Approccio basato sul rischio
La protezione di candidature, prenotazioni, partecipanti e dati istituzionali richiede analisi dei rischi, controlli d’accesso per ruolo, autenticazione forte, gestione vulnerabilità, backup, tracciabilità delle operazioni, continuità e risposta agli incidenti. L’efficacia va dimostrata mediante valutazioni e test documentati.
NIS2: ambito non presunto
La direttiva (UE) 2022/2555 è recepita in Italia dal d.lgs. 138/2024. L’applicabilità a uno specifico ente dipende dai settori, soglie, caratteristiche ed eventuali designazioni rilevanti. Un portale culturale o un Forum non diventa automaticamente “soggetto NIS” per il solo utilizzo di servizi digitali.
Il responsabile legale/ICT dovrà formalizzare lo screening, verificare eventuali obblighi di registrazione e notifiche presso ACN e, se applicabili, piani di sicurezza e governance, senza esporre informazioni che aumentino il rischio di attacco.
Incidenti e comunicazioni
Eventi di sicurezza devono essere classificati, registrati, assegnati e gestiti con escalation tempestiva. I data breach personali vanno valutati separatamente secondo artt. 33–34 GDPR; gli obblighi NIS2 di notifica dipendono dall’effettiva soggettività e dal tipo di incidente. Non si pubblicano numeri di reperibilità interni o dettagli delle architetture di difesa.
Responsible disclosure
Segnalazioni di vulnerabilità possono essere inviate a info@medconvergence.org, senza test invasivi, esfiltrazione o pubblicazione di dati. Nessuna autorizzazione generale a penetration test è implicita. I dettagli saranno instradati al referente sicurezza designato.
Contatta il DPO
dr. prof. Giuseppe Izzo
dpo@medconvergence.org
Partner Tecnologico: UESE ITALIA S.p.A. — assistenza e infrastruttura tecnologica nei limiti degli accordi da formalizzare.