Informatica e sicurezza per enti pubblici
Misure minime AgID, NIS2, GDPR e sicurezza dei sistemi per comuni, consorzi e aziende pubbliche in Basilicata, Puglia e Campania. Acquisto tramite MePA.
- Misure minime AgID e modulo di implementazione
- NIS2 per gli enti coinvolti, GDPR
- Un referente unico che coordina i fornitori
- Casi reali: A.C.T.A. S.p.A. e Comune di Pignola
- Abilitati sul MePA
In questa pagina 8 sezioni
In breve
- Affianchiamo comuni, consorzi, aziende pubbliche e altri enti su sicurezza informatica, sistemi e obblighi normativi.
- Partiamo da ciò che la norma chiede davvero: misure minime AgID, NIS2 per gli enti coinvolti, GDPR.
- Siamo abilitati sul MePA, quindi l’ente può affidarci i servizi con le procedure previste.
Negli enti pubblici l’informatica è spesso affidata a poche persone che si occupano anche d’altro, con fornitori diversi per il gestionale, i PC, la rete e la posta. Intanto gli obblighi aumentano e un attacco informatico può fermare per giorni sportelli e servizi ai cittadini. Serve qualcuno che tenga il quadro d’insieme, parli la lingua delle norme e sappia metterle in pratica sui sistemi.
Gli obblighi da cui partire
Misure minime di sicurezza ICT dell’AgID
La circolare AgID n. 2 del 2017 vale per tutte le pubbliche amministrazioni, comuni piccoli compresi. Raccoglie i controlli in otto gruppi, dall’inventario dei dispositivi ai backup, e chiede di documentare come sono applicati in un modulo firmato e conservato dall’ente. Lo spieghiamo nel dettaglio nella guida alle misure minime AgID.
NIS2
Il D.lgs. 138/2024, che recepisce la direttiva NIS2, coinvolge direttamente alcune categorie di amministrazioni elencate nel decreto, tra cui regioni, città metropolitane e i comuni più grandi, oltre a molte aziende che erogano servizi pubblici. Per chi rientra ci sono registrazione presso l’Agenzia per la Cybersicurezza Nazionale, misure di sicurezza, notifica degli incidenti e responsabilità degli organi di vertice. Trovi un riepilogo nella guida su chi è coinvolto dalla NIS2.
GDPR
Ogni ente tratta dati personali, spesso delicati: anagrafe, tributi, servizi sociali. Il GDPR chiede misure adeguate e la notifica al Garante delle violazioni entro 72 ore. Misure documentate e backup verificati sono il modo più concreto per dimostrare di aver fatto la propria parte.
Cloud nella PA: le amministrazioni devono usare servizi cloud qualificati secondo le regole dell’Agenzia per la Cybersicurezza Nazionale. Quando proponiamo un servizio in cloud, lo verifichiamo prima di tutto.
Cosa facciamo per gli enti
- Verifica delle misure minime AgID e aggiornamento del modulo di implementazione, con un piano per colmare le mancanze.
- Percorsi NIS2: verifica del perimetro, analisi delle lacune, misure di sicurezza, procedure di gestione degli incidenti e documentazione.
- Posta e Microsoft 365: migrazione, audit di sicurezza, autenticazione a più fattori.
- Backup dei server e di Microsoft 365, con copie separate e prove di ripristino.
- Rete e firewall: firewall Sophos e Zyxel, rete divisa in zone, accesso remoto sicuro.
- Monitoraggio di PC e server, aggiornamenti e antivirus gestiti da un unico referente.
- Formazione del personale sui rischi più comuni, a partire dal phishing.
Casi reali
A.C.T.A. S.p.A.
Per A.C.T.A. S.p.A. di Potenza abbiamo seguito un percorso di adeguamento alla NIS2 che ha toccato a fondo l’infrastruttura: nuovi server, firewall Sophos, un nuovo NAS, virtualizzazione dei sistemi e revisione dell’architettura di sicurezza, con il supporto di un partner tecnico in fase di installazione. Accanto al lavoro sui sistemi c’è stata la parte organizzativa: responsabilità, procedure e documentazione richieste dalla norma.
Comune di Pignola
Con il Comune di Pignola, in provincia di Potenza, abbiamo seguito il lavoro di digitalizzazione dell’ente, avendo cura di non interrompere i servizi ai cittadini e di rispettare gli adempimenti normativi.
«La digitalizzazione di un ente pubblico richiede competenza e affidabilità. GIGAPOINT ha seguito il Comune passo dopo passo, garantendo continuità dei servizi e conformità normativa. Una scelta che rifarei.»
Dott. Antonio De Luca, Sindaco del Comune di Pignola
Come lavoriamo con un ente
- Incontro iniziale Conosciamo il referente interno e i fornitori attuali, e capiamo quali obblighi si applicano all’ente.
- Ricognizione Censiamo sistemi, reti, servizi in cloud, backup e documentazione esistente, a partire dal modulo delle misure minime.
- Rapporto e piano Consegniamo lo stato attuale, le priorità e un piano di interventi con costi, utile anche per la programmazione della spesa.
- Affidamento L’ente può acquistare gli interventi tramite il MePA, con le procedure previste per gli importi.
- Esecuzione e documentazione Realizziamo gli interventi e aggiorniamo la documentazione, così da poterla esibire in caso di verifiche.
- Gestione nel tempo Se l’ente lo desidera, seguiamo aggiornamenti, backup e sicurezza con un servizio continuativo e un referente unico.
Perché un referente unico conta
Molti problemi di sicurezza negli enti nascono negli spazi tra un fornitore e l’altro: il backup che nessuno controlla, il firewall che nessuno aggiorna, l’account di un ex collaboratore rimasto attivo. Un referente che coordina i fornitori e tiene aggiornata la documentazione riduce questi vuoti, anche quando i singoli servizi restano affidati ad aziende diverse.
Dove lavoriamo
Siamo a Potenza e lavoriamo con enti in Basilicata, Puglia e Campania. Gran parte del lavoro si svolge da remoto; sopralluoghi e installazioni si fanno in sede, con l’eventuale trasferta indicata nel preventivo. Vedi anche le pagine su Potenza e Basilicata e su Puglia e Campania.
Domande frequenti
Siete abilitati sul MePA?
Sì. L’ente può acquistare i nostri servizi sul Mercato Elettronico della Pubblica Amministrazione, con le procedure previste per l’importo dell’affidamento.
Il nostro comune è piccolo: dobbiamo preoccuparci della NIS2?
La NIS2 coinvolge direttamente solo alcune categorie di amministrazioni. Le misure minime AgID però valgono per tutti gli enti, e il GDPR per chiunque tratti dati personali. Nella ricognizione iniziale chiariamo quali obblighi si applicano.
Abbiamo già dei fornitori: dobbiamo sostituirli?
No. Possiamo affiancare i fornitori attuali, verificare il lavoro svolto e coordinare gli interventi. Sostituire un fornitore è una scelta dell’ente, non una condizione.
Ci aiutate con il modulo delle misure minime AgID?
Sì. Verifichiamo come sono applicati i controlli, aggiorniamo il modulo di implementazione e indichiamo cosa manca per arrivare al livello minimo richiesto.
Cosa succede in caso di attacco informatico?
Vi aiutiamo a isolare i sistemi, a ripristinare i servizi dai backup e a raccogliere le informazioni per le notifiche previste, al Garante e, per gli enti coinvolti dalla NIS2, al CSIRT Italia. Meglio ancora se il piano di risposta è pronto prima: lo prepariamo insieme. Vedi anche la guida su cosa fare nelle prime ore.
Vuoi capire a che punto è il tuo ente con misure minime, NIS2 e sicurezza dei sistemi? Il primo incontro è gratuito.
