Con l’entrata in applicazione del Regolamento DORA (Reg. UE 2022/2554) dal 17 gennaio 2025 e il recepimento della Direttiva NIS2 (D.Lgs. 138/2024), gli studi legali che operano come fornitori di servizi digitali o che gestiscono dati finanziari dei clienti rientrano nel perimetro dei soggetti obbligati. La resilienza operativa non è più solo un tema bancario: riguarda chiunque tratti pagamenti elettronici, utilizzi piattaforme di home banking per conto terzi o gestisca infrastrutture ICT condivise. Ignorare questi adempimenti espone lo studio a sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato globale annuo.
Punti chiave
- Punto 1 — DORA si applica dal 17 gennaio 2025 e impone test di resilienza ICT anche ai fornitori di servizi finanziari digitali.
- Punto 2 — D.Lgs. 138/2024 recepisce NIS2 e include studi legali che erogano servizi digitali tra i soggetti obbligati.
- Punto 3 — Le sanzioni NIS2 arrivano fino a 10 milioni di euro o al 2% del fatturato annuo globale per i soggetti importanti.
Gli studi legali che utilizzano home banking per gestire conti clienti, che operano come fornitori terzi ICT o che trattano dati finanziari in contesti digitali non possono più considerarsi estranei al perimetro DORA e NIS2. Dal 17 gennaio 2025 il Regolamento UE 2022/2554 (DORA) è direttamente applicabile, e il D.Lgs. 138/2024, che recepisce la Direttiva NIS2, ha esteso gli obblighi di sicurezza informatica anche a categorie di soggetti che si trovano fuori dal settore finanziario in senso stretto.
Il tema, analizzato da Agenda Digitale, parte dalla sicurezza dell’home banking ma arriva a toccare la catena di responsabilità che lega banche, fornitori tecnologici e utenti professionali. Per uno studio legale, questo significa riconsiderare ogni contratto con provider ICT e ogni procedura interna di accesso a sistemi bancari online.
Il contesto normativo
Il Regolamento UE 2022/2554 (DORA), agli artt. 5-16, impone alle entità finanziarie — e ai loro fornitori terzi ICT critici — un framework strutturato di gestione del rischio digitale, con obblighi di segnalazione degli incidenti entro 4 ore per gli eventi gravi. Il D.Lgs. 138/2024, agli artt. 23-37, individua i «soggetti importanti» tenuti ad adottare misure minime di sicurezza informatica: tra questi rientrano anche i professionisti che erogano servizi digitali classificabili nelle categorie previste dall’Allegato II della Direttiva NIS2. Sul fronte della responsabilità civile, l’art. 2050 c.c. sull’esercizio di attività pericolosa rimane il riferimento giurisprudenziale consolidato per le violazioni di sicurezza informatica che causino danni a terzi, come ribadito da Cass. Civ. n. 13767/2021.
Cosa cambia per lo studio
- Verifica del perimetro soggettivo NIS2: controlla se lo studio rientra tra i «soggetti importanti» ex art. 3 D.Lgs. 138/2024. La soglia dimensionale (50 dipendenti o 10 milioni di fatturato) non si applica a tutte le categorie: alcuni servizi digitali sono inclusi a prescindere.
- Revisione dei contratti con fornitori ICT: DORA impone clausole minime obbligatorie nei contratti con provider di servizi cloud e software (art. 30 Reg. UE 2022/2554). Chi usa software gestionale in cloud per la contabilità dello studio deve adeguare i contratti entro il 17 gennaio 2025, termine già scaduto.
- Procedure di incident reporting: qualsiasi incidente informatico significativo che coinvolga dati finanziari dei clienti va segnalato all’autorità competente (ACN per NIS2) entro 24 ore dalla rilevazione per la notifica preliminare e entro 72 ore per la notifica completa.
- Aggiornamento della valutazione del rischio GDPR: un incidente su home banking aziendale che espone dati di clienti genera anche un data breach ex art. 33 Reg. UE 679/2016, con obbligo di notifica al Garante entro 72 ore. Le due procedure vanno coordinate.
- Formazione interna obbligatoria: NIS2 richiede che i dirigenti responsabili abbiano formazione certificata sulla gestione del rischio cyber. Per uno studio associato, questo ricade sui soci amministratori.
Attenzione a
Il rischio più concreto è sottovalutare il doppio binario sanzionatorio: DORA delega le sanzioni alle autorità di vigilanza finanziaria nazionali (Banca d’Italia per le entità creditizie), mentre NIS2 affida all’ACN i poteri ispettivi con sanzioni fino a 10 milioni di euro o al 2% del fatturato per i soggetti importanti (art. 38 D.Lgs. 138/2024). Uno studio che opera come consulente di intermediari finanziari può essere colpito da entrambi i regimi.
Attenzione anche alla responsabilità contrattuale verso i clienti: se uno studio gestisce home banking per conto di un cliente e subisce un accesso non autorizzato, il danno patrimoniale derivante ricade sull’avvocato che non ha adottato le misure minime di sicurezza previste dalla normativa vigente, con inversione dell’onere della prova ex art. 2050 c.c.
Domande frequenti
Uno studio legale rientra nel campo di applicazione di NIS2?
Dipende dall’attività concreta. Se lo studio eroga servizi digitali classificati nell’Allegato II della Direttiva NIS2 — come servizi di fiducia digitale, gestione di infrastrutture ICT o servizi di pagamento per conto terzi — rientra tra i soggetti importanti ex art. 3 D.Lgs. 138/2024, indipendentemente dalla dimensione. La verifica va fatta caso per caso sull’attività effettiva, non sulla qualifica professionale.
Cosa rischia uno studio legale che non si adegua a DORA?
DORA si rivolge principalmente alle entità finanziarie e ai loro fornitori ICT critici. Se lo studio agisce come fornitore terzo ICT per una banca o un intermediario vigilato, può essere oggetto di audit da parte dell’entità finanziaria cliente e di misure correttive imposte dall’autorità di vigilanza. Sul piano civile, l’inadeguatezza delle misure di sicurezza espone a responsabilità ex art. 2050 c.c. con onere della prova invertito.
Entro quanto tempo va segnalato un incidente informatico su home banking aziendale?
Per NIS2, la notifica preliminare all’ACN va effettuata entro 24 ore dalla rilevazione dell’incidente significativo, la notifica completa entro 72 ore (art. 25 D.Lgs. 138/2024). Se l’incidente comporta violazione di dati personali, scatta parallelamente l’obbligo di notifica al Garante entro 72 ore ex art. 33 GDPR. Le due procedure hanno tempistiche parzialmente sovrapposte e vanno gestite in parallelo.
Fonte di riferimento: AgendaDigitale