Per chi tratta dati personali — cioè quasi tutti
GDPR art. 32: nessuna soglia, nessun settore, nessun elenco
La NIS2 riguarda i soggetti in perimetro. Il GDPR riguarda chiunque tratti dati personali, e chiede una cosa molto simile: testare e valutare regolarmente l’efficacia delle misure di sicurezza.
Aggiornato al 17 agosto 2026
Perché questa pagina riguarda anche te
Per stare fuori dalla NIS2 basta non essere nei settori degli allegati I e II, o essere sotto la soglia dimensionale. Per stare fuori dal GDPR bisogna non trattare dati personali: niente clienti, niente dipendenti, niente contatti. Non è il caso di nessuno.
L'art. 32 del Regolamento (UE) 2016/679 impone misure «tecniche e organizzative adeguate» a garantire un livello di sicurezza adeguato al rischio. Due delle lettere che elenca sono verificabili dall'esterno.
Le due lettere che contano qui
Art. 32(1)(a) — cifratura
«La pseudonimizzazione e la cifratura dei dati personali». È il riferimento corretto per il TLS di un sito che raccoglie dati, per i certificati scaduti, e per i protocolli che trasportano credenziali in chiaro — POP3, IMAP e FTP senza cifratura sono il caso che troviamo più spesso.
Art. 32(1)(d) — verificare che le misure funzionino
«Una procedura per testare, verificare e valutare regolarmentel'efficacia delle misure tecniche e organizzative». Non è una misura di sicurezza: è l'obbligo di controllare le proprie, e di poterlo dimostrare.
La parola che fa il lavoro è «regolarmente». Una verifica fatta una volta nel 2023 non soddisfa una procedura regolare, e non lo soddisfa nemmeno un'affermazione senza date.
Il gemello nella NIS2
L'art. 32(1)(d) del GDPR e l'art. 21(2)(f) della NIS2 — «strategie e procedure per valutare l'efficacia delle misure di gestione dei rischi» — chiedono la stessa cosa a due platee diverse. Chi ricade in entrambi non ha due obblighi da soddisfare separatamente: ha lo stesso obbligo scritto due volte, e la stessa evidenza risponde a entrambi.
Gli altri due articoli che citiamo, quando pertinenti: l'art. 5(1)(f) — integrità e riservatezza — per le credenziali esposte e i servizi raggiungibili che non dovrebbero esserlo, e l'art. 5(2), la responsabilizzazione, che è esattamente ciò che rende utile un report archiviabile e datato.
Cosa serve avere in mano
Per dimostrare una procedura regolare servono tre cose, e sono tutte proprietà del documento, non del fornitore che lo produce:
- Una data, e una successione di date: le verifiche ricorrono da sole, con l'intervallo del piano.
- Un confronto fra una verifica e la precedente — nuovi problemi, risolti, ancora aperti, con i nomi. È la differenza fra «facciamo controlli» e «questi controlli hanno prodotto questo effetto».
- Un'impronta verificabile. Ogni report porta il proprio SHA-256 in copertina e in calce a ogni pagina: due copie si confrontano senza doversi fidare di chi le consegna.
Cosa resta da coprire a te
Una verifica esterna copre le misure tecniche osservabili da Internet. L'art. 32 parla di misure «tecniche e organizzative»: registro dei trattamenti, nomine dei responsabili, valutazioni d'impatto, procedure di notifica del data breach entro 72 ore all'autorità. Nulla di tutto questo è osservabile dall'esterno, e nulla di tutto questo è coperto qui.
Questo documento non è un parere legale e non certifica la conformità di un'organizzazione. Per una valutazione vincolante serve un professionista.
Domande frequenti
L'art. 32 del GDPR si applica anche a un'azienda piccola?
Sì. Il GDPR non ha soglie dimensionali né settori: si applica a chiunque tratti dati personali, quindi a chi ha clienti, dipendenti o anche solo una rubrica di contatti. Le misure devono essere adeguate al rischio, e questo sì che dipende dalle dimensioni.
Cosa significa «testare e valutare regolarmente l'efficacia delle misure»?
È l'art. 32(1)(d): non una misura di sicurezza, ma l'obbligo di controllare che le proprie funzionino e di poterlo dimostrare. La parola che fa il lavoro è «regolarmente»: una verifica isolata, o un'affermazione senza date, non soddisfa una procedura regolare.
Se rispetto la NIS2 sono a posto anche col GDPR?
Non automaticamente, ma su questo punto i due obblighi coincidono: l'art. 32(1)(d) del GDPR e l'art. 21(2)(f) della NIS2 chiedono la stessa cosa, e la stessa evidenza documentale risponde a entrambi.
Una scansione esterna basta per l'art. 32?
No, e non lo dichiariamo. L'art. 32 parla di misure «tecniche e organizzative»: registro dei trattamenti, nomine, valutazioni d'impatto e procedure di notifica non sono osservabili dall'esterno. Una verifica esterna copre la parte tecnica esposta.
Da leggere dopo
Un cliente ti chiede conto della sicurezza
Il questionario arriva perché il tuo cliente è soggetto NIS2 e la norma lo obbliga a valutare i suoi fornitori. Non devi certificarti: devi portare evidenza.
Art. 21(2) della direttiva NIS2, lettera per lettera
Le dieci misure minime di gestione del rischio, cosa chiede ciascuna, il codice della misura ACN corrispondente, e quali si possono verificare dall’esterno.
Questa pagina ha finalità informative e non costituisce un parere legale. Le norme citate — direttiva (UE) 2022/2555, d.lgs. 138/2024, determinazioni ACN, Regolamento (UE) 2016/679 — possono essere modificate e la loro applicazione dipende dal caso concreto. Per una valutazione vincolante rivolgiti a un professionista qualificato. Le date e i riferimenti riportati sono verificati sulle fonti alla data di aggiornamento indicata sopra.
Una procedura regolare, con le date che lo dimostrano
Le verifiche ricorrono da sole con l’intervallo del piano, ognuna si confronta con la precedente e ogni report porta la propria impronta SHA-256. È la forma in cui «testare e valutare regolarmente» diventa qualcosa da mostrare. Scrivici e ti rispondiamo con il documento sul tuo dominio.
Richiedi una verifica sul tuo dominio