NIS2 e GDPR
NIS2 e GDPR: uno protegge la resilienza dei servizi, l'altro protegge i dati personali. Molte aziende devono rispettare entrambi.
NIS2 e GDPR è una questione di cosa protegge ciascuna legge. Il GDPR protegge i dati personali delle persone e si applica a quasi tutte le organizzazioni che li trattano. NIS2 protegge la sicurezza e la continuità dei sistemi e delle reti informatiche e si applica alle organizzazioni dei settori elencati che superano una soglia dimensionale.
Si sovrappongono, ma una non sostituisce l'altra. Un'azienda di un settore interessato può essere soggetta a entrambe le norme contemporaneamente e un singolo incidente, come una violazione che coinvolge dati personali, può attivare obblighi di segnalazione ai sensi di ciascuna. Questa pagina contiene informazioni generali, non consulenza legale.
A confronto
| Funzionalità | NIS2 | GDPR |
|---|---|---|
| Nome e cognome | Direttiva (UE) 2022/2555 relativa a misure per un livello comune elevato di cibersicurezza | Regolamento (UE) 2016/679, il Regolamento generale sulla protezione dei dati |
| Cosa protegge | Sicurezza e continuità dei sistemi e dei servizi di rete e informatici | Dati personali e diritti delle persone |
| Forma giuridica | Direttiva, ogni Stato membro adotta la propria legge nazionale | Regolamento, si applica direttamente in tutti gli Stati membri |
| Soggetti obbligati | Soggetti essenziali e importanti nei settori elencati, in genere di medie e grandi dimensioni | Qualsiasi organizzazione che tratta dati personali di persone nell'UE, di qualsiasi dimensione |
| Obblighi principali | Misure di gestione del rischio, sicurezza della catena di fornitura, responsabilità della direzione | Base giuridica, minimizzazione dei dati, sicurezza, diritti degli interessati |
| Segnalazione degli incidenti | Avviso preliminare entro 24 ore, notifica entro 72 ore, relazione finale entro un mese | Notificare all'autorità di protezione dei dati entro 72 ore una violazione di dati personali |
| A chi si segnala | Autorità nazionale per la cibersicurezza o CSIRT | Autorità di protezione dei dati e persone interessate quando il rischio è elevato |
| Sanzioni massime | Fino a 10 milioni di EUR o al 2% del fatturato per i soggetti essenziali, 7 milioni di EUR o all'1,4% per i soggetti importanti | Fino a 20 milioni di EUR o al 4% del fatturato mondiale |
| Responsabilità della direzione | Esplicita, la direzione deve approvare e vigilare sulle misure | L'organizzazione è responsabile, senza una clausola specifica sulla direzione |
In cosa eccelle ciascuno
NIS2
- Innalza il livello di sicurezza di interi settori
- Attribuisce alla direzione la responsabilità della sicurezza
- Copre il rischio della catena di fornitura
- Stabilisce procedure di segnalazione degli incidenti chiare e rapide
- Ambito e dettagli variano tra gli Stati membri
- Si applica solo a determinati settori e dimensioni
- Richiede che le misure di sicurezza siano pianificate e documentate
GDPR
- Concede alle persone diritti forti e chiari
- Si applica allo stesso modo in tutta l'UE
- Ben consolidato, con anni di orientamenti
- Copre organizzazioni di ogni dimensione
- Si concentra sui dati personali, non su tutti i sistemi
- Regole di sicurezza ampie anziché specifiche
- Obblighi pesanti di documentazione e consenso
Concentrarsi su NIS2 quando
- Opera in un settore elencato dalla direttiva, come energia, trasporti, sanità, infrastrutture digitali o produzione di beni essenziali
- È una media o grande impresa, oppure fornisce una di esse
- Un'interruzione del suo servizio avrebbe effetti su clienti o pubblico
- Un cliente chiede una prova di sicurezza della catena di fornitura
- Il suo consiglio di amministrazione deve dimostrare di vigilare sul rischio informatico
Concentrarsi sul GDPR quando
- Raccoglie o conserva dati di clienti, dipendenti o utenti
- Gestisce un sito web, un negozio online o un'app con account o tracciamento
- Utilizza responsabili del trattamento o servizi cloud per dati personali
- Le persone chiedono di vedere, correggere o cancellare i propri dati
- È una piccola impresa al di fuori dei settori NIS2
Domande frequenti
Qual è la differenza principale tra NIS2 e GDPR?
NIS2 sostituisce il GDPR?
Le piccole imprese devono seguire NIS2 o GDPR?
Quando è iniziata l'applicazione di NIS2?
Altro su: confronti
Non è sicuro che questo valga per lei?
Un ingegnere senior analizza il suo sito, la sua presenza sui motori di ricerca e il modo in cui le richieste le arrivano, poi annota le tre cose da sistemare per prime. Il documento resta suo in ogni caso.