Cybersecurity: sfide ibride nel nuovo rapporto ENISA

Le organizzazioni europee si trovano oggi a dover affrontare minacce informatiche sempre più sofisticate. In un contesto internazionale segnato da crescenti tensioni geopolitiche, gli attacchi informatici sono diventati strumenti chiave della cosiddetta “guerra ibrida“.
In questo scenario, la protezione dei dati personali è inevitabilmente coinvolta. Le informazioni relative a cittadini, lavoratori e clienti possono diventare obiettivi diretti degli attaccanti o essere compromesse durante operazioni mirate contro infrastrutture e servizi essenziali.

Il rapporto Enisa e le implicazioni per la privacy

Il rapporto sullo stato della cybersecurity nell’Unione Europea, pubblicato il 10 novembre 2026 dall’Enisa (Agenzia europea per la cibersicurezza), analizza l’evoluzione delle minacce e le vulnerabilità delle infrastrutture digitali.

Sebbene il documento non sia dedicato esclusivamente alla privacy, le sue indicazioni sono fondamentali per le organizzazioni che trattano dati personali e per i Data Protection Officer (DPO).

Gli attacchi informatici non mettono a rischio solo la continuità operativa, ma incidono direttamente sulla riservatezza, sull’integrità e sulla disponibilità dei dati personali.

L’impatto dell’Intelligenza Artificiale

Uno degli aspetti più rilevanti evidenziati dal rapporto riguarda l’uso crescente dell‘intelligenza artificiale nelle attività informatiche ostili.

Queste tecnologie permettono agli “attaccanti” di:
– Automatizzare le operazioni;
– Perfezionare i tentativi di frode;
– Rendere più credibili le comunicazioni ingannevoli.

Tali strumenti possono essere utilizzati per attività di spionaggio, campagne di disinformazione o per compromettere sistemi informativi strategici.
In questo contesto, i DPO devono assicurarsi che le valutazioni dei rischi e le procedure aziendali siano aggiornate periodicamente.
L’art. 32 GDPR impone infatti l’adozione di misure tecniche e organizzative adeguate allo stato dell’arte; una misura considerata sufficiente in passato potrebbe non esserlo più a fronte della rapidità degli attacchi moderni.

La vulnerabilità della Blockchain – catena di fornitura

Un punto critico riguarda la sicurezza delle catene di fornitura. L’esternalizzazione dei servizi informatici e il ricorso a piattaforme cloud gestite da terzi espongono le organizzazioni a rischi che non dipendono esclusivamente dalle proprie misure interne.

I fornitori possono diventare bersagli strategici: comprometterne uno può permettere agli attaccanti di colpire simultaneamente numerose organizzazioni, mettendo a rischio grandi quantità di dati personali.

Dal punto di vista del GDPR, ciò richiama l’articolo 28, che impone ai titolari di nominare responsabili del trattamento che garantiscano misure tecniche e organizzative adeguate.

Per i DPO, è fondamentale verificare concretamente tali garanzie, analizzando la gestione dei subresponsabili, i tempi di comunicazione degli incidenti e le procedure di ripristino.

Ridefinire il concetto di violazione dei dati

L’evoluzione delle minacce richiede di superare la concezione di violazione dei dati limitata alla sola sottrazione o divulgazione non autorizzata.
L’art. 4 punto 12 GDPR include nella definizione di violazione dei dati personali anche la distruzione, la perdita, la modifica e l’accesso non autorizzato.

Un attacco ransomware che renda indisponibili informazioni essenziali, o un incidente che ne comprometta l’integrità, può configurare un data breach anche senza una sottrazione accertata.

Le procedure di gestione degli incidenti, pertanto, devono prevedere una valutazione tempestiva delle conseguenze sui dati personali .

Occorre stabilire se ricorrano i presupposti per la notifica al Garante entro 72 ore e per l’eventuale comunicazione agli interessati (articoli 33 e 34 del GDPR).

Oltre la conformità formale

Infine, le analisi di Enisa sottolineano l’importanza degli investimenti, delle competenze e della preparazione del personale.
La conformità normativa non può essere misurata solo attraverso l’esistenza di documenti e certificazioni. L’art. 32 GDPR richiede espressamente di verificare, valutare e riesaminare regolarmente l‘efficacia delle misure adottate.
Per i DPO, questo significa promuovere un approccio sostanziale alla sicurezza, dove le verifiche periodiche e la formazione continua assumano un ruolo centrale.

Il rapporto Enisa offre un’occasione per riflettere sul legame sempre più stretto tra cybersecurity e protezione dei dati personali. Importantissimo in un momento storico in cui gli attacchi informatici sono strumenti di pressione geopolitica e destabilizzazione.

Viviamo in un contesto caratterizzato da minacce informatiche sempre più interconnesse e complesse. La sicurezza delle infrastrutture digitali e la protezione dei dati personali assumono un ruolo strategico. Tempestività, prevenzione e conformità normativa , unite a competenze tecnologiche, rappresentano requisiti imprescindibili.

Per rispondere a queste esigenze, Actainfo mette a disposizione ActaCyber, l’applicativo dedicato alla gestione degli adempimenti in materia di cybersicurezza, ActaPrivacy, la soluzione per la gestione della compliance in ambito privacy e protezione dei dati personali e ActyAI, l’applicativo per la gestione della Intelligenza Artificiale in cloud privato.
Due strumenti complementari, pensati per supportare le organizzazioni nel rafforzamento della sicurezza, nella tutela delle informazioni e nella gestione efficace degli obblighi normativi.

Per ulteriori informazioni contatta il team di Actainfo al seguente link: https://www.actainfo.it/contatti

Fonti: Enisa

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo