Servizio aggiornamento provvedimenti NIS

Lorenzo Frasconi mi ha segnalato il portale che ha sviluppato per consultare gli ultimi aggiornamenti e la documentazione NIS, attraverso un monitoraggio delle modifiche e delle linee guida pubblicate dall'ACN, oltre che avere nella sezione "Documentazione NIS2" tutti i documenti che vengono caricati in generale sul portale ACN.

Il portale è qui: https://frascoh.github.io/monitor-acn-nis2/.

E' possibile scaricarlo anche da GitHub: https://github.com/FRASCOH/monitor-acn-nis2.

Il servizio offre anche la sottoscrizione a un canale Telegram per ricevere le notifiche. Molto comodo.

Nuovo Regolamento sulle sanzioni Accessibilità

Andrea Solimeno di Selexi mi ha segnalato che AgID ha approvato il 15 maggio 2026 e pubblicato il 26 maggio il "Regolamento recante le modalità di accertamento e di esercizio del potere sanzionatorio ai sensi dell’art. 9 della Legge n. 4 del 2004 e degli artt. 21 e 24 del Decreto Legislativo n. 82 del 2022": https://trasparenza.agid.gov.it/page/103/details/5600/adozione-del-regolamento-recante-le-modalita-di-accertamento-e-di-esercizio-del-potere-sanzionatorio-ai-sensi-dellart-9-della-legge-n-4-del-2004-e-degli-artt-21-e-24-del-decreto-legislativo-n-82-del-2022.html.

Si sta parlando di accessibilità, ossia delle "Disposizioni per favorire e semplificare l'accesso degli utenti e, in particolare, delle persone con disabilità agli strumenti informatici".

Il Regolamento si applica in relazione a:

a) siti web e applicazioni mobili dei soggetti erogatori pubblici, di cui all’art. 3, comma 1, della Legge Accessibilità;

b) siti web e applicazioni mobili di soggetti erogatori privati, con un fatturato medio, negli ultimi tre anni di attività, superiore a cinquecento milioni di euro, di cui all’art. 3, comma 1-bis, della Legge Accessibilità.

Su questo argomento ci sono anche Direttive europee e il quadro non mi è chiarissimo.

Però, sappiamo che AgID ha pubblicato le “Linee Guida sull’accessibilità dei servizi in attuazione dell’articolo 21 del decreto legislativo n. 82 del 2022” (https://www.agid.gov.it/it/linee-guida). Esse riguardano siti web e app e sono state approvate con determinazione n. 38/2026 con comunicato su Gazzetta Ufficiale n. 69 del 24.3.2026 mercoledì 25 marzo 2026 (https://www.gazzettaufficiale.it/eli/id/2026/03/24/26A01427/SG).

Attenzione che nella pagina AgID ci sono anche queste, e quindi bisogna stare attenti a differenziare;

- Linee Guida sull'accessibilità degli strumenti informatici per soggetti privati;

- Linee Guida sull'accessibilità degli strumenti informatici - PA.

C'è anche il documento “Vigilanza sull’accessibilità dei siti web e delle applicazioni mobili da parte di soggetti erogatori art. 3 comma 1-bis” applicabile a chi “offre servizi al pubblico attraverso siti web o applicazioni mobili, con un fatturato medio, negli ultimi tre anni di attività, superiore a cinquecento milioni di euro”. È del dicembre 2022 (come aggiornamento di regole di aprile 2022 e quindi bisogna stare attenti a leggere quelle nuove): https://trasparenza.agid.gov.it/page/103/details/2734/determinazione-n3552022-del-23-dicembre-2022-regolamenti-in-materia-di-accessibilita-e-potere-sanzionatorio-modifiche-per-adeguamento-a-disposizioni-normative-successivamente-intervenute.html.

La pagina di riferimento è questa: https://www.agid.gov.it/it/ambiti-intervento/accessibilita-usabilita.

Il nuovo Regolamento non parla proprio di questo documento relativo alla vigilanza e sono un po' confuso.

Hacking Apple Pay

Simone Ceccherini mi ha segnalato un hack ad Apple Pay. Si può leggere l'articolo "Thieves Can Drain Funds From A Locked iPhone With This Transit Trick: How To Protect Yourself": https://www.forbes.com/sites/davidphelan/2026/04/19/thieves-can-drain-funds-from-a-locked-iphone-with-this-trick-how-to-protect-yourself/.

L'articolo dice di non farsi prendere dal panico perché si tratta di un'operazione difficile. Ciò non toglie che anche i sistemi di pagamento, che dovrebbero essere super sicuri, hanno le loro falle e dobbiamo starci attenti.

A questo proposito (della serie "parlo della mia famiglia anche se non nella rubrica sugli uomini che possono fare tutto"): Intesa Sanpaolo permetterebbe di bloccare le carte dei miei figli dall'app, ma questo non succede (almeno non con uno degli almeno 2 metodi disponibili), ma almeno i limiti impostati sono rispettati. Ormai il livello di complessità di questi strumenti è decisamente elevato e l'errore è sempre dietro l'angolo. Da parte mia, preferisco ridurre al minimo la tecnologia da usare per ridurre al minimo la superficie d'attacco (e già so che se qualcuno mi prendesse di mira, sicuramente dei danni me ne farà).

Verizon Data breach report 2026

Ecco qui il "2026 Data Breach Investigations Report" della Verizon: https://www.verizon.com/business/resources/reports/dbir/.

Non sono un grande fan di questi rapporti perché, come si capisce anche da come sono poste alcune domande, tendono a portare la discussione dove vogliono loro. Però i 4 punti chiave mi sembrano interessanti.

Claude Mythos e l'identificazione di vulnerabilità

Segnalo questo articolo dal titolo "Mythos and Cybersecurity": https://www.schneier.com/blog/archives/2026/04/mythos-and-cybersecurity.html. 

 Claude ha sviluppato Mythos, motore di ricerca di vulnerabilità software e i risultati sono incredibili: migliaia di vulnerabilità identificate nei sistemi operativi più diffusi e altro. Questo ha suggerito a Anthropic di rendere disponibile questo motore solo a 50 grandi produttori di software. 

L'articolo di Bruce Schneier riflette sulla mancanza di dati sui falsi positivi, sulla attuale capacità di identificare vulnerabilità sui sistemi meno diffusi e quanto questo potrà essere pericoloso in futuro, sui rischi generali che corriamo considerando che i software sono attualmente sviluppati e mantenuti da società private. Sembra poi che GPT-5.5 sia altrettanto potente e già disponibile.

Gli uomini possono fare tutto (Maggio 2026)

E' vero che, fortunatamente, in molti ambienti sono ampiamente accettate modifiche agli incontri a causa di impegni familiari. Quindi un giorno dovevo essere da un cliente e da lì verificare alcune cose con due diversi fornitori, ma io sono arrivato in ritardo a causa di un contrattempo con i soliti figli, un fornitore ha spostato di un'ora l'appuntamento perché doveva accompagnare la madre da un dottore, l'altro ha anticipato l'appuntamento perché doveva andare a prendere la figlia a scuola e infine la mia referente mi ha sbattuto fuori dagli uffici appena finite le riunioni perché anch'essa doveva andare a prendere i figli a scuola.

Io so che, nel mio caso, non è solo il cliente che sceglie il consulente, ma anche viceversa. C'è una specie di incontro che ha successo quando ambedue, tra tante cose, capiamo che le emergenze familiari vengono prima di quelle lavorative e siamo pronti a rispettare gli impegni reciproci.

Va detto che non offro servizi di cardiochirurgia di emergenza, di assistenza a impianti nucleari, di supporto a navicelle spaziali con guasti mentre si avvicinano alla Luna e cose simili. Quindi è più facile accettare spostamenti agli appuntamenti (bisogna però avvertire per tempo e non approfittarsene!). Purtroppo so per certo che non è così per tutti e questo è un peccato, soprattutto in un Paese in cui si dice (ma non sempre si pratica) che la famiglia è la cosa più importante.

Sicurezza dei dispositivi periferici

Claudio Sartor mi ha segnalato questa pagina: "Rapporto di sintesi sulla cibersicurezza dei dispositivi periferici": https://it.ntc.swiss/news/2026-rapporto-periferiche.

In realtà, mi aveva segnalato la pagina di Paolo Attivissimo (https://attivissimo.me/podcast-rsi-tastiere-e-cuffie-come-grimaldelli-i-rischi-inattesi-delle-periferiche-wireless/).

Riassunto del riassunto: tastiere, cuffie e altri dispositivi possono diventare una porta d’accesso ai sistemi critici.

Io invece non li sopporto perché tendono a scaricarsi nei momenti meno opportuni (ed è per questo che sono restio a cambiare cellulare, visto che adesso tutti hanno tolto il jack).

Scadenze NIS

Ho provato a riepilogare, soprattutto per me stesso, le scadenze NIS. Lo dico subito: Governo e ACN non ci stanno rendendo la vita facile e questo conferma la mia impressione, ossia che dietro a tutto questo c'è un'impostazione da "grande azienda" (o da "grande società di consulenza" o da "professore") e temo che non ne siano consapevoli (perché tutto ciò ha anche delle conseguenze).

Come sempre: segnalatemi errori. Per questa prima bozza ringrazio Cristina Borghetti e Donato Taccogna degli Idraulici della privacy. 

Soggetti NIS: anni successivi

• Dal 1 gennaio al 28 febbraio: aggiornamento anagrafiche come richiesto dall'art. 7, comma 1 del D. Lgs. 138 e art. 11 Determinazione art. 7;
• fino al 14 aprile: ulteriore finestra di aggiornamento anagrafiche, come richiesto dall'art. 16 Determinazione art. 7 [questa pare ridondante, visto che le modifiche vanno comunicate entro 14 giorni];
• Dal 15 aprile al 31 maggio: aggiornamento anagrafiche (inclusi indirizzamento IP pubblico e i nomi di dominio, Stati membri in cui forniscono servizi, fornitori, accordi di condivisione) come richiesto dall'art. 7, commi 4 e 5 del D. Lgs. 138 e art. 16 Determinazione art. 7;
• dal 1  maggio  al  30 giugno: elenco macro-aree e impatti, come richiesto dall'art. 30, comma 1 del D. Lgs. 138 e art. 20 Determinazione art. 7;
• Dal 1 settembre al 30 novembre: designazione del rappresentante NIS in Italia e aggiornamento; come richiesto dall'art. 7, commi 4 e 5 della determinazione art 7. 

Soggetti NIS: modifiche

• entro 14 giorni dalla modifica: comunicazione ad ACN delle informazioni (art. 7 comma 7 del D. Lgs. 138 e art. 1 comma 1 lettera hh della Determinazione art. 7.

Soggetti NIS: inizializzazione:

• Dal 1 gennaio al 28 febbraio: iscrizione sulla piattaforma NIS (art. 7, comma 1 del D. Lgs. 138 e art. 11 Determinazione art. 7);
• Dal 15 aprile al 31 maggio: ulteriore anagrafiche, inclusi indirizzamento IP pubblico e i nomi di dominio, Stati membri in cui forniscono servizi, fornitori, sostituto punto di contatto (art. 7, commi 4 e 5 del D. Lgs. 138 e artt. 5 e 16 Determinazione art. 7);
• dal 1 gennaio 2027: obbligo di notificare gli incidenti per chi si è registrato nel 2026 (Determinazione art. 31;
• 31 luglio 2027: implementazione delle misure di sicurezza di base per chi si è registrato nel 2026 (Determinazione art. 31). 

Riferimenti alle determine al 6 maggio 2026:

• Determinazione art. 7:  " Determinazione del Direttore generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 7, comma 6, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, recante termini, modalità e procedimenti di utilizzo e accesso alla piattaforma digitale nonché ulteriori informazioni che i soggetti devono fornire all’Autorità nazionale competente NIS e termini, modalità e procedimento di designazione dei rappresentanti NIS sul territorio nazionale" -- sul sito la si trova come "Determinazione ACN 127437/2026 - Piattaforma, Punto di contatto e sostituto, aggiornamento delle informazioni e rappresentante NIS di cui all'articolo 7 del decreto NIS".
• Determinazione art. 31: " Determinazione del Direttore Generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 31, commi 1 e 2, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, lettera l), che stabilisce i termini per l’adempimento agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto medesimo per i soggetti inseriti per la prima volta nell’elenco nell’anno solare 2026" --- sul sito la si trova come "Determinazione ACN 127434/2026 - Termini per i soggetti 2026 in relazione agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS".

Come scadenze, la Determinazione art. 7 copre anche quelle relative agli accordi di condivisione di cui alla "Determinazione del Direttore generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 17, comma 4, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, lettera f), recante le modalità con cui i soggetti essenziali e i soggetti importanti notificano all’Autorità nazionale competente NIS la loro partecipazione agli accordi di condivisione delle informazioni sulla sicurezza informatica" -- sul sito la si trova come "Determinazione ACN 136118 del 10 aprile 2025 – Notifica degli accordi di condivisione delle informazioni sulla sicurezza informatica di cui all'articolo 17 del decreto NIS". 

NB: aggiornato successivamente.

Modello di relazione privacy

La CNIL ha pubblicato il "Modèle de rapport d’activité du délégué / de la déléguée à la protection des données proposé par la CNIL": https://www.cnil.fr/fr/rapport-activite-dpo.

Lo chiama modello di rapporto delle attività del DPO, ma a mio parere potrebbe anche essere esteso alle attività privacy in generale.

Mi sembra un po' troppo verboso, ma anche un buon riferimento da tenere in considerazione (è in francese, ma gli strumenti per tradurlo sono numerosi).

Ringrazio Andrea Solimeno di Selexi per avermelo segnalato.

Generative Engine Optimization

Segnalo questo post su Linkedin di Antonino Polimeni: https://www.linkedin.com/feed/update/urn:li:activity:7455358911316058113/.

In sintesi: Il governo israeliano ha pagato un guru per fare in modo che ChatGPT, Gemini e Claude rispondano in modo favorevole a Israele quando qualcuno fa domande sul conflitto.

Qui il punto non è la guerra in Israele né se, come ho visto in altri link, è stato assunto per combattere l'antisemitismo (cosa ben diversa), ma che si sta industrializzando l'avvelenamento delle IA generative pubbliche (lo chiamano Generative Engine Optimization).

Non critichiamo, non strappiamoci i capelli, ma cerchiamo di esserne consapevoli.

Interessante, sempre nel post, la riflessione sulle differenza con la SEO.

Nota: io non avrei usato quella foto; almeno perché dà un’idea di orientamento che poi il testo non ha.

UNI 11621-8:2026 sui profili di ruolo professionale relativi all'Intelligenza Artificiale (IA)

E' stata pubblicata la  UNI 11621-8:2026 "Attività professionali non regolamentate - Profili di ruolo professionale per l’ICT - Parte 8: Profili di ruolo professionale relativi all’Intelligenza Artificiale (IA)": https://store.uni.com/uni-11621-8-2026.

Franco Vincenzo Ferrari mi ha segnalato questo articolo più ampio: https://innovazione.gov.it/notizie/articoli/intelligenza-artificiale-pubblicata-la-norma-uni-11621-8/.

Io ho qualche perplessità per l'elevato numero di profili professionali: sono ben dodici.

UN Regulation No. 155 - Cyber security and cyber security management system

Parlando di CRA, mi hanno segnato la UN Regulation No. 155 - Cyber security and cyber security management system: https://unece.org/transport/documents/2021/03/standards/un-regulation-no-155-cyber-security-and-cyber-security.

Non si tratta di una novità, visto che è del 2021.

Si tratta di regole stabilite dalle nazioni unite per l'automotive. La prima parte è relativa a un sistema di gestione, in particolare per quanto riguarda i processi di approvazione e marcatura. Le appendici presentano modelli di documenti.

La cosa decisamente interessante è l'appendice 5: "List of threats and corresponding mitigations". Nella parte A sono presentati gli attacchi e le vulnerabilità, suddivisi in 32 categorie di minaccia. Nella parte B sono presentate le mitigazioni.

E' chiaro che si tratta di un esempio relativo agli autoveicoli, però è autorevole e ritengo estremamente interessante.

PS: per il regolamento macchine è in fase di sviluppo la EN 50742 (Safety of machinery - Protection against corruption). Non mi sembra sia stata ancora pubblicata. Non l'ho letta, ma forse anch'essa potrà essere di interesse.

Incontro ACN e Clusit

Il 29 aprile c'è stato l'incontro "NIS2, dalle misure di base alla categorizzazione: guida ai prossimi passi del percorso di adeguamento", organizzato dal Clusit e con Maria Antonia Rizzi, Capo Servizio Regolazione dell'Agenzia per la Cybersicurezza Nazionale (ACN).

Marco Gemo mi ha fatto un ottimo riassunto. Io riporto i punti a mio parere più caldi e mi astengo quanto possibile da fare commenti.

*Primo argomento: categorizzazione.

Sappiamo che la determina del 9 aprile 2026 ha introdotto il modello di categorizzazione. Il modello identifica 10 macroaree tecniche. Per semplificare l'adempimento, l'ACN ha suggerito categorie di rilevanza preassegnate, ma il soggetto ha la facoltà di modificarle basandosi sulla propria Business Impact Analysis (BIA). È fondamentale menzionare l'introduzione della "macroarea residua", pensata per accogliere servizi specifici non mappati nelle categorie standard. Qualora il soggetto decida di declassare o elevare una categoria, deve conservare internamente i razionali logici della scelta per eventuali ispezioni future.

I livelli di classificazione sono 4. Le specifiche tecniche di base (quelle con scadenza ottobre 2026) rappresentano quelle per i livelli L1 (Minimo) e L2 (Basso).

Per le misure per i livelli Medio (L3) e Alto (L4), dette anche "a lungo termine", l'ACN pubblicherà il progetto di norma tecnica entro fine ottobre 2026, permettendo alle aziende di visionare i requisiti in tempo per l'allocazione dei budget 2027.

*Secondo argomento: notifica degli incidenti

Ha ribadito l'importanza della notifica degli incidenti (che vanno notificati entro le 24 ore dalla rilevazione, non dall'occorrenza!). L'importante non è l'accuratezza immediata della qualificazione del fatto, ma la tempestività della segnalazione una volta che l'evento è riconducibile a una perdita di integrità, disponibilità o riservatezza.

Per quanto riguarda i parametri di soglia per categorizzare gli incidenti (chiamati anche questi "SLA"), non devono coincidere necessariamente con gli SLA contrattuali o con i parametri di business continuity (RTO e RPO). Questi richiesti per la NIS devono permettere di stabilire quando una violazione è un incidente "rilevante" ai fini NIS. Formalizzare queste soglie internamente è l'unico modo per giustificare l'assenza di una notifica in sede di audit.

*Terzo argomento: mappatura dei fornitori rilevanti

[Ricordo che, per la determina del 13 aprile 2026, i fornitori da mappare sono di due tipi: quelli informatici (punti 8 e 9 dell'Allegato I del decreto NIS) e quelli non fungibili].

Un fornitore è "rilevante" in ambito informatico se la sua assenza impedisce l'erogazione del servizio NIS. In caso di acquisto tramite rivenditore, se la manutenzione e il supporto sono operati direttamente dal produttore, il soggetto deve listare il produttore.

Un fornitore può essere escluso se esiste fungibilità concreta (linee duplicate e attive) o astratta (clausole contrattuali che garantiscono il risultato tramite terzi).

La mappatura potrebbe rilevare impese (per esempio fornitori di servizi SOC) che avrebbero dovuto registrarsi come soggetti NIS. Si raccomanda quindi di registrarsi, se ricorrono le condizioni, ed evitare sanzioni. La mappatura potrebbe anche rilevare imprese che correttamente non dovevano registrarsi come soggetti NIS, ma potrebbero risultare "fornitori sistemici" ed essere attirati nel perimetro NIS 2 dall'ACN ai sensi dell'Articolo 3, comma 13, qualora gestiscano un numero critico di soggetti NIS.

*Quarto argomento: audit e certificazioni

Attualmente non esistono soggetti terzi autorizzati da ACN per audit o certificazioni NIS 2. Quindi diffidare di chi spaccia come tale.

L'Agenzia sta valutando la creazione di schemi per auditor qualificati (modello spagnolo), ma questo percorso non si concluderà prima della fine del 2027. La vigilanza preventiva inizierà solo dopo l'emanazione del DPCM sui poteri di esecuzione.

Privacy filter di Open AI

Copio un messaggio di Renato Gambella, Idraulico della privacy, e lo ringrazio.

OpenAI ha rilasciato Privacy Filter, un modello aperto e gratuito pensato per individuare e mascherare dati personali o riservati nei testi. L’obiettivo è permettere a professionisti e aziende di preparare documenti “ripuliti” prima di usarli con modelli AI in cloud, come ChatGPT o altri servizi simili. Il rilascio è confermato dalla pagina ufficiale OpenAI: https://openai.com/index/introducing-openai-privacy-filter/.

La cosa importante è che Privacy Filter lavora in locale, cioè sul computer o sul server dell’utente. Questo significa che il documento originale non deve essere inviato subito a un servizio esterno per essere anonimizzato. Prima viene trattato internamente, poi eventualmente viene caricato su un sistema AI cloud in una versione con meno dati identificativi.

La pagina web riporta le pagine Hugging Face e Github per scaricare il prodotto.

Nota mia (Cesare): non l'ho provato, quindi aspetto eventuali commenti.

IT-Grundschutz 2022

Un mio lettore (Alessandro Savino, che ringrazio) mi ha chiesto se il VERA usa le minacce dell'IT-Grundschutz del BSI (quello tedesco, non quello britannico). La risposta è no, ma ci ho ritrovato qualche cosa. 

In effetti, l'avevo letto tra il 1999 e il 2001 (era su pergamena) e forse qualcosa mi è rimasto appiccicato. Il difetto che trovai allora e ritrovo adesso è l'eccessiva lunghezza. Salvifica per il principiante che ero, spaventosa per l'informato che sono. 

Ad ogni modo, l'ultima edizione è quella del 2022 e la versione in inglese si trova qui: https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html. 

 Il malloppo di quasi 1.000 pagine con credo 47 minacce e tanti controlli di sicurezza è il "IT-Grundschutz Compendium Edition 2022".

NIS e categorizzazione attività per ACN

ACN ha pubblicato la determinazione che richiede ai soggetti NIS di elencare le proprie attività e servizi: https://www.acn.gov.it/portale/w/nis-pubblicate-le-modalita-per-l-elencazione-e-la-categorizzazione-delle-attivita-e-dei-servizi.

La Determinazione è accompagnata da Linee guida e da due allegati e si trovano nella pagina che ho citato sopra, oltre alla pagina generale sulla normativa NIS (https://www.acn.gov.it/portale/nis/la-normativa) e alla pagina dedicata alla categorizzazione (https://www.acn.gov.it/portale/nis/categorizzazione).

In sostanza, ACN ha identificato 10 marco-aree organizzative comuni a tutte le organizzazioni e un loro livello di impatto ("Categoria di rilevanza"). Le organizzazioni, se ho capito bene, nella pagina di registrazione per i soggetti NIS, dovranno quindi riportare quali di queste aree ne fanno parte e il loro livello di impatto.

Se poi una o più di queste aree va suddivisa in più sottoaree (per esempio, conosco un'azienda che produce tappi e tapparelle, quindi con due linee di "Produzione di beni e servizi"), questo va riportato in un documento interno (che chiamano Business Impact Analysis o BIA), con il livello di rischio di ciascuna.

Non forniscono linee guida per assegnare i livelli di impatto (minimo, basso, medio, alto) e questo mi sembra curioso.

Continuo a rimanere perplesso di fronte a queste continue richieste da ACN per molti motivi: la moltiplicazione delle scadenze, la mancanza di un canale di allerta che non sia il sito web, la raccolta di informazioni che neanche il SISDE e il SISMI, la prospettata pubblicazione di misure minime alla faccia dell'accountability. Tutte cose che già ho detto in precedenza e quindi ci evito la ripetizione dei dettagli.

NB: non sono sicuro di aver capito benissimo il tutto. Se qualcuno avrà modo di migliorare o correggere la mia descrizione, ben venga.

Bozze standard ETSI per CRA

Per il CRA è necessario assicurare determinate misure di sicurezza per i "prodotti con elementi digitali".

Se queste misure sono riportate da "norme armonizzate", si presume la loro adeguatezza. Sono quindi in fase di sviluppo le norme della serie EN 40000 per le misure "orizzontali", ossia comuni a tutti i prodotti, e, se ho capito bene, applicabili ai prodotti "standard" (ossia non quelli "importanti" e "critici" elencati dal CRA stesso).

Ho scoperto che la ETSI sta sviluppando degli standard "verticali" per i prodotti "importanti". Ho trovato una lista qui: https://approve-it.net/eu-etsi-releases-draft-cybersecurity-standards/, con anche il link ad alcune bozze.

Già che ci sono: il CRA riporta le categorie di prodotti "importanti" e "critici", ma la CE ha preparato anche il Regolamento di esecuzione 2025/2392 con la descrizione dettagliata di tali categorie, utile a capire meglio se un prodotto è incluso o meno (ma so già che i casi limite saranno tantissimi e oggetti di discussioni): https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32025R2392.

Gli uomini possono fare tutto - Aprile 2026

Questo mese volevo raccontare di come uomini e donne possono fare tutto. Così un giorno ho potuto posticipare un incontro con un cliente per poter accompagnare un figlio a una visita medica programmata (ma non avevo programmato l'indisponibilità dei nonni) e mia moglie, un altro giorno in cui era a lavorare a casa mentre io ero fuori Milano, ha potuto accompagnare al pronto soccorso lo stesso figlio che si era lussato una spalla (primo grado, 2 settimane con il tutore).  

Invece ho fatto una riflessione e volevo renderla pubblica.  

Ho un figlio che gioca a calcio a 7 all'oratorio. La squadra è la Juvenilia. Il gruppo degli allenatori (quasi tutti padri di ragazzi che giocano) ha organizzato un incontro con un esperto per parlare di motivazione, crescita, rafforzamento del gruppo e altre cose che non riguardano il calcio giocato.  

Sono riuscito a intrufolarmi ed è stata un'esperienza interessantissima. L'esperto ci ha raccontato come funziona la capacità di apprendimento dei bambini e ragazzi dai 5 ai 15 anni e quali strategie seguire per allenarli. Cose come: dare loro riscontri immediati e positivi, dare loro poche regole, chiare e ripetute, correggere il comportamento e non l’identità, mantenere un clima giocoso, non puntare sui risultati ma farli sentire capaci, farli riflettere sulle cose che funzionano e non funzionano (non sugli errori!), lasciarli sbagliare perché così poi imparano.  

Ci ha anche portato l'esempio di come sono seguiti i settori giovanili di alcune squadre oggi rilevantissime a livello europeo (Barcellona, Monaco, Bilbao, Eindhoven, altre squadre norvegesi), dove mischiano i più bravi con i meno bravi, non fanno competizioni o classifiche fino a quando i ragazzi hanno 13 anni, promuovono più esperienze. Ci ha raccomandato il libro di Carol S. Dweck (Mindset. Cambiare forma mentis per raggiungere il successo).  

E io ho pensato che molte di queste cose le conoscevo già perché le avevo studiate per affrontare le difficoltà dei miei figli.  

Ed ecco qui la riflessione: tutte le cose che ho studiato per superare le difficoltà sono le stesse che servono per raggiungere l'eccellenza. Sdeng.  

Viene, ovviamente da pensare a come certi nostri atteggiamenti sulla scuola e sullo sport (richiedere la prestazione, volere i voti alti, segnalare gli errori, richiamare sempre i ragazzi, sottoporli a studi e allenamenti frequenti, eccetera) non solo non vanno bene per i ragazzi con difficoltà (e da qui possiamo trovare una risposta sulla numerosità dei ragazzi dislessici rispetto al passato), ma bloccano il raggiungimento dell'eccellenza, ossia l'obiettivo a cui troppi genitori aspirano.

Privacy: Modello di DPIA dell'EDPB

L'EDPB (ossia il consesso dei Garanti privacy europei) ha pubblicato il suo "EDPB DPIA Template": https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2026/edpb-dpia-template_en.

L'ho guardato e non l'ho ancora usato. Però mi sembra molto meglio di quello proposto tempo fa dalla CNIL. 

Ringrazio Chiara Ponti (Idraulica della privacy) per avermelo segnalato.

 

Nuova ISO 14001

Monica Perego mi ha segnalato che è stata pubblicata la nuova versione della ISO 14001: https://www.iso.org/standard/14001.  

Io non mi occupo per nulla di questo argomento, però è bene sapere che esiste.  

Vi segnalo quindi un suo articolo con riportate le principali (fa riferimento alla bozza finale, ma non possono esserci differenze tecniche con la versione definitiva): https://www.agendadigitale.eu/smart-city/iso-140012026-guida-alle-novita-per-le-aziende-certificate/.