Cybersecurity e conformità normativa: la partnership tra Cybhorus e Italiano & Partners per affrontare le nuove sfide digitali delle imprese

La crescente digitalizzazione dei processi aziendali ha portato con sé una maggiore esposizione a minacce informatiche che oggi non colpiscono più solo le grandi realtà multinazionali, ma anche le medie, piccole e micro imprese, fornitori terzi, studi professionali, enti pubblici, operatori di settori strategici.

L’adozione di nuove tecnologie – cloud, IoT, intelligenza artificiale, infrastrutture ibride – ha ampliato il perimetro di rischio, rendendo sempre più difficile distinguere tra innovazione e vulnerabilità.

Parallelamente, le istituzioni europee, per far fronte alle necessità di difesa del perimetro cibernetico degli stati membri, hanno introdotto negli ultimi anni un quadro normativo molto articolato, che impone alle imprese obblighi stringenti in materia di protezione dei dati, resilienza operativa, responsabilità nella catena del valore digitale.

In questo scenario, la cybersecurity non è più un tema esclusivamente tecnico, ma altresì legale, organizzativo e, complessivamente, strategico.

È, in questo contesto, che nasce una partnership tra Cybhorus, Società italiana specializzata in cybersecurity, fondata da Pierluigi Paganini uno trai massimi esperti di sicurezza cibernetica del paese, e Italiano & Partners, Studio legale e consulenziale, con competenze avanzate in diritto compliance, cybersecurity e strategia d’impresa.

Si tratta di una collaborazione creata per rispondere, in modo integrato, ad una domanda che oggi le imprese non possono più eludere: come proteggere asset digitali, dati, sistemi e processi in modo conforme, efficace e sostenibile.

Una minaccia sistemica che richiede risposte multidisciplinari

Come accennato, negli ultimi anni, il numero di attacchi informatici ai danni di imprese italiane è cresciuto in modo costante, tanto da portare il nostro paese ai primi posti delle classifiche mondiali dei target. Le forme più comuni – ransomware, furti di credenziali, accessi non autorizzati, manomissioni di sistemi – sono spesso il risultato di errori umani, infrastrutture obsolete, assenza di procedure interne o scarsa consapevolezza dei dipendenti.

Ma il danno informatico non si esaurisce nell’aspetto tecnico. Un attacco ben riuscito può determinare:

• l’interruzione dell’operatività aziendale;

• l’esposizione di dati sensibili e industriali;

• sanzioni amministrative da parte delle autorità di controllo;

• contenziosi con clienti, partner o soggetti danneggiati;

• danni reputazionali difficili da recuperare.

  
  

In molti casi, le aziende non dispongono di un sistema organizzato di prevenzione, né di strumenti per gestire un eventuale incidente, né di un numero adeguato di risorse umane qualificate per supportare le funzioni competenti interne, che spesso richiedono maggiori investimenti in risorse umane e tecnologiche.

Per far fronte a questo scenario serve una visione d’insieme che integri aspetti tecnici, legali, assicurativi, formativi e organizzativi. Questo è il vuoto che Cybhorus e Italiano & Partners mirano a colmare attraverso un loro supporto sinergico alle imprese assistite.

Le nuove responsabilità delle imprese secondo il diritto europeo (e nazionale) nel campo della Cybersecurity

Nel contesto delineato va ribadito che la cybersecurity è diventata una responsabilità legale, gestionale e operativa a tutti gli effetti.

A stabilirlo in modo inequivocabile, per i soggetti ad esso sottoposti e per la relativa catena di fornitura, è il Decreto Legislativo n. 138 del 4 settembre 2024, entrato in vigore il 16 ottobre 2024, che ha recepito in Italia la Direttiva (UE) 2022/2555, nota come NIS2.

Si tratta di una norma che amplia significativamente il perimetro dei soggetti coinvolti, imponendo obblighi stringenti in materia di prevenzione, gestione del rischio, governance e notifica degli incidenti informatici.

Il decreto distingue tra "soggetti essenziali" e "soggetti importanti", in base al settore di attività e alla dimensione aziendale. Rientrano tra gli obbligati:

• aziende dei settori energia, trasporti, bancario, sanitario, infrastrutture digitali, acqua;

• imprese manifatturiere in settori critici;

• fornitori ICT e di servizi digitali;

• enti pubblici, amministrazioni centrali, regioni, comuni sopra i 100.000 abitanti.

  
  

Il provvedimento si accompagna a un sistema sanzionatorio articolato e severo, pensato per garantire l’effettività delle misure.

A questa normativa, si aggiungono il regolamento DORA (Digital Operational Resilience Act) che si applica al settore del credito e della finanza, ed il più ampio quadro normativo contestuale definito dal GDPR, che è teso a regolamentare il trattamento e la detenzione di dati sensibili personali.

Le principali sanzioni previste

• NIS2 (D. Lgs. 138/2024)

  • Fino a 10 milioni di euro o al 2% del fatturato mondiale per mancato adeguamento alle misure tecniche e organizzative richieste.

  • Obbligo di pre-notifica entro 24 ore e notifica completa entro 72 ore in caso di incidente rilevante.

  • Responsabilità diretta degli organi amministrativi, anche con effetti sulla possibilità di ricoprire cariche.

• GDPR (Reg. UE 2016/679)

  • Sanzioni fino a 20 milioni di euro o al 4% del fatturato globale per violazioni sul trattamento dei dati personali, mancata sicurezza e notifica di data breach.

• DORA (Reg. UE 2022/2554)

  • Sanzioni e misure correttive affidate alle autorità di vigilanza (es. Banca d’Italia, IVASS), tra cui:

    • sospensione dell’attività;

    • interdizione di dirigenti e amministratori;

    • revoca di autorizzazioni nei casi gravi.

• Cyber Resilience Act (in fase di adozione)

  • Prevede sanzioni fino a 15 milioni di euro o al 2,5% del fatturato annuo mondiale per mancato rispetto dei requisiti di sicurezza per software e hardware connessi.

    
    

Questa nuova architettura normativa non è solo un cambiamento formale. Richiede che le imprese adottino un modello di gestione strutturato, documentabile e costantemente aggiornato. Ignorare o sottovalutare questi obblighi significa esporsi a rischi legali concreti, oltre che operativi, reputazionali e finanziari.

Un approccio congiunto tra tecnica e diritto

Affrontare questo scenario richiede un approccio integrato, dove le misure tecniche siano pienamente coordinate con gli adempimenti giuridici e con le esigenze strategiche dell’impresa. È proprio su questa complementarità che si fonda la collaborazione tra Cybhorus e Italiano & Partners.

Da un lato, Cybhorus fornisce un presidio tecnico avanzato, fondato su:

• Analisi valutazione e riallineamento del rischio cibernetico;

• Creazione ed adeguamento di politiche e procedure in materia di sicurezza cibernetica;

• Supporto alla scelta delle soluzioni tecnologiche da adottare per la protezione del perimetro aziendale;

• Formazione ‘tailor made’, tecnica e comportamentale del personale e delle figure apicali delle imprese, costruita sulle reali e specifiche esigenze della clientela;

• supporto alla gestione degli incidenti (incident response);

• Fornitura di servizi di VCISO (Virtual CISO), in grado di supportare le figure e le unità esistenti in azienda per quanto concerne la cybersecurity, a costi molto competitivi rispetto alle alternative, e con livelli di qualità assicurati dalla supervisione di Pierluigi Paganini.

  
  

Dall’altro, Italiano & Partners assicura un presidio legale e strategico strutturato, che include:

• redazione e aggiornamento della documentazione interna (policy, regolamenti, informative);

• assistenza per l’adeguamento alle direttive europee;

• audit di compliance e valutazioni d’impatto;

• affiancamento nei rapporti con autorità di controllo;

• supporto alla contrattualistica IT e alla governance aziendale.

  
  

Questo lavoro sinergico consente di affrontare la cybersecurity non come un insieme di “pacchetti tecnici” o di “adempimenti formali”, ma come una leva strutturale di resilienza e competitività.

Dalla vulnerabilità alla strategia

Le aziende che intendono affrontare seriamente il rischio informatico devono ripensare il proprio modello di gestione. Questo significa non solo dotarsi di strumenti tecnologici, ma anche:

• mappare i processi critici e le vulnerabilità interne;

• costruire una catena del valore digitale più sicura, inclusi fornitori e partner;

• allocare risorse, anche attraverso strumenti pubblici (PNRR, Transizione 4.0, Industria 5.0);

• formare il personale e responsabilizzare il management;

• dotarsi di piani operativi e legali in caso di crisi.

  
  

Attraverso questa partnership, Cybhorus e Italiano & Partners propongono un metodo condiviso, orientato al risultato e costruito attorno alla realtà operativa delle imprese italiane.

La collaborazione tra Cybhorus e Italiano & Partners risponde a una necessità concreta: offrire alle imprese un modello di intervento integrato per affrontare le sfide della cybersecurity con serietà, visione e competenze trasversali. In un’epoca in cui il digitale è ovunque, non è più possibile distinguere tra sicurezza informatica e strategia d’impresa, tra conformità normativa e protezione operativa.

La sicurezza, oggi, è una responsabilità condivisa. Ma anche un’opportunità: quella di costruire imprese più solide, consapevoli e capaci di affrontare con fiducia il futuro digitale.