Protezione dei dati e sicurezza informatica

La protezione dei dati e la sicurezza informatica si intrecciano, ma hanno diverse protezioni e requisiti legali. Le imprese hanno bisogno di responsabilità chiare, contratti di servizio resilienti e procedure per incidenti di sicurezza. Consigliamo i requisiti legali e, se necessario, coordiniamo la loro attuazione con gli specialisti responsabili in materia di protezione dei dati e IT.

Eventi di consulenza tipici

• Un'azienda introduce servizi cloud, applicazioni AI o nuovi software per il personale.
• I fornitori di servizi ricevono accesso ai dati del cliente, del dipendente o dell'azienda.
• Una mail di phishing, un dispositivo perso o un attacco possono causare il deflusso o il fallimento dei dati.
• Un cliente richiede la prova della sicurezza delle informazioni o impegni contrattuali speciali.
• Occorre chiarire la preoccupazione della legge sulle BSI o dell'attuazione dei NIS-2.

Organizzare la protezione dei dati in azienda

Tra l'altro, il GDPR richiede un trattamento lecito, trasparente e finalizzato dei dati personali. Per le operazioni di trattamento tipiche, devono essere stabilite la base giuridica, la portata dei dati, i destinatari, i periodi di conservazione e le responsabilità. Non è richiesto il consenso per alcun trattamento e soprattutto nel rapporto di lavoro non può essere utilizzato come soluzione standard.

Gli obblighi di informazione, le procedure di informazione e cancellazione, gli elenchi delle attività di trattamento e, se del caso, la nomina di un responsabile della protezione dei dati sono esaminati sulla base delle rispettive condizioni. In caso di rischio probabile elevato, potrebbe essere necessaria una valutazione d'impatto sulla protezione dei dati ai sensi dell'art.35 del GDPR. Non è un documento obbligatorio generale per qualsiasi software.

Fornitori di servizi e flussi internazionali di dati

Il ruolo contrattuale di un fornitore di servizi dipende dal trattamento effettivo. Un contratto di elaborazione degli ordini ai sensi dell'art. 28 del GDPR non corrisponde automaticamente ad alcuna cooperazione. La responsabilità comune o indipendente può richiedere un accordo diverso.

Nel caso dei servizi cloud e AI, devono essere controllati usi particolari, subappaltatori, opzioni di accesso, eliminazione, misure di sicurezza e l'eventuale utilizzo di input ai fini della formazione. I trasferimenti verso paesi terzi richiedono anche una base di riferimento conformemente al capo V del GDPR e, se del caso, ulteriori misure. Un luogo pubblicizzato come europeo non risponde a tutte le domande sugli accessi da altri Stati.

Sicurezza informatica e NIS-2

Art. 32 GDPR richiede misure tecniche ed organizzative sensibili al rischio per i dati personali. Ciò può includere, ad esempio, concetti di autorizzazione, autenticazione appropriata, copie di backup, procedure di recupero e revisione periodica delle misure. Il progetto tecnico concreto è determinato sulla base dei sistemi e dei rischi.

Dal 6 dicembre 2025 le disposizioni della legge di attuazione NIS-2 sono in vigore in Germania. Il fatto che un'impresa sia inserita come istituzione importante o particolarmente importante ai sensi del § 28 BSIG dipende, tra l'altro, dall'attività, dalle dimensioni e dalle normative speciali di legge. Non vi è alcun requisito forfettario NIS-2 per ogni azienda. In particolare, gli obblighi di gestione del rischio, di registrazione, di segnalazione e di gestione possono applicarsi agli enti interessati. Si tiene inoltre conto di norme settoriali speciali.

Incidenti di sicurezza: diverse prove in parallelo

In caso di incidente, occorre coordinare il contenimento tecnico, la protezione delle prove e la valutazione giuridica. Una panoramica centrale degli eventi mostra cosa si sa quando, quali dati e sistemi sono stati interessati e quali misure sono state adottate. Gli obblighi di comunicazione non devono essere esaminati dopo aver ricevuto informazioni complete.

• GDPR: In linea di principio, una violazione della protezione dei dati personali è comunicata all'autorità di controllo competente senza indebito ritardo e per quanto possibile entro 72 ore dalla notifica, a meno che non comporti rischi per i diritti e le libertà delle persone fisiche. La valutazione è documentata.
• Persone interessate: In caso di probabile rischio elevato, deve essere esaminato anche l'art. 34 del GDPR, comprese le sue eccezioni.
• Processori: L'utente deve informare immediatamente il responsabile del trattamento in caso di violazione dei dati; il periodo di 72 ore non è un periodo di attesa generale per i fornitori di servizi.
• BIG: Per gli incidenti significativi di sicurezza degli impianti rilevati, l'articolo 32 prevede una notifica anticipata entro 24 ore, un'ulteriore notifica entro 72 ore e una relazione finale entro un mese dalla notifica delle 72 ore. In caso di incidenti permanenti e in casi particolari, si applicano norme supplementari.

Un guasto informatico non è automaticamente una violazione dei dati segnalabile. Al contrario, una violazione dei dati può verificarsi anche se i sistemi continuano a funzionare. Entrambe le prove devono essere adeguatamente separate e coordinate.

I nostri servizi e risultati di lavoro

• Bilancio giuridico e piano d'azione prioritario.
• Esame dei contratti di fornitore di servizi, cloud e order processing.
• Progettazione di informazioni sulla protezione dei dati, responsabilità e processi di cancellazione.
• Esame della questione NIS-2 e controllo giuridico dell'attuazione organizzativa.
• Concetto di reporting ed escalation per incidenti di sicurezza nonché supporto giuridico nel caso specifico.
• Formazione ed esercitazioni di casi per la gestione, il personale, l'informatica e altre aree colpite.

Questioni comuni

Un fornitore di servizi IT esterno ci rende automaticamente giuridicamente conformi?

No. Le attività possono essere sostenute o esternalizzate; le proprie responsabilità restano da controllare. Il contratto, le prestazioni effettive, il controllo e la comunicazione nell'incidente devono essere combinati.

Dobbiamo denunciare qualche attacco entro 72 ore?

Non ogni attacco incontra un record. La preoccupazione concreta e i requisiti della rispettiva legge sono decisivi. In caso di incertezza, la valutazione dovrebbe iniziare tempestivamente e essere documentata in modo comprensibile.

È sufficiente un'informativa sulla privacy sul sito?

No. Si tratta solo di una cut-out. Il trattamento interno, i dati dei dipendenti, i fornitori di servizi, i diritti degli interessati e le misure di sicurezza richiedono processi propri.

Quali documenti facilitano l'ingresso?

Panoramica del sistema e del fornitore di servizi, documenti di protezione dei dati esistenti, contratti e piani giurisdizionali. In caso di incidente, una cronologia, le informazioni tecniche iniziali e le comunicazioni già effettuate sono particolarmente utili.

Base giuridica e ulteriori informazioni ufficiali

• GDPR, in particolare gli articoli 5, 6, 28 e 32 del trattato CE35
• § 26 Dati sui dipendenti BDSG
• VdB Informazioni sui NIS-2
• § 28 Istituzioni registrate in BSIG
• § 32 BSIG - Relazioni accidentali
• § 33 Registrazione del BSIG

Status giuridico: 1° novembre 2026. La classificazione dei fatti concreti richiede un esame della normativa e delle circostanze applicabili.

Argomenti correlati e prossime tappe

• Conformità IA
• Indagini interne
• Protezione degli informatori e canali interni di segnalazione
• Formazione e workshop

Richiedi un consiglio sulla pagina dei contatti. Descrivere brevemente la richiesta e, se necessario, specificare le scadenze esistenti. Campo di applicazione e remunerazione saranno concordati prima della messa in servizio.