Le sigle del rischio digitale, in chiaro.

Il regolamento europeo sull'intelligenza artificiale. Classifica i sistemi di AI per livello di rischio e chiede a chi li usa di formare il personale.

Per la tua azienda: Se in azienda si usano strumenti di AI, servono regole d'uso e persone formate a usarli con giudizio.

Testo ufficiale su EUR-Lex ↗ (si apre in una nuova finestra)

Legge statunitense che permette alle autorità USA di chiedere dati ai fornitori americani, anche se conservati in Europa.

Per la tua azienda: Dove stanno i tuoi dati non basta: conta anche di quale Paese è il fornitore. Vedi sovranità digitale.

La sovranità digitale spiegata →

Il regolamento europeo sulla sicurezza dei prodotti con componenti digitali. Da non confondere con il Cyber Risk Assessment.

Per la tua azienda: Riguarda chi produce o vende software e dispositivi connessi; per gli altri cambia ciò che si può pretendere dai fornitori.

Testo ufficiale su EUR-Lex ↗ (si apre in una nuova finestra)

Il decreto che applica la NIS2 in Italia.

Per la tua azienda: È il testo che stabilisce chi rientra nella NIS2 in Italia e cosa deve fare.

Testo su Normattiva ↗ (si apre in una nuova finestra)

Il regolamento europeo sull'accesso e la condivisione dei dati, anche quelli generati da prodotti connessi.

Per la tua azienda: Rende più facile cambiare fornitore cloud e riavere i propri dati.

Testo ufficiale su EUR-Lex ↗ (si apre in una nuova finestra)

Pacchetto europeo del 2026 che semplifica alcune regole digitali, tra cui parti dell'AI Act.

Per la tua azienda: Alcuni obblighi cambiano forma, ma non spariscono: resta da dimostrare cosa si è fatto.

Il regolamento europeo sulla resilienza digitale del settore finanziario.

Per la tua azienda: Se lavori per banche o assicurazioni come fornitore informatico, ti chiederanno garanzie e clausole precise.

Testo ufficiale su EUR-Lex ↗ (si apre in una nuova finestra)

Il regolamento generale europeo sulla protezione dei dati personali.

Per la tua azienda: Chiede misure di sicurezza adeguate al rischio e la notifica delle violazioni al Garante entro 72 ore.

Testo ufficiale su EUR-Lex ↗ (si apre in una nuova finestra)

La direttiva europea sulla sicurezza delle reti e dei sistemi informativi, applicata in Italia dal D.Lgs. 138/2024.

Per la tua azienda: Se rientri, gli amministratori rispondono delle misure di sicurezza e devono formarsi. Se sei fornitore di chi rientra, ti chiederanno prove.

Testo ufficiale su EUR-Lex ↗ (si apre in una nuova finestra)

L'autorità italiana per la cybersicurezza e per la NIS2.

Per la tua azienda: Se rientri nella NIS2, è l'ente con cui ti registri e a cui rispondi.

acn.gov.it ↗ (si apre in una nuova finestra)

L'autorità italiana che vigila su concorrenza, pratiche commerciali scorrette e pubblicità ingannevole, compreso il greenwashing.

Per la tua azienda: È l'autorità che può sanzionare asserzioni ambientali non dimostrate.

agcm.it ↗ (si apre in una nuova finestra)

Associazione italiana che pubblica ogni anno un rapporto sugli attacchi informatici.

Per la tua azienda: Una fonte di numeri affidabili sul rischio in Italia.

clusit.it ↗ (si apre in una nuova finestra)

Il gruppo dell'ACN che riceve le notifiche degli incidenti e diffonde gli allarmi.

Per la tua azienda: È a loro che si notifica un incidente grave, se sei soggetto NIS2.

csirt.gov.it ↗ (si apre in una nuova finestra)

Il comitato che riunisce i Garanti per la privacy dei Paesi dell'Unione.

Per la tua azienda: Le sue linee guida dicono come si interpreta il GDPR in tutta Europa.

edpb.europa.eu ↗ (si apre in una nuova finestra)

L'agenzia dell'Unione europea per la cybersicurezza.

Per la tua azienda: Pubblica guide pratiche, anche per le piccole imprese.

enisa.europa.eu ↗ (si apre in una nuova finestra)

L'autorità italiana per la protezione dei dati personali.

Per la tua azienda: A lui si notifica una violazione di dati personali; è lui che sanziona.

garanteprivacy.it ↗ (si apre in una nuova finestra)

Associazione internazionale dei professionisti di governo e rischio informatico.

Per la tua azienda: Un riferimento di metodo per chi valuta il rischio.

isaca.org ↗ (si apre in una nuova finestra)

L'autorità che vigila su compagnie e intermediari assicurativi in Italia.

Per la tua azienda: È la garanzia di trasparenza quando ti propongono una polizza.

ivass.it ↗ (si apre in una nuova finestra)

L'istituto statunitense per gli standard e la tecnologia, autore del Cybersecurity Framework.

Per la tua azienda: Il suo framework è la base del metodo usato nel Cyber Risk Assessment.

nist.gov ↗ (si apre in una nuova finestra)

L'analisi di quanto costa all'azienda il fermo di ciascun processo.

Per la tua azienda: Dice quali sistemi proteggere per primi e quanto fermo potete sopportare.

Una fotografia di esposizione, difese e impatti in euro, costruita con un'intervista strutturata.

Per la tua azienda: Il punto di partenza per decidere cosa ridurre, cosa trasferire con una polizza e cosa accettare.

Il Cyber Risk Assessment →

La valutazione prevista dal GDPR (art. 35) per i trattamenti di dati ad alto rischio.

Per la tua azienda: Obbligatoria in alcuni casi, ad esempio per dati sanitari su larga scala o monitoraggio sistematico.

GDPR su EUR-Lex ↗ (si apre in una nuova finestra)

La figura prevista dal GDPR che vigila sul rispetto delle regole sui dati personali.

Per la tua azienda: Obbligatorio solo in certi casi; quando c'è, va coinvolto nelle scelte sulla sicurezza dei dati.

GDPR su EUR-Lex ↗ (si apre in una nuova finestra)

La versione italiana del NIST CSF, che integra sicurezza informatica e protezione dei dati.

Per la tua azienda: Un riferimento italiano riconosciuto, utile anche per orientarsi negli obblighi NIS2.

cybersecurityframework.it ↗ (si apre in una nuova finestra)

Il modello economico secondo cui la spesa in sicurezza non dovrebbe superare il 37% della perdita attesa.

Per la tua azienda: Evita di spendere troppo in difese: oltre una certa soglia conviene assicurarsi.

Approfondimento sul blog →

Lo standard internazionale, certificabile, per gestire la sicurezza delle informazioni in modo organizzato.

Per la tua azienda: Se un cliente la chiede, è una certificazione dell'intera organizzazione, non di un prodotto.

iso.org ↗ (si apre in una nuova finestra)

Lo standard internazionale su come analizzare e trattare il rischio informatico.

Per la tua azienda: Il metodo di riferimento per una valutazione del rischio fatta bene.

iso.org ↗ (si apre in una nuova finestra)

Il framework che organizza la sicurezza in sei funzioni: Governare, Identificare, Proteggere, Rilevare, Rispondere, Ripristinare.

Per la tua azienda: Sono le sei barre del punteggio nel Cyber Risk Assessment.

nist.gov ↗ (si apre in una nuova finestra)

Quanti dati potete permettervi di perdere, misurato in ore.

Per la tua azienda: Decide ogni quanto fare il backup.

In quanto tempo dovete ripartire dopo un incidente.

Per la tua azienda: Decide che tipo di backup e di piano di ripristino servono.

Sapere dove stanno i dati dell'azienda, chi li gestisce e sotto quale legge.

Per la tua azienda: Riduce la dipendenza da fornitori soggetti a leggi extra-UE come il Cloud Act.

La sovranità digitale spiegata →

Tre copie dei dati, su due supporti diversi, una delle quali fuori sede o scollegata.

Per la tua azienda: La regola minima perché un ransomware non cancelli anche le copie.

Frode via email in cui qualcuno si finge fornitore o titolare per farsi pagare.

Per la tua azienda: La causa tipica dei bonifici finiti sul conto sbagliato.

Tre impostazioni del dominio email che impediscono a terzi di spedire posta a nome tuo.

Per la tua azienda: Proteggono clienti e fornitori da email false con il tuo nome.

Protezione dei computer che riconosce i comportamenti sospetti, non solo i virus noti.

Per la tua azienda: Molte compagnie la considerano decisiva per assicurare il rischio ransomware.

Sistema o software non più aggiornato dal produttore.

Per la tua azienda: Ogni difetto scoperto dopo quella data resta aperto per sempre.

Un servizio esterno che sorveglia gli avvisi di sicurezza al posto tuo.

Per la tua azienda: Utile quando in azienda nessuno ha il tempo di guardare gli allarmi.

Oltre alla password serve un secondo elemento, come un codice sul telefono.

Per la tua azienda: La difesa più economica contro il furto di password; quasi sempre chiesta dalle polizze.

Aggiornamento che corregge un difetto di sicurezza.

Per la tua azienda: Rimandarla lascia aperta una porta già nota agli attaccanti.

Messaggio ingannevole che spinge a cliccare un link, aprire un allegato o dare credenziali.

Per la tua azienda: Il modo più comune in cui inizia un attacco: la formazione è la prima difesa.

La formazione delle persone →

Programma che cifra i dati e chiede un riscatto, spesso minacciando di pubblicarli.

Per la tua azienda: Fermo dell'attività, costi di ripristino e possibili obblighi di notifica.

L'accesso remoto a un computer Windows.

Per la tua azienda: Se raggiungibile da internet senza protezioni, è una delle porte d'ingresso più sfruttate.

Sistema che raccoglie e analizza i registri di computer e server per riconoscere attacchi in corso.

Per la tua azienda: Tipico delle aziende più strutturate o dei servizi esterni di sorveglianza.

Il gruppo, interno o esterno, che sorveglia la sicurezza in modo continuo.

Per la tua azienda: Rende possibile accorgersi di un attacco in ore invece che in settimane.

Un canale cifrato per collegarsi da fuori ai sistemi aziendali.

Per la tua azienda: Con la MFA è il modo corretto di lavorare da remoto.

Garanzia che rimborsa il mancato guadagno durante il fermo causato da un attacco.

Per la tua azienda: Spesso è la voce di danno più alta per una PMI: va dimensionata sui giorni di fermo reali.

Regola per cui la polizza copre le richieste di risarcimento arrivate durante la sua validità.

Per la tua azienda: Conta quando arriva la richiesta, non quando è avvenuto il fatto: attenzione a retroattività e cambi di polizza.

Polizza sulla responsabilità personale degli amministratori.

Per la tua azienda: Con la NIS2 gli amministratori rispondono delle misure di sicurezza: è la copertura che li protegge.

La protezione assicurativa →

La parte di danno che resta a carico del contraente (azienda o privato).

Per la tua azienda: Più alta è, più basso il premio: va scelta in base a quanto il contraente può assorbire senza difficoltà.

La protezione assicurativa →

L'importo massimo che la compagnia paga per sinistro o per anno.

Per la tua azienda: Va confrontato con lo scenario peggiore stimato nel Cyber Risk Assessment, non scelto a occhio.

La protezione assicurativa →

Probabilità annua di un evento × il suo impatto in euro, sommata su tutti gli scenari.

Per la tua azienda: Il numero che dice quanto vale ridurre il rischio e quanto ha senso spendere.

Garanzia per i danni causati ad altri, per esempio clienti i cui dati vengono esposti.

Per la tua azienda: Copre le richieste di risarcimento di terzi dopo un incidente.

Il rischio che resta dopo aver applicato le difese.

Per la tua azienda: È quello da accettare consapevolmente o da trasferire con una polizza.

L'insieme dei documenti obbligatori di un prodotto assicurativo: condizioni, esclusioni, limiti.

Per la tua azienda: L'unico documento che dice davvero cosa copre una polizza: va letto prima di firmare.

ivass.it ↗ (si apre in una nuova finestra)

Garanzia che paga avvocati e periti in caso di controversie.

Per la tua azienda: Utile dopo un incidente, quando arrivano contestazioni da clienti, fornitori o autorità.

Qualsiasi messaggio che attribuisce a un prodotto, a un marchio o a un'azienda un effetto positivo, o meno negativo, sull'ambiente: in un testo, un'etichetta, un'immagine, un logo.

Per la tua azienda: Deve essere specifica e dimostrabile. Parole generiche come "green", "eco" o "sostenibile" senza prove non sono più ammesse nei messaggi ai consumatori.

La legge italiana che protegge i consumatori, comprese le regole sulle pratiche commerciali scorrette.

Per la tua azienda: Dal 2026 contiene anche i divieti contro il greenwashing introdotti dal D.Lgs. 30/2026.

Testo su Normattiva ↗ (si apre in una nuova finestra)

La direttiva europea sulla rendicontazione di sostenibilità delle imprese, ridimensionata nel 2026 dal pacchetto Omnibus I.

Per la tua azienda: L'obbligo resta alle imprese molto grandi; una PMI ne sente gli effetti soprattutto come fornitore, quando i clienti chiedono dati.

Testo ufficiale su EUR-Lex ↗ (si apre in una nuova finestra)

Il decreto che porta in Italia le regole contro il greenwashing, modificando il Codice del Consumo. Pubblicato in Gazzetta Ufficiale il 9 marzo 2026, si applica dal 27 settembre 2026.

Per la tua azienda: Le sanzioni dell'AGCM vanno da 5.000 euro a 10 milioni di euro: prima di scrivere "sostenibile" in una comunicazione, servono le prove.

Approfondimento di Rödl & Partner ↗ (si apre in una nuova finestra)

La direttiva europea che vieta le asserzioni ambientali generiche o non dimostrate, i marchi di sostenibilità non certificati e la neutralità climatica basata solo sulla compensazione. In Italia è applicata dal D.Lgs. 30/2026.

Per la tua azienda: Riguarda i messaggi rivolti ai consumatori. Nei rapporti tra imprese valgono comunque le regole sulla pubblicità ingannevole.

Testo ufficiale su EUR-Lex ↗ (si apre in una nuova finestra)

Il regolamento europeo che fissa requisiti di durata, riparabilità ed efficienza per molte categorie di prodotti.

Per la tua azienda: Nel tempo cambierà cosa si può chiedere ai fornitori di dispositivi: più riparabili, più durevoli, con informazioni verificabili.

Testo ufficiale su EUR-Lex ↗ (si apre in una nuova finestra)

Le tre dimensioni con cui si valuta la sostenibilità di un'impresa: ambiente, aspetti sociali, governo dell'impresa.

Per la tua azienda: Nei questionari ESG di banche e clienti la sicurezza informatica sta spesso nella parte "governance": il Cyber Risk Assessment aiuta anche lì.

Una proposta europea del 2023 che chiederebbe di verificare le asserzioni ambientali prima di usarle. Non è mai stata approvata e i negoziati sono fermi.

Per la tua azienda: Oggi non si applica. Le regole in vigore sono quelle della Direttiva (UE) 2024/825.

Presentare un prodotto, un servizio o un'azienda come più rispettosi dell'ambiente di quanto siano davvero.

Per la tua azienda: Oltre al danno di reputazione, è una pratica commerciale scorretta che l'AGCM può sanzionare.

Un logo o un'etichetta che attesta caratteristiche ambientali o sociali di un prodotto o di un'azienda.

Per la tua azienda: Dal 27 settembre 2026 è ammesso nei messaggi ai consumatori solo se si basa su un sistema di certificazione riconosciuto o è stabilito da un'autorità pubblica.

Dichiarare un prodotto o un'azienda "a impatto zero" bilanciando le proprie emissioni con crediti acquistati altrove.

Per la tua azienda: Se la neutralità si basa solo sulla compensazione, non si può più dichiararla ai consumatori: conta ridurre le proprie emissioni.

Il pacchetto europeo che ha semplificato la CSRD: l'obbligo di rendicontazione vale solo per le imprese sopra i 1.000 dipendenti e i 450 milioni di euro di fatturato.

Per la tua azienda: Le aziende fino a 1.000 dipendenti nella filiera sono "protette": un grande cliente non può chiedere loro più informazioni di quelle previste dal VSME.

Approfondimento di Diritto Bancario ↗ (si apre in una nuova finestra)

Computer, telefoni, server e stampanti a fine vita, da smaltire con regole precise (D.Lgs. 49/2014).

Per la tua azienda: Allungare la vita dei dispositivi riduce rifiuti e costi; cancellare i dati prima dello smaltimento evita un rischio cyber.

Testo su Normattiva ↗ (si apre in una nuova finestra)

Scope 1: emissioni dirette dell'azienda. Scope 2: emissioni dell'energia acquistata. Scope 3: tutte le altre lungo la filiera, compresi i servizi digitali acquistati.

Per la tua azienda: Cloud, dispositivi e servizi digitali finiscono quasi sempre nello Scope 3: misurarli è il primo passo per ridurli.

GHG Protocol ↗ (si apre in una nuova finestra)

Ridurre l'energia e le risorse che il digitale di un'azienda consuma: siti, servizi cloud, dispositivi, dati conservati senza motivo.

Per la tua azienda: Parte dallo stesso inventario che serve per il rischio cyber: un sistema conosciuto si protegge meglio e consuma meno.

La sostenibilità digitale →

Lo standard volontario di rendicontazione di sostenibilità pensato per le piccole e medie imprese non quotate.

Per la tua azienda: È il riferimento per rispondere in modo ordinato ai questionari di banche e clienti, senza costruire un bilancio di sostenibilità completo.

Il risultato del primo Cyber Risk Assessment, conservato come punto di partenza.

Per la tua azienda: Ogni misura successiva si confronta con questa: così vedi davvero cosa è migliorato, e di quanto.

I livelli del monitoraggio →

Ripetere l'intera intervista del Cyber Risk Assessment, di norma una volta l'anno.

Per la tua azienda: Coglie i cambiamenti grandi: nuovi sistemi, nuovi fornitori, nuove attività, nuove norme.

I livelli del monitoraggio →

Un controllo breve tra una revisione e l'altra, solo sulle domande che possono essere cambiate e sulle azioni in corso, con l'evidenza di cosa è stato fatto.

Per la tua azienda: Tiene aggiornata la fotografia senza rifare tutto da capo.

I livelli del monitoraggio →

Un documento sintetico con i sei punteggi aggiornati, i punti critici chiusi e la perdita attesa stimata, confrontati con la fotografia iniziale.

Per la tua azienda: Mostra a te, e se serve a soci, banca o compagnia assicurativa, che il rischio sta scendendo.

I livelli del monitoraggio →

L'elenco delle azioni che escono dal Cyber Risk Assessment, in ordine di priorità, con chi se ne occupa ed entro quando.

Per la tua azienda: È ciò che trasforma la misura in miglioramento: l'avanzamento si controlla a ogni verifica.

I livelli del monitoraggio →

Il report mensile su norme digitali, sicurezza informatica e intelligenza artificiale, con le azioni consigliate e gli avvisi urgenti.

Per la tua azienda: Ti avvisa quando cambia qualcosa che ti riguarda, senza dover leggere tutto da solo.

Il Radar Digitale →

La persona dell'azienda che segue la sicurezza informatica nel quotidiano, anche senza essere un tecnico.

Per la tua azienda: L'affiancamento la aiuta a decidere le priorità e a parlare con fornitori IT e compagnia assicurativa.

I livelli del monitoraggio →

Un canale diretto per avere orientamento nelle prime ore di un incidente: chi chiamare, cosa conservare, come attivare la polizza.

Per la tua azienda: Non sostituisce l'intervento tecnico, ma aiuta a evitare gli errori dei primi momenti, che spesso costano di più.

I livelli del monitoraggio →

Prima del rinnovo si confronta la copertura con la fotografia aggiornata: massimale, franchigia e garanzie.

Per la tua azienda: Se le difese sono migliorate o l'azienda è cambiata, se ne tiene conto nella proposta di rinnovo.

La protezione assicurativa →