Poche organizzazioni sanno con precisione a cosa sono obbligate, e questa incertezza si paga in entrambe le direzioni: adempimenti inutili da una parte, sanzioni e commesse perse dall'altra. Stabilire il perimetro è il punto di partenza, i documenti e i contratti vengono dopo.
Ogni percorso parte da una valutazione di applicabilità: quali norme riguardano l'organizzazione, quali no, in base a quali criteri: dimensioni, attività svolta, ruolo nella catena di fornitura, tipo di prodotto immesso sul mercato. È il passaggio che decide tutto quello che viene dopo, quindi sbagliarlo significa spendere soldi per adempimenti che non servono oppure restare scoperti su quelli che servono.
Fatta la valutazione, costruisco il percorso: registri, informative, policy, procedure, nomine ad amministratore di sistema, valutazioni d'impatto, documentazione tecnica, piani di risposta agli incidenti, evidenze da conservare... I documenti servono prima di tutto a chi sta dentro l'azienda, perché una policy dice a ogni persona cosa può fare e cosa no, una procedura le dice cosa fare quando succede qualcosa. È così che gli obblighi smettono di essere un peso burocratico e diventano un modo efficace di lavorare, da lì il resto (ispezioni comprese) si supera di conseguenza.
Per le organizzazioni che lo preferiscono, resto disponibile con un'assistenza continuativa. Le normative cambiano, i clienti mandano contratti nuovi, una violazione dei dati va gestita nelle prime 72 ore... avere un riferimento fisso evita di ripartire da zero ogni volta.
Mi occupo di contratti di sviluppo software, licenze, contratti SaaS e cloud, accordi di manutenzione e assistenza, accordi sul trattamento dei dati, nomine a responsabile e sub-responsabile, accordi di riservatezza per contesti tecnici, clausole su titolarità del codice, livelli di servizio, responsabilità e uscita.
Un capitolo a parte è la lettura dei contratti in entrata. Quando un cliente strutturato manda il proprio modello, dentro ci sono quasi sempre clausole su audit, sub-fornitori, manleve e continuità operativa che spostano il rischio a monte. Sapere cosa si sta accettando prima di firmare costa infinitamente meno che scoprirlo quando sorge un problema.
Nella stessa categoria rientrano i questionari di sicurezza dei clienti enterprise, dei file con decine di domande da cui può dipendere una commessa. Rispondere male fa perdere il contratto, ma rispondere il falso è persino peggio: li analizziamo insieme e diamo risposte precise e puntuali, integrando la documentazione e le procedure al volo, quando serve.
Che prodotto avete, come è costruito, dove gira, chi ci mette le mani, quali fornitori sono coinvolti, chi sono i vostri clienti e cosa vi chiedono. Senza questa parte la qualificazione giuridica sarebbe tirare a indovinare.
Norma per norma, con la motivazione. Comprese quelle da cui siete esclusi, perché sapere di essere fuori perimetro vale quanto sapere di essere dentro, e perché clienti e autorità possono chiedere le ragioni del mancato adeguamento.
Documenti, procedure, contratti e formazione, nell'ordine di priorità che serve a voi. Con una roadmap che tiene conto delle scadenze reali e non di quelle comode.
Le normative cambiano, i clienti mandano nuovi contratti, arrivano questionari e ogni tanto capita un incidente. Per chi vuole, l'assistenza prosegue nel tempo invece di finire con la consegna dei documenti.
Mi raccontate cosa fate, cosa vi sta succedendo e cosa vi preoccupa. Vi dico come vedo la situazione e come la affronterei. Da lì capiamo insieme cosa serve, e se serve.
Riguarda chiunque tratti dati personali, quindi tutti. Informative, registri, ruoli, valutazioni d'impatto, trasferimenti fuori dall'Unione europea, violazioni dei dati.
Soggetti essenziali e importanti, con obblighi su misure, notifiche e catena di fornitura. Chi resta fuori dal perimetro se la vede comunque arrivare dai clienti che sono dentro.
Chi sviluppa o integra funzionalità di intelligenza artificiale. Classificazione del sistema, pratiche vietate, obblighi di trasparenza, marcatura dei contenuti generati, sistemi ad alto rischio.
Chi immette sul mercato europeo prodotti con elementi digitali: software, firmware, dispositivi connessi. Requisiti di sicurezza, segnalazione delle vulnerabilità, periodo di supporto, marcatura CE.
Banche, assicurazioni e altre entità finanziarie, e con loro i fornitori informatici che ci lavorano, che si vedono imporre clausole su audit, test e strategie di uscita.
Prodotti connessi e servizi cloud. Accesso ai dati, portabilità, cambio fornitore, clausole contrattuali abusive.
Non sono obblighi di legge e stanno diventando requisiti di fatto nelle gare e nei rapporti con clienti strutturati. Supporto alla parte documentale e organizzativa del percorso.
Sviluppo, licenze, SaaS e cloud, manutenzione, accordi sul trattamento dei dati, riservatezza, titolarità del codice, livelli di servizio.