Evolve · Compliance
La conformità si dimostra con le carte, non con le buone intenzioni.
NIS2 e GDPR ti chiedono la stessa cosa: sapere chi fa cosa, su quali dati, con quali prove. Noi ti diamo il metodo per arrivarci, la piattaforma per tenere in ordine le evidenze e le persone che rispondono quando qualcuno viene a controllare.
Il 31 ottobre 2026 non è una data di marketing.
Chi è entrato nell’elenco ACN nel 2025 deve avere le misure operative in piedi entro il 31 ottobre 2026. Per chi è stato censito nel 2026, la Determinazione ACN 127434/2026 sposta il termine al 31 luglio 2027. Sono date fisse per coorte. Non si spostano perché hai cambiato consulente, perché il gestionale è in migrazione o perché un fornitore non risponde ai questionari.
La parte difficile non è scrivere le politiche: quelle si scrivono in qualche giorno. È tenerle vive dopo. Registri aggiornati, fornitori rivalutati, incidenti notificati al CSIRT nelle 24 e nelle 72 ore, delibere firmate da chi ha davvero la responsabilità. Il giorno del controllo conta quello che hai fatto nei dodici mesi precedenti, non il raccoglitore che hai preparato la settimana prima.
Si parte da una gap analysis sul tuo perimetro reale, due o quattro settimane, senza costi. Ti diciamo cosa manca e in che ordine ha senso affrontarlo. Se prima vuoi il quadro normativo per esteso, lo trovi nella guida NIS2.
Cosa mettiamo in campo
NIS2Hub
La piattaforma che abbiamo scritto noi: autovalutazione delle 43 misure ACN, registro dei rischi, 16 politiche generate dai tuoi dati e firmabili con catena di firma. Il dossier per un controllo ACN si genera in un click.
Fornitori
Questionari con punteggio, rating che si aggiorna nel tempo, solleciti che partono da soli. La catena di fornitura è il capitolo che un ispettore apre per primo, ed è quello che in azienda nessuno ha tempo di seguire.
GDPR
Registro dei trattamenti, nomine, accordi articolo 28 con i fornitori, misure tecniche descritte in modo verificabile. Gli stessi dati servono anche a NIS2: si inseriscono una volta sola.
Log e tracciabilità
Accessi privilegiati tracciati, log centralizzati con retention conforme, hash con riferimento temporale sui documenti approvati. Chi ha fatto cosa, quando: senza doverlo ricostruire a memoria.
Incidenti e notifiche
I timer delle 24 ore, delle 72 ore e dei 30 giorni con i promemoria a chi deve firmare. Quando succede qualcosa sai già cosa mandare al CSIRT, in che forma e dentro quale scadenza.
Formazione
Corsi di cybersecurity per il personale e per chi amministra, con registro delle presenze utilizzabile come evidenza. Sono i corsi certificati ISO 9001:2015, certificato Certiquality n. 52049.
Come si lavora
- Gap analysis sul perimetro reale, due o quattro settimane, gratuita
- Piano di adeguamento scritto, con priorità, responsabili e date
- NIS2Hub per tenere insieme misure, rischi, fornitori e documenti
- Audit interni periodici, così il dossier ACN è sempre a un click
Una cosa preferiamo dirtela adesso invece di lasciartela scoprire leggendo l’ambito di un certificato. La nostra ISO 9001:2015 copre la progettazione e l’erogazione dei corsi di cybersecurity, non l’intera azienda; la certificazione ISO/IEC 27001 è in corso di completamento. Tutti i certificati, con scadenze e perimetro, stanno nella pagina certificazioni. La compliance rientra nell’area Protezione di Gendata Evolve.
Quanto ti manca davvero per essere conforme?
Mezz’ora al telefono con chi fa questo lavoro ogni giorno. Guardiamo dove sei rispetto alle scadenze ACN, cosa puoi tenere in casa e cosa conviene affidare a noi. In italiano, senza impegno.