Da Intarmour ARC:Nuova ricerca sul rischio cyber nelle operazioni di M&A
Prenoti una consulenza

Conformità

Conformità normativa: NIS2, DORA, CRA e AI Act

Preparazione a prezzo fisso per NIS2, DORA, Cyber Resilience Act e AI Act.

Stabilisco quali norme La riguardano e trasformo gli obblighi in un piano con priorità e costi definiti, che il board può approvare. Il prezzo è concordato prima di iniziare.

Prenoti una consulenza Scarichi la panoramica del servizio
  • Indipendente da fornitori e prodotti
  • Analisi basata sulle evidenze
  • Raccomandazioni chiare e attuabili
  • Attenzione senior, dall’inizio alla fine

Il problema

Una norma non è una decisione.

NIS2, DORA, il Cyber Resilience Act e l’AI Act fissano obblighi, non priorità. Presi da soli, lasciano al board un testo giuridico e nessuna risposta chiara alle uniche domande che contano: cosa ci riguarda, dove siamo scoperti e da cosa partiamo. Se nessuno la risolve, questa ambiguità porta a spendere troppo sui controlli sbagliati o lascia un’esposizione che prima o poi l’autorità di vigilanza noterà.

Ambito normativo

Le quattro norme

Il metodo è lo stesso per tutte e quattro: perimetro, gap analysis, piano. Cambiano i destinatari e gli obblighi. Le scadenze aggiornate sono nei calendari delle fonti ufficiali, con i testi primari.

  • NIS2

    Direttiva (UE) 2022/2555 e D.Lgs. 138/2024

    A chi si applica

    Soggetti essenziali e importanti individuati dal D.Lgs. 138/2024, che recepisce la Direttiva in Italia.

    Cosa faccio

    • Verifico se l’azienda rientra nel perimetro e come soggetto essenziale o importante.
    • Misuro il gap rispetto alle misure di sicurezza di base e agli obblighi di notifica degli incidenti.
    • Ordino gli interventi in base ai termini fissati da ACN per il Suo caso.

  • DORA

    Regolamento (UE) 2022/2554

    A chi si applica

    Entità finanziarie elencate all’art. 2 del Regolamento, come banche, istituti di pagamento, imprese di investimento e assicurazioni, e i fornitori terzi di servizi ICT.

    Cosa faccio

    • Valuto il quadro di gestione del rischio ICT rispetto ai requisiti del Regolamento.
    • Verifico come vengono classificati e segnalati gli incidenti gravi connessi all’ICT.
    • Rivedo i contratti con i fornitori di servizi ICT alla luce dell’art. 30.

  • CRA

    Cyber Resilience Act, Regolamento (UE) 2024/2847

    A chi si applica

    Fabbricanti di prodotti con elementi digitali, con obblighi propri anche per importatori e distributori. È un regolamento: si applica senza un decreto di recepimento.

    Cosa faccio

    • Classifico i prodotti rispetto alle categorie di prodotti importanti e critici.
    • Verifico il processo di gestione e segnalazione delle vulnerabilità.
    • Pianifico requisiti essenziali, documentazione tecnica e valutazione della conformità.

  • AI Act

    Regolamento (UE) 2024/1689

    A chi si applica

    Fornitori e deployer di sistemi di IA. Tra i deployer rientrano anche le aziende e gli studi che usano strumenti di IA nel proprio lavoro.

    Cosa faccio

    • Censisco gli strumenti di IA in uso e il ruolo dell’azienda per ciascuno.
    • Verifico che nessun uso ricada nei divieti e quali usi rientrano nell’alto rischio.
    • Imposto regole interne e formazione del personale sull’uso dell’IA.

Cosa faccio

Dagli obblighi a decisioni che il board può prendere.

Una verifica mirata e un piano che resta Suo, spendibile con il board, un’autorità di vigilanza o un cliente. Vale per ciascuna delle quattro norme.

Come lavoro

  • Determinazione del perimetro

    Confermo quali delle quattro norme La riguardano, e fino a che punto.

  • Gap analysis

    A che punto è rispetto agli obblighi di ciascuna norma, con le evidenze.

  • Piano delle priorità

    Cosa fare prima, perché e cosa richiede, in base alle scadenze. Gli obblighi comuni si affrontano una volta sola.

  • Report pronto per il board

    Un documento che può presentare, e riutilizzare, con chiunque.

  • Policy e modelli

    I documenti di governance da cui partire, scritti per coprire più norme insieme.

  • Supporto continuativo

    Supporto facoltativo per attuare il piano e mantenerlo nel tempo.

Il mio approccio

Un percorso strutturato verso una conformità proporzionata.

Confermo il perimetro, valuto rispetto agli obblighi e Le consegno un piano, non un faldone.

Scopra il mio metodo
  1. 01

    Perimetro

    Confermo quali obblighi La riguardano, e fino a che punto.

  2. 02

    Raccolta

    Raccolgo controlli, governance ed evidenze.

  3. 03

    Valutazione

    Misuro il gap rispetto alle norme che La riguardano: NIS2, DORA, CRA o AI Act.

  4. 04

    Report

    Risultati e un piano con priorità e costi definiti.

  5. 05

    Supporto

    Supporto facoltativo per attuare il piano e mantenere la preparazione raggiunta.

Risultati

Cosa Le resta in mano

Prenoti una consulenza
  • Una risposta chiara su se, e fino a che punto, ciascun obbligo La riguarda.
  • Un piano con priorità e costi definiti, che il board può approvare e attuare.
  • Un report pronto per il board, riutilizzabile con un’autorità di vigilanza, un cliente o un auditor.
  • Documenti di governance che restano Suoi e su cui costruire, non un faldone che invecchia su uno scaffale.

Caso

Adeguamento a DORA per un’entità finanziaria

Programma di adeguamento a DORA che ha chiuso i gap principali su gestione del rischio ICT, segnalazione degli incidenti e fornitori ICT critici, con un ciclo di test di resilienza operativa avviato.

Legga il caso

Lavori e approfondimenti

Cosa ho già fatto

Veda tutti gli approfondimenti

Domande frequenti

Le domande che mi vengono poste.

Come è strutturato il prezzo?

La verifica di preparazione è a prezzo fisso, concordato prima di iniziare, così il costo è noto in anticipo. L’eventuale supporto per attuare la roadmap viene definito a parte.

Quali di queste norme ci riguardano?

È la prima cosa che confermo. Dipende da settore, dimensione, attività e ruolo nella filiera: DORA riguarda il settore finanziario e i fornitori ICT, il CRA chi immette sul mercato prodotti con elementi digitali, l’AI Act chi sviluppa o usa sistemi di IA. Sbagliare il perimetro in un senso o nell’altro è costoso, per questo lo stabilisco prima di valutare qualunque altra cosa.

Le quattro norme vanno affrontate separatamente?

No. Quando più norme riguardano la stessa azienda applico un solo metodo, così gli obblighi che si sovrappongono, come governance, gestione degli incidenti e controllo dei fornitori, si gestiscono una volta sola.

Garantisce la conformità?

Nessuno può farlo in modo credibile. Le do una visione accurata di dove si trova e un piano difendibile per colmare le lacune. La conformità è un accertamento che spetta a Lei, ai Suoi auditor e all’autorità di vigilanza: il mio compito è renderla raggiungibile e supportata da evidenze.

Il primo passo

Parliamo del Suo caso.

Ogni situazione è diversa. Mi racconti il contesto e La aiuterò a scegliere come procedere.

Prenoti una consulenza