Cyber, infrastrutture e potere digitale. Segnalazioni da istituzioni, università, riviste scientifiche e fonti di settore, con eventuali note di analisi su temi selezionati a cura della Redazione Magnus.
Un nome APT non prova da solo l’identità o il sostegno di uno Stato. L’attribuzione resta quella della fonte citata, con il livello di fiducia dichiarato; una campagna osservata non dimostra la compromissione di ogni bersaglio indicato.
05 · REGOLE E GOVERNANCE
Norme e standard
Il quadro di riferimento per le imprese italiane: obblighi, sistemi di gestione e strumenti operativi.
Partire dal proprio perimetro. Settore, dimensione, attività svolta, ruolo e comunicazioni delle autorità determinano quali obblighi si applicano. Questa selezione collega norme europee e italiane ai principali standard e framework per cyber, privacy, continuità e intelligenza artificiale.
9 norme · 13 standard · 5 framework e guide
Verifica editoriale: · Repertorio consultabile anche senza account
Perimetri specifici
Finanza, servizi digitali, industria e servizi essenziali. DORA, NIS2 e CER seguono criteri differenti. L’appartenenza a un settore è un punto di partenza: contano anche esclusioni, soglie, qualificazione e identificazione del soggetto.
La vigilanza, i provvedimenti attuativi e le comunicazioni individuali completano il quadro. Un fornitore può avere requisiti contrattuali anche senza essere direttamente soggetto alla stessa disciplina del cliente.
Imprese fuori dai perimetri dedicati
Fuori da NIS2 o DORA non significa senza obblighi. Trattare dati personali, sviluppare o usare IA, immettere prodotti digitali sul mercato e gestire dati di prodotti connessi può rendere pertinenti GDPR, AI Act, CRA e Data Act.
ISO, NIST e CIS aiutano a organizzare le misure. Sono riferimenti normalmente volontari, salvo richiami normativi o requisiti contrattuali; una certificazione non equivale alla conformità automatica a una legge.
27 riferimenti
Nessun riferimento per questa selezione. Cambia settore, tipologia o ricerca.
NormativaNorme europee e italianeNIS2 · D.Lgs. 138/2024Governance cyber, rischio, filiera e incidenti per i soggetti essenziali e importanti individuati secondo il decreto italiano.
Destinatari e perimetro
Soggetti essenziali e importanti identificati secondo il decreto italiano. Il settore, le dimensioni, le eccezioni e gli eventuali provvedimenti di individuazione determinano il perimetro. Non tutte le PMI sono soggetti NIS; un fornitore può ricevere requisiti contrattuali senza diventare automaticamente soggetto NIS.
Da mettere a fuoco
Verificare perimetro e classificazione, comunicazione ACN e determinazioni correnti. Documentare responsabilità del vertice, rischi, fornitori e procedura di notifica.
Calendario e applicazione
16/10/2024 · Entrata in vigore del decreto italiano. Le decorrenze operative seguono le determinazioni ACN e la comunicazione al singolo soggetto; evitare una scadenza uguale per tutti.
Coordinamento
Per le disposizioni equivalenti, coordinare il regime NIS con DORA e con gli altri obblighi nazionali applicabili; non duplicare automaticamente ogni adempimento.
NormativaNorme europee e italianeDORA · Regolamento (UE) 2022/2554Resilienza operativa digitale delle entità finanziarie e gestione del rischio dei fornitori TIC.
Destinatari e perimetro
Entità finanziarie nel perimetro del regolamento e relativa catena di fornitura TIC. Verificare le categorie dell’articolo 2 e le esclusioni. I fornitori TIC hanno un ruolo distinto dalle entità finanziarie; il quadro di sorveglianza diretta riguarda i fornitori critici designati. I contratti possono estendere richieste operative lungo la filiera.
Da mettere a fuoco
Mappare servizi TIC e funzioni critiche o importanti. Verificare registro dei contratti, gestione incidenti e programma di test proporzionato.
Calendario e applicazione
17/01/2025 · Applicazione del regolamento. Per le entità comprese nel suo ambito; incluse le pertinenti norme tecniche.
Coordinamento
L’appartenenza alla filiera TIC non trasforma automaticamente un fornitore in entità finanziaria né in fornitore critico designato. Coordinare DORA e NIS2 per gli obblighi equivalenti.
NormativaNorme europee e italianeAI Act · Regolamento (UE) 2024/1689Ruoli, pratiche vietate, trasparenza e sistemi ad alto rischio: un calendario differenziato per l’intelligenza artificiale.
Destinatari e perimetro
Fornitori, deployer, importatori e distributori di sistemi IA, secondo ruolo e uso. Una normale impresa che usa IA può essere deployer anche fuori da un settore regolamentato. Gli obblighi dipendono dal ruolo e dall’uso concreto; il software IA non è automaticamente ad alto rischio.
Da mettere a fuoco
Inventariare gli usi IA e distinguere ruolo, rischio, dati e impatti. Verificare trasparenza, supervisione e preparazione delle persone coinvolte.
Calendario e applicazione
02/02/2025 · Prime norme su divieti e alfabetizzazione IA. Secondo il testo applicabile e le modifiche successive. 02/08/2026 · Regole di trasparenza, articolo 50. Con disposizioni transitorie specifiche per taluni sistemi preesistenti. 02/12/2026 · Nuovi divieti e transizione articolo 50(2). Secondo il Digital Omnibus on AI. 02/12/2027 · Alto rischio, allegato III. Nuova decorrenza risultante dal Digital Omnibus; applicare le condizioni e disposizioni transitorie. 02/08/2028 · Alto rischio incorporato nei prodotti, allegato I. Secondo il relativo ambito e le norme settoriali.
Coordinamento
La classificazione del sistema e il ruolo dell’impresa richiedono un esame concreto. La certificazione ISO/IEC 42001 del sistema di gestione non costituisce automaticamente conformità all’AI Act.
NormativaNorme europee e italianeGDPR · Regolamento (UE) 2016/679Protezione dei dati personali e responsabilizzazione, anche per le imprese fuori dai perimetri cyber settoriali.
Destinatari e perimetro
Titolari e responsabili di trattamenti di dati personali nel suo ambito territoriale. Rileva anche per imprese non comprese nei perimetri DORA o NIS2, quando trattano dati personali nel suo ambito. Non ogni incidente cyber è una violazione dei dati personali notificabile.
Da mettere a fuoco
Mappare trattamenti, basi giuridiche e fornitori. Gestire sicurezza e data breach; valutare i presupposti della notifica, distinta dagli altri regimi.
Calendario e applicazione
25/05/2018 · Applicazione del regolamento. Da leggere con la normativa nazionale applicabile.
Coordinamento
La notifica di una violazione dei dati personali segue presupposti propri. Non confondere ogni incidente informatico con un data breach notificabile.
NormativaNorme europee e italianeCyber Resilience Act · Regolamento (UE) 2024/2847Sicurezza di hardware e software con elementi digitali, dalla progettazione al supporto e alle vulnerabilità.
Destinatari e perimetro
Fabbricanti, importatori e distributori di prodotti con elementi digitali nel perimetro CRA. Il perimetro dipende dal prodotto e dal ruolo economico. Esistono esclusioni e regimi settoriali, ad esempio per determinati dispositivi medici; l’uso di un prodotto non rende automaticamente l’impresa fabbricante.
Da mettere a fuoco
Verificare prodotti e ruolo nella catena del valore. Preparare gestione vulnerabilità, supporto, documentazione e segnalazioni pertinenti.
Calendario e applicazione
11/09/2026 · Obblighi di segnalazione, articolo 14. Per vulnerabilità attivamente sfruttate e incidenti gravi ricadenti nelle condizioni del regolamento. 11/12/2027 · Applicazione generale del CRA. Fatte salve disposizioni transitorie e date specifiche.
Coordinamento
Verificare eccezioni e discipline speciali. I requisiti di prodotto non coincidono con la sicurezza dell’intera organizzazione e non sostituiscono gli altri regimi.
NormativaNorme europee e italianeCER · D.Lgs. 134/2024Resilienza dei soggetti critici formalmente individuati, rispetto a rischi fisici, naturali e di origine umana.
Destinatari e perimetro
Soggetti critici formalmente individuati per servizi essenziali. Non ogni impresa di un settore critico è automaticamente un soggetto CER: occorre l’individuazione e la relativa notifica. Per banche, infrastrutture dei mercati finanziari e infrastrutture digitali operano specifiche esclusioni da determinati obblighi CER.
Da mettere a fuoco
Verificare individuazione e autorità settoriale competente. Coordinare valutazione delle dipendenze e piano di resilienza con gli altri regimi applicabili.
Calendario e applicazione
18/10/2024 · Entrata in vigore del decreto italiano. Valutazione del rischio entro nove mesi dalla notifica individuale; altri obblighi secondo il termine di dieci mesi e le eccezioni del decreto.
Coordinamento
La resilienza fisica e organizzativa si coordina con la sicurezza cyber; CER e NIS2 non hanno perimetri né decorrenze automaticamente identici.
NormativaNorme europee e italianeData Act · Regolamento (UE) 2023/2854Dati dei prodotti connessi, rapporti tra imprese e passaggio tra servizi cloud e di trattamento dati.
Destinatari e perimetro
Attori dei prodotti connessi e servizi correlati, detentori e utenti dei dati, fornitori di servizi di trattamento dati. È un quadro intersettoriale, ma i singoli obblighi dipendono dal ruolo, dai dati, dal servizio e dalle specifiche esclusioni. Non sostituisce il GDPR per i dati personali.
Da mettere a fuoco
Verificare clausole su accesso ai dati, portabilità e uscita dal cloud. Considerare interoperabilità, segreti commerciali e protezione dei dati personali.
Calendario e applicazione
12/09/2025 · Applicazione generale. Con decorrenze specifiche per singole disposizioni. 12/01/2027 · Eliminazione delle spese di switching. Per il passaggio tra servizi di trattamento dati rientranti nel capo VI; distinguere i servizi e costi fuori da tale disciplina.
Coordinamento
Per i dati personali resta applicabile il GDPR. Distinguere accesso ai dati, segreti commerciali, sicurezza e clausole dei singoli servizi.
NormativaNorme europee e italianePerimetro di sicurezza nazionale ciberneticaRegime nazionale per soggetti e asset specificamente inclusi nel Perimetro di sicurezza nazionale cibernetica.
Destinatari e perimetro
Amministrazioni, enti e operatori pubblici e privati specificamente inclusi nel perimetro. Individuazione specifica; verificare comunicazioni e atti attuativi, evitando di pubblicare elenchi riservati.
Da mettere a fuoco
D.L. 105/2019 convertito dalla L. 133/2019 e provvedimenti attuativi. Gli obblighi riguardano i soggetti e gli asset ricadenti nel perimetro; non coincidono con l’intero settore o con l’elenco NIS.
Calendario e applicazione
D.L. 105/2019, convertito dalla L. 133/2019, con DPCM e altri atti applicativi. Le decorrenze seguono gli obblighi e le comunicazioni pertinenti.
Coordinamento
Il Perimetro di sicurezza nazionale non coincide con l’elenco NIS. Verificare il ruolo del soggetto e degli asset, oltre agli eventuali requisiti sulla filiera.
NormativaNorme europee e italianeLegge 90/2024 · cybersicurezza nazionaleCybersicurezza nazionale, soggetti pubblici e servizi individuati, contratti informatici strategici.
Destinatari e perimetro
Amministrazioni e soggetti specificamente indicati dalla legge; rilevanza anche per i contratti di forniture strategiche. Non è un obbligo indifferenziato per tutte le imprese. Individuare l’articolo e i destinatari applicabili, coordinando i regimi nazionali ed europei.
Da mettere a fuoco
Rafforzamento della cybersicurezza nazionale, resilienza delle pubbliche amministrazioni, contratti informatici strategici e contrasto dei reati informatici.
Calendario e applicazione
L. 90/2024, pubblicata il 2 luglio 2024. Per ogni obbligo verificare i destinatari e le disposizioni applicabili.
Coordinamento
I destinatari cambiano secondo le disposizioni della legge. Coordinare obblighi di notifica e sicurezza con gli altri regimi effettivamente applicabili.
Standard tecnicoSicurezza e rischioISO/IEC 27001:2022Requisiti per governare la sicurezza delle informazioni attraverso un sistema di gestione basato sul rischio.
Destinatari e perimetro
Imprese di ogni dimensione e settore; fornitori ICT e filiere regolamentate.
Da mettere a fuoco
Requisiti per governare la sicurezza delle informazioni attraverso un sistema di gestione basato sul rischio. Utile per organizzare ruoli, controlli, audit e miglioramento; il certificato non assicura da solo l'adempimento degli obblighi di legge.
Edizione e natura
Pubblicato; Amd 1:2024 · Standard di sistema di gestione
Adozione e limiti
Certificazione del sistema possibile, sul perimetro dichiarato. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoSicurezza e rischioISO/IEC 27002:2022Guida per scegliere e attuare controlli organizzativi, relativi alle persone, fisici e tecnologici.
Destinatari e perimetro
Responsabili della sicurezza, IT, risorse umane e funzioni di controllo di qualsiasi settore.
Da mettere a fuoco
Guida per scegliere e attuare controlli organizzativi, relativi alle persone, fisici e tecnologici. Accompagna l'implementazione di un sistema ISO/IEC 27001; non è un obbligo uniforme di applicare ogni controllo a ogni impresa.
Edizione e natura
Pubblicato; versione corretta marzo 2022 · Guida ai controlli
Adozione e limiti
Non è uno standard autonomo di certificazione. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoSicurezza e rischioISO/IEC 27005:2022Riferimento per valutare e gestire i rischi della sicurezza delle informazioni nel contesto dell'organizzazione.
Destinatari e perimetro
CISO, risk manager e imprese che devono motivare priorità e trattamento del rischio.
Da mettere a fuoco
Riferimento per valutare e gestire i rischi della sicurezza delle informazioni nel contesto dell'organizzazione. Supporta decisioni e responsabilità, senza fornire una formula unica o sostituire i criteri richiesti dalla normativa applicabile.
Edizione e natura
Pubblicato, quarta edizione · Guida al rischio informativo
Adozione e limiti
Guida, non certificazione autonoma di sistema. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoPrivacy e cloudISO/IEC 27701:2025Requisiti e guida per un sistema di gestione delle informazioni personali.
Destinatari e perimetro
Titolari e responsabili del trattamento di dati personali, in qualsiasi settore.
Da mettere a fuoco
Requisiti e guida per un sistema di gestione delle informazioni personali. La nuova edizione è autonoma e può integrarsi con ISO/IEC 27001. Supporta responsabilizzazione e gestione del rischio privacy; gli adempimenti GDPR restano da valutare sul trattamento concreto.
Edizione e natura
Pubblicato ottobre 2025; sostituisce il 2019 · Standard di sistema di gestione privacy
Adozione e limiti
Sistema di gestione privacy indipendente; non equivale a certificazione GDPR. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoPrivacy e cloudISO/IEC 27017:2026Approfondisce i controlli di sicurezza del cloud e la ripartizione delle responsabilità tra cliente e fornitore.
Destinatari e perimetro
Clienti e fornitori di servizi cloud pubblici, privati e ibridi.
Da mettere a fuoco
Approfondisce i controlli di sicurezza del cloud e la ripartizione delle responsabilità tra cliente e fornitore. Serve per valutazione dei servizi, accordi e gestione operativa; non garantisce automaticamente conformità legale o qualifica del servizio.
Edizione e natura
Pubblicato luglio 2026; sostituisce il 2015 · Guida ai controlli cloud
Adozione e limiti
Controlli e guida per il cloud; verificare sempre lo specifico schema e perimetro di attestazione. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoPrivacy e cloudISO/IEC 27018:2025Indicazioni per proteggere i dati personali nel cloud pubblico quando il fornitore opera come responsabile del trattamento.
Destinatari e perimetro
Fornitori di cloud pubblico che trattano dati personali per conto dei clienti e organizzazioni che li selezionano.
Da mettere a fuoco
Indicazioni per proteggere i dati personali nel cloud pubblico quando il fornitore opera come responsabile del trattamento. Completa la valutazione di responsabilità, trasparenza e misure del servizio; non copre indistintamente ogni ruolo e modello cloud.
Edizione e natura
Pubblicato agosto 2025; sostituisce il 2019 · Guida alla protezione dei dati nel cloud
Adozione e limiti
Guida di settore; non equivale ad attestazione generale GDPR. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoContinuità e resilienzaISO 22301:2019Requisiti per organizzare la continuità operativa, dalle priorità dei processi alla preparazione e al recupero dopo interruzioni.
Destinatari e perimetro
Imprese che devono mantenere o ripristinare servizi e processi essenziali, anche PMI e fornitori.
Da mettere a fuoco
Requisiti per organizzare la continuità operativa, dalle priorità dei processi alla preparazione e al recupero dopo interruzioni. La gestione deve includere dipendenze e prove; lo standard non sostituisce le regole specifiche di resilienza del settore.
Edizione e natura
Edizione pubblicata; Amd 1:2024; revisione in sviluppo · Standard di sistema di gestione
Adozione e limiti
Certificazione del sistema di continuità possibile. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoSicurezza e rischioISO 31000:2018Principi e impostazione per integrare il rischio nella governance e nelle decisioni.
Destinatari e perimetro
Organi di governo, risk manager e funzioni di business di ogni settore.
Da mettere a fuoco
Principi e impostazione per integrare il rischio nella governance e nelle decisioni. Può raccordare rischi cyber, operativi e strategici, ma non offre una certificazione aziendale ISO 31000 e non determina da sola la conformità normativa.
Edizione e natura
Edizione pubblicata; confermata nel 2023; revisione in sviluppo · Guida al risk management
Adozione e limiti
Non utilizzabile per certificare un sistema di gestione. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoIntelligenza artificialeISO/IEC 42001:2023Requisiti per governare responsabilità, processi, rischi e miglioramento nell'uso dell'intelligenza artificiale.
Destinatari e perimetro
Organizzazioni che sviluppano, forniscono o utilizzano sistemi AI, in qualsiasi settore.
Da mettere a fuoco
Requisiti per governare responsabilità, processi, rischi e miglioramento nell'uso dell'intelligenza artificiale. Il sistema di gestione aiuta a rendere controllabili le scelte; classificazione del rischio e obblighi AI Act dipendono comunque dal ruolo e dal sistema concreto.
Edizione e natura
Pubblicato dicembre 2023 · Standard di sistema di gestione AI
Adozione e limiti
Certificazione del sistema di gestione possibile; non conformità automatica all'AI Act. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoIntelligenza artificialeISO/IEC 23894:2023Guida per integrare il rischio specifico dell'AI nelle attività dell'organizzazione.
Destinatari e perimetro
Sviluppatori, produttori, fornitori e utilizzatori di prodotti e servizi AI.
Da mettere a fuoco
Guida per integrare il rischio specifico dell'AI nelle attività dell'organizzazione. Affianca la governance e la valutazione dei sistemi, adattandosi al contesto; non è un attestato di conformità all'AI Act.
Edizione e natura
Pubblicato febbraio 2023 · Guida al rischio AI
Adozione e limiti
Guida, non standard autonomo di certificazione. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoIndustria, OT ed energiaSerie ISA/IEC 62443Riferimenti per sicurezza dell'automazione e dei sistemi di controllo lungo il ciclo di vita.
Destinatari e perimetro
Asset owner e operatori OT, integratori, manutentori e produttori di componenti industriali.
Da mettere a fuoco
Riferimenti per sicurezza dell'automazione e dei sistemi di controllo lungo il ciclo di vita. Coprono organizzazione, sistemi, componenti e sviluppo sicuro secondo parti differenti. Il perimetro deve distinguere responsabilità dell'operatore, del fornitore e dell'integratore.
Edizione e natura
Parti ed edizioni diverse; selezionare il riferimento pertinente · Serie di standard per automazione e controllo
Adozione e limiti
Esistono valutazioni e certificazioni riferite a parti, ruoli, prodotti o sistemi specifici; non un unico certificato dell'intera serie. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoIndustria, OT ed energiaISO/IEC 27019:2024Adatta i controlli di sicurezza al contesto delle utility energetiche e ai sistemi che sostengono i processi.
Destinatari e perimetro
Produzione, trasmissione, distribuzione e stoccaggio di energia e relativi processi di controllo.
Da mettere a fuoco
Adatta i controlli di sicurezza al contesto delle utility energetiche e ai sistemi che sostengono i processi. Il campo include ambienti di controllo e automazione; il controllo di processo delle installazioni nucleari è escluso dal relativo perimetro.
Edizione e natura
Pubblicato ottobre 2024; sostituisce il 2017 · Controlli di sicurezza per le utility energetiche
Adozione e limiti
Controlli settoriali; non una conformità automatica a NIS2, CER o norme dell'energia. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Framework e guidaFramework operativiNIST Cybersecurity Framework 2.0Organizza gli esiti di gestione del rischio cyber, includendo la funzione Govern.
Destinatari e perimetro
Imprese di qualsiasi dimensione, settore o maturità; governance e filiera.
Da mettere a fuoco
Organizza gli esiti di gestione del rischio cyber, includendo la funzione Govern. Profili attuali e obiettivo aiutano a comunicare priorità; non è una checklist prescrittiva uguale per tutti né una certificazione NIST.
Edizione e natura
Pubblicato febbraio 2024 · Framework volontario di gestione cyber
Adozione e limiti
NIST non certifica né approva implementazioni CSF. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Framework e guidaIntelligenza artificialeNIST AI Risk Management Framework 1.0Riferimento per gestire affidabilità e rischi dell'intelligenza artificiale nel ciclo di vita.
Destinatari e perimetro
Organizzazioni che progettano, sviluppano, valutano o impiegano AI.
Da mettere a fuoco
Riferimento per gestire affidabilità e rischi dell'intelligenza artificiale nel ciclo di vita. Il profilo Generative AI NIST-AI-600-1 del 2024 può integrare l'analisi per i sistemi generativi. I documenti in consultazione restano distinti da quelli finali.
Edizione e natura
Versione 1.0 del 2023; revisione annunciata, non sostituita da una bozza · Framework volontario di gestione del rischio AI
Adozione e limiti
Non è una certificazione di sistema né un obbligo europeo. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Framework e guidaFramework operativiNIST SP 800-61 Rev. 3Integra preparazione, risposta e recupero dagli incidenti nella gestione del rischio cyber e nel CSF 2.0.
Destinatari e perimetro
Incident responder, SOC, CSIRT, responsabili di rischio e continuità.
Da mettere a fuoco
Integra preparazione, risposta e recupero dagli incidenti nella gestione del rischio cyber e nel CSF 2.0. Supporta processi e coordinamento operativo; termini e destinatari delle notifiche legali devono essere determinati separatamente.
Edizione e natura
Finale aprile 2025; sostituisce Rev. 2 · Raccomandazioni per la risposta agli incidenti
Adozione e limiti
Guida tecnica, non certificazione autonoma. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Framework e guidaFramework operativiCIS Critical Security Controls v8.1Controlli organizzati in gruppi di implementazione per graduare le priorità.
Destinatari e perimetro
PMI e organizzazioni di ogni dimensione, secondo rischio e risorse disponibili.
Da mettere a fuoco
Controlli organizzati in gruppi di implementazione per graduare le priorità. IG1 propone l'igiene cyber essenziale; IG2 e IG3 ampliano le salvaguardie in base al contesto. Utile per una roadmap operativa verificabile, senza equipararlo a una legge.
Edizione e natura
Versione 8.1 pubblicata · Controlli prioritari di sicurezza
Adozione e limiti
Riferimento operativo; non attestazione automatica della conformità normativa. Riferimento normalmente volontario, salvo richiami normativi o requisiti contrattuali.
Standard tecnicoPagamenti e filieraPCI DSS v4.0.1Sicurezza dei dati di pagamento per esercenti e operatori della filiera delle carte.
Destinatari e perimetro
Organizzazioni che conservano, trattano o trasmettono dati di carte, o che possono influire sulla sicurezza del relativo ambiente; inclusi gli esercenti, secondo il perimetro pertinente.
Da mettere a fuoco
Individuare ambiente dei dati di pagamento, servizi esternalizzati e modalità di verifica richieste dal circuito o dall’acquirer.
Edizione e natura
Versione 4.0.1 · standard PCI SSC; consultare la documentazione e i programmi applicabili.
Adozione e limiti
Non è una legge europea generale. Le richieste derivano dai programmi dei circuiti e dagli accordi contrattuali; esternalizzare il pagamento non annulla automaticamente ogni responsabilità dell’esercente.
Framework e guidaAttuazione tecnica NIS2ENISA · NIS2 Technical Implementation GuidanceIndicazioni tecniche e riscontri utili per gli specifici servizi digitali e TIC del Regolamento (UE) 2024/2690.
Destinatari e perimetro
Entità delle infrastrutture digitali, gestione dei servizi TIC e fornitori digitali comprese nello specifico regolamento di esecuzione; non tutti i soggetti NIS2 indistintamente.
Da mettere a fuoco
Raccordare requisiti, misure, esempi di evidenze e riferimenti tecnici, verificando il proprio ambito e gli atti nazionali pertinenti.
Edizione e natura
Guida ENISA del 26 giugno 2025 · documento di supporto tecnico.
Adozione e limiti
La guida non crea una certificazione né sostituisce il decreto italiano e le determinazioni ACN applicabili. Distinguere il regolamento vincolante dalla guida di supporto.
I filtri indicano pertinenza orientativa, non assegnano un obbligo o un’esenzione alla singola impresa. Il repertorio è selettivo e revisionato editorialmente: i feed automatici della raccolta generale non aggiornano da soli queste schede. Per testi vigenti, scadenze e atti applicativi consulta i collegamenti ufficiali. Le norme ISO/IEC complete restano disponibili presso gli enti di normazione e possono essere a pagamento; Magnus non ne riproduce il testo.
Come leggere i riscontri
«Segnalazione documentata — accertamenti in corso» indica un caso riportato da fonti giornalistiche datate, distinto dalla conferma primaria dell’incidente. Una rivendicazione è una dichiarazione di responsabilità, non una prova dell’attacco. «Incidente confermato» indica un riscontro della vittima o di un’autorità e non conferma, da solo, l’identità dell’autore.
Fonti e stato della raccolta
Canali ufficiali selezionati, natura della fonte e data dell’ultimo controllo. I titoli conservano la lingua originale; i preprint sono riconoscibili e distinti dalle riviste scientifiche.
IL REGISTRO, IN PROSPETTIVA
Leggere i segnali. Osservare le proporzioni.
Le schede di Italia ed Europa, viste attraverso geografia, settori e riscontri. Una prospettiva sul registro documentato di Magnus.
Collegamento al registro…
Controllo automatico ogni 60 secondi
Verifica della selezione disponibile…
I grafici si aggiornano quando cambiano le schede pubblicate.
Schede nel registro
—
nella selezione corrente
Incidenti confermati
—
riscontro della vittima o di un’autorità
Rivendicazioni documentate
—
dichiarazioni con una fonte
Entrambi i riscontri
—
già incluse nei due conteggi precedenti
Una scheda può avere sia una rivendicazione sia una conferma: i due conteggi non si sommano. La conferma dell’incidente non conferma automaticamente l’identità dell’autore.
01 · EFFETTI DOCUMENTATI
Quali conseguenze risultano
Matrice settore × impatto documentato. Una scheda può avere più effetti; le celle non si sommano.
Caricamento dei riscontri…
Leggi i dati della matrice
02 · MODI DI COLPIRE
Come vengono condotti gli attacchi
Tipologia documentata, distinta dal vettore iniziale.
Caricamento…
Leggi i dati del grafico
03 · CONTINUITÀ DEI SERVIZI
Stato operativo comunicato
Ultimo stato documentato, con data del riscontro; non è un monitoraggio tecnico in diretta.
Caricamento…
Leggi i dati del grafico
04 · GEOGRAFIA DEI BERSAGLI
Dove si trovano i bersagli
Paesi del bersaglio nella sola selezione Magnus, non provenienza degli attaccanti. Seleziona un Paese per aprire i casi documentati. Il grigio indica assenza di schede nella selezione, non assenza di attacchi.
Caricamento della mappa della selezione…
Selezione non esaustiva. Conteggi e collegamenti alle schede sono disponibili anche in «Geografia e stato dei riscontri».
01 · NEL TEMPO
Divulgazioni e aggiornamenti delle fonti
Ultimi 90 giorni
Ogni scheda è collocata alla data più recente delle fonti inserite, che può essere successiva all’attacco.
Caricamento dei dati del registro…
Leggi i dati del graficoGeografia e stato dei riscontri
02 · GEOGRAFIA
Paesi dei bersagli
La sede dell’organizzazione colpita, non la provenienza presunta dell’attaccante.
Caricamento…
Leggi i dati del grafico
03 · DIPENDENZE
Settori interessati
La distribuzione delle schede nei settori indicati durante la verifica editoriale.
Caricamento…
Leggi i dati del grafico
04 · RISCONTRI
Che cosa risulta
Quattro gruppi che non si sovrappongono: sola segnalazione documentata, sola rivendicazione, sola conferma oppure rivendicazione e conferma. Ogni scheda viene contata una sola volta.
Caricamento…
Leggi i dati del grafico
I casi dietro il grafico
Una lettura del registro, non una misura di tutti gli attacchi. La selezione non è esaustiva; più schede possono riguardare lo stesso evento. I grafici descrivono i contenuti pubblicati e non misurano, da soli, frequenza, gravità o rischio cyber.
In attesa del primo controllo.
IL METODO
Fonte. Segnalazione. Interpretazione.
01
Fonti riconoscibili
Selezioniamo canali ufficiali di istituzioni, università, riviste scientifiche e fonti di settore. Ogni scheda indica provenienza, data e collegamento al documento originale.
02
Raccolta continua
La raccolta viene aggiornata durante la giornata. Titoli, lingue e date restano quelli delle fonti: una nuova segnalazione può riferirsi a un evento precedente.
03
Una voce distinta
Le note editoriali sono contributi di analisi firmati «Redazione Magnus». Il tipo di fonte è sempre distinto: un archivio aperto non attesta, da solo, la revisione paritaria del singolo contributo. La raccolta non certifica automaticamente le affermazioni dei documenti.
IL PROSSIMO PASSO
La prima lettura. Una prospettiva più ampia.
Fino a due schede in anteprima per ciascuna sezione della raccolta, quando disponibili. Il repertorio Norme e standard è aperto a tutti. Con un account verificato consulti la raccolta completa, gli archivi e i filtri. Il numero dei contenuti aggiuntivi è sempre visibile.
Tutte le segnalazioni e le schede incidenti, oltre alle anteprime
Filtri per tema, fonte, tipo e periodo
Note della Redazione Magnus, quando presenti
Accesso completo gratuito fino al 28 febbraio 2027. Nessuna carta di credito, nessun rinnovo automatico.