Big data, Internet of Things, intelligenza artificiale, machine learning: sono solo alcuni dei concetti che testimoniano come il mondo fisico sia ormai interconnesso con la realtà digitale. Per cogliere le opportunità offerte da tale evoluzione e fronteggiare le sfide che ne derivano, la Commissione Europea ha delineato un piano ambizioso volto a consolidare, entro il 2030, il ruolo dell'Unione Europea come leader digitale. Gli obiettivi sono stati elencati nella cosiddetta Digital Decade Strategy e concretizzati tramite l’adozione di una serie di strumenti normativi che riguardano principalmente cinque aree tematiche: dati, servizi digitali, intelligenza artificiale, cybersecurity e protezione dei dati personali. I paragrafi seguenti si concentreranno su due di queste: cybersecurity e protezione dei dati personali, ponendo particolare attenzione al rapporto tra GDPR e Direttiva NIS2 e analizzando come le due normative, pur avendo ambiti differenti, si intersechino in modo significativo, soprattutto in relazione agli obblighi di notifica degli incidenti informatici e delle violazioni dei dati personali.
Gli Obblighi di Notifica degli Incidenti Informatici e dei Data Breach
Il GDPR (Regolamento 2016/679), adottato nel 2016 e pienamente applicabile dal 2018, ha come obiettivo primario di bilanciare la libera circolazione dei dati personali all’interno dell’Unione Europea con la tutela dei diritti fondamentali degli interessati. Tale equilibrio è garantito da un impianto normativo che si fonda sull’art. 5 (principi generali) e sull’art. 6 (basi giuridiche), ma che si estende ben oltre tali disposizioni.
Tra gli obblighi previsti per il titolare del trattamento figura, infatti, quello di notifica di eventuali data breach: ai sensi dell’art. 33 GDPR, il titolare del trattamento è tenuto, senza ingiustificato ritardo e comunque entro 72 ore, a comunicare eventuali violazioni dei dati personali al Garante per la Protezione dei Dati Personali.
L’art. 4, para. 12 del GDPR definisce “violazione” qualsiasi incidente che comporti la cancellazione, la modifica, la perdita, la diffusione o la consultazione non autorizzata di dati personali e, più generalmente, la compromissione della loro riservatezza, integrità o disponibilità. Tuttavia, è bene sottolineare come tale obbligo di notifica sia circoscritto a quei casi in cui si possono avere effetti avversi significativi sugli individui, causando danni fisici, materiali o immateriali.
Un approccio parzialmente analogo, ma più orientato alla sicurezza informatica, è previsto dalla Direttiva (UE) 2022/2555, nota come NIS2.
Entrata in vigore a gennaio 2023 e recepita in Italia con il Decreto Legislativo 138/2024, introduce una serie di obblighi per i soggetti che operano in settori critici o altamente critici all’interno dell’Unione Europea. L’art. 24 del D.lgs. 138/2024 impone, ad esempio, di implementare misure di gestione dei rischi per la sicurezza informatica, segnalando un chiaro orientamento del legislatore verso un approccio “risk-based”. Tuttavia, è l’art. 25 a disciplinare nello specifico la notifica degli incidenti informatici, prevedendo, rispetto al GDPR, delle tempistiche più stringenti. In particolare, è richiesta una prenotifica all’ente preposto (CSIRT Italia) entro 24 ore dall’incidente “significativo”, seguita da una comunicazione dettagliata entro 72 ore e infine, da un report conclusivo entro un mese dall’evento.
Per chiarire come si debba interpretare la nozione di “incidente significativo” e per definire al meglio i ruoli coinvolti, è intervenuta l’Agenzia per la Cybersicurezza Nazionale (ACN). A tal fine, gli Allegati 3 e 4 della Determinazione n.164179/2025 hanno individuato le tipologie di eventi rilevanti, distinguendo tra soggetti importanti ed essenziali, mentre la più recente Determinazione n. 333017/2025 ha precisato a chi sarà affidata la responsabilità di comunicare con lo CSIRT Italia, introducendo formalmente la figura del Referente CSIRT.
Alla luce di tali disposizioni, il referente CSIRT dei soggetti importanti dovrà, quindi, segnalare tutti gli eventi che hanno comportato la perdita di riservatezza o di integrità dei dati, nonché la violazione dei livelli di servizio attesi dei propri servizi o attività. Per i soggetti essenziali, invece, l’obbligo di notifica si estenderà, oltre a tali ipotesi, anche ai casi di abuso dei privilegi concessi o di accesso non autorizzato ai dati dell’organizzazione.
I Punti di Contatto tra GDPR e NIS2
Come già evidenziato, il GDPR e la Direttiva NIS2 perseguono obiettivi distinti: il primo tutela la protezione dei dati personali, mentre il secondo mira a garantire la sicurezza delle reti e dei sistemi informativi. Tuttavia, nella pratica i rispettivi ambiti di applicazione tendono spesso a sovrapporsi, in particolare in caso di incidenti informatici. Sebbene i data breach non siano esclusivamente causati da cyberattacchi e, al contempo, tali attacchi non riguardino unicamente i dati relativi a persone fisiche identificate o identificabili, è comunque frequente che un incidente di cybersicurezza comporti anche una violazione di dati personali.
Questa interconnessione trova conferma nell’art. 14 del D.lgs. 138/2024, il quale stabilisce la cooperazione tra l'Autorità Garante per la protezione dei dati personali e l'Agenzia per la Cybersicurezza Nazionale. In particolare, il comma 2, lettera b, prevede la comunicazione da parte di ACN, senza indebito ritardo, di ogni “violazione degli obblighi di notifica da parte di un soggetto NIS2 che possa comportare una violazione dei dati personali”, favorendo la creazione di un solido canale di comunicazione tra le due autorità nazionali.
Tale meccanismo di cooperazione orizzontale si affianca alle iniziative di cooperazione verticale già adottate da ciascuna normativa (Capo VII del GDPR e art.11 del D.lgs. 138/2024) ed evidenzia la necessità di adottare un approccio onnicomprensivo alla compliance aziendale. Eventuali inadempienze privacy potrebbero, infatti, essere oggetto di segnalazione da parte di un’altra autorità - l’ACN - durante l’esercizio delle sue funzioni.
In altre parole, diventa più che mai essenziale assicurare che la verifica della conformità al GDPR diventi parte integrante anche dei processi di gestione della sicurezza informatica.
È evidente come la gestione della sicurezza informatica e la tutela dei dati personali non possano sempre viaggiare su binari separati. Sul piano operativo, ciò implica, ad esempio, che le procedure di gestione dei data breach dovrebbero essere riviste e armonizzate con i piani di incident response previsti dalla NIS2, così da assicurare una risposta coordinata e tempestiva in caso di incidenti informatici che comportano una violazione dei dati personali e prevenire eventuali segnalazioni all’Autorità Garante da parte di ACN.