Si tratta di uno strumento pensato per aiutare fornitori e utilizzatori di sistemi di AI generativa ad applicare gli obblighi previsti dall’AI Act in materia di marcatura, rilevamento ed etichettatura dei contenuti prodotti o modificati artificialmente.

Per imprese, enti pubblici, editori, fornitori digitali e organizzazioni utilizzatori di strumenti di AI generativa, il messaggio è chiaro: l’utilizzo dell’intelligenza artificiale dovrà essere trasparente. Sempre più tracciabile, responsabile e documentato.

Più trasparenza sui contenuti generati dall’AI

Il tema centrale è la trasparenza. Testi, immagini, video e audio generati o manipolati tramite sistemi di intelligenza artificiale dovranno essere riconoscibili, soprattutto quando possono incidere sull’informazione pubblica, sulla percezione degli utenti o sulla fiducia nei contenuti digitali.

Gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act saranno applicabili dal 2 agosto 2026 e riguarderanno, tra gli altri aspetti, la marcatura dei contenuti generati dall’AI, il rilevamento dei contenuti artificiali e l’etichettatura dei deepfake.

L’obiettivo è ridurre i rischi di inganno, manipolazione e disinformazione, favorendo un ecosistema digitale più affidabile.

Cosa prevede il Codice di buone pratiche

Il Codice si rivolge principalmente a due categorie di soggetti.

Da un lato ci sono i fornitori di sistemi di AI generativa, chiamati a garantire che gli output prodotti dai propri strumenti possano essere contrassegnati in modo leggibile dalle macchine e rilevabili come generati o manipolati artificialmente.

Dall’altro ci sono gli utilizzatori professionali, cioè i soggetti che impiegano sistemi di AI generativa per creare o diffondere contenuti.
Per questi soggetti diventa importante dichiarare quando un contenuto costituisce un deepfake o quando una pubblicazione testuale generata dall’AI informa il pubblico su temi di interesse pubblico.

La Commissione europea ha inoltre predisposto una serie di icone utilizzabili per segnalare in modo più immediato i contenuti generati dall’AI.

Adesione volontaria, ma obblighi normativi

L’adesione al Codice è volontaria. Tuttavia, gli obblighi di trasparenza previsti dall’AI Act sono obblighi giuridici.

Questo significa che il Codice non sostituisce la normativa europea, ma offre un quadro pratico di riferimento per dimostrare la conformità. Chi aderisce potrà fare affidamento sulle misure previste dal Codice, mentre chi sceglie soluzioni alternative dovrà comunque dimostrare che siano adeguate.

Cosa cambia per aziende ed enti

L’adozione dell’AI nei processi interni non può più essere gestita solo come sperimentazione tecnologica.
Diventa necessario definire regole chiare su come vengono prodotti, revisionati, pubblicati e archiviati i contenuti generati con strumenti di intelligenza artificiale.

Le organizzazioni dovranno valutare:

• quali contenuti vengono creati o modificati con sistemi di AI;
• se esistono procedure di revisione umana;
• chi si assume la responsabilità editoriale dei contenuti;
• come vengono segnalati eventuali deepfake o contenuti artificiali;
• se i fornitori tecnologici adottano misure coerenti con l’AI Act;
• se il personale è formato sull’uso corretto degli strumenti di AI.

La questione non è solo normativa. È anche reputazionale. Un contenuto generato dall’AI e non dichiarato correttamente può creare problemi di fiducia, credibilità e responsabilità.

Verso una governance più matura dell’intelligenza artificial

Il Codice di buone pratiche conferma la direzione intrapresa dall’Unione europea: l’intelligenza artificiale non viene bloccata, ma deve essere governata.

Per aziende e pubbliche amministrazioni significa passare da un utilizzo spontaneo degli strumenti di AI a un approccio più strutturato, fatto di procedure, controlli, formazione e responsabilità definite.

Actainfo segue l’evoluzione normativa e tecnologica legata all’intelligenza artificiale, alla digitalizzazione e alla sicurezza dei processi informativi, supportando enti e imprese nell’adozione di soluzioni digitali conformi, sostenibili e orientate al futuro.

Fonte: Commissione europea

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Entro 2 agosto 2026: Marcatura e Codice AI generativa proviene da Actainfo.

La sicurezza della supply chain diventa un obbligo di governance

La NIS2, recepita in Italia con il decreto legislativo 138/2024, e il DORA (applicabile dal gennaio 2025 per il settore finanziario) pongono al centro la dipendenza delle organizzazioni dai propri fornitori ICT.
Secondo le nuove regole, la sicurezza di un’azienda non dipende più solo dai propri sistemi, ma anche da quelli dei partner lungo la catena di approvvigionamento.

Cosa cambia?
– Controlli continui sui fornitori, non solo al momento della selezione.
– Responsabilità diretta per amministratori e dirigenti, che devono approvare le misure di sicurezza e vigilare sulla loro attuazione.
– Clausole contrattuali specifiche, con diritti di audit e accesso illimitato per le autorità.
– Registri informativi da trasmettere alle autorità competenti, con dettagli sui fornitori critici e subfornitori.

Il software Actacyber di Actainfo, con assistenza diretta 24H e il supporto costante dell’lntelligenza artificiale europea di ActyAI con limitazioni nel rispetto del GDPR privacy, costituisce un valido strumento per gestire e aggiornare supply chain, audit, documenti, registri e qualsiasi altrto adempimento sulla cybersicurezza.

NIS2: obblighi e responsabilità per la supply chain

La NIS2 impone ai soggetti essenziali e importanti di adottare misure di gestione del rischio che includano la sicurezza della catena di fornitura. L’articolo 24 del decreto 138/2024 richiede:
– Valutazione della cybersicurezza dei fornitori, incluse le procedure di sviluppo software e la gestione delle vulnerabilità nel tempo.
– Classificazione dei fornitori in base alla criticità, con controlli approfonditi per quelli che gestiscono dati sensibili o processi essenziali.
– Registrazione dei fornitori critici presso l’Agenzia per la Cybersicurezza Nazionale (ACN), con obbligo di aggiornamento annuale.

Responsabilità dei vertici:
L’articolo 23 del decreto affida agli organi di amministrazione e direzione il compito di:
– Approvare le misure di gestione del rischio.
– Vigilare sulla loro attuazione.
– Rispondere personalmente in caso di violazioni, anche se non hanno disposto direttamente le misure.

Sanzioni:
– Fino a 10 milioni di euro o 2% del fatturato globale per i soggetti essenziali.
– Fino a 7 milioni di euro o 1,4% del fatturato per i soggetti importanti.
– Sospensione temporanea dalle funzioni dirigenziali per gli amministratori responsabili.

DORA: il regolamento che rivoluziona il settore finanziario

Il DORA si applica dal gennaio 2025 al settore finanziario e dedica 17 articoli su 65 alla gestione del rischio delle terze parti ICT. Le principali novità includono:
– Responsabilità inderogabile dell’entità finanziaria, anche in caso di esternalizzazione.
– Due diligence continua sui fornitori, con valutazione dei rischi informatici già in fase di qualifica.
– Clausole contrattuali obbligatorie, tra cui:
– Diritto di accesso, ispezione e audit illimitato.
– Obbligo di notifica immediata degli incidenti ICT.
– Piani di uscita documentati per garantire la continuità dei servizi critici.
– Estensione dei controlli ai subfornitori, con approvazione preventiva dell’entità finanziaria.

Test di resilienza operativa:
Le entità finanziarie critiche devono sottoporsi, almeno ogni tre anni, a test di penetrazione basati su minacce reali (TLPT), avviati nel 2026.

Sanzioni:
– Per i fornitori ICT critici: fino all’1% del fatturato medio giornaliero mondiale per ogni giorno di violazione.
– Per le entità finanziarie: sanzioni fino al 10% del fatturato annuo e sanzioni pecuniarie personali per il management.

Sovranità digitale e dipendenza dai fornitori extra-UE

Un effetto indiretto delle nuove norme è la mappatura della dipendenza europea dai fornitori extra-UE. Secondo le autorità di vigilanza finanziaria europee, 19 società (in larga parte filiali di gruppi statunitensi) sono state designate come fornitori ICT critici ai sensi del DORA.

Dati preoccupanti:
– La quota di mercato dei fornitori cloud europei è scesa dal 29% al 15% tra il 2017 e il 2024.
– Tre operatori statunitensi coprono ormai il 70% della domanda continentale.

Risposte dell’UE:
– Schema di certificazione europeo per i servizi cloud (sviluppato da ENISA).
– Pacchetto sulla sovranità tecnologica, con revisione della normativa sui semiconduttori.

Scadenze 2026 e prime ispezioni

Le scadenze più ravvicinate sono:
– Ottobre 2026: completamento delle misure di sicurezza per i soggetti NIS e avvio delle prime ispezioni formali da parte dell’ACN.
– Ispezioni proattive per i soggetti essenziali, reattive per quelli importanti.

Cosa verrà richiesto dalle autorità?
– Registri degli incidenti.
– Evidenza dell’esecuzione dei backup.
– Verbali della formazione del personale.
– Contratti con i fornitori aggiornati con le clausole di sicurezza richieste.

La compliance come responsabilità di governo

Le nuove norme NIS2 e DORA non sono solo un esercizio di conformità, ma una responsabilità di governance per i vertici aziendali.
Mappare i fornitori critici, rivedere le clausole contrattuali e dimostrare un controllo effettivo sulla supply chain è ormai indispensabile per evitare sanzioni e garantire la resilienza operativa.

Per le organizzazioni, la sfida è trasformare gli obblighi normativi in un vantaggio competitivo, rafforzando la fiducia dei clienti e la stabilità dell’intera catena di fornitura.

Pubblicazione elaborata da
ActyAI – Intelligenza Artificiale di Actainfo
https://www.actyai.it/
supervisionata da redazione

L'articolo Supply Chain: NIS2 e DORA proviene da Actainfo.

Per PMI e lavoratori autonomi c’è una opportunità di finanziamento per colmare l’eventuale ritardo nell’uso del cloud e della cybersicurezza: un finanziamento VOUCHER massimo di 40.000 Eur con bonus del 50% a fondo perduto che puoi approfondire visitando le NEWS di Actainfo all’indirizzo: https://www.actainfo.it/news/voucher-cloud-e-cyber-security/ .

Le minacce informatiche evolvono costantemente, e altrettanto tempestivamente devono evolvere le strategie di protezione.
Installare una soluzione di sicurezza non basta: è necessario un approccio strutturato, continuativo e misurabile.

Un approccio dinamico alla sicurezza digitale
Molte aziende adottano ancora un modello “a progetto”, acquistando una tecnologia e considerandola sufficiente.
La sicurezza informatica funziona diversamente: le vulnerabilità emergono quotidianamente, le minacce si adattano, gli attaccanti perfezionano le loro tecniche.
La protezione di un’infrastruttura digitale richiede, pertanto, attività costanti come:
– monitoraggio continuo delle minacce;
– gestione delle vulnerabilità e applicazione tempestiva delle patch;
– correlazione degli eventi di sicurezza;
– risposta rapida agli incidenti
– formazione del personale.

Senza queste azioni, anche le soluzioni più avanzate rischiano di non essere pienamente efficaci.

Cyber Resilience Act: nuove regole per la sicurezza digitale
Il quadro normativo europeo si sta adeguando a questa realtà. Regolamento UE Cyber Resilience Act (CRA) si applica ai Product Digital Elements (PDE) o prodotti hardware e software fabbricati, importati e distribuiti nell’Unione Europea (UE), come laptop, dispositivi mobili, sensori e fotocamere, router, firmware, app, videogiochi, schede video e processori.
Il CRA introduce obblighi concreti per produttori e utilizzatori di prodotti digitali:
– progettazione sicura dei sistemi;
– gestione delle vulnerabilità lungo tutto il ciclo di vita;
– aggiornamenti regolari e comunicazione degli incidenti;
– procedure di cybersecurity per ottenere il marchio CE sui prodotti digitali.

L’obiettivo del CRA è garantire che i prodotti con elementi digitali siano meno vulnerabili e che la gestione della cybersecurity avvenga durante l’intero ciclo di vita del prodotto. L’applicazione di questo obiettivo rafforza la fiducia e la protezione degli utenti migliorando trasparenza e affidabilità.

Per quanto riguarda le scadenze, esistono due date fondamentali da considerare in tema CRA:

Dal 11 settembre 2026, la segnalazione delle vulnerabilità attivamente sfruttate contenute nel prodotto informatico sarà obbligatoria per i fabbricanti.

Dal 11 dicembre 2027 sarà richiesta la piena applicazione del CRA e quindi per ogni prodotto sarà necessaria la conformità, pena la non possibilità di vendita nel mercato UE. Questa normativa trasforma la cybersecurity da buona pratica a requisito essenziale per operare nel mercato europeo.

Responsabilità condivisa: tecnologia e visibilità operativa
Dal quadro normativo risulta chiaro che le aziende non possono delegare completamente la sicurezza ai fornitori di tecnologia.
Anche se i produttori sono tenuti a garantire aggiornamenti e patch, la responsabilità operativa rimane in capo alle organizzazioni.

È fondamentale avere una visione chiara e costante dell’infrastruttura digitale, per individuare tempestivamente comportamenti anomali, identificare vulnerabilità e rispondere agli incidenti con rapidità.

PMI e cybersecurity: l’importanza della prossimità
Per le piccole e medie imprese italiane, spesso prive di strutture interne dedicate, la scelta di partner qualificati è cruciale.
Soluzioni su misura, adattate al contesto aziendale, garantiscono una protezione più efficace e sostenibile.

La prossimità e la conoscenza delle dinamiche locali fanno la differenza nel tradurre alert tecnici in decisioni operative concrete.

Conclusioni
La cybersecurity richiede oggi un impegno costante, una visione strategica e il supporto di partner competenti. Non si tratta più di acquistare uno strumento, ma di costruire un sistema di protezione continuo, integrato e adattato alle esigenze specifiche di ogni organizzazione. Solo così sarà possibile affrontare le sfide della sicurezza digitale con efficacia e resilienza.

Sintesi elaborata da
ActyAI – Intelligenza Artificiale di Actainfo
https://www.actyai.it/
supervisionata da redazione

L'articolo Cybersecurity: CRA e sicurezza digitale dinamica proviene da Actainfo.

Si tratta di una evoluzione importante per cittadini, pazienti, medici e strutture sanitarie: la cura non passa più solo dalla presenza in ambulatorio ma anche da strumenti digitali capaci di rendere l’assistenza più accessibile, sicura e organizzata.

Una evoluzione che, per essere efficace e praticata, deve essere affrontata, da parte di organizzazioni e professionisti sanitari, garantendo per i servizi di telemedicina:
1. l’accesso ai con identità sicura SPID e CIE convenzionato con AGID
2. la sicurezza delle piattaforme in cloud qualificate da ACN e certificate ISO 27001
3. la protezione dei dati personali dei pazienticonforme al Regolamento Europeo GDPR
4. la conservazione delle pratiche digitali a noma delle Linee guida di AGID
5. Il supporto e la formazione degli operatori sanitari e loro collaboratori.

Cosa cambia con la telemedicina in Abruzzo

I primi servizi attivati riguardano televisita e teleconsulto, due modalità che permettono di gestire alcune prestazioni sanitarie anche a distanza.

La televisita consente al medico di interagire con il paziente da remoto, nei casi previsti e quando le condizioni cliniche lo permettono, evitando lo spostamento fisico con benefici al paziente, al medico, alla struttura sanitaria, alla viabilità e all’ambiente.

Il teleconsulto, invece, riguarda principalmente il confronto tra professionisti sanitari.
Permette a medici e operatori di condividere informazioni cliniche e valutazioni specialistiche, favorendo prestazioni più rapide e coordinate.

Nei prossimi mesi il percorso sanitario a distanza dovrebbe estendersi anche a teleassistenza e telemonitoraggio, strumenti particolarmente utili per seguire pazienti cronici, fragili o con necessità di controllo continuativo.

Vantaggi per pazienti e cittadini

Per i cittadini, la telemedicina significa meno spostamenti, tempi più rapidi e accesso più semplice alle prestazioni sanitarie.

Il beneficio è particolarmente evidente per pazienti anziani, persone con difficoltà motorie, residenti in aree interne o soggetti che necessitano di controlli periodici. In questi casi, poter dialogare con il medico o essere seguiti a distanza non è solo una comodità: può diventare un elemento concreto di continuità assistenziale.

La telemedicina, se utilizzata correttamente, aiuta anche a rendere più ordinato il rapporto tra paziente e sistema sanitario, riducendo passaggi ridondanti e migliorando la disponibilità delle informazioni cliniche con aggiornamento in tempo reale del Fascicolo Sanitario Elettronico del soggetto.

Vantaggi per medici e strutture sanitarie

Dal punto di vista dei medici e delle strutture sanitarie, la telemedicina non è semplicemente “fare una visita online”. È un cambio di metodo.

Servono piattaforme affidabili, procedure chiare, tracciabilità delle attività, gestione corretta dei dati e integrazione con gli altri strumenti della sanità digitale, a partire dal Fascicolo Sanitario Elettronico.

Per strutture pubbliche, cliniche private, poliambulatori, laboratori, studi medici e professionisti sanitari, questa evoluzione apre nuove possibilità: migliorare l’organizzazione delle prestazioni, gestire meglio i controlli, ridurre alcune attività amministrative e offrire ai pazienti servizi più accessibili e tempestivi.

Per attivare il servizio di telemedicina non basta attivare una piattaforma: bisogna garantire sicurezza, identità certa degli utenti, protezione dei dati e processi coerenti con le norme.

Accesso sicuro, SPID, CIE e protezione dei dati

La telemedicina tratta informazioni sensibili e riservate. Referti, documenti clinici, dati personali e comunicazioni sanitarie richiedono livelli elevati di sicurezza e riservatezza.

Per questo l’accesso ai servizi digitali deve poggiare su strumenti di autenticazione affidabili, come SPID e CIE, capaci di identificare correttamente cittadini, professionisti e operatori autorizzati.

Nel contesto sanitario, l’identità digitale non è un dettaglio tecnico. È la base per costruire fiducia tra paziente, medico e struttura. Un accesso sicuro consente di ridurre il rischio di errori, accessi impropri e gestione disordinata delle informazioni.

Altro elemento importante da considerare è quello della archiviazione dei documenti nel rispetto delle “Linee Guida sulla formazione, gestione e conservazione dei documenti informatici” e secondo quanto previsto dall’art. 44, comma 1-quater, del CAD – Codice dell’Amministrazione Digitale – Dlgs. n. 82/2005 s.m.i..

Privacy, cybersecurity, conservazione digitale e conformità alla normativa europea diventano elementi essenziali. La sanità digitale deve essere semplice per l’utente, ma solida nella parte tecnica e organizzativa per evitare sanzioni derivanti da inadempienze e da danni procurati alla tutela dei dati personali.

Servizi di supporto alla implementazione della telemedicina

La notizia sull’avvio della telemedicina in Abruzzo conferma una direzione ormai chiara: i servizi sanitari stanno diventando sempre più digitali, integrati e accessibili online.

In questo scenario, Actainfo si inserisce come soggetto tecnico a supporto della digitalizzazione di pubbliche amministrazioni, aziende e professionisti, con particolare attenzione all’accesso sicuro ai servizi digitali.

Actainfo è aggregatore SPID convenzionato con AGID, Agenzia tecnica della Presidenza del Consiglio dei ministri che garantisce la realizzazione degli obiettivi dell’Agenda digitale italiana.
Offre supporto, formazione e soluzioni di accesso tramite identità digitale Spid e CIE a soggetti pubblici e privati, incluse realtà che operano nel settore sanitario.
Questo aspetto è particolarmente rilevante per
– medici,
– studi professionali,
– strutture sanitarie private e pubbliche
e a tutte le organizzazioni che vogliono rendere disponibili servizi online con autenticazione sicura e riconosciuta dei pazienti.

Il valore non è soltanto permettere a un utente di entrare in un’area riservata. Il valore è rappresentato da un accesso digitale affidabile, tracciabile e conforme, capace di sostenere servizi sempre più evoluti per l’attuazione della telemedicina:
– prenotazioni, consultazione documentale,
– comunicazioni riservate,
– gestione di pratiche
– interazione tra cittadino e struttura.

La tecnologia digitale di Actainfo è attivabile in tutte le Regioni italiane che hanno attivato servizi di telemedicina.

Fonte: Regione Abruzzo
https://www.regione.abruzzo.it/notizie/da-oggi-attivi-i-primi-servizi-di-telemedicina-abruzzo

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Telemedicina in Abruzzo: televisite da maggio 2026 proviene da Actainfo.

Questo processo, disciplinato dalle determinazioni dell’Agenzia per la Cybersicurezza Nazionale (ACN) adottate nel 2026, va ben oltre una semplice registrazione amministrativa: diventa la base per definire obblighi, priorità operative e investimenti in sicurezza.

Il decreto introduce un modello di conformità progressiva, in cui la registrazione del soggetto, l’inclusione nell’elenco NIS e la comunicazione delle informazioni organizzative si integrano in un percorso continuativo di responsabilizzazione.

La categorizzazione spinge le organizzazioni a descrivere sé stesse non solo in termini societari o commerciali, ma in base al contributo concreto delle proprie attività alla continuità e alla sicurezza dei servizi rilevanti.
Come previsto dalle determinazioni ACN, tra cui la n. 155238/2026, questo passaggio segna il passaggio da una compliance anagrafica a una compliance sostanziale, dove l’elenco delle attività diventa una rappresentazione regolatoria del rischio dell’organizzazione.

L’elenco categorizzato come strumento di valutazione del rischio
Un errore comune è considerare la categorizzazione come un mero inventario, una raccolta di denominazioni interne o macro-processi aziendali. In realtà, l’elenco categorizzato risponde a una domanda ben più rilevante: cosa conta davvero per la sicurezza e la continuità dei servizi?

La Direttiva NIS2 e il decreto richiedono di valutare l’impatto derivante da indisponibilità, compromissione o alterazione di un servizio, nonché le relazioni tra processi aziendali, sistemi informativi e fornitori.

Questo processo richiede il coinvolgimento coordinato di diverse funzioni: IT, sicurezza delle informazioni, continuità operativa, legale, procurement e, nei gruppi societari, le unità incaricate del raccordo tra holding e società operative.

Proporzionalità e categorie di rilevanza: il nesso con l’articolo 31
L’articolo 31 del D.Lgs. 138/2024 stabilisce che le misure di sicurezza devono essere proporzionate alla categoria di rilevanza delle attività e dei servizi supportati dai sistemi informativi.

La categoria di impatto diventa così un parametro chiave per determinare l’intensità degli obblighi applicabili. Una categorizzazione eccessivamente prudenziale potrebbe portare a un aggravio organizzativo non sostenibile, mentre una sottostima potrebbe esporre l’organizzazione a contestazioni in caso di incidenti.

L’a sfida’obiettivo è trovare un equilibrio: la categorizzazione deve essere fondata su evidenze, analisi di impatto e criteri documentabili, evitando sia l’iper-cautela difensiva sia la sottostima opportunistica.

Le categorie di impatto non si limitano a definire gli obblighi: influenzano direttamente le misure di sicurezza da adottare.

Secondo il modello ACN, i sistemi informativi e di rete assumono la categoria associata ai servizi che supportano. Se un sistema concorre all’erogazione di più servizi con livelli di impatto differenti, prevale la categoria più elevata.
Questo principio, noto come ereditarietà della categoria, dove una classe (categoria) figlia eredita le caratteristiche (attributi e metodi) di una classe genitore, consente di applicare livelli progressivi di mitigazione del rischio in base alla criticità dei servizi.

La Business Impact Analysis (BIA) come base metodologica
La determinazione del livello di rilevanza di un’attività o di un servizio richiede una valutazione dell’impatto, che può essere effettuata attraverso una Business Impact Analysis (BIA) semplificata o un’analisi equivalente.
La BIA consente di identificare i processi critici, le dipendenze tecnologiche, i tempi massimi tollerabili di interruzione e gli impatti potenziali (economici, giuridici, reputazionali, operativi e sociali).
Senza questo passaggio, la categorizzazione rischia di essere basata su intuizioni manageriali o su una rappresentazione meramente nominalistica dei servizi.

La BIA è, inoltre, fondamentale per la gestione degli incidenti e la continuità operativa, poiché consente di stabilire quali processi debbano essere recuperati prioritariamente e quali sistemi debbano essere maggiormente resilienti.

La categorizzazione non è un adempimento meramente operativo: la decisione sulla categoria di rilevanza contribuisce a definire la rappresentazione ufficiale che il soggetto fornisce all’ACN sulla criticità delle proprie attività.
Il D.Lgs. 138/2024 valorizza la responsabilità degli organi di amministrazione e direzione nella gestione del rischio cyber, rendendo la sicurezza informatica una materia di governance.

La categorizzazione presenta diverse criticità applicative. Innanzitutto, il livello di granularità: un elenco troppo aggregato rischia di occultare differenze rilevanti tra servizi con impatti differenti, mentre un elenco eccessivamente analitico può rendere l’esercizio ingestibile. In secondo luogo, il linguaggio utilizzato per descrivere attività e servizi deve essere funzionale e comparabile, evitando terminologie interne comprensibili solo all’interno dell’organizzazione. Terzo, la categorizzazione deve essere coerente con la mappatura dei sistemi informativi e di rete che supportano i servizi, nonché con i fornitori rilevanti. Infine, nei gruppi societari, occorre distinguere tra il soggetto NIS che eroga il servizio, quello che lo supporta tecnologicamente e le società che assumono decisioni in materia di sicurezza.

Fornitori rilevanti NIS e interdipendenze
Le determinazioni ACN del 2026 hanno attribuito rilievo anche all’elencazione dei fornitori rilevanti NIS, che deve essere letta in stretta connessione con la categorizzazione delle attività e dei servizi. La rilevanza di un fornitore dipende dal rapporto tra la fornitura e la capacità del soggetto NIS di erogare i propri servizi rilevanti. Un fornitore può essere critico perché appartiene a categorie di servizi digitali sensibili (cloud, data center, managed services) o perché la sua interruzione avrebbe un impatto significativo sulla capacità del soggetto NIS di erogare un servizio incluso nel perimetro. La categorizzazione dei servizi e la qualificazione dei fornitori rilevanti dovrebbero alimentarsi reciprocamente, consentendo di verificare la coerenza tra le categorie attribuite e le dipendenze operative.

La scadenza del 30 giugno rappresenta un momento cruciale, poiché le informazioni trasmesse confluiscono nel sistema di riferimento dell’ACN.
Una categorizzazione frettolosa, basata su informazioni incomplete o tassonomie non armonizzate, può diventare la base di incoerenze future.

Le misure di sicurezza potrebbero essere calibrate su servizi classificati erroneamente, i fornitori rilevanti potrebbero essere omessi, e gli incidenti potrebbero essere valutati rispetto a soglie non coerenti.

In presenza di un evento cyber, un elenco categorizzato ben costruito consente di individuare rapidamente i servizi interessati, correlare gli asset coinvolti e attivare i livelli decisionali coerenti con la rilevanza del servizio compromesso.

Priorità di investimento e auditabilità
La categoria di rilevanza diventa un criterio di ordinamento delle priorità: hardening, monitoraggio, segmentazione, backup, disaster recovery, IAM, MFA, logging, EDR, vulnerability management, formazione, test e audit dovrebbero essere rafforzati in base alla criticità dei servizi.

Sul piano dell’auditabilità, la categorizzazione rappresenta una delle prime evidenze che un auditor o l’ACN potrebbero esaminare per valutare la maturità del sistema NIS.
Un elenco coerente, documentato e integrato con asset, fornitori e processi indica che l’organizzazione ha costruito un modello di governance solido.

La categorizzazione delle attività e dei servizi, letta congiuntamente all’articolo 30 del D.Lgs. 138/2024 e alla finestra annuale di aggiornamento, costituisce uno dei passaggi più significativi dell’attuazione italiana della NIS2.

Il termine del 30 giugno non dovrebbe quindi essere interpretato come la conclusione di un adempimento amministrativo, bensì come l’avvio di un percorso di governance destinato a influenzare, negli anni successivi, le scelte di sicurezza, resilienza e investimento dell’organizzazione.

Approfondimenti su: https://www.actainfo.it/cybersecurity/

Fonti: Agenda digitale, Cyber Security 360
Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Scadenza 30 Giugno 2026: Categorizzazione Servizi NIS2 proviene da Actainfo.

Sintesi degli adempimenti previsti dalla Delibera ANAC n. 168 del 15 aprile 2026, focalizzata sugli obblighi di trasparenza e attestazione per gli enti pubblici e privati ai sensi del d.lgs. 33/2013 e delle recenti disposizioni in ambito gitale.

• Soggetti tenuti all’attestazione (scadenza: 15 giugno 2026):

1. Pubbliche amministrazioni (art. 2-bis, co. 1, d.lgs. 33/2013), inclusi:

– Amministrazioni statali, locali, autorità portuali, autorità indipendenti.

– Ordini professionali (limitatamente agli obblighi “compatibili”).

2. Enti pubblici economici, società e enti di diritto privato in controllo pubblico (art. 2- bis, co. 2, d.lgs. 33/2013):

– Società in controllo pubblico (escluse quotate).

– Associazioni/fondazioni con bilancio > €500.000 e finanziamento pubblico maggioritario.

3. Società a partecipazione pubblica non di controllo (art. 2-bis, co. 3, primo periodo).

4. Associazioni, fondazioni e enti di diritto privato (art. 2-bis, co. 3, secondo periodo) con:

– Bilancio > €500.000.

– Funzioni amministrative o erogazione di servizi pubblici.

• Ruoli chiave:

– OIV/Organismi analoghi: Attestano l’adempimento degli obblighi.

– RPCT (Responsabile Prevenzione Corruzione e Trasparenza): Collabora con l’OIV, pubblica le attestazioni e promuove misure correttive.

– Revisori dei conti: Per le istituzioni scolastiche (art. 1, co. 562, L. 197/2022).

• Obblighi di Pubblicazione Oggetto di Attestazione

Categorie di dati da verificare (riferiti all’anno 2025, rilevazione al 15 giugno 2026):

– Per Pubbliche Amministrazioni (par. 1.1) con riferimento, ove non diversamente dichiarato, agli articoli del d.lgs. 33/2013

1. Atti generali (art. 12)

2. Organizzazione (art. 13-14)

3. Consulenti e collaboratori (art. 15)

4. Personale (incarichi dirigenziali, art. 20 d.lgs. 39/2013)

5. Performance (art. 20)

6. Attività e procedimenti (art. 35)

7. Provvedimenti (art. 23)

8. Sovvenzioni, contributi, sussidi (art. 26-27)

9. Bilanci (art. 29)

10. Controlli e rilievi (art. 31)

11. Servizi erogati (art. 32)

12. Pagamenti (art. 4-bis, 36)

13. Bandi di gara e contratti (art. 37 d.lgs. 33/2013; artt. 23-28 d.lgs. 36/2023; Delibere ANAC n. 261/2023, 264/2023, 601/2023)

14. Pianificazione e governo del territorio (art. 39)

15. Interventi straordinari e di emergenza (art. 42)

– Per Enti/Società in Controllo Pubblico (par. 1.2)

Esclusi: Bandi di gara e contratti (solo per Pubbliche Amministrazioni). Inclusi: Gli altri 11 punti sopra elencati (escluso: Pianificazione territorio e Interventi emergenza).

– Per Società a Partecipazione Pubblica Non di Controllo (par. 1.3) e Associazioni/Fondazioni (par. 1.4)

1. Attività e procedimenti

2. Sovvenzioni, contributi, sussidi

3. Bilanci

4. Servizi erogati

• Fasi e scadenze

• Strumenti per la pubblicazione

Applicativo web obbligatorio di ANAC:

Link accesso: https://www.anticorruzione.it/-/attestazioni-degli-oiv-in-materia-di-assolvimento-agli-obblighi-di-pubblicazione

Fonte: ANAC

Staff Actainfo

L'articolo Scadenza 15/06/2026: Attestazione OIV e successivi adempimenti proviene da Actainfo.

Una dipendenza sistemica
Il problema non è solo economico, ma strutturale. Da un lato, l’infrastruttura software europea è fortemente legata agli Stati Uniti, con cloud, sistemi operativi e piattaforme globali che dominano il mercato.
Dall’altro, la base materiale della tecnologia – semiconduttori, componenti elettronici e supply chain – dipende in larga misura dalla Cina e dall’Asia.
In mezzo, una Europa avanzata in termini regolatori, ma priva di controllo end-to-end sul proprio stack digitale.

Questa condizione rende il sistema europeo «probabilmente impossibile da far funzionare, ma con cui si può vivere», secondo Martelius.
Una metafora forte, che riflette la percezione di una parte dell’intelligence europea: non una semplice fragilità industriale, ma una dipendenza incorporata nel cuore dell’ecosistema digitale.

Il Tech Sovereignty Package di Bruxelles
Mentre il Supo sottolinea i limiti della sovranità digitale, la Commissione europea sta lavorando a un nuovo Tech Sovereignty Package, che dovrebbe essere presentato nelle prossime settimane.
L’obiettivo è ridurre le vulnerabilità strategiche in settori chiave come infrastrutture digitali, intelligenza artificiale, cloud computing e sicurezza dei dati.

Tra le misure in discussione, spicca la possibilità di limitare l’uso di fornitori cloud statunitensi per la gestione dei dati sensibili da parte dei governi europei.
Bruxelles punta a rafforzare la resilienza del continente attraverso regolazione, investimenti e norme più stringenti sugli appalti pubblici.

Sovranità selettiva: l’approccio europeo
La strategia della Commissione non mira all’autosufficienza totale, considerata irrealistica, ma a una forma di sovranità selettiva.
L’idea è ridurre la dipendenza da attori extraeuropei, sviluppare alternative locali dove possibile e mantenere il controllo giuridico e operativo sui dati sensibili.

Il confine tra ambizione e realtà
Le parole di Martelius non chiudono il dibattito, ma lo irrigidiscono. Se la piena indipendenza non è un’opzione realistica, la domanda diventa un’altra: quanto controllo è necessario per evitare che la dipendenza si trasformi in subordinazione.

Fonte: Linkiesta

Sintesi elaborata da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionata da Staff Actainfo

L'articolo Europa e sua dipendenza tecnologica da Usa e Cina proviene da Actainfo.

Una novità per il sistema degli indirizzi internet
ICANN (Internet Corporation for Assigned Names and Numbers), organismo internazionale responsabile del coordinamento del sistema dei nomi a dominio (DNS – Domain Name System), ha annunciato il “Round 2026”, una finestra temporale in cui sarà possibile richiedere la creazione di nuove estensioni di domini generici di primo livello. Si tratta della seconda occasione, nella storia di Internet, in cui è possibile richiedere nuove estensioni di questo tipo.

Enti pubblici e privati potranno richiedere nuove estensioni di domini personalizzati (come .it, .com, .org, ecc.) basati su nomi geografici, istituzionali o di marchi (ad esempio: .roma, .sicilia, .fisco), per valorizzare il proprio marchio o determinate filiere.

Le tipologie di gTLD previste
Le estensioni di Generic Top-Level Domain – Dominio di Primo Livello Generico – che potranno essere richieste includono:
– generiche: domini di uso generale (.book, .food);
– di brand: domini riservati all’uso esclusivo di un marchio registrato;
– comunitarie: domini destinati a una comunità definita e riconoscibile;
– geografiche: domini che corrispondono a nomi di città, regioni o territori;
– IDN e varianti linguistiche: domini con caratteri non ASCII (accenti, alfabeti non latini).

Perché è importante per la Pubblica Amministrazione e le imprese?
La nuova tornata di assegnazione dei gTLD rappresenta un’opportunità significativa per istituzioni e imprese. Da un lato, consente di valorizzare marchi, territori e filiere produttive, anche in relazione alle eccellenze del Made in Italy e alle città d’arte. Dall’altro, esiste il rischio che soggetti privati o terzi richiedano domini che richiamano territori, città o istituzioni pubbliche, con possibili implicazioni per la tutela dell’interesse pubblico.

Per questo motivo, è importante che le amministrazioni monitorino le richieste di nuovi gTLD e valutino eventuali opposizioni nel caso di usi impropri di nomi di interesse pubblico.

Cosa possono fare le PA
Nel processo ICANN per l’assegnazione dei nuovi domini generici di primo livello sono previsti diversi strumenti che consentono alle autorità pubbliche di tutelare denominazioni di interesse istituzionale o territoriale.

In particolare:
– Lettera di supporto o non-opposizione: nel caso dei nomi geografici (ad esempio città o regioni), il richiedente deve ottenere una lettera formale di supporto o di non opposizione da parte dell’autorità pubblica competente. In assenza di tale documento, la candidatura non può essere approvata.
– Monitoraggio delle candidature pubblicate: ICANN rende pubbliche le richieste ricevute, consentendo agli stakeholder di verificare eventuali utilizzi impropri di denominazioni sensibili.
– Segnalazioni attraverso il Governmental Advisory Committee (GAC): i governi possono intervenire nel processo ICANN, anche tramite strumenti come l’Early Warning, per evidenziare criticità relative a specifiche candidature.

L’Agenzia per l’Italia Digitale invita pertanto le Pubbliche Amministrazioni e le imprese a valutare se registrare un proprio dominio di primo livello per valorizzare il territorio o specifiche filiere e a monitorare le richieste di terzi per opporsi a eventuali usi impropri di nomi istituzionali, in modo da tutelare i propri asset digitali.

Per tutti i dettagli e i requisiti di registrazione dei nuovi domini è possibile consultare il sito ufficiale ICANN: https://newgtldprogram.icann.org/en

Sintesi elaborata da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionata da Staff Actainfo

L'articolo Nuovi domini internet 2026 con nomi di località, istituzioni e marchi proviene da Actainfo.

ActyAI, un chatbot europeo e conforme alle normative su intelligenza artificiale
ActyAI si basa sul modello LLM open source europeo MISTRAL e risponde esclusivamente a domande relative a informazioni fornite da Actainfo, in tema di
– Trasparenza,
– Whistleblowing,
– Privacy,
– Cybersicurezza,
– Accessibilità,
– Conservazione documenti,
– Transizione Digitale,
– Web development.

L’addestramento del chatbot di intelligenza artificiale avviene in modo supervisionato dallo staff di Actainfo, utilizzando dati etichettati e conformi alle direttive di ACN (Agenzia per la Cybersicurezza Nazionale), di AGID (Agenzia per l’Italia Digitale), di ANAC (Autorità Nazionale Anti Corruzione), GPDP (Garante per la protezione dei dati personali).

Sicurezza e conformità normativa
ActyAI non rientra tra le applicazioni ad alto rischio secondo il Regolamento UE AI Act n. 2024/1689 e la Legge n. 132 del 23 settembre 2025. Di conseguenza, non è richiesta una valutazione preventiva del rischio tramite DPIA (Data Protection Impact Assessment) o FRIA (Fundamental Rights Impact Assessment).

ActyAI risponde unicamente sulla base delle informazioni fornite in fase di addestramento, garantendo trasparenza e rispetto delle normative vigenti.

In conclusione ActyAI Overview rappresenta per gli Enti, un assistente in grado di far risparmiare tempo, e soprattutto rendere più veloci e efficaci la pubblicazione di comunicati, articoli, eventi e notizie.

Per ulteriori informazioni visita: https://www.actainfo.it/ai-servizi-intelligenza-artificiale/

Sintesi elaborata da ActyAI
https://www.actyai.it/
supervisionata da Staff Actainfo

L'articolo ActyAI al servizio dei Comuni per pubblicare notizie proviene da Actainfo.

Il modello Managed Detection and Response (MDR) sta emergendo come la soluzione più efficace per superare i limiti strutturali dei tradizionali Security Operations Center (SOC) e dei sistemi basati su SIEM.

In un contesto in cui le minacce informatiche si evolvono a velocità impressionante, il vero problema non è più se un’azienda verrà attaccata, ma quanto rapidamente riuscirà a rilevare e neutralizzare l’attacco.

NIS2 e cybersecurity aziendale: l’MDR come risposta operativa alla compliance

La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, entrato in vigore il 16 ottobre 2024, estende significativamente il perimetro dei soggetti obbligati a implementare misure di sicurezza adeguate.

Tra le misure richieste dalla norma figurano esplicitamente il monitoraggio continuo degli incidenti, la capacità di risposta rapida, la gestione della business continuity e la reportistica strutturata verso le autorità competenti.
Il servizio MDR di Actainfo non è, quindi, soltanto uno strumento di difesa tecnica: è una vera e propria infrastruttura di compliance operativa. Fornisce la documentazione degli incidenti, i log di attività, le analisi post-incident e i processi standardizzati che le autorità e i clienti possono richiedere in caso di verifica o notifica obbligatoria.

Per le aziende che devono dimostrare la propria postura di sicurezza a committenti, partner o al regolatore, disporre di un servizio MDR attivo e documentato è sempre più un requisito contrattuale prima ancora che normativo.

MDR: un cambio di paradigma, non solo un aggiornamento tecnologico
In questo scenario, il Managed Detection and Response si sta affermando come uno degli ambiti a maggiore crescita nel panorama della cybersecurity globale. Ma di cosa si tratta esattamente? Non è semplicemente un upgrade tecnologico, bensì un cambio di paradigma nella gestione del rischio informatico aziendale.

Il Servizio MDR di Actainfo, partner di Bitdefender, offre un servizio di sicurezza gestito 24/7, che mira a identificare e neutralizzare attacchi avanzati, prevenendo violazioni dei dati e riducendo i costi derivanti da incidenti di sicurezza

SOC troppo costosi, SIEM insufficienti: il gap che MDR colma
Per capire perché MDR stia guadagnando terreno così rapidamente, è utile analizzare i limiti dei modelli tradizionali. Un SOC interno offre controllo e personalizzazione, ma richiede infrastrutture complesse, personale altamente specializzato e processi strutturati – risorse che solo una minoranza di aziende può permettersi.
D’altro canto, i sistemi basati su SIEM e raccolta di log generano un’enorme quantità di alert, la maggior parte dei quali sono falsi positivi che finiscono per appesantire ulteriormente i team IT, già oberati di lavoro.

Il servizio MDR interviene non si limita a raccogliere segnali, ma li analizza, li valida e li trasforma in azioni concrete. È la differenza tra ricevere un allarme e avere un team di esperti che risponde tempestivamente, distinguendo tra un’emergenza reale e un falso positivo.

MTTD: la metrica che può fare la differenza tra un incidente e una crisi
Uno dei parametri più significativi per valutare un servizio MDR è il Mean Time to Detect (MTTD), ovvero il tempo medio necessario per identificare una minaccia attiva. Il Servizio MDR di Actainfo, ha 24 minuti di MTTD per ogni incidente, come riportato da MITRE Engenuity ATT&CK Evaluation for Managed Services 2024. In un contesto in cui un ransomware può cifrare migliaia di file in pochi minuti, questa metrica non è un dettaglio tecnico secondario: è la differenza tra un incidente contenuto e una crisi aziendale a pieno regime.

Tra i benefici misurabili di una soluzione MDR figurano:
– Riduzione del carico operativo sui team IT interni grazie al filtraggio dei falsi positivi e alla contestualizzazione degli alert;
– Copertura completa di monitoraggio e threat hunting da parte di specialisti dedicati;
– Ottimizzazione dei costi rispetto alla costruzione di un SOC interno, con risparmi sostanziali su personale, licenze e infrastrutture;
– Supporto strutturato alla compliance attraverso reportistica dettagliata e processi standardizzati.

Conclusione: MDR non è un’opzione, ma una necessità
In un’epoca in cui le minacce informatiche sono sempre più sofisticate e pervasive, il Managed Detection and Response rappresenta non solo una soluzione tecnologica avanzata, ma una strategia imprescindibile per la sicurezza delle aziende. Per le organizzazioni italiane, soprattutto PMI e medie imprese, adottare un modello MDR significa non solo ridurre i rischi, ma anche ottimizzare le risorse e garantire una risposta tempestiva agli attacchi. Il tempo delle soluzioni tradizionali, troppo lente e costose, sembra ormai essere agli sgoccioli.

Fonte ICT Security Magazine

Sintesi elaborata da ActyAI
https://www.actyai.it/
supervisionata da Staff Actainfo

L'articolo MDR: Servizio cybersecurity in tempo reale proviene da Actainfo.