Cybersecurity & Data Protection

Compliance normativa e resilienza operativa digitale nell’era della trasformazione digitale

Il panorama normativo europeo in materia di sicurezza delle informazioni ha subito una trasformazione radicale, imponendo alle aziende un cambio di paradigma: dalla semplice conformità formale alla resilienza operativa effettiva. Con l’entrata in vigore del Regolamento DORA (gennaio 2025) per il settore finanziario e il recepimento della Direttiva NIS2 (ottobre 2024) per i settori critici, la cybersecurity è diventata un pilastro fondamentale della governance aziendale.

In questo scenario, il GDPR continua a rappresentare la base imprescindibile per la protezione dei dati, richiedendo un adeguamento dinamico e continuativo. Parallelamente, la capacità di garantire la continuità del business (Business Continuity) di fronte a incidenti o interruzioni è oggi un requisito normativo stringente per gli enti vigilati e una necessità strategica per ogni impresa.

Lo Studio Legale Giuliano e Di Gravio, attraverso il gruppo di lavoro specializzato LexCy, offre un approccio integrato che unisce competenza legale, tecnica e di risk management per supportare le organizzazioni in questo complesso percorso di adeguamento.

Cybersecurity Compliance

DORA, NIS2 e Resilienza Operativa Digitale

Il Regolamento DORA (UE) 2022/2554, applicabile dal 17 gennaio 2025, impone agli enti finanziari (banche, assicurazioni, imprese di investimento, istituti di pagamento, fondi pensione) e ai loro fornitori ICT critici di gestire in modo olistico il rischio digitale. L’adeguamento richiede l’implementazione dei 5 pilastri fondamentali: Governance e Risk Management ICT, Gestione degli Incidenti, Test di Resilienza Digitale (inclusi TLPT), Gestione del Rischio Terze Parti e Condivisione delle Informazioni.

Parallelamente, la Direttiva NIS2 (UE) 2022/2555, recepita in Italia a ottobre 2024, estende gli obblighi di cybersecurity a 18 settori critici, distinguendo tra soggetti “essenziali” e “importanti”. La normativa introduce sanzioni severe (fino a 10 milioni di euro o il 2% del fatturato globale) e sancisce la responsabilità diretta degli organi di amministrazione per le violazioni in materia di sicurezza.

I nostri servizi includono:

• Gap Analysis e Readiness Assessment: Valutazione dello stato dell’arte rispetto ai requisiti DORA e NIS2.
• Framework di Governance ICT: Definizione di politiche, procedure e assetti organizzativi conformi.
• Third Party Risk Management: Revisione contrattualistica con fornitori ICT e clausole di audit/exit strategy.
• Incident Response Planning: Procedure per la gestione e la notifica normativa degli incidenti gravi.
• Digital Resilience Testing: Supporto legale e organizzativo per l’esecuzione di test di resilienza (TLPT).
• Registrazione ACN: Assistenza nelle procedure di accreditamento per soggetti NIS2 presso l’Agenzia Cybersecurity Nazionale.
• Formazione Management: Sessioni dedicate agli organi amministrativi sulle responsabilità di supervisione.

Privacy e Data Protection

GDPR e Protezione dei dati personali – Compliance continuativa

A distanza di anni dalla sua entrata in vigore, il GDPR (Reg. UE 2016/679) rimane un framework in costante evoluzione, complice l’attività interpretativa delle autorità garanti e l’emergere di nuove tecnologie. La conformità non è uno stato acquisito, ma un processo continuo. La Dott.ssa Daniela Di Gravio, DPO certificato, guida il team privacy dello studio garantendo un approccio pragmatico e risk-based.

Offriamo supporto specializzato nella gestione dei Data Breach, garantendo il rispetto delle stringenti tempistiche di notifica (72 ore), e nell’implementazione della Privacy by Design per progetti innovativi, con particolare expertise nell’applicazione della normativa a tecnologie Blockchain e sistemi di Intelligenza Artificiale.

I nostri servizi includono:

• Privacy Compliance Audit: Verifiche periodiche e stress test del modello privacy.
• Data Breach Management: Gestione legale della crisi, notifiche al Garante e comunicazioni agli interessati.
• DPIA (Data    Protection   Impact Assessment): Valutazioni    d’impatto  per trattamenti ad alto rischio.
• DPO as a service: Assunzione dell’incarico di Data Protection Officer esterno.
• Contrattualistica privacy: Redazione di DPA (Data Processing Agreements) e clausole controller-processor.
• Gestione Diritti interessati: Procedure per l’evasione richieste di accesso, cancellazione, portabilità.
• Difesa e Contenzioso: Assistenza in procedimenti sanzionatori dinanzi al Garante Privacy.

Business Continuity & Risk Management

BIA, PCO e Gap Analysis per la resilienza aziendale

In un contesto digitale interconnesso, la capacità di garantire la continuità operativa è vitale. Per gli enti vigilati (Banca d’Italia, IVASS, CONSOB) e i soggetti DORA/NIS2, dotarsi di solidi Piani di Continuità Operativa non è solo una best practice, ma un obbligo normativo.

Il nostro intervento parte dalla Business Impact Analysis (BIA) per identificare i processi critici, definire RTO (Recovery Time Objective) e RPO (Recovery Point Objective), per poi sviluppare strategie di ripristino efficaci. Integriamo le normative di settore con gli standard internazionali come ISO 22301 (Business Continuity) e ISO 27001 (Information Security).

I nostri servizi includono:

• Business Impact Analysis (BIA): Mappatura processi critici e analisi degli impatti operativi/finanziari.
• Piano di Continuità Operativa (PCO): Redazione e aggiornamento dei piani di gestione della continuità.
• Disaster Recovery Plan (DRP): Definizione procedure per il ripristino dei sistemi ICT.
• Crisis Management: Protocolli di escalation e gestione della comunicazione di crisi.
• Gap Analysis Normativa: Assessment di conformità rispetto a DORA, NIS2 e normative settoriali.
• Maturity Assessment: Valutazione del livello di maturità dei controlli di sicurezza.
• Testing e Simulazioni: Supporto nella pianificazione di test periodici (es. tabletop exercise).
• Compliance Monitoring: Roadmap di adeguamento e monitoraggio nel tempo.

Blockchain E Tokenomics

Lo Studio Giuliano e Di Gravio fornisce, inoltre, supporto alle imprese nella realizzazione di progetti basati sulla tecnologia blockchain, per abilitare nuovi servizi e prodotti e migliorare i processi produttivi.

Lo Studio assiste la propria clientela, dal punto di vista legale e tecnologico, per avviare l’attività di Exchange di criptovalute e di gestore di wallet (portafogli) digitali, curandone ogni aspetto legato al business, alla sicurezza dei dati e alla regolamentazione giuridica.

Il nostro Studio ha maturato una profonda esperienza seguendo progetti di ricerca e sviluppo per la realizzazione di piattaforme blockchain in ambito di pagamenti e cash management, assistendo le imprese anche nella negoziazione di finanziamenti pubblici e nella selezione di partner strategici per la realizzazione dei progetti.