{ Cybersecurity
fatta come si deve. }

Nelle aziende ci sono due tavoli che non riescono a incontrarsi. Da una parte chi si occupa di sistemi, che sa perfettamente come funziona l'infrastruttura e non ha motivo di conoscere la differenza tra un titolare e un responsabile del trattamento. Dall'altra chi si occupa di adempimenti, che conosce le norme e non ha mai visto da vicino un ambiente di produzione. Ognuno fa bene il proprio lavoro, ma nel mezzo resta una zona grigia in cui non si riesce a comunicare.

Quella zona è dove lavoro io. Traduco gli obblighi normativi in requisiti che un tecnico può implementare, e traduco quello che i tecnici mi raccontano in qualificazioni giuridiche che reggono davanti a un'autorità o a un ente di verifica. La stessa azienda può essere responsabile del trattamento in un rapporto e titolare in un altro, può essere fornitore ai sensi dell'AI Act e restare fuori dalla NIS2, può non avere nessun obbligo diretto e vedersi comunque arrivare il questionario di sicurezza del cliente più grande.

Distinguere queste situazioni è la parte che conta. Le procedure, i documenti e i contratti vengono dopo e sono la conseguenza di una qualificazione fatta bene.