LEGAL SOLUTION | GOVERNANCE, SICUREZZA E COMPLIANCE
NIS2, GDPR, AI Act, Modelli 231 e ISO/IEC 27001: la protezione delle imprese richiede un approccio integrato, capace di coniugare competenze giuridiche, organizzative e tecnologiche.
Quando un allarme diventa un problema per l’intera organizzazione
Può bastare una segnalazione improvvisa per interrompere un servizio, sospendere un’attività, attivare controlli straordinari o mobilitare persone e risorse.
Non sempre, nell’immediatezza, è possibile distinguere una minaccia concreta da un’informazione inattendibile. Eppure, anche quando i fatti sono ancora da accertare, le conseguenze organizzative possono essere immediate.
Occorre decidere rapidamente, verificare le informazioni, coordinare gli interventi, comunicare con i soggetti coinvolti e preservare, per quanto possibile, la continuità dei servizi.
È proprio nelle situazioni di incertezza che emerge la differenza tra un’organizzazione preparata e una costretta a improvvisare.
Non si tratta di scenari lontani dalla realtà delle imprese.
Un accesso informatico non autorizzato, una comunicazione fraudolenta, un’interruzione dei sistemi, una violazione di dati personali o un utilizzo improprio dell’intelligenza artificiale possono incidere sull’operatività aziendale, sui rapporti contrattuali, sulla reputazione e sulle responsabilità degli amministratori.
Sono eventi di natura diversa, che non possono essere automaticamente ricondotti a un’unica causa. Presentano, tuttavia, un elemento comune: richiedono procedure affidabili, responsabilità definite e capacità di risposta.
La sicurezza, dunque, non coincide con la sola protezione tecnologica.
È il risultato di un sistema organizzativo nel quale prevenzione, gestione dei rischi, competenze professionali e conformità normativa operano in maniera coordinata.
La nuova dimensione della sicurezza aziendale
Per molto tempo, cybersecurity, privacy, responsabilità amministrativa degli enti e controllo dei processi aziendali sono stati affrontati come ambiti separati.
Oggi questa impostazione mostra limiti sempre più evidenti.
Un incidente informatico può determinare una violazione di dati personali. Una carenza organizzativa può favorire la commissione di illeciti. L’impiego non controllato di sistemi di intelligenza artificiale può introdurre rischi per i diritti delle persone, la riservatezza delle informazioni e l’affidabilità dei processi decisionali.
Le diverse aree di rischio si intersecano, coinvolgendo funzioni aziendali differenti e, in determinate circostanze, gli stessi organi amministrativi.
Ne deriva una conseguenza importante: la compliance non può essere ridotta alla produzione di documenti destinati a dimostrare l’adempimento di obblighi normativi.
Un sistema realmente funzionale deve essere progettato sulle caratteristiche dell’impresa, tradotto in procedure applicabili, conosciuto dalle persone coinvolte e sottoposto a verifiche periodiche.
Non basta possedere una policy. Occorre sapere se viene rispettata.
Non basta adottare misure di sicurezza. Occorre verificarne l’adeguatezza rispetto ai rischi.
Non basta attribuire responsabilità. Occorre assicurare che siano chiare, coerenti e concretamente esercitabili.
È in questa prospettiva che la compliance assume un ruolo strategico nella governance dell’impresa.
Le cinque aree fondamentali della compliance integrata
1. NIS2: la cybersecurity diventa una responsabilità organizzativa
Con il D.Lgs. 138/2024, attuativo della direttiva europea NIS2, il legislatore ha rafforzato gli obblighi di sicurezza informatica per i soggetti che rientrano nell’ambito di applicazione della normativa.
La disciplina interessa organizzazioni operanti in settori critici e rilevanti, individuate sulla base dei requisiti e dei criteri previsti dalla legge.
Per i soggetti interessati, la cybersecurity non è più soltanto una questione affidata alle strutture informatiche.
Assume una dimensione organizzativa che coinvolge direttamente gli organi amministrativi e direttivi, chiamati ad approvare e supervisionare le misure di gestione dei rischi e ad adempiere agli obblighi previsti dalla normativa, inclusi quelli formativi.
Un percorso di adeguamento NIS2 può comprendere l’individuazione degli obblighi applicabili, l’analisi dei rischi, la verifica delle misure di protezione, la definizione delle procedure di gestione degli incidenti e l’organizzazione dei flussi informativi.
L’obiettivo è integrare la sicurezza informatica nei processi decisionali e di controllo dell’impresa.
2. GDPR e DPO: proteggere i dati significa tutelare l’organizzazione
Il Regolamento (UE) 2016/679 richiede ai titolari e ai responsabili del trattamento di adottare misure tecniche e organizzative adeguate ai rischi connessi al trattamento dei dati personali.
La tutela dei dati coinvolge numerosi processi: gestione del personale, rapporti con clienti e fornitori, comunicazioni elettroniche, utilizzo di piattaforme digitali, sistemi di videosorveglianza e strumenti di intelligenza artificiale.
La conformità richiede quindi un’attività continuativa di analisi, documentazione, aggiornamento e controllo.
In tale contesto assume particolare rilievo il Data Protection Officer (DPO), figura incaricata delle funzioni di consulenza, sorveglianza e raccordo previste dal GDPR, nel rispetto dei requisiti di indipendenza e assenza di conflitti di interessi.
La designazione del DPO è obbligatoria nei casi previsti dall’articolo 37 del Regolamento e può essere effettuata volontariamente negli altri casi.
La gestione della privacy deve inoltre essere coordinata con le misure di cybersecurity, con le procedure di gestione degli incidenti e con gli altri presidi di controllo aziendale.
3. AI Act e CAIO: l’intelligenza artificiale richiede regole e responsabilità
L’intelligenza artificiale è progressivamente integrata nei processi produttivi, amministrativi, commerciali e decisionali delle imprese.
La sua diffusione rende necessario affrontare questioni che vanno oltre l’efficienza tecnologica: protezione dei dati, affidabilità dei risultati, supervisione umana, trasparenza, sicurezza e responsabilità.
Il Regolamento (UE) 2024/1689, noto come AI Act, come modificato dal Regolamento (UE) 2026/1744, introduce un quadro di obblighi differenziati in relazione alle caratteristiche dei sistemi e al ruolo assunto dagli operatori, con termini di applicazione progressivi.
Per le imprese diventa opportuno conoscere quali strumenti di intelligenza artificiale vengono utilizzati, per quali finalità e con quali modalità di controllo.
Un percorso di AI compliance può comprendere la mappatura dei sistemi, la valutazione dei rischi, la predisposizione di policy aziendali, la verifica dei rapporti contrattuali con i fornitori, la formazione del personale e la definizione di meccanismi di supervisione.
In questo contesto può assumere rilievo la figura del Chief Artificial Intelligence Officer (CAIO), quale funzione di coordinamento della governance dell’intelligenza artificiale.
Il CAIO non costituisce una figura generalmente obbligatoria ai sensi dell’AI Act, ma può rappresentare una scelta organizzativa utile nelle imprese che adottano sistemi di intelligenza artificiale in maniera significativa.
4. D.Lgs. 231/2001: prevenire gli illeciti attraverso l’organizzazione
La responsabilità amministrativa degli enti, disciplinata dal D.Lgs. 231/2001, impone di considerare anche i rischi connessi alla commissione dei reati presupposto previsti dal decreto.
I Modelli di organizzazione, gestione e controllo rappresentano strumenti di prevenzione che devono essere costruiti sulla concreta realtà aziendale.
La loro efficacia dipende non soltanto dalla corretta predisposizione, ma anche dall’effettiva attuazione, dalla formazione, dall’aggiornamento e dal funzionamento dei relativi presidi di controllo.
Tra le aree di attenzione rientrano i delitti informatici contemplati dall’articolo 24-bis del decreto.
Per questo motivo, la valutazione dei rischi informatici può assumere rilievo anche nell’elaborazione e nell’aggiornamento dei Modelli 231.
Le attività dell’Organismo di Vigilanza, il sistema dei controlli interni e le procedure aziendali devono essere considerati nell’ambito di un disegno organizzativo coerente, nel rispetto delle rispettive funzioni.
5. ISO/IEC 27001: un metodo strutturato per la sicurezza delle informazioni
La norma internazionale ISO/IEC 27001:2022, e successive modifiche, definisce i requisiti di un sistema di gestione della sicurezza delle informazioni.
La sua applicazione consente di organizzare processi, responsabilità, controlli e attività di miglioramento continuo attraverso un approccio basato sul rischio.
Un’impresa può essere affiancata nella progettazione e nell’implementazione del sistema, nella predisposizione della documentazione necessaria, nelle verifiche interne e nella preparazione a un eventuale percorso di certificazione.
La certificazione, ove richiesta, viene rilasciata da un organismo terzo, secondo le procedure e i requisiti applicabili.
Anche in questo caso, il valore del percorso non risiede esclusivamente nel conseguimento di un attestato, ma nella capacità dell’organizzazione di adottare e mantenere nel tempo presidi di sicurezza coerenti con la propria attività.
IL MODELLO DI ASSISTENZA INTEGRATA
Legal Solution: un approccio integrato alla compliance aziendale
Coordinamento giuridico e organizzativo
Supporto tecnologico per la cybersecurity
La complessità degli obblighi normativi e dei rischi operativi richiede competenze diverse, capaci di operare in modo coordinato.
Il diritto individua obblighi, responsabilità e strumenti di tutela.
La tecnologia consente di analizzare vulnerabilità, proteggere sistemi e informazioni e rafforzare le capacità di rilevazione e risposta agli incidenti.
L’organizzazione traduce queste attività in processi, controlli e comportamenti concretamente applicabili.
La rete professionale Legal Solution si propone di accompagnare le imprese in questo percorso, ponendo al centro il coordinamento giuridico e organizzativo delle attività di compliance.
L’approccio valorizza le competenze dei professionisti della rete in materia di diritto d’impresa, protezione dei dati personali, responsabilità amministrativa degli enti e governance dei rischi.
A tali competenze si affianca il contributo di Covenant, società operante nel settore delle soluzioni tecnologiche, della cybersecurity e della protezione dei dati, con attività che comprendono l’analisi delle vulnerabilità, la protezione delle reti e il monitoraggio delle minacce.
La collaborazione con Covenant permette di integrare il supporto giuridico con le competenze tecniche necessarie per affrontare gli aspetti informatici della sicurezza aziendale.
Il coinvolgimento di ulteriori professionisti esterni, individuati in funzione delle specifiche esigenze, consente inoltre di strutturare interventi multidisciplinari per la compliance NIS2, la protezione dei dati, la governance dell’intelligenza artificiale, i Modelli 231 e i sistemi di gestione della sicurezza delle informazioni.
Legal Solution costituisce il punto di raccordo tra le esigenze dell’impresa e le diverse competenze coinvolte, mantenendo centrale la dimensione giuridica, organizzativa e preventiva della compliance.
L’impostazione è quella di un’assistenza coordinata e proporzionata: partire dai rischi effettivi e dagli obblighi applicabili, individuare gli interventi necessari e contribuire alla costruzione di un sistema di controllo coerente con le caratteristiche dell’organizzazione.
Dalla valutazione dei rischi a un percorso concreto di adeguamento
Ogni impresa presenta caratteristiche differenti.
Settore di attività, dimensioni, organizzazione interna, infrastrutture tecnologiche e tipologia dei dati trattati incidono sulla natura dei rischi e sull’individuazione degli obblighi applicabili.
Per questa ragione, un percorso di compliance dovrebbe svilupparsi attraverso fasi progressive.
- Analisi preliminare dell’organizzazione. Ricostruzione delle attività aziendali, dei principali processi, degli strumenti tecnologici utilizzati e del quadro normativo applicabile.
- Valutazione dei rischi e delle criticità. Individuazione delle vulnerabilità giuridiche, organizzative e tecnologiche, con il coinvolgimento delle competenze specialistiche necessarie.
- Definizione del piano di adeguamento. Individuazione delle priorità d’intervento, delle responsabilità e delle misure da adottare, secondo criteri di proporzionalità e sostenibilità organizzativa.
- Implementazione delle misure. Predisposizione e aggiornamento di procedure, policy, sistemi di controllo, presidi tecnici e programmi formativi.
- Monitoraggio e aggiornamento. Verifica periodica dell’efficacia delle misure adottate e loro revisione in relazione all’evoluzione dei rischi, dell’organizzazione e della normativa.
La finalità non è moltiplicare gli adempimenti, ma favorire la costruzione di un sistema nel quale le diverse attività di compliance siano coordinate e non inutilmente duplicate.
Il valore della prevenzione: proteggere oggi la continuità dell’impresa
Quando si verifica un evento critico, il tempo a disposizione per assumere decisioni può ridursi drasticamente.
La necessità di verificare una minaccia, individuare le persone responsabili, attivare procedure di emergenza o comunicare tempestivamente con autorità e interlocutori esterni può coinvolgere l’intera struttura aziendale.
È in quei momenti che la qualità dell’organizzazione assume un valore concreto.
Un’impresa che conosce i propri rischi, dispone di procedure aggiornate, ha definito ruoli e responsabilità e verifica periodicamente i propri presidi dispone di strumenti più adeguati per affrontare situazioni impreviste.
Naturalmente, nessun sistema può garantire l’eliminazione assoluta dei rischi.
La prevenzione consente, tuttavia, di ridurre le vulnerabilità, migliorare la capacità di risposta e favorire decisioni tempestive e consapevoli.
In questo senso, la compliance non costituisce soltanto un insieme di obblighi da rispettare, ma uno strumento di tutela della continuità operativa, dell’affidabilità e del patrimonio aziendale.
La sicurezza non è una promessa. È una responsabilità da governare.
La crescente interdipendenza tra sistemi digitali, processi aziendali e obblighi normativi rende sempre meno efficace una gestione frammentata della sicurezza.
Cybersecurity, protezione dei dati, governance dell’intelligenza artificiale e compliance organizzativa devono essere affrontate secondo una visione coerente, nella quale ogni intervento contribuisca alla gestione complessiva dei rischi.
È su questa impostazione che Legal Solution, con il contributo tecnologico di Covenant e il coinvolgimento di professionisti esterni specializzati, propone alle imprese un percorso integrato di assistenza giuridica e organizzativa.
Perché la sicurezza aziendale non si misura soltanto dalla capacità di reagire quando emerge una criticità.
Si riconosce, soprattutto, dal lavoro svolto prima che quella criticità si manifesti.
LEGAL SOLUTION
NETWORK DI AVVOCATI
Assistenza giuridica e organizzativa per la compliance e la gestione dei rischi aziendali.
