Gli obblighi NIS2 e DORA non si sospendono in agosto: uno studio legale che gestisce dati di clienti soggetti a questi regimi deve garantire continuità operativa anche con personale ridotto. La conformità documentale non basta più — le autorità verificano processi realmente attivi e testati. Le scadenze autunnali rendono l’estate il momento giusto per controllare i gap, non per rimandare.
Punti chiave
- NIS2 e DORA richiedono processi operativi verificabili, non semplici policy scritte nel cassetto.
- Il periodo estivo con organico ridotto è considerato uno scenario di rischio da documentare e gestire.
- Le scadenze di recepimento e vigilanza autunnali rendono urgente una verifica interna entro settembre.
Se assisti clienti soggetti a NIS2 o DORA — banche, assicurazioni, infrastrutture critiche, fornitori ICT — il tuo studio è già dentro la catena di responsabilità. Un incidente cyber subito da un tuo cliente durante Ferragosto, con i tuoi referenti in ferie e i sistemi di backup non testati, può tradursi in una contestazione di inadempimento contrattuale o in una segnalazione all’autorità di vigilanza che ti riguarda direttamente.
Secondo quanto riportato da Agenda Digitale, l’estate rappresenta il vero stress test per la cyber-resilienza delle organizzazioni italiane ed europee: personale ridotto, dipendenza da figure chiave, obblighi NIS2 e DORA ancora non pienamente operativi e scadenze autunnali che si avvicinano rendono la sola conformità documentale insufficiente.
Il contesto normativo
La Direttiva NIS2 (UE 2022/2555) è stata recepita in Italia con il d.lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L’art. 23 del decreto impone alle organizzazioni soggette obblighi di notifica degli incidenti significativi entro 24 ore (preallarme) e 72 ore (notifica completa) all’Agenzia per la Cybersicurezza Nazionale. Il Regolamento DORA (UE 2022/2554), direttamente applicabile dal 17 gennaio 2025, impone agli enti finanziari — e ai loro fornitori ICT di terze parti — requisiti stringenti di resilienza operativa digitale ai sensi degli artt. 5-16, inclusi test periodici e piani di continuità operativa documentati e verificabili. La violazione degli obblighi DORA può comportare sanzioni fino al 2% del fatturato mondiale annuo per le entità finanziarie.
Cosa cambia per lo studio
- Mappa le esposizioni dei tuoi clienti. Verifica quali clienti rientrano nell’ambito soggettivo di NIS2 (art. 3 d.lgs. 138/2024: soggetti essenziali e importanti) o di DORA. Se li assisti su contratti ICT o accordi di fornitura, i tuoi atti negoziali devono già riflettere i requisiti di resilienza.
- Controlla le clausole contrattuali in essere. DORA impone clausole specifiche nei contratti con fornitori ICT di terze parti (art. 30 Reg. UE 2022/2554): diritti di audit, obblighi di notifica degli incidenti, piani di uscita. Contratti firmati prima del 17 gennaio 2025 vanno adeguati.
- Verifica la catena di delega interna al tuo studio. Se il tuo studio usa software cloud, gestori documentali o provider di posta esterni, sei un fornitore ICT nei confronti di clienti regolamentati. Serve un referente operativo identificato anche durante il periodo feriale.
- Prepara la documentazione per le scadenze autunnali. ACN avvierà le attività di vigilanza sui soggetti NIS2 nella seconda metà del 2025. I clienti che assisti hanno bisogno di policy, registri degli incidenti e piani di continuità già operativi, non da costruire sotto pressione.
- Aggiorna i contratti di assistenza legale. Se hai incarichi continuativi su compliance cyber, chiarisci per iscritto il perimetro del mandato: consulenza documentale oppure anche presidio dei processi operativi. La distinzione evita contestazioni in caso di incidente.
Attenzione a
Confondere la policy con il processo. L’errore più frequente è consegnare al cliente un documento di sicurezza informatica ben redatto e considerare l’adempimento chiuso. NIS2 (art. 21 d.lgs. 138/2024) e DORA (art. 6 Reg. UE 2022/2554) richiedono che le misure siano «proporzionate, attuate e verificate». In sede di vigilanza, ACN o Banca d’Italia chiederanno prove di test effettuati, log di incidenti gestiti, verbali di esercitazioni — non solo testi approvati dal CdA.
Sottovalutare la responsabilità del fornitore di servizi legali. Se il tuo studio tratta dati sensibili di un soggetto essenziale NIS2 ed è colpito da un ransomware in agosto, il cliente potrebbe contestare una violazione degli obblighi di riservatezza e sicurezza del mandato professionale (art. 1710 c.c. e Codice Deontologico Forense, art. 28). Avere un piano di risposta agli incidenti documentato — anche minimo — riduce l’esposizione e dimostra la diligenza professionale richiesta.
Domande frequenti
Il mio studio legale è soggetto agli obblighi NIS2?
Gli studi legali non rientrano di default tra i soggetti essenziali o importanti elencati negli allegati al d.lgs. 138/2024. Tuttavia, se lo studio fornisce servizi digitali o gestisce infrastrutture ICT per conto di soggetti NIS2, può essere qualificato come fornitore di terze parti rilevante, con obblighi contrattuali derivati imposti da DORA o da clausole negoziali specifiche.
Cosa rischia un cliente banca o assicurazione se non rispetta DORA in estate?
Il Regolamento DORA (UE 2022/2554) prevede sanzioni fino al 2% del fatturato mondiale annuo per le entità finanziarie inadempienti. In caso di incidente non notificato nei termini, Banca d’Italia o IVASS possono avviare procedimenti sanzionatori. L’assenza di piani di continuità testati è già di per sé una violazione degli artt. 11-13 del Regolamento.
Quali clausole devo inserire nei contratti ICT per i clienti soggetti a DORA?
L’art. 30 del Reg. UE 2022/2554 elenca le clausole minime obbligatorie: descrizione dei servizi, livelli di servizio misurabili, obblighi di notifica degli incidenti, diritti di audit del cliente o dell’autorità di vigilanza, disposizioni sulla portabilità dei dati e piani di uscita. Contratti privi di questi elementi firmati prima del 17 gennaio 2025 vanno rinegoziati.
Fonte di riferimento: AgendaDigitale