NIS2 e GDPR non sono alternativi: sono due normative distinte che spesso si applicano alla stessa organizzazione, allo stesso tempo. Il GDPR protegge i dati personali; la NIS2 protegge la sicurezza delle reti e dei sistemi informativi. Le autorità sono diverse — il Garante per il GDPR, l’ACN per la NIS2 — così come i tempi di notifica e i criteri sanzionatori. Nel punto in cui si toccano, la sicurezza informatica, evidenze e controlli possono essere condivisi; gli obblighi giuridici restano da verificare separatamente. Capire dove divergono e dove convergono evita di duplicare gli sforzi.
Questa guida mette a confronto i due regimi per i team di compliance italiani che devono rispettarli entrambi.
Punti essenziali
- Il GDPR tutela i dati personali; la NIS2 la sicurezza di reti e sistemi: oggetti diversi.
- Autorità diverse: Garante per il GDPR, ACN per la NIS2.
- Notifiche diverse e condizionate: art. 33 GDPR alla competente autorità privacy e art. 25 del D.Lgs. 138/2024 al CSIRT Italia per gli incidenti significativi dei soggetti NIS.
- Il punto di sovrapposizione è la sicurezza: l’art. 32 GDPR e l’art. 21 NIS2 condividono molte misure.
- Un programma di sicurezza può riutilizzare controlli ed evidenze, se ne verifica separatamente la sufficienza per ciascun regime.
Oggetto e finalità: cosa proteggono
La differenza di fondo sta nell’oggetto della tutela. Il Regolamento (UE) 2016/679 protegge le persone fisiche rispetto al trattamento dei loro dati personali: nome, contatti, dati sanitari, comportamenti. La Direttiva (UE) 2022/2555 protegge la continuità e la sicurezza dei servizi essenziali e importanti contro le minacce cibernetiche, indipendentemente dal fatto che siano coinvolti dati personali.
Un guasto che blocca una rete elettrica può essere un problema NIS2 per un soggetto incluso nel perimetro anche se non tocca alcun dato personale. Una mail inviata al destinatario sbagliato può essere una violazione GDPR anche senza attacco informatico. Nel mezzo — un attacco che cifra sistemi e sottrae dati dei clienti — i due regimi possono applicarsi, se ricorrono le rispettive soglie.
Ambito soggettivo: chi è tenuto
Il GDPR si applica ai trattamenti di dati personali nel proprio ambito, dal libero professionista alla multinazionale, senza una soglia generale di dipendenti. La NIS2 si applica invece ai soggetti in ambito, individuati secondo settore, servizio, dimensione ed eccezioni, con la distinzione tra essenziali e importanti. Il perimetro NIS2 è quindi molto più selettivo, come spiega la guida ai soggetti essenziali e importanti.
Il confronto in tabella
| Profilo | GDPR | NIS2 |
|---|---|---|
| Oggetto | Dati personali | Sicurezza di reti e sistemi |
| Fonte | Reg. (UE) 2016/679 + Codice Privacy | Dir. (UE) 2022/2555 + D.Lgs. 138/2024 |
| Autorità | Garante privacy | ACN – CSIRT Italia |
| Ambito | Chiunque tratti dati personali | Soggetti essenziali/importanti per settore e dimensione |
| Notifica | Senza ingiustificato ritardo e, se possibile, entro 72 ore per una violazione di dati personali, salvo che sia improbabile un rischio per i diritti e le libertà (art. 33) | Per un incidente significativo del soggetto NIS: preallarme al CSIRT entro 24 ore e notifica entro 72 ore; per il prestatore di servizi fiduciari, la notifica è entro 24 ore se l’incidente significativo incide sulla fornitura dei suoi servizi fiduciari (art. 25) |
| Governance | DPO ove obbligatorio (art. 37) | Responsabilità degli organi di amministrazione |
| Sanzioni | Regime graduato dagli artt. 83 e 84 GDPR | Regime specifico del D.Lgs. 138/2024, secondo violazione e categoria del soggetto |
| Misure di sicurezza | Art. 32 (misure adeguate al rischio) | Art. 21 (misure a base di rischio) |
Dove si sovrappongono: la sicurezza
Il vero terreno comune è la sicurezza. L’art. 32 del GDPR impone misure tecniche e organizzative adeguate al rischio: cifratura, riservatezza, integrità, disponibilità, resilienza, capacità di ripristino, test periodici. L’art. 21 della NIS2 richiede, in modo più dettagliato ma sovrapponibile, analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, crittografia, controllo degli accessi e formazione.
In pratica, un’organizzazione soggetta a entrambi non deve costruire due programmi di sicurezza: può usare un programma coordinato, mappato su entrambe le norme e verificato rispetto ai requisiti distinti. La gestione degli incidenti, il backup, la crittografia e il controllo degli accessi servono contemporaneamente l’art. 32 GDPR e l’art. 21 NIS2. Il registro dei trattamenti include una descrizione generale delle misure di sicurezza quando possibile (art. 30); l’inventario tecnico di controlli NIS può essere più dettagliato. Una mappatura comune evita incoerenze senza confondere i due documenti.
Il caso dell’incidente combinato
L’esempio più istruttivo è l’incidente informatico che coinvolge dati personali. Qui i due regimi corrono in parallelo: notifica all’autorità privacy competente, salvo che sia improbabile che la violazione di dati comporti un rischio per i diritti e le libertà, senza ingiustificato ritardo e se possibile entro 72 ore dalla conoscenza, e preallarme al CSIRT Italia entro 24 ore se il soggetto NIS ha un incidente significativo. Le due catene di notifica non si assorbono. La procedura interna deve prevedere una doppia valutazione al momento della scoperta, come spiegano in dettaglio la notifica degli incidenti ad ACN e la notifica di violazione dei dati al Garante.
Come gestire entrambi senza duplicare
L’approccio efficiente parte da un inventario unico dei sistemi e dei dati, da cui derivare sia il registro dei trattamenti sia la mappatura NIS2. Su questa base si costruisce un solo programma di sicurezza, una procedura di incident response con due valutazioni e canali di notifica distinti, oltre a una governance che renda espliciti i due rischi. Chi cerca strumenti per unificare la documentazione può confrontare il software per la conformità GDPR e quello per la conformità NIS2; la scelta degli strumenti deve dipendere dalle evidenze da produrre, dagli accessi, dai tempi e dalle integrazioni effettivamente verificati. Per il quadro completo del recepimento italiano resta il riferimento la guida alla NIS2 in Italia (D.Lgs. 138/2024).
Differenze di governance e responsabilità
Oltre all’oggetto, i due regimi divergono su chi risponde. Il GDPR costruisce la responsabilità attorno al titolare del trattamento e, dove obbligatorio, al DPO, figura indipendente con funzione consultiva e di controllo. La NIS2 sposta invece l’accento sugli organi di amministrazione: il board approva le misure di gestione del rischio, ne sorveglia l’attuazione e segue formazione specifica, con una responsabilità che non è delegabile del tutto alle funzioni tecniche.
Questa differenza ha conseguenze pratiche. Un’organizzazione può avere un DPO efficiente e restare comunque scoperta sul fronte NIS2 se il vertice non è coinvolto nella governance della cybersicurezza. Viceversa, la maturità raggiunta sull’accountability del GDPR — documentazione, valutazioni del rischio, procedure — è un capitale che accelera la conformità NIS2.
Un solo incidente, due orologi
Vale la pena ribadire l’immagine operativa più utile: di fronte a un incidente informatico che coinvolge dati personali partono due orologi contemporaneamente. Per un incidente significativo di un soggetto NIS, il preallarme va al CSIRT Italia entro 24 ore dalla conoscenza; per una violazione di dati personali, l’art. 33 richiede la notifica senza ingiustificato ritardo e, se possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà. Le soglie sono diverse — «incidente significativo» per la NIS2, «rischio per i diritti e le libertà» per il GDPR — e vanno valutate separatamente. Una procedura interna ben costruita esegue le due valutazioni in parallelo, così che nessuna delle due scadenze venga persa mentre il team è concentrato sulla risposta tecnica.
Prima verifica: due perimetri indipendenti
Per decidere se il confronto serve davvero alla tua organizzazione, parti dalle attività effettive. Il GDPR riguarda un trattamento di dati personali nel suo ambito territoriale e materiale: anche una piccola organizzazione può esservi soggetta. Il D.Lgs. 138/2024 guarda invece ai soggetti individuati secondo settori, tipi di servizio, dimensioni ed eccezioni. Non basta operare «nel digitale» né trattare molti dati personali per essere automaticamente soggetti NIS. Al contrario, un operatore di un servizio incluso potrebbe avere obblighi NIS anche se un incidente concreto non ha esposto dati personali.
Verifica l’elencazione e le comunicazioni applicabili presso l’ACN, documentando attività, gruppo societario, eventuali qualificazioni settoriali e categoria essenziale o importante. La guida ai soggetti NIS2 approfondisce questa prima mappatura. Il registro GDPR si costruisce invece per trattamenti e ruoli di titolare o responsabile. Il risultato pratico può essere una matrice con società, servizio, sistema, dati personali coinvolti, titolare e soggetto NIS. Questa matrice chiarisce chi deve valutare e notificare un incidente, soprattutto quando infrastruttura e trattamento appartengono a società diverse.
Non usare la soglia dimensionale come scorciatoia universale. Alcune categorie seguono regole speciali o non dipendono dal normale criterio delle dimensioni. Anche le date di avvio e le misure richieste vanno lette negli atti italiani e nelle comunicazioni applicabili al soggetto. Il quadro del recepimento NIS2 in Italia serve a collocare questi passaggi; questa pagina confronta i due regimi, non sostituisce la verifica della qualifica.
Sicurezza: stessa evidenza, domande giuridiche diverse
L’art. 32 GDPR chiede al titolare e al responsabile misure tecniche e organizzative adeguate al rischio per i diritti e le libertà delle persone. Tiene conto di stato dell’arte, costi, natura, contesto, finalità e probabilità e gravità del rischio. La disciplina NIS richiede ai soggetti nel perimetro misure proporzionate di gestione dei rischi di cybersicurezza per reti e sistemi, con un elenco di ambiti che comprende risposta agli incidenti, continuità, fornitori, igiene e formazione, accessi e crittografia. Non è corretto affermare che una certificazione, una procedura o un software basti automaticamente per entrambi.
Un backup testato può essere prova utile sia per disponibilità dei dati personali sia per continuità di un servizio NIS. Tuttavia, per il GDPR chiediti se l’accesso alle cartelle mediche è adeguatamente limitato; per la NIS chiediti anche se una dipendenza di rete può interrompere un servizio essenziale. Riutilizza il risultato del test, poi annota quale requisito dimostra e quale lacuna rimane. La politica di sicurezza aziendale e il piano di continuità offrono due punti di partenza, ma vanno collegati a rischi e sistemi reali.
Fai la stessa distinzione per la catena di fornitura. Un fornitore cloud può essere responsabile del trattamento GDPR, fornitore critico per NIS, entrambe le cose o nessuna delle due rispetto a una specifica attività. L’accordo sul trattamento, i controlli sull’accesso e la continuità del servizio rispondono a domande diverse. Documenta chi segue il contratto, chi verifica le misure e chi riceve l’allerta operativa. Una semplice colonna «fornitore approvato» non mostra queste responsabilità.
Incidente combinato: quattro decisioni nel primo triage
Immagina un attacco che rende indisponibile il portale di un’azienda sanitaria e potrebbe aver esposto alcune cartelle. La prima decisione è fattuale: quali sistemi sono colpiti, quali servizi si interrompono, quali dati personali sono stati persi, alterati o resi inaccessibili? La seconda è NIS: l’ente è soggetto al decreto e l’incidente soddisfa il criterio di significatività applicabile? La terza è GDPR: c’è una violazione di dati personali e il rischio per i diritti delle persone è improbabile o no? La quarta è la comunicazione alle persone: il rischio è alto ai sensi dell’art. 34 GDPR e sussistono eventuali eccezioni? Nessuna risposta discende meccanicamente dall’altra.
Un ransomware può essere significativo per la continuità NIS anche senza esfiltrazione. Può costituire anche una violazione di dati personali per perdita di disponibilità, per esempio se non si possono utilizzare dati necessari alla cura. Per contro, una busta con dati sanitari inviata al destinatario sbagliato può richiedere una valutazione GDPR pur non soddisfacendo il criterio di incidente significativo NIS. Usa il processo di notifica al Garante e la procedura di notifica al CSIRT come due flussi con una sola cronologia fattuale condivisa.
Tempi e destinatari senza scorciatoie
Per il GDPR, il titolare notifica all’autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando viene a conoscenza della violazione, salvo che sia improbabile un rischio. Se il termine viene superato, motiva il ritardo. Se mancano informazioni, l’art. 33.4 consente di fornirle per fasi senza ingiustificato ritardo. Il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo dopo aver appreso della violazione; non sostituisce automaticamente la notifica del titolare.
Per i soggetti NIS e gli incidenti significativi, l’art. 25 del decreto italiano prevede un preallarme al CSIRT Italia senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza, seguito dalla notifica senza ingiustificato ritardo e comunque entro 72 ore. Se un incidente significativo incide sulla fornitura dei servizi fiduciari di un prestatore di tali servizi, anche questa seconda notifica è dovuta senza ingiustificato ritardo e comunque entro 24 ore. Il CSIRT può chiedere una relazione intermedia. La relazione finale è dovuta entro un mese dalla notifica dell’incidente; se l’incidente è ancora in corso in quel momento, seguono relazioni mensili sui progressi e una relazione finale entro un mese dalla conclusione della sua gestione. Non trasformare queste fasi in un unico «termine NIS»; controlla anche eventuali regole speciali del settore o del soggetto. Il modello di registro delle violazioni di dati può aiutare a documentare il lato GDPR, mentre la disposizione nazionale resta la fonte del dovere NIS.
Se entrambe le valutazioni risultano positive, l’invio al CSIRT non vale come notifica al Garante, e viceversa. Prepara due bozze coerenti sui fatti ma calibrate sui rispettivi destinatari. Registra ora, versione, mittente, ricevuta e informazioni successive. Una divergenza non spiegata tra le due notifiche può rendere più difficile dimostrare come l’indagine si sia evoluta.
Governance: attribuire decisioni e verifiche
Il GDPR assegna al titolare la responsabilità di dimostrare la conformità; il responsabile ha obblighi propri e quelli definiti dall’art. 28. Il DPO, quando richiesto, informa, consiglia e sorveglia, ma non diventa per questo titolare del rischio o autore automatico di ogni notifica. Nel decreto NIS, gli organi di amministrazione e direttivi hanno compiti di approvazione e supervisione delle misure. Una riunione unica può esaminare entrambi i rischi, a condizione che il verbale distingua decisioni, base normativa, proprietario e scadenza.
Un modello operativo è mantenere due colonne di obblighi e un solo fascicolo delle evidenze tecniche. Collega ogni controllo a servizio, sistema e trattamento; valuta periodicamente copertura, test e azioni correttive. Per gli incidenti, assegna una persona che coordina la cronologia, una che cura il canale CSIRT e una che segue l’autorità privacy, con sostituti. L’assetto concreto dipende dalla dimensione dell’ente, ma una responsabilità esplicita evita che ciascun team pensi che abbia notificato l’altro.
Quali documenti riutilizzare, quali tenere distinti
Un inventario dei sistemi, l’elenco fornitori, la mappa dei dati e i risultati dei test possono alimentare entrambi i programmi. Il registro GDPR dei trattamenti richiede campi specifici dell’art. 30; non è un inventario NIS completo. Un’analisi d’impatto privacy valuta rischi per persone, non sostituisce l’analisi di continuità di servizio. A sua volta, una scheda di incidente NIS non documenta da sola tutti i fatti, effetti e rimedi richiesti dall’art. 33.5 GDPR per ogni violazione personale.
Prima di acquistare strumenti, chiedi se permettono di esportare le evidenze necessarie a ciascun procedimento e se i permessi mantengono separati i dati sensibili degli incidenti. Puoi confrontare software di conformità GDPR e strumenti di conformità NIS2 secondo casi d’uso verificati, senza presumere che un’etichetta «compliance integrata» dimostri tutte le funzioni. La qualità del programma si misura nelle decisioni tracciabili, non nel numero di dashboard.
Collegare la documentazione senza confondere i fondamenti
Quando una misura tecnica è condivisa, indica nel registro delle verifiche a quali rischi risponde e chi ha approvato la valutazione. Un test di ripristino, per esempio, deve documentare quali dati e servizi erano nel campione, quali tempi effettivi sono stati osservati e quali limiti sono emersi. Il modello delle misure tecniche e organizzative offre una traccia per descrivere il lato GDPR; il principio di protezione dei dati fin dalla progettazione aiuta a chiedere se l’architettura minimizza l’esposizione dei dati personali. Nessuno dei due documenti costituisce da solo la prova di conformità NIS: occorre verificare anche la continuità del servizio e gli obblighi specifici del soggetto.
FAQ
La NIS2 sostituisce il GDPR?
No. Sono due normative distinte con oggetti diversi: il GDPR tutela i dati personali, la NIS2 la sicurezza di reti e sistemi. Convivono e possono applicarsi contemporaneamente alla stessa organizzazione, con autorità e obblighi di notifica separati.
Se rispetto il GDPR sono già conforme alla NIS2?
No, ma parte del lavoro è comune. Le misure di sicurezza dell’art. 32 GDPR si sovrappongono in buona parte a quelle dell’art. 21 NIS2, quindi un programma di sicurezza già maturo copre molti requisiti. La NIS2 aggiunge però obblighi specifici — sicurezza della catena di fornitura, governance del board, adempimenti verso l’ACN e notifiche degli incidenti significativi secondo l’art. 25 — che il GDPR non prevede.
Un incidente informatico va notificato sia al Garante sia all’ACN?
Solo se ricorrono entrambe le soglie: incidente significativo per un soggetto NIS e violazione di dati personali per la quale non sia improbabile un rischio per i diritti e le libertà. In tal caso il soggetto NIS segue l’art. 25 verso il CSIRT Italia e il titolare segue l’art. 33 GDPR verso l’autorità privacy competente. Una catena non assorbe l’altra.
Quali autorità vigilano su GDPR e NIS2 in Italia?
Sul GDPR vigila il Garante per la protezione dei dati personali; sulla NIS2 l’Agenzia per la Cybersicurezza Nazionale (ACN), mentre il CSIRT Italia è il destinatario operativo delle notifiche degli incidenti significativi previste dall’art. 25. Sono autorità distinte con poteri e procedure proprie.
Fonti ufficiali: GDPR, artt. 30, 32–34 · D.Lgs. 138/2024, testo Normattiva · Direttiva (UE) 2022/2555
Approfondimenti collegati: