Le rivendicazioni degli attaccanti devono tuttavia essere trattate con cautela.
Reuters non ha potuto verificare in modo indipendente né la natura né la quantità dei dati che Cl0p sostiene di aver sottratto. Le prime dichiarazioni delle società interessate descrivono inoltre situazioni differenti e ancora in fase di accertamento.

Il collegamento con Windchill e FlexPLM

Secondo un avviso diffuso da Ransom-ISAC, la campagna è stata collegata allo sfruttamento di vulnerabilità presenti in PTC Windchill PDMLink e PTC FlexPLM, piattaforme utilizzate per la gestione del ciclo di vita dei prodotti e dei relativi dati tecnici.

Questi sistemi possono contenere informazioni particolarmente sensibili per il business: progetti, disegni tecnici, specifiche, distinte base, dati di produzione, documentazione sui fornitori e proprietà intellettuale.
Non sono quindi semplici applicativi amministrativi, ma archivi centrali per numerose organizzazioni dei settori manifatturiero, automobilistico, aerospaziale, retail e abbigliamento.

PTC ha pubblicato un avviso dedicato alla vulnerabilità CVE-2026-12569, che può consentire a un utente non autorizzato di eseguire codice da remoto.
Il problema è legato alla deserializzazione di dati non attendibili ed è classificato come critico: PTC gli attribuisce un punteggio CVSS 4.0 pari a 9,3, mentre il National Vulnerability Database riporta un punteggio CVSS 3.1 pari a 9,8.

La vulnerabilità è stata inserita il 25 giugno 2026 nel catalogo delle vulnerabilità sfruttate attivamente, il Known Exploited Vulnerabilities Catalog della statunitense CISA. PTC ha messo a disposizione patch, misure di mitigazione e indicatori di compromissione, invitando i clienti ad applicare immediatamente le correzioni e a controllare gli ambienti interessati.

Non è stato confermato pubblicamente che ogni organizzazione citata nelle più recenti rivendicazioni sia stata compromessa attraverso CVE-2026-12569. Il collegamento tra la campagna Cl0p e lo sfruttamento di installazioni Windchill e FlexPLM esposte in rete resta però un elemento operativo da considerare con la massima priorità.

Un modello di attacco sempre più industrializzato

Cl0p è noto per campagne che non puntano necessariamente una singola azienda. Il gruppo cerca vulnerabilità in software largamente adottati e tenta di sfruttarle su più installazioni, moltiplicando il numero delle potenziali vittime.

È un modello diverso dal classico attacco costruito su misura contro un’organizzazione specifica. Il bersaglio iniziale diventa il prodotto software; le aziende che lo utilizzano rappresentano il bacino di possibili compromissioni.

Inoltre, l’estorsione non richiede sempre la cifratura dei sistemi. Se gli attaccanti riescono a sottrarre documenti riservati o proprietà intellettuale, possono minacciare la pubblicazione dei dati e fare pressione sull’organizzazione anche senza bloccarne completamente le attività.

Questo riduce la visibilità immediata dell’incidente. Un sistema può continuare apparentemente a funzionare mentre dati sensibili vengono raccolti e trasferiti all’esterno. Per questo il solo controllo della disponibilità dei servizi non basta: servono monitoraggio, analisi dei log e capacità di individuare comportamenti anomali.

Il rischio della concentrazione tecnologica

La vicenda mostra anche un punto debole delle moderne catene digitali. Quando molte imprese affidano processi critici allo stesso prodotto, una vulnerabilità può generare un rischio concentrato e propagarsi in settori diversi.

Questo non significa che utilizzare una soluzione diffusa sia automaticamente insicuro. Significa, però, che l’organizzazione non può delegare integralmente la sicurezza al fornitore. Deve conoscere le tecnologie utilizzate, sapere quali servizi sono esposti, ricevere tempestivamente gli avvisi di sicurezza e verificare che le correzioni siano state realmente applicate.

La gestione dei fornitori prevista dalla NIS2 non si limita infatti alla scelta iniziale del partner. Richiede una valutazione continuativa delle dipendenze, delle vulnerabilità e delle conseguenze che un incidente presso un prodotto o un servizio esterno potrebbe avere sull’erogazione delle attività aziendali.

Cosa devono verificare subito le organizzazioni

Le aziende che utilizzano Windchill PDMLink o FlexPLM dovrebbero avviare una verifica coordinata tra funzione IT, cybersecurity, responsabili applicativi, continuità operativa e direzione.

In particolare, è opportuno:

• censire tutte le installazioni Windchill, FlexPLM e le eventuali componenti collegate;
• verificare versioni, patch installate e indicazioni aggiornate pubblicate da PTC;
• controllare se i sistemi sono accessibili direttamente da Internet e ridurre l’esposizione non necessaria;
• confrontare log, file e traffico di rete con gli indicatori di compromissione diffusi dal produttore;
• ricercare accessi anomali, esecuzioni inattese e possibili trasferimenti di dati;
• attivare il piano di risposta agli incidenti se emergono segnali compatibili con una compromissione;
• valutare la rotazione delle credenziali e delle chiavi che potrebbero essere state accessibili dal sistema coinvolto;
• verificare integrità e disponibilità dei backup, senza considerarli una protezione sufficiente contro la sottrazione dei dati;
• documentare verifiche, decisioni, responsabilità e azioni correttive adottate.

Installare la patch è indispensabile, ma potrebbe non essere sufficiente se l’attaccante è entrato prima dell’aggiornamento. Nei sistemi esposti durante il periodo di rischio serve anche una verifica retrospettiva, finalizzata a escludere la presenza di accessi persistenti o tracce di esfiltrazione.

Dalla patch alla gestione strutturata del rischio

La lezione della campagna attribuita a Cl0p è chiara: il patch management non può essere trattato come un’attività tecnica isolata. Deve essere collegato all’inventario degli asset, alla classificazione dei sistemi critici, al monitoraggio delle minacce, alla gestione dei fornitori e alla risposta agli incidenti.

Un aggiornamento applicato con settimane di ritardo su un sistema che conserva proprietà intellettuale non equivale a un ritardo su un dispositivo marginale. La priorità deve dipendere dall’esposizione, dalla criticità dei dati, dalla presenza di sfruttamento attivo e dall’impatto potenziale sul business.

Per i soggetti rientranti nel perimetro NIS2, questo approccio è anche parte della capacità di dimostrare che le misure di sicurezza sono proporzionate al rischio e vengono gestite nel tempo.
Non basta avere una procedura di aggiornamento: occorre poter provare quando l’avviso è stato ricevuto, come è stata valutata la priorità, quali sistemi sono stati corretti e quali controlli sono stati effettuati dopo l’intervento.

Actainfo supporta aziende e Pubbliche Amministrazioni nella valutazione del rischio cyber, nel censimento degli asset, nella gestione delle vulnerabilità, nell’organizzazione delle evidenze NIS2 e nella formazione del personale, anche attraverso il software Actacyber qualificato da ACN.

Fonti

• Reuters – Hacking group claims mass data theft from Shell, Philips, GE, Fiserv and dozens of others
• PTC – Critical Vulnerability in Windchill and FlexPLM
• NVD – CVE-2026-12569

L'articolo Cyberattacco Cl0p: 50 aziende a rischio usando software per supply chain proviene da Actainfo.

L’obbligo, previsto dalla normativa europea e nazionale, mira a garantire l’inclusione digitale per tutti gli utenti, con particolare attenzione a chi presenta disabilità visive, uditive, motorie, cognitive o disturbi dell’apprendimento.

Le norme di riferimento
Le disposizioni derivano dalla Direttiva UE 2016/2102, recepita in Italia con il Decreto legislativo n. 106 del 10 agosto 2018, che ha aggiornato la Legge 4/2004.
L’Agenzia per l’Italia Digitale (AGID) ha emanato le Linee Guida sull’accessibilità degli strumenti informatici, che definiscono:
– i requisiti tecnici per siti web e app;
– le metodologie di verifica;
– il modello della dichiarazione di accessibilità;
– le procedure di monitoraggio;
– i casi di onere sproporzionato.

Gli adempimenti per le PA
Le amministrazioni pubbliche devono:
– verificare la conformità dei propri siti e app;
– pubblicare una Dichiarazione di Accessibilità (a cura del Responsabile per la transizione al digitale);
– predisporre un Meccanismo di Feedback per raccogliere segnalazioni dai cittadini.

Come verificare la conformità
Per valutare il rispetto dei parametri di accessibilità (livello WCAG 2.0 AA), le PA possono utilizzare il software Mauve++, sviluppato dal CNR e consigliato da AGID . https://mauve.isti.cnr.it/.

Supporto e sanzioni
Per il supporto all’adempimento degli obblighi previsti dalla transizione digitale, visita la pagina https://www.actainfo.it/supporto-transizione-digitale 
In caso di violazione degli obblighi, l’AGID può irrogare sanzioni amministrative fino a 100.000 euro, come previsto dal Decreto Semplificazioni Bis (art. 18 bis del CAD).

Articolo elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Scadenza 23 Settembre 2026 Dichiarazione di Accessibilità proviene da Actainfo.

Le FAQ, identificate con i codici da MVE.1 a MVE.5, chiariscono come l’ACN potrà verificare il rispetto degli obblighi previsti dal D.Lgs. 138/2024 da parte di soggetti essenziali, soggetti importanti e Pubbliche Amministrazioni.

Non si tratta di una nuova scadenza né dell’introduzione di ulteriori adempimenti.
Il chiarimento è però rilevante perché rende più leggibile il passaggio dalla fase di adeguamento alla fase di controllo.
Per un’organizzazione non sarà sufficiente dichiarare di essere conforme, ma sarà necessario poter dimostrare nel tempo le misure adottate, le verifiche svolte e gli interventi correttivi realizzati.

I quattro ambiti della vigilanza ACN

La FAQ MVE.1 ricorda che l’attività di vigilanza ed esecuzione si articola in quattro ambiti:

1. monitoraggio, analisi e supporto ai soggetti NIS;
2. verifiche e ispezioni;
3. misure di esecuzione;
4. sanzioni amministrative pecuniarie e accessorie.

ACN applica un approccio graduale e basato sul rischio, nel rispetto dei principi di effettività, proporzionalità e dissuasività, tenendo conto delle caratteristiche del singolo caso.

Questo significa che controlli e provvedimenti non seguono necessariamente uno schema identico per tutte le organizzazioni. Possono incidere, tra gli altri elementi, la gravità e la durata di una violazione, eventuali precedenti, i danni causati, le misure adottate per limitarli e il livello di collaborazione con l’Autorità.

Monitoraggio continuativo: la conformità deve essere dimostrabile

La FAQ MVE.2 evidenzia il carattere sistematico e continuativo delle attività di monitoraggio, analisi e supporto.

ACN può acquisire informazioni sullo stato di attuazione degli obblighi, valutarne le risultanze e accompagnare i soggetti NIS attraverso raccomandazioni, linee guida, FAQ, tavoli settoriali e attività divulgative.

Il D.Lgs. 138/2024 prevede inoltre la possibilità di richiedere rendicontazioni, autovalutazioni, piani di implementazione, audit e scansioni di sicurezza.
La compliance NIS2 non può essere gestita come un fascicolo da preparare una volta sola.
Deve diventare un processo aggiornato, tracciabile e coerente con ciò che l’organizzazione svolge concretamente.

Procedure formalmente corrette ma non applicate, registri non aggiornati o documenti che non corrispondono all’assetto reale si trasformano in criticità durante un controllo.

Ispezioni: la differenza tra soggetti essenziali e importanti

La FAQ MVE.3 chiarisce una distinzione centrale.

Nei confronti dei soggetti essenziali, l’attività ispettiva può essere esercitata anche ex ante, quindi in via preventiva e senza che debbano essere già emersi specifici elementi di possibile violazione.

Per i soggetti importanti, invece, i poteri di verifica e ispettivi possono essere esercitati quando ACN acquisisce o riceve elementi di prova, indicazioni o informazioni di possibili violazioni del decreto NIS.

Le attività di controllo comprendono la verifica della documentazione e delle informazioni trasmesse, ispezioni in loco o a distanza e richieste di accesso a dati, documenti e altre informazioni necessarie.

Essere classificati come soggetto importante, quindi, non significa essere esclusi dalla vigilanza.
Cambia il presupposto per l’avvio dell’attività ispettiva, resta la necessità di mantenere una conformità effettiva e documentata.

Intimazioni, diffide e misure correttive

La FAQ MVE.4 riguarda le misure di esecuzione previste dall’articolo 37 del D.Lgs. 138/2024.

Quando vengono rilevate carenze o condotte non conformi, ACN può richiedere al soggetto NIS di adempiere agli obblighi, attuare le raccomandazioni ricevute, porre rimedio alle criticità individuate o cessare il comportamento in violazione.
L’Autorità può intervenire mediante intimazioni e, in caso di mancato adempimento, attraverso diffide, indicando modalità e termini ragionevoli e proporzionati.

L’adozione di una misura di esecuzione non impedisce la contestazione della violazione e l’eventuale applicazione di una sanzione.
Correggere una carenza è necessario, ma non cancella automaticamente ciò che è già stato accertato.

Sanzioni diverse per soggetti essenziali, importanti e Pubbliche Amministrazioni

La FAQ MVE.5 precisa che l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie variano in base alla natura del soggetto.

Per le principali violazioni indicate dall’articolo 38 del decreto, le sanzioni possono arrivare:

• per i soggetti essenziali diversi dalle Pubbliche Amministrazioni, fino a 10 milioni di euro oppure al 2% del fatturato annuo mondiale dell’esercizio precedente, se superiore;
• per i soggetti importanti diversi dalle Pubbliche Amministrazioni, fino a 7 milioni di euro oppure all’1,4% del fatturato annuo mondiale dell’esercizio precedente, se superiore;
• per le Pubbliche Amministrazioni qualificate come soggetti essenziali, da 25.000 a 125.000 euro;
• per le Pubbliche Amministrazioni qualificate come soggetti importanti, una riduzione di un terzo rispetto agli importi previsti per le PA essenziali.

L’importo effettivo dipende dalla violazione contestata e dai criteri di valutazione previsti dalla normativa. In specifiche circostanze possono trovare applicazione anche misure accessorie.

Cosa devono fare aziende ed enti

Le nuove FAQ non richiedono una corsa a produrre altra documentazione. Richiedono, piuttosto, di verificare che quella esistente sia completa, aggiornata e supportata da evidenze concrete.

È opportuno controllare almeno i seguenti aspetti:

• corretta individuazione degli obblighi applicabili e delle responsabilità interne;
• coerenza tra informazioni comunicate a ACN, organizzazione reale e sistemi utilizzati;
• disponibilità di analisi del rischio, politiche, registri, verbali, report di audit e prove delle misure attuate;
• tracciamento delle carenze, dei responsabili, delle scadenze e della chiusura delle azioni correttive;
• aggiornamento delle procedure di gestione e notifica degli incidenti;
• controllo della sicurezza della catena di fornitura;
• formazione degli organi di amministrazione, dei responsabili e del personale coinvolto;
• svolgimento di verifiche periodiche interne, anche tramite simulazioni di audit.

Dalla conformità formale alla capacità di prova

Il messaggio delle nuove FAQ è chiaro: la vigilanza NIS2 non coincide esclusivamente con l’ispezione. È un processo che parte dal monitoraggio, prosegue con l’analisi e il supporto e può arrivare a verifiche, misure correttive e sanzioni.

Per aziende ed enti, il vero obiettivo è costruire una conformità che possa essere ricostruita e dimostrata in qualsiasi momento.
Aspettare una richiesta di ACN per organizzare documenti, responsabilità ed evidenze sarebbe una strategia fragile, soprattutto per i soggetti essenziali, che possono essere sottoposti a controlli anche in via preventiva.

Actainfo supporta Imprese e Pubbliche Amministrazioni nell’analisi degli obblighi NIS2, nella gestione della governance, nella valutazione dei rischi, nella formazione e nell’organizzazione delle evidenze necessarie a rendere il percorso di conformità verificabile nel tempo, anche attraverso l’applicativo ActaCyber.

Fonti

• ACN – Pubblicate le FAQ sulle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS
• ACN – FAQ NIS: monitoraggio, vigilanza ed esecuzione
• D.Lgs. 4 settembre 2024, n. 138 – Gazzetta Ufficiale

Articolo elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo NIS2, nuove FAQ ACN su controlli e vigilanza: cosa devono sapere aziende ed enti proviene da Actainfo.

Entità dell’Agevolazione

• Dotazione finanziaria complessiva: 400.000,00 euro.
• Importo massimo del voucher: 5.000,00 euro.
• Intensità dell’agevolazione: Il voucher può coprire fino al 70% delle spese ammissibili.
• Investimento minimo: Il progetto deve prevedere una spesa minima di 4.000,00 euro.
• Premialità: È previsto un incremento del voucher di 250,00 euro per le imprese in possesso del rating di legalità o della certificazione della parità di genere.

Come e quando presentare la domanda

– Compilazione: Possibile dalle ore 10:00 dell’8 luglio 2026 sulla piattaforma ReStart.
– Invio domande: Esclusivamente in modalità telematica dalle ore 12:00 del 10 settembre 2026 fino alle ore 18:00 del 30 settembre 2026.
– Procedura: La valutazione avviene “a sportello”, ovvero secondo l’ordine cronologico di presentazione delle domande.

Chi può partecipare e come funziona il finanziamento
Possono accedere ai contributi le Micro, Piccole e Medie Imprese (MPMI) che abbiano sede legale o unità locale nella circoscrizione della Camera di Commercio del Gran Sasso d’Italia. Le imprese devono essere attive, in regola con il diritto annuale e con il DURC.

Ambiti di Intervento e Spese Ammissibili
I progetti devono riguardare l’acquisizione di:

1. Tecnologie: Tra cui intelligenza artificiale, manifattura additiva (stampa 3D), cloud, cyber security, robotica avanzata, Big Data, IoT, sistemi digitali per la sostenibilità e la transizione energetica.
2. Servizi di consulenza: Analisi del profilo digitale/green, piani di sviluppo, implementazione tecnologica, studi per Comunità Energetiche Rinnovabili (CER) e supporto ESG.
3. Formazione: Attività per il personale legate a competenze digitali e green (es. Innovation Manager o Energy Manager).

Spese escluse: Non sono ammissibili spese per trasporto, vitto, alloggio, siti web aziendali, hardware di base (PC, tablet, smartphone) non specificamente connesso al progetto, e web advertising (SEO/SEM).

Actainfo, con la sua esperienza certificata in realizzazione e gestione sul territorio nazionale di servizi digitali, é il partner ideale per:
– realizzare un progetto innovativo attraverso l’adozione di tecnologie avanzate e lo sviluppo di nuove competenze professionali,
– seguirti da remoto, sviluppare, fornire prodotti e servizi finanziabili.

Per informazioni, progetti e preventivi contattaci: https://www.actainfo.it/contatti/ 

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Voucher Doppia Transizione CCIAA GRAN SASSO proviene da Actainfo.

Il codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA illustra in dettaglio una serie di misure per aiutare i fornitori e gli operatori di sistemi di IA generativi a rispettare gli obblighi giuridici di contrassegnare ed etichettare i contenuti generati da AI.
Il codice attribuisce ai firmatari un percorso semplificato, giuridicamente certo che garantisce e dimostra la conformità dell’Intelligenza Artificiale fornita da Actainfo al AI ACT Regolamento Europeo n. 2004/1689, che prevede sanzioni fino a 35 milioni di Euro o al 7% del fatturato secondo la gravità dell’inadempienza.

Gli obblighi di cui all’articolo 50 del Regolamento Europeo AI ACT ( trasparenza per i fornitori e gli operatori di sistemi di AI generativi) contrastano i rischi di inganno e manipolazione, promuovendo l’integrità dell’ecosistema dell’informazione.
Tali obblighi di trasparenza, applicabili a decorrere dal 2 agosto 2026, integrano altre norme come quelle per i sistemi di AI ad alto rischio o i modelli di IA per finalità generali. Esse riguardano la marcatura, l’individuazione dei contenuti generati da AI e l’etichettatura dei deepfake e di alcune pubblicazioni generate da AI.

ActyAI, è il chatbot di Intelligenza artificiale  realizzato da Actainfo con tecnologia europea.

E’ presente come assistente interno nei software , qualificati ACN, realizzati da Actainfo nei seguenti settori operativi:
– applicativi servizi digitali
– siti web,
– amministrazione trasparente,
– privacy GDPR,
– cybersecurity,
– whistleblowing,
– conservazione Agid,
– accessibilità foia,
– transizione digitale,
– gestione albi professionali,
– Formazione on line.

Articolo elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

Fonte: Commissione Europea UE

L'articolo Actainfo ha sottoscritto Codice trasparenza UE Intelligenza Artificiale proviene da Actainfo.

Il documento è destinato principalmente alle Autorità nazionali per la protezione dei dati e dovrebbe essere implementato attraverso strumenti informatici dedicati. L’obiettivo è rendere più uniforme e guidata la raccolta delle informazioni richieste alle organizzazioni quando si verifica una violazione di dati personali.

La consultazione resterà aperta fino alle ore 23:59 del 5 agosto 2026.

Un modello comune per le Autorità europee

Il modello predisposto dall’EDPB introduce una struttura comune che comprende valori predefiniti, indicazioni operative e campi condizionali.

Questi ultimi permetteranno di richiedere determinate informazioni solo quando risultano effettivamente necessarie in base alle caratteristiche della violazione. La compilazione potrebbe quindi diventare più chiara, coerente e meno dispersiva.

Il modello è stato pensato soprattutto per essere integrato negli strumenti digitali utilizzati dalle Autorità di controllo dei diversi Stati membri.

Al termine della consultazione, l’EDPB valuterà le osservazioni ricevute e stabilirà le tempistiche per la futura implementazione pratica da parte delle Autorità nazionali.

Nella fase attuale, quindi, il nuovo modello non sostituisce i portali o le procedure nazionali già utilizzati per notificare le violazioni.

Gli obblighi del GDPR restano invariati

La proposta non modifica gli obblighi previsti dall’articolo 33 del GDPR.

Il titolare del trattamento deve notificare una violazione all’Autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che il data breach sia improbabile che presenti un rischio per i diritti e le libertà delle persone.

La notifica deve contenere almeno:

• la natura della violazione;
• le categorie e il numero approssimativo degli interessati coinvolti;
• le categorie e il numero approssimativo dei dati violati;
• i contatti del Responsabile della protezione dei dati o di un altro referente;
• le probabili conseguenze della violazione;
• le misure adottate o previste per contenerne gli effetti.

Quando non è possibile fornire tutte le informazioni entro le prime 72 ore, il GDPR consente di trasmetterle successivamente in più fasi, senza ulteriori ritardi ingiustificati.

Se la violazione può comportare un rischio elevato per le persone coinvolte, può inoltre diventare necessaria la comunicazione agli interessati prevista dall’articolo 34 del GDPR.

Cosa potrebbe cambiare per aziende ed enti

L’adozione di un modello comune potrebbe ridurre le differenze procedurali tra i diversi Paesi europei e facilitare la gestione delle violazioni che interessano più Stati membri.

Una struttura digitale più guidata potrebbe aiutare le organizzazioni a individuare con maggiore precisione le informazioni necessarie e a ridurre errori, omissioni o richieste successive di integrazione.

Il nuovo modello, tuttavia, non sostituirà la valutazione del rischio effettuata dal titolare del trattamento. La decisione di notificare o meno una violazione continuerà a richiedere un’analisi documentata delle circostanze, dei dati coinvolti e delle possibili conseguenze per gli interessati.

Le procedure devono essere pronte prima dell’incidente

La finestra delle 72 ore rende indispensabile preparare in anticipo ruoli, contatti e flussi decisionali.

Aziende, enti pubblici e professionisti dovranno verificare:

• come vengono segnalati internamente gli incidenti informatici;
• chi deve coinvolgere il DPO e l’Autorità di controllo;
• quali informazioni devono essere raccolte dal personale e dai fornitori;
• come vengono documentate le decisioni di notificare o non notificare;
• se i responsabili esterni del trattamento (art. 28 GDPR) sono tenuti a comunicare tempestivamente eventuali violazioni;
• se esiste un registro aggiornato dei data breach, compresi quelli non notificati.

Il nuovo modello europeo non rappresenta quindi un ulteriore adempimento già operativo, ma indica chiaramente la direzione intrapresa: notifiche più uniformi, digitali e strutturate.

Il termine delle 72 ore, invece, resta invariato.

Fonte: European Data Protection Board – Regolamento europeo sulla protezione dei dati

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Nuovo Modello europeo EDPB notifica data breach: osservazioni entro il 5 agosto proviene da Actainfo.

Come e quando presentare la domanda
Le domande dovranno essere presentate esclusivamente attraverso lo sportello telematico della Regione Abruzzo, accessibile con SPID del legale rappresentante, dalle ore 10 del 21 settembre fino alle ore 10 del 12 ottobre 2026. Le istanze saranno gestite attraverso graduatorie giornaliere e successivamente sottoposte alla valutazione tecnica prevista dall’avviso.

Chi può partecipare e come funziona il finanziamento
Il bando è rivolto alle micro, piccole e medie imprese, alle ditte individuali e ai liberi professionisti con partita Iva operanti in Abruzzo. Il contributo a fondo perduto potrà coprire fino al 70% delle spese ammissibili, con un finanziamento massimo di 100 mila euro per progetto, a fronte di investimenti non inferiori a 10 mila euro.

Tra gli interventi finanziabili rientrano:
– la realizzazione o il potenziamento di piattaforme di e-commerce;
– l’adozione di software gestionali integrati;
– soluzioni cloud e sistemi di cybersecurity;
– applicazioni di intelligenza artificiale e tecnologie IoT;
– strumenti per l’automazione dei processi produttivi e commerciali.

Non sono ammesse, invece, semplici sostituzioni di hardware o software non inserite in un progetto organico di innovazione.

Criteri di valutazione
Accanto ai requisiti amministrativi, particolare rilievo sarà attribuito alla qualità progettuale. La valutazione prenderà in considerazione:
– l’innovazione tecnologica;
– le ricadute economiche attese;
– il livello di investimento privato previsto dall’impresa.

Sarà premiata la capacità dei progetti di generare crescita e nuovi mercati.

Actainfo, con la sua esperienza certificata in realizzazione e gestione sul territorio nazionale di siti web, e-commerce, servizi digitali, privacy, cloud, cybersicurezza e intelligenza artificiale, é il partner ideale per realizzare un progetto tecnologicamente innovativo, seguirti da remoto, sviluppare, fornire prodotti e servizi finanziabili.

Per informazioni, progetti e preventivi contatta: commerciale@actainfo.it
o chiama +39 085/2010274 – 085/22194581 – 085/2015591

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Scade il 21 settembre domanda finanziamento e-commerce e digitale in Abruzzo proviene da Actainfo.

Per 41.359 persone, la violazione ha coinvolto anche informazioni relative ai metodi di pagamento utilizzati, tra cui IBAN, bollettini postali e dati parzialmente oscurati delle carte di credito.

Due attacchi partiti dai punti vendita

I due data breach, notificati dalla società nel febbraio 2025, hanno riguardato due distinti punti vendita Wind Tre.

Secondo quanto ricostruito dal Garante, gli attaccanti si sarebbero presentati telefonicamente come tecnici dell’assistenza, convincendo gli operatori a concedere l’accesso remoto ai dispositivi utilizzati per collegarsi ai sistemi aziendali.

Attraverso tecniche di social engineering, i criminali sono riusciti a ottenere i fattori di autenticazione necessari e ad accedere alle banche dati della società. Nel secondo attacco sono state effettuate circa due milioni di richieste automatiche, arrivando a violare i dati di 365.048 clienti.

Non solo errore umano

La vicenda evidenzia uno degli aspetti più delicati della sicurezza informatica: la formazione degli operatori è indispensabile, ma da sola non è sufficiente.

Nel corso dell’istruttoria, il Garante ha rilevato criticità nella gestione delle credenziali di accesso, delle password, dei certificati digitali e delle relative chiavi private.

Sono, inoltre, emerse carenze nei controlli applicati ad alcune API, cioè le interfacce utilizzate dai sistemi informatici per comunicare e scambiarsi informazioni.

Le verifiche di sicurezza effettuate in precedenza non avevano individuato vulnerabilità che, secondo l’Autorità, sarebbero potute emergere attraverso vulnerability assessment più approfonditi e penetration test specificamente rivolti alle API.

Le violazioni contestate dal Garante

Il Garante per la protezione dei dati personali ha accertato la violazione dei principi di integrità e riservatezza dei dati personali e degli obblighi di sicurezza previsti dal GDPR.

L’Autorità ha ordinato a Wind Tre di rafforzare le misure tecniche e organizzative adottate, prevedendo in particolare:

• sistemi sicuri per la conservazione dei certificati digitali;
• password manager per gli operatori dei punti vendita;
• procedure formalizzate per la gestione, distribuzione, revoca e rinnovo delle credenziali;
• strumenti dedicati alla protezione delle chiavi crittografiche;
• maggiori controlli sulle API e sulle richieste anomale;
• un rafforzamento delle procedure di sicurezza informatica.

Nel determinare l’importo della sanzione, il Garante ha considerato anche alcuni elementi attenuanti, tra cui la tempestiva notifica degli incidenti, la collaborazione della società e le misure correttive introdotte successivamente agli attacchi.

Il rischio del social engineering

Il caso Wind Tre dimostra come gli attacchi informatici non sfruttino soltanto vulnerabilità tecniche, ma anche fiducia, distrazione e procedure operative poco solide.

Un attaccante non deve necessariamente violare direttamente un firewall. Può fingersi un tecnico, contattare un dipendente e convincerlo a fornire l’accesso necessario.
Per questo motivo la cybersecurity deve combinare formazione del personale, autenticazione a più fattori, gestione sicura delle password, monitoraggio degli accessi e controlli automatici capaci di individuare comportamenti anomali.

Cosa devono fare aziende ed enti

Le organizzazioni che trattano grandi quantità di dati personali devono adottare un approccio integrato alla sicurezza, evitando di considerare separatamente persone, processi e infrastrutture tecnologiche.

È necessario verificare periodicamente:

• come vengono conservate e condivise le credenziali;
• quali soggetti possono accedere ai sistemi aziendali;
• se gli operatori sono preparati a riconoscere richieste fraudolente;
• se le API sono protette contro interrogazioni massive e automatizzate;
• se vulnerability assessment e penetration test coprono l’intera superficie di attacco;
• se esistono procedure rapide per bloccare credenziali e certificati compromessi.

Il GDPR non richiede una sicurezza teorica o documentata soltanto sulla carta. Le misure adottate devono essere effettivamente adeguate ai rischi e aggiornate rispetto alle tecniche, in continua evoluzione, utilizzate dagli attaccanti.

La sicurezza informatica è una responsabilità organizzativa

Il data breach di Wind Tre rappresenta un richiamo importante per tutte le organizzazioni che affidano l’accesso ai propri sistemi a dipendenti, collaboratori, rivenditori o soggetti esterni.

La protezione dei dati non dipende soltanto dalla tecnologia utilizzata, ma dalla capacità dell’organizzazione di definire regole, controlli, responsabilità e procedure coerenti lungo tutta la catena operativa.

Actainfo supporta imprese ed enti nella protezione dei dati personali, nella valutazione dei rischi informatici, nella formazione del personale e nell’adozione di misure tecniche e organizzative coerenti con il GDPR e con le migliori pratiche di cybersecurity.

Fonte: Garante per la protezione dei dati personali – Newsletter del 16 luglio 2026 e Provvedimento del 14 maggio 2026.

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Data breach Wind Tre: sanzione da 1,7 milioni e oltre 365mila clienti coinvolti proviene da Actainfo.

Se questi sistemi vengono violati, non si tratta solo di un problema tecnico. Si parla di data breach, cioè una violazione dei dati personali che può comportare obblighi di notifica al Garante Privacy, comunicazioni agli interessati e possibili responsabilità economiche e reputazionali.

La responsabilità non ricade automaticamente su un solo soggetto. Può coinvolgere l’amministratore di condominio, il condominio stesso o il fornitore della piattaforma informatica, a seconda di chi aveva il controllo dei dati, di chi ha scelto gli strumenti utilizzati e del livello di sicurezza adottato.

L’amministratore di condominio ha un ruolo centrale: deve scegliere soluzioni adeguate, gestire correttamente gli accessi, evitare credenziali deboli o condivise e verificare che i sistemi siano aggiornati e protetti.
Il condominio, dal canto suo, deve approvare strumenti conformi e non sottovalutare il tema privacy come se fosse una formalità burocratica.
Anche il fornitore tecnologico può essere chiamato in causa, soprattutto se la violazione deriva da carenze tecniche, software vulnerabili o mancata adozione di misure di sicurezza adeguate.

Eventuali violazioni di dati personali dei condomini, secondo la gravità, comportano sanzioni fino a 20 milioni di Euro.

Il punto chiave è uno: la sicurezza dei dati non si improvvisa dopo l’incidente. Va progettata prima.

Per ridurre il rischio servono misure concrete: autenticazione a due fattori, password robuste, accessi profilati, backup periodici, aggiornamenti software, crittografia, controlli sulle vulnerabilità e una corretta nomina dei fornitori come responsabili del trattamento.

In ambito condominiale, la trasparenza verso i condomini non giustifica mai la diffusione indiscriminata dei dati personali.
La gestione digitale deve quindi trovare il giusto equilibrio tra accessibilità, controllo e protezione.

La soluzione è chiara: un sito condominiale non è “solo un sito”.
È un ambiente digitale che contiene dati personali e deve essere trattato come tale.

Senza misure adeguate, il rischio non è solo informatico, ma anche  economico e reputazionale.

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Sito condominiale: chi risponde in caso di furto dei dati? proviene da Actainfo.

Partiremo da una checklist che permette di individuare i punti principali da controllare per verificare se si ha bisogno di servizi di Cybersicurezza.

Passeremo poi a individuare praticamente quali sono gli errori da evitare per proteggere i propri dati.

CHECKLIST

• Inventario aggiornato di dispositivi, software, utenti, dati e servizi cloud.
• Autenticazione multifattore attiva almeno su email, cloud, VPN, amministratori e applicazioni critiche.
• Password manager e policy per password robuste e uniche.
• Backup separati, protetti e testati con prove di ripristino.
• EDR o protezione endpoint moderna su PC e server.
• Patch management con priorità basate sul rischio.
• Monitoraggio continuo degli eventi di sicurezza, interno o gestito da un partner.
• Piano di risposta agli incidenti scritto, aggiornato e testato.
• Formazione periodica dei dipendenti su phishing, frodi, password e uso sicuro dell’AI.
• Controllo dei fornitori e delle terze parti con accesso a dati o sistemi.
• Policy per l’uso di strumenti AI generativi e applicazioni SaaS.
• Revisione periodica dei permessi e degli account privilegiati.
• Segmentazione della rete e protezione dei sistemi critici.
• Valutazione degli obblighi NIS2, GDPR, DORA, AI Act e normative di settore.
• Coinvolgimento del management nelle decisioni di rischio cyber.

ERRORI DA EVITARE

1. Pensare che la sicurezza sia un costo senza ritorno: in realtà, riduce il rischio di fermi operativi, perdite di dati, danni reputazionali e sanzioni.
2. Confondere gli strumenti con la sicurezza: avere firewall, antivirus o backup non basta se non vengono configurati, monitorati e aggiornati costantemente.
3. Sottovalutare il fattore umano: molti attacchi iniziano con un errore umano, come un clic su un link malevolo o una password riutilizzata. La formazione è fondamentale.
4. Non testare i backup: finché non serve davvero, si dà per scontato che funzionino. In realtà, molti incidenti si risolvono solo se i ripristini sono stati provati.
5. Non coinvolgere il management: se la sicurezza resta confinata al reparto IT, mancherà l’autorità necessaria per cambiare processi, budget e comportamenti.

Bonus cloud, digital e cybersecurity: il voucher che finanzia la sicurezza al 50%

Per supportare le imprese nell’adozione di soluzioni digitali sicure, il Ministero delle Imprese e del Made in Italy (MIMIT) ha introdotto un nuovo incentivo: il Bonus cloud, digital e cybersecurity.

Questo voucher, finanziato con 150 milioni di euro del Fondo Sviluppo e Coesione, copre fino al 50% delle spese, con un massimo di 20.000 euro per impresa.

Il decreto MIMIT del 18 luglio 2025 disciplina i requisiti tecnici e le certificazioni necessarie per i fornitori di servizi ammissibili, tra i quali Actainfo qualificata da Agenzia per la Cybersicurezza Nazionale (ACN).
Sono a disposizione del cliente 22 servizi cloud SaaS inseriti nel Catalogo delle Infrastrutture digitali e dei Servizi cloud dell’ACN.
Personale specializzato in servizi cloud e cybersecurity è a disposizione per aiutare gratuiamente i clienti a redigere progetti finanziabili da MIMIT,

Voucher IT: quali servizi saranno finanziabili

A partire dalla seconda metà del 2026, le imprese potranno accedere ai voucher per acquistare servizi digitali avanzati. Il decreto individua cinque categorie ammissibili:

– Hardware per la cybersecurity: firewall, router, IDS/IPS.
– Software di cybersicurezza: antivirus, SIEM, crittografia, vulnerability management.
– Servizi cloud IaaS e PaaS: storage, backup, macchine virtuali, connettività protetta.
– Servizi cloud SaaS: ERP, CRM, HR, e-commerce, CMS e applicazioni integrate con AI.
– Servizi professionali: configurazione, monitoraggio e supporto (fino al 30% del piano di spesa).

Le imprese potranno acquistare abbonamenti con una durata minima di 24 mesi, nel rispetto dei limiti temporali stabiliti dal decreto.

Un’opportunità da non perdere

In un contesto in cui le minacce informatiche sono in costante evoluzione, dotarsi di strumenti e processi adeguati non è solo una scelta strategica, ma una necessità. Il Bonus cloud, digital e cybersecurity rappresenta un’opportunità concreta per le imprese che vogliono modernizzarsi in sicurezza, senza gravare eccessivamente sul bilancio.

Casi studio ed esempi applicativi

L’analisi di casi concreti permette di comprendere le dinamiche operative del voucher cloud 2026 e le strategie di successo adottate dalle imprese beneficiarie.

Settore servizi: trasformazione digitale dello studio professionale

Uno studio commercialistico di Palermo con 8 collaboratori ha sfruttato il voucher cloud 2026 per modernizzare completamente l’infrastruttura IT:

• Sito web in cloud dello studio con servizi annessi
• Migrazione a piattaforma cloud per gestione documentale
• Implementazione di sistema CRM per clienti
• Soluzione di firma digitale remota
• Backup automatico crittografato
• Sistema di cybersecurity avanzato

Investimento di 36.000 euro con contributo di 18.000 euro dal voucher cloud 2026. Benefici misurati: riduzione del 40% dei tempi di elaborazione pratiche, accesso remoto sicuro per tutti i collaboratori, eliminazione dei costi di manutenzione server fisici.

Commercio elettronico: scalabilità e sicurezza

Una piattaforma e-commerce di Genova specializzata in prodotti artigianali ha utilizzato il voucher cloud 2026 per gestire i picchi stagionali di traffico:

• Migrazione a infrastruttura cloud scalabile
• Implementazione CDN per performance globali
• Sistema WAF per protezione da attacchi DDoS
• Backup geograficamente distribuiti

Con un investimento di 35.000 euro (contributo voucher cloud 2026 di 17.500 euro), l’azienda ha gestito un incremento del 300% del traffico durante le festività natalizie senza interruzioni di servizio, con un miglioramento del 45% nei tempi di caricamento delle pagine.

Actainfo, con la sua esperienza in digitale, privacy, cloud, cybersicurezza e intelligenza artificiale, é il partner ideale per seguirti da remoto, sviluppare, fornire prodotti e servizi finanziabili con il Bonus cloud, digital e cybersecurity.

Per informazioni e preventivi contatta: commerciale@actainfo.it
o chiama +39 085/2010274 – 085/22194581 – 085/2015591

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Checklist Cybersecurity per Voucher MIMIT a PMI e Professionisti proviene da Actainfo.