Dipende dal settore e dalle dimensioni. La NIS2 individua entità "essenziali" e "importanti" in base a settore di attività, fatturato e numero di dipendenti, ma include anche soggetti più piccoli se considerati critici per la filiera. Il primo passo è un assessment di applicabilità: in poche sessioni stabiliamo con certezza se rientri nel perimetro e quali obblighi ti riguardano.

Per un'organizzazione di medie dimensioni il percorso tipico va dai 6 ai 12 mesi, in funzione della maturità di partenza e dell'ampiezza del perimetro. Lavoriamo per fasi: gap analysis, progettazione del sistema di gestione, implementazione, audit interno e infine audit di certificazione (Stage 1 e Stage 2) con l'organismo accreditato.

Sono complementari ma distinte. La NIS2 è la cornice generale di cybersecurity per un'ampia gamma di settori critici. DORA è una normativa settoriale dedicata alla resilienza operativa digitale del comparto finanziario, con requisiti più specifici su gestione del rischio ICT, test di resilienza e fornitori terzi. Per chi opera nel finance, DORA prevale come lex specialis su molti aspetti.

Sì. Il GDPR consente espressamente di nominare un DPO esterno, con gli stessi compiti e le stesse garanzie di indipendenza di uno interno. Il vantaggio è l'accesso a un team multidisciplinare e sempre aggiornato, senza i costi e i vincoli di una figura interna a tempo pieno. La responsabilità del titolare resta, ma il DPO fornisce supervisione qualificata e continuità.

L'AI Act classifica i sistemi di intelligenza artificiale per livello di rischio e impone obblighi crescenti — fino a requisiti stringenti per i sistemi "ad alto rischio". Il primo passo è censire dove e come usi l'IA (anche tramite fornitori), classificare i sistemi e impostare la governance necessaria. Ti aiutiamo a costruire un registro e un modello di conformità che dialoga con il tuo sistema di gestione esistente.

Perché il tuo rischio non finisce ai confini della tua azienda. NIS2, DORA e ISO 27001 richiedono esplicitamente di governare la sicurezza della catena di fornitura. L'audit di seconda parte verifica sul campo che i tuoi fornitori critici rispettino gli standard concordati, trasformando una clausola contrattuale in un'evidenza concreta e difendibile davanti agli auditor.