Conformità normativa

DITAP opera dall'Italia e serve clienti nell'Unione Europea, quindi il Regolamento Generale sulla Protezione dei Dati (GDPR) si applica direttamente alle nostre operazioni — non è un obiettivo aspirazionale, è la base giuridica di come trattiamo i dati oggi.

La nostra Informativa sulla Privacy (/privacy) documenta quali dati raccogliamo, su quale base giuridica, per quanto tempo, e quali sub-responsabili sono coinvolti (vedi /trust/sub-processors). I diritti di accesso, rettifica, cancellazione, portabilità e opposizione possono essere esercitati scrivendo a [email protected].

Quando DITAP agisce come responsabile del trattamento per un cliente (ad esempio gestendo il WiFi ospiti di un hotel o telecamere IP che registrano dati personali), offriamo un Accordo sul Trattamento dei Dati (DPA) specifico per quel progetto.

Siamo diretti: DITAP oggi non è certificata ISO 27001. Lo diciamo chiaramente perché un badge "certificato" che non corrisponde alla realtà è, per noi, peggio di nessun badge.

Ciò che facciamo è allineare le nostre pratiche di sicurezza delle informazioni — controllo degli accessi, gestione degli asset, gestione dei fornitori, gestione degli incidenti, continuità operativa — ai domini di controllo dell'Allegato A dello standard. Il dettaglio di queste pratiche è disponibile in /trust/security.

Stiamo valutando l'avvio del processo formale di certificazione quando il volume di clienti enterprise lo giustificherà.

La Direttiva NIS2 (UE 2022/2555) alza il livello minimo di cybersicurezza richiesto nell'Unione Europea, già recepita nell'ordinamento italiano. Amplia l'ambito rispetto alla direttiva precedente: non copre più solo l'infrastruttura critica classica (energia, sanità, trasporti), ma anche settori come i fornitori di servizi digitali, i managed service provider (MSP) e i managed security service provider (MSSP) — superate determinate soglie dimensionali — e richiede esplicitamente la gestione del rischio della catena di fornitura (Articolo 21).

Questo ha due implicazioni per DITAP. Primo, molti dei nostri clienti nell'ospitalità, nelle PMI e nelle operazioni remote in Italia possono rientrare in NIS2 in modo diretto o indiretto (ad esempio come fornitori di un soggetto obbligato), e hanno bisogno che il loro fornitore di infrastruttura e sicurezza — noi — dimostri pratiche solide. Secondo, in quanto MSP, è ragionevole che DITAP stessa possa eventualmente rientrare nell'ambito crescendo, quindi stiamo definendo la nostra postura di sicurezza (vedi /trust/security) tenendo conto di questo standard già da ora, non solo quando diventerà obbligatorio.

Non affermiamo di essere sottoposti ad audit o certificati secondo NIS2 — la direttiva non definisce uno schema di certificazione di terze parti come ISO 27001. Ciò che offriamo è un supporto concreto per aiutare i nostri clienti a sostenere la propria conformità.