità generali. Gli obblighi ricadono sui fornitori, che sviluppano i sistemi e li immettono sul mercato, e sui deployer, che li usano a livello professionale. Dal 2 febbraio 2025 l’articolo 4 chiede a entrambi misure sull’alfabetizzazione in materia di IA del personale, che dalla modifica del luglio 2026 significa sostenerla, non garantire un livello preciso per ogni persona; le altre parti si applicano per fasi. Verifichi con il Suo fornitore in quale categoria rientra il suo sistema.

Di solito no, ma dipende da che cosa decide lo strumento e su chi. Le categorie ad alto rischio sono definite dall’uso, non dalla tecnologia: IA usata, tra l’altro, per assumere, promuovere, monitorare o valutare lavoratori, valutare il merito creditizio o come componente di sicurezza nella gestione di infrastrutture critiche. Uno strumento che individua il traffico di malware tra dispositivi non rientra di per sé in questi usi. Ci si avvicina quando i suoi risultati servono a valutare il comportamento o le prestazioni di singoli dipendenti, o quando funge da componente di sicurezza, per esempio di una rete energetica. Ponga quindi due domande a ogni strumento di sicurezza: valuta persone o macchine, e che cosa succede automaticamente in base ai suoi risultati? Chieda al fornitore la sua classificazione e le motivazioni. NetSenX è progettato per osservare dispositivi e connessioni anziché valutare persone, e riporta l’uso dell’IA per dispositivo e programma, non per persona. La sua pagina sulla trasparenza dell’IA descrive dove usa l’IA e che cosa resta sotto il Suo controllo; usare gli alert per giudicare il personale sarebbe una Sua decisione e richiederebbe una valutazione a parte.

Alcuni, e valgono indipendentemente dalla categoria di rischio. Le persone devono essere informate quando interagiscono con un sistema di IA, come un chatbot di assistenza clienti, a meno che sia evidente. I fornitori di sistemi che generano audio, immagini, video o testo sintetici devono marcare i risultati in un formato leggibile da macchina, così che siano riconoscibili come generati artificialmente. I deployer che pubblicano deep fake devono dichiarare che il contenuto è artificiale, e chi pubblica testi generati dall’IA su questioni di interesse pubblico deve dichiararlo a sua volta, a meno che una persona li abbia rivisti e se ne assuma la responsabilità editoriale. I deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica devono informare le persone esposte. Per un’azienda i passi pratici sono un inventario dei punti in cui l’IA dialoga con i clienti o produce contenuti pubblicati, un avviso chiaro in quei punti e la verifica che i fornitori marchino i propri risultati. Questi obblighi si applicano dalla data fissata nelle disposizioni finali del regolamento. NetSenX pubblica una propria pagina sulla trasparenza dell’IA per le funzioni di IA del servizio.

Che la privacy va incorporata nel modo in cui si configura un sistema e nelle sue impostazioni predefinite, non aggiunta dopo un reclamo. Fin dalla progettazione significa che, quando sceglie e configura uno strumento, mette in atto misure adeguate al rischio come pseudonimizzazione, minimizzazione dei dati e controllo degli accessi. Per impostazione predefinita significa che, già all’avvio, vengono trattati solo i dati personali necessari per ciascuna finalità, conservati non più del necessario e non resi accessibili a un numero indefinito di persone. Per uno strumento di sicurezza le domande pratiche sono: raccoglie contenuti o solo metadati, può limitare chi vede che cosa, per quanto tempo conserva le registrazioni, e persone esterne al team di sicurezza vedono i nomi dei dispositivi dei dipendenti? L’obbligo è del titolare, quindi documenti le scelte quando lo introduce. Le impostazioni predefinite di NetSenX vanno nella stessa direzione: registra metadati e non contenuti, non decifra mai il traffico, conserva gli alert per lo storico del piano e riporta l’uso dell’IA per dispositivo e programma anziché per persona; i ruoli del team sono disponibili dal piano Starter.

Titolari e responsabili devono tenere un registro scritto, anche in formato elettronico, delle attività di trattamento e metterlo a disposizione dell’autorità di controllo su richiesta. Per il titolare, ogni voce descrive le finalità, le categorie di interessati e di dati personali, i destinatari, gli eventuali trasferimenti fuori dall’UE con le relative garanzie, ove possibile i termini previsti per la cancellazione e una descrizione generale delle misure di sicurezza. I responsabili tengono un registro più breve dei trattamenti svolti per ciascun titolare. Le organizzazioni più piccole, sotto una soglia di dipendenti fissata dal GDPR, sono esentate in alcuni casi, ma non quando il trattamento non è occasionale, il che vale per quasi ogni monitoraggio di rete continuo, né quando può presentare un rischio o riguarda categorie particolari di dati. Registri quindi il monitoraggio di sicurezza come attività di trattamento a sé: finalità, dati raccolti, chi li vede, il fornitore come responsabile, dove sono conservati i dati e per quanto. L’accordo sul trattamento dei dati di NetSenX e il suo elenco di sub-responsabili Le forniscono i dati sul fornitore per questa voce; il registro lo tiene Lei.

Ciascuno riguarda un oggetto diverso, quindi la stessa azienda può essere soggetta a più norme insieme. NIS2 riguarda la cibersicurezza delle organizzazioni dei settori elencati: misure di gestione del rischio, responsabilità degli organi di gestione e notifica degli incidenti significativi ai sensi dell’articolo 23. Il GDPR riguarda i dati personali, ovunque siano trattati, compreso l’obbligo di notificare le violazioni ai sensi dell’articolo 33. DORA è la norma speciale per le entità finanziarie e prevale su NIS2 dove si sovrappongono. Il CRA riguarda i prodotti con elementi digitali e obbliga le società che li fabbricano e vendono. L’AI Act riguarda i sistemi di IA e obbliga fornitori e deployer in base al rischio. Un attacco ransomware a un fornitore di un ospedale può quindi far scattare lo stesso giorno una notifica NIS2 e una notifica GDPR, e la falla di prodotto che lo ha permesso può diventare la segnalazione CRA del fabbricante. Stabilisca quali norme La riguardano, chi se ne occupa e come un’unica registrazione dell’incidente può alimentare più notifiche. NetSenX segue le scadenze NIS2 per incidente e, dal piano Starter, prepara una bozza GDPR; non invia nulla.