A partire dalle ore 12:00 di oggi, 20 ottobre 2026, sono ufficialmente aperti i termini per la presentazione delle domande di finanziamento relative al Voucher Cloud MIMIT. L’iniziativa, promossa dal Ministero delle Imprese e del Made in Italy e gestita da Invitalia, rappresenta un’importante opportunità per le imprese che intendono accelerare la propria transizione digitale.

Le PMI e i liberi professionisti interessati a digitalizzare e mettere in sicurezza i propri processi aziendali possono inoltrare la richiesta tramite lo sportello online di Invitalia, compilando e allegando la modulistica ufficiale messa a disposizione sul proprio sito web dal Ministero.
Sebbene la finestra temporale rimanga aperta fino al 20 gennaio 2027, è fortemente consigliato procedere tempestivamente, poiché le risorse saranno assegnate fino a esaurimento fondi.

Caratteristiche e benefici del Voucher MIMIT

La misura è strutturata per fornire risorse concrete alla transizione digitale attraverso diverse modalità:

• Contributo economico: È previsto un contributo a fondo perduto fino al 50% delle spese ammissibili, con un tetto massimo di 30.000 euro per beneficiario.
  
• Servizi ammessi: L’agevolazione copre progetti focalizzati su cloud computing certificato, cybersecurity (standard ISO/IEC 27001), migrazione dati, disaster recovery, business continuity e gestione sicura dei dati.
  
• Fornitori qualificati: Per accedere al contributo, è necessario avvalersi di fornitori qualificati presenti nel Marketplace Cloud di ACN (ex AgID) o dotati delle certificazioni ISO/IEC 27001, 27017 e 27018.
  
• Modalità di acquisto e cumulabilità: I contratti possono includere acquisti diretti (conclusi entro 12 mesi), abbonamenti di durata minima di 24 mesi o soluzioni miste. Il voucher è inoltre cumulabile con altre agevolazioni fino al 100% della spesa ammissibile.

Supporto alla presentazione del progetto

Per le imprese che necessitano di assistenza tecnica, Actainfo si pone come partner certificato, in quanto possiede tutti i requisiti tecnici e le certificazioni necessarie (Marketplace Cloud ACN, ISO/IEC 27001, 27017 e 27018) per guidare le realtà economiche nella scelta della combinazione di servizi più adatta.

Con un catalogo di 23 tipologie di servizi digitali finanziabili erogabili da un unico fornitore, Actainfo è pronta a strutturare il piano di spesa e affiancare i beneficiari nella presentazione della domanda. 

Vuoi saperne di più?
Per ulteriori informazioni contatta il team di Actainfo al seguente link: https://www.actainfo.it/contatti per richiedere una consulenza e strutturare la tua domanda di finanziamento.

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo MIMIT Voucher Cloud 2026: da oggi 20 ottobre aperte le candidature proviene da Actainfo.

L’ultimo report di ENISA (European Union Agency for Cybersecurity) e l’analisi di Federprivacy convergono su un punto cruciale: nell’era della digitalizzazione, la sicurezza di un’organizzazione non dipende più solo dalle proprie difese, ma anche da quelle dei fornitori con cui collabora. Un singolo anello debole nella catena di fornitura può compromettere interi ecosistemi, con ripercussioni che vanno ben oltre i confini aziendali.

Il documento di ENISA, intitolato “Exploring the evolution of the cyber threat landscape: How dependencies weaken our digital resilience”, evidenzia come la crescente interconnessione tra sistemi, servizi cloud e partner esterni stia ampliando in modo esponenziale la superficie di attacco.
Un fenomeno che non riguarda solo la tenuta delle infrastrutture IT, ma anche la compliance normativa e la protezione dei dati personali.

Il quadro delle minacce: ransomware, geopolitica e attacchi alla Pubblica Amministrazione

Secondo l’analisi di ENISA, i rischi cyber più pressanti nel 2024 si concentrano su tre fronti principali:

– Ransomware: continua a essere la minaccia con il maggiore impatto operativo ed economico a breve termine. Gli attacchi si fanno sempre più sofisticati, con richieste di riscatto in aumento e tempi di fermo prolungati.
– Tensioni geopolitiche: gruppi hacktivist e attacchi DDoS (Distributed Denial of Service) prendono di mira servizi essenziali, sfruttando le instabilità internazionali per destabilizzare infrastrutture critiche.
– Pubblica Amministrazione nel mirino: il settore pubblico rimane uno dei target preferiti dagli attaccanti, spesso utilizzato come trampolino per accedere a reti più ampie e a dati sensibili.

Effetto domino: la sicurezza della catena di fornitura è la nuova frontiera della cybersecurity

Il vero cambio di paradigma, secondo il report, è rappresentato dalla Supply Chain Cybersecurity.
Anche le organizzazioni con elevati standard interni di sicurezza possono essere vulnerabili se un fornitore di servizi cloud, un software integrato o un partner esterno subisce una violazione.

Un singolo incidente può propagarsi a cascata, coinvolgendo decine di aziende e enti pubblici.

Questo fenomeno non è più un’ipotesi remota: basti pensare a casi recenti in cui una vulnerabilità in un software di terze parti ha portato a violazioni di dati su larga scala, con conseguenti sanzioni per mancata compliance al GDPR.

Privacy e compliance: il ruolo della Data Governance

La sicurezza informatica e la protezione dei dati personali sono ormai indissolubilmente legate. Il report sottolinea come la normativa europea imponga alle organizzazioni di adottare un approccio proattivo:

– Gestione dei Responsabili del Trattamento (Art. 28 GDPR): la scelta dei fornitori non può limitarsi a verifiche formali. È fondamentale valutare la resilienza cibernetica dei soggetti terzi che trattano dati per conto del titolare.
– Obbligo di notifica delle violazioni (Data Breach): una vulnerabilità nella catena di fornitura aumenta il rischio di violazioni di dati personali, rendendo ancora più stringenti i tempi di risposta per le notifiche al Garante e agli interessati.
– Sinergia con la Direttiva NIS2 e la normativa UE: i nuovi quadri regolatori richiedono una gestione attiva del rischio di terze parti (Third-Party Risk Management), integrando i requisiti di sicurezza con i principi della Privacy by Design e by Default.

Le azioni strategiche per mitigare i rischi

Per affrontare queste sfide, le organizzazioni devono adottare un approccio basato sulla prevenzione e sulla gestione attiva dei rischi. Ecco le raccomandazioni chiave:

– Mappatura completa degli asset e delle terze parti: catalogare tutti i software, i servizi cloud e le integrazioni API in uso per identificare eventuali punti deboli.
– Audit e Continuous Monitoring dei fornitori: introdurre clausole contrattuali di sicurezza stringenti e verificare periodicamente lo stato di postura informatica dei terzi.
– Piani di Incident Response integrati: testare scenari di ripristino (Business Continuity) ipotizzando il blocco o la compromissione di un fornitore critico.
– Formazione continua e cultura della sicurezza: mantenere elevata l’attenzione sulle tecniche di ingegneria sociale e phishing, tra le principali cause di compromissione delle credenziali aziendali.

Conclusioni: la sicurezza è un impegno collettivo

Per aiutare aziende e Pubbliche Amministrazioni a proteggersi dai rischi informatici legati alla catena di fornitura e dalle minacce cyber più diffuse (come il ransomware), ActaInfo propone diversi percorsi formativi pratici ed essenziali sulla piattaforma Actafad.

Vuoi saperne di più?

Per ulteriori informazioni contatta il team di Actainfo al seguente link: https://www.actainfo.it/contatti

Fonte: Federprivacy, Enisa

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Supply Chain: anello debole della cybersecurity è spesso un fornitore proviene da Actainfo.

Un’infrastruttura cloud sicura e conforme

GravityZone é una piattaforma unificata per la sicurezza aziendale, l’analisi dei rischi e la compliance.
L’infrastruttura cloud di Aruba ospita la piattaforma, ma Bitdefender mantiene il pieno controllo operativo, assicurando che tutti i dati siano crittografati e gestiti esclusivamente da Bitdefender.

GravityZone offre funzionalità avanzate come la protezione degli endpoint (EPP), il rilevamento e risposta agli attacchi (EDR), il rilevamento e risposta estesi (XDR) e la sicurezza cloud-native. La piattaforma utilizza tecnologie di rilevamento basate sul contesto, integrate con i servizi di rilevamento e risposta gestiti (MDR) di Bitdefender.

Sicurezza sovrana per settori strategici

La partnership è rivolta alle aziende europee di qualsiasi dimensione e settore, con particolare attenzione a quelle che devono rispettare rigorosi requisiti di localizzazione e sovranità dei dati, come la pubblica amministrazione, i servizi finanziari, la sanità, l’istruzione, le infrastrutture critiche, l’energia e il manifatturiero. In questi ambiti, la conformità a normative come GDPR, NIS2 e DORA è fondamentale per le attività aziendali.

Finanziamento MIMIT dei servizi

Dal 20 ottobre 2027 i servizi Cybersecurity di Actainfo, partner di Bitdefender e Aruba, sono finanziabili al 50% con fondi MIMIT – Ministero delle Imprese e del Made in Italy.
Le domande sono finanziate fino a esaurimento dei fondi, pertanto, è importante preparare il progetto prima possibile.

Con Actainfo, fornitore accreditato da MIMIT puoi scegliere un mix tra 23 tipologie di servizi digitali finanziabili, come dalla seguente tabella di servizi pubblicata da MIMIT.

Per maggiori informazioni visita il link: https://www.actainfo.it/voucher-cloud-cybersecurity/

Fonte: Red Hot Cyber

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Actainfo con Bitdefender e Aruba per una cybersecurity sovrana Europea proviene da Actainfo.

L’adozione di soluzioni tecnologiche per il tracciamento delle presenze aziendali richiede oggi una valutazione attenta.
Non ci si può limitare alla tutela dei dati personali ma la valutazione deve estendersi anche alla sicurezza delle infrastrutture di rete.

L’allarme dell’ACN: una vulnerabilità critica nei software di tracciamento

Con l’alert di sicurezza AL01/260915/CSIRT-ITA, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha segnalato una vulnerabilità di livello “alta” nella piattaforma software TrxTimeATTENDANCE di Trexom commercializzata da aziende leader.

Trattandosi di una vulnerabilità di tipo OS Command Injection (CWE-78), un utente malintenzionato potrebbe sfruttarla da remoto, per eseguire comandi arbitrari a livello di sistema con privilegi elevati, pregiudicando l’integrità della rete aziendale. https://www.acn.gov.it/portale/w/trexom-aggiornamenti-di-sicurezza

Cosa fare:
Gli amministratori, che utilizzano questo software, devono verificare tempestivamente la presenza di applicativi esposti e applicare le patch di aggiornamento rilasciate dal produttore.
ACN sottolinea che l’aggiornamento è l’unica misura efficace per mitigare il rischio di compromissione.

Il profilo normativo: il Garante Privacy e l’illegittimità dei dati biometrici

Parallelamente all’allarme lanciato da ACN, il Garante per la Protezione dei Dati Personali ha recentemente sanzionato un ente che utilizzava un sistema di rilevazione presenze basato su badge e impronta digitale.
Con il Provvedimento del 27 marzo 2025, l’Autorità ha ribadito principi fondamentali che ogni organizzazione deve rispettare:

– mancanza di base giuridica: il trattamento dei dati biometrici è di regola vietato (Art. 9, par. 1, GDPR) ed è consentito solo in presenza di una espressa e specifica norma di legge autorizzatoria (Art. 9, par. 2, lett. B, GDPR), ad oggi assente per la rilevazione delle presenze dei dipendenti;
 – orientamento del Garante: il Garante per la protezione dei dati personali ha più volte confermato l’illiceità del trattamento biometrico dei lavoratori per il controllo delle presenze, ribadendo che il difetto di base giuridica non può essere sanato né dal consenso dei dipendenti né dalla redazione di una DPIA.

Raccomandazioni per DPO, responsabili IT e datori di lavoro

Alla luce di tali aspetti, tutte le organizzazioni sono invitate a intraprendere azioni immediate:

– audit degli strumenti in uso: verificare se nei sistemi di timbratura siano attive funzioni di riconoscimento biometrico e procedere alla loro disattivazione, oltre alla cancellazione dei dati memorizzati;
– patch management prioritario: applicare tempestivamente gli aggiornamenti forniti, per mitigare il rischio di esecuzione remota di codice;
– adozione di alternative sicure e conformi: sostituire i sistemi biometrici con soluzioni tradizionali e prive di criticità, come badge tradizionali, username e password con autenticazione 2FA, SPID o CIE.

In un contesto in cui la sicurezza informatica e la privacy dei dati sono sempre più al centro dell’attenzione, la tempestività e la conformità alle normative rappresentano elementi imprescindibili per garantire la protezione sia delle infrastrutture che delle persone.

Vuoi saperne di più?

Per ulteriori informazioni contatta il team di Actainfo al seguente link: https://www.actainfo.it/contatti

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Privacy e sicurezza dei dati: i sistemi biometrici di rilevazione presenze nel mirino di ACN e Garante Privacy proviene da Actainfo.

Le prossime scadenze
La prima scadenza rilevante è fissata per ottobre 2024: riguarda l’attuazione delle misure di sicurezza di base per i soggetti inseriti nell’elenco NIS nel 2025. Successivamente, la registrazione per il 2027 rappresenta un altro appuntamento chiave.

Come ogni anno, dal 1° gennaio al 28 febbraio, tutti i soggetti NIS sono tenuti a effettuare o aggiornare la registrazione online tramite il portale dei servizi dell’Agenzia per la cybersicurezza nazionale (ACN).

I focus del Vademecum
Il documento approfondisce diversi aspetti, tra cui:

– L’aggiornamento delle informazioni e la categorizzazione delle attività e dei servizi.

– L’importanza della registrazione, non rappresenta solo un adempimento obbligatorio, ma costituisce anche il primo passo per entrare a far parte della constituency dei soggetti NIS.
Questo adempimento consente di accedere al supporto di ACN e CSIRT Italia, in un contesto di regolazione partecipata e compliance cooperativa.

L’aggiornamento delle informazioni
Con la registrazione, i soggetti NIS condividono con l’Autorità nazionale competente (ACN) le informazioni previste dal decreto NIS.

Questo processo mira a rendere più efficace la protezione delle reti e dei sistemi informativi, sia a livello individuale che nazionale, anche attraverso un potenziamento delle analisi a tutela della catena di approvvigionamento.

La categorizzazione delle attività e dei servizi
Attraverso questo processo, i soggetti NIS effettuano un’analisi di impatto semplificata, basata su un modello armonizzato.

Gli esiti vengono condivisi con ACN per definire obblighi in materia di misure di sicurezza proporzionati alle specificità delle attività svolte.

Dove trovare maggiori informazioni
Per approfondire, è possibile scaricare il Vadecum ufficiale di ACN al seguente link: https://www.acn.gov.it/portale/nis

Articolo elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Vademecum NIS: scadenze, adempimenti e soggetti coinvolti proviene da Actainfo.

La correzione è inclusa in macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9. Apple ha spiegato di aver risolto il difetto intervenendo sulla gestione dello stato del processo di autenticazione.

La descrizione tecnica pubblicata dal produttore è molto sintetica, ma l’impatto potenziale è rilevante. Screen Sharing permette di visualizzare e controllare a distanza lo schermo di un Mac. Un accesso non autorizzato può quindi esporre informazioni aziendali, sessioni applicative e attività svolte dall’utente, oltre a creare le condizioni per ulteriori azioni sul dispositivo.

Che cos’è Screen Sharing

Screen Sharing è la funzione integrata in macOS che consente di accedere da remoto allo schermo di un altro computer Apple e, quando autorizzato, di interagire con il sistema.

È uno strumento utile per l’assistenza tecnica, la collaborazione e la gestione di postazioni remote. Proprio perché permette un livello elevato di interazione, però, deve essere abilitato soltanto quando necessario e protetto da configurazioni di rete adeguate.

La vulnerabilità CVE-2026-65400 riguarda il controllo dell’autenticazione. In base all’avviso Apple, un attaccante raggiungibile attraverso la rete potrebbe riuscire ad autenticarsi a Screen Sharing senza utilizzare credenziali valide.

L’NCSC dei Paesi Bassi ha attribuito inizialmente alla vulnerabilità un punteggio CVSS pari a 7,1 e ha invitato le organizzazioni a installare gli aggiornamenti il prima possibile. Al momento della pubblicazione del suo primo avviso, il centro nazionale non riportava evidenze di sfruttamento attivo. L’assenza di una segnalazione pubblica, tuttavia, non rappresenta un motivo valido per rimandare la correzione di un problema che interessa un servizio di accesso remoto.

Quali versioni devono essere aggiornate

Apple ha distribuito la correzione su tre rami del sistema operativo:

• macOS Tahoe deve essere aggiornato alla versione 26.6.1;
• macOS Sequoia deve essere aggiornato alla versione 15.7.9;
• macOS Sonoma deve essere aggiornato alla versione 14.8.9.

Le organizzazioni non dovrebbero limitarsi a comunicare genericamente agli utenti di effettuare l’aggiornamento. È necessario verificare l’effettiva installazione della versione corretta su ogni dispositivo gestito.

In una rete aziendale possono infatti essere presenti Mac non utilizzati quotidianamente, postazioni condivise, dispositivi assegnati a collaboratori esterni o computer che non ricevono più regolarmente le politiche del sistema di gestione centralizzata. Sono proprio questi asset meno visibili a rimanere più facilmente esclusi dalle campagne di aggiornamento.

Quando il rischio è maggiore

La presenza di una versione non aggiornata non significa automaticamente che il dispositivo sia stato compromesso. Il livello di esposizione dipende anche dalla configurazione concreta del Mac e della rete.

Il rischio cresce quando:

• Screen Sharing o servizi equivalenti di gestione remota sono abilitati;
• il servizio è raggiungibile da reti non affidabili o direttamente da Internet;
• le regole del firewall consentono connessioni più ampie del necessario;
• il dispositivo viene utilizzato fuori dalla rete aziendale senza adeguate protezioni;
• mancano strumenti centralizzati per controllare configurazioni e aggiornamenti;
• sul computer sono attive sessioni con privilegi elevati o sono accessibili dati sensibili.

Un portatile utilizzato da remoto può contenere posta elettronica, documenti riservati, credenziali memorizzate, collegamenti VPN e accessi a servizi cloud. La compromissione di un singolo endpoint può quindi diventare il punto di ingresso verso risorse aziendali più ampie.

Cosa devono fare aziende e professionisti

La prima misura consiste nell’installare gli aggiornamenti messi a disposizione da Apple. Per le organizzazioni con più dispositivi, l’intervento dovrebbe essere gestito come una vera campagna di sicurezza, con controllo dello stato iniziale e verifica conclusiva.

È opportuno:

• censire i Mac presenti nell’organizzazione e identificarne versione e stato di supporto;
• distribuire gli aggiornamenti tramite gli strumenti di gestione centralizzata, quando disponibili;
• verificare che ogni dispositivo abbia raggiunto almeno la versione corretta indicata da Apple;
• controllare se Screen Sharing e Remote Management siano attivi e disabilitarli quando non necessari;
• limitare l’accesso remoto a reti fidate, VPN e indirizzi espressamente autorizzati;
• riesaminare le regole dei firewall locali e perimetrali;
• individuare eventuali dispositivi esposti direttamente verso Internet;
• analizzare i log e la telemetria di sicurezza se il servizio è rimasto raggiungibile su un sistema vulnerabile;
• verificare che account amministrativi e credenziali memorizzate rispettino il principio del minimo privilegio;
• documentare l’aggiornamento e gli esiti delle verifiche effettuate.

Chi non utilizza Screen Sharing dovrebbe mantenerlo disattivato. Questa misura riduce la superficie di attacco, ma non sostituisce l’aggiornamento: una configurazione può essere modificata in seguito, volontariamente o per errore, e il dispositivo resterebbe vulnerabile.

Perché il patch management è un tema di governance

Una vulnerabilità in un sistema operativo non è soltanto un problema del reparto IT. Può coinvolgere continuità operativa, protezione dei dati, sicurezza degli accessi e responsabilità organizzative.

Il GDPR richiede l’adozione di misure tecniche e organizzative adeguate al rischio, mentre la NIS2 attribuisce particolare importanza alla gestione delle vulnerabilità, alla sicurezza degli asset e alla verifica dell’efficacia delle misure adottate.

Questo non significa che ogni dispositivo non aggiornato determini automaticamente una violazione normativa. Significa, però, che un’organizzazione deve poter dimostrare di avere un processo ragionevole per ricevere gli avvisi, valutarne la priorità, distribuire le correzioni e gestire le eccezioni.

Un inventario incompleto rende fragile l’intero processo. Se l’organizzazione non sa quanti Mac possiede, quali versioni eseguono e quali servizi remoti sono abilitati, non può sapere con certezza se la vulnerabilità sia stata eliminata.

Non basta attivare gli aggiornamenti automatici

Gli aggiornamenti automatici sono utili, ma in ambito aziendale non rappresentano da soli una prova dell’avvenuta correzione. Un computer spento, con spazio insufficiente, fuori gestione o bloccato da incompatibilità applicative può non ricevere l’update nei tempi previsti.

Serve quindi una verifica centralizzata che distingua almeno tra dispositivi aggiornati, dispositivi in attesa, dispositivi non raggiungibili ed eventuali eccezioni motivate. Le anomalie devono essere assegnate a un responsabile e chiuse entro una scadenza coerente con il rischio.

La vulnerabilità CVE-2026-65400 offre un esempio concreto di questo principio: la sicurezza non consiste nel sapere che la patch esiste, ma nel poter dimostrare che è stata installata sui sistemi interessati e che l’accesso remoto è configurato correttamente.

Actainfo supporta aziende e Pubbliche Amministrazioni nel censimento degli asset, nella governance e gestione delle vulnerabilità, nella formazione e nell’organizzazione delle evidenze necessarie per GDPR e NIS2, anche attraverso la piattaforma ActaCyber qualificata da ACN.

Fonti

• Apple – Contenuto di sicurezza di macOS Tahoe 26.6.1
• Apple – Contenuto di sicurezza di macOS Sequoia 15.7.9
• Apple – Contenuto di sicurezza di macOS Sonoma 14.8.9
• NCSC Paesi Bassi – Vulnerabilità in macOS Screen Sharing

Articolo elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo macOS: vulnerabilità in condivisione schermo pc aziende e professionisti proviene da Actainfo.

Le rivendicazioni degli attaccanti devono tuttavia essere trattate con cautela.
Reuters non ha potuto verificare in modo indipendente né la natura né la quantità dei dati che Cl0p sostiene di aver sottratto. Le prime dichiarazioni delle società interessate descrivono inoltre situazioni differenti e ancora in fase di accertamento.

Il collegamento con Windchill e FlexPLM

Secondo un avviso diffuso da Ransom-ISAC, la campagna è stata collegata allo sfruttamento di vulnerabilità presenti in PTC Windchill PDMLink e PTC FlexPLM, piattaforme utilizzate per la gestione del ciclo di vita dei prodotti e dei relativi dati tecnici.

Questi sistemi possono contenere informazioni particolarmente sensibili per il business: progetti, disegni tecnici, specifiche, distinte base, dati di produzione, documentazione sui fornitori e proprietà intellettuale.
Non sono quindi semplici applicativi amministrativi, ma archivi centrali per numerose organizzazioni dei settori manifatturiero, automobilistico, aerospaziale, retail e abbigliamento.

PTC ha pubblicato un avviso dedicato alla vulnerabilità CVE-2026-12569, che può consentire a un utente non autorizzato di eseguire codice da remoto.
Il problema è legato alla deserializzazione di dati non attendibili ed è classificato come critico: PTC gli attribuisce un punteggio CVSS 4.0 pari a 9,3, mentre il National Vulnerability Database riporta un punteggio CVSS 3.1 pari a 9,8.

La vulnerabilità è stata inserita il 25 giugno 2026 nel catalogo delle vulnerabilità sfruttate attivamente, il Known Exploited Vulnerabilities Catalog della statunitense CISA. PTC ha messo a disposizione patch, misure di mitigazione e indicatori di compromissione, invitando i clienti ad applicare immediatamente le correzioni e a controllare gli ambienti interessati.

Non è stato confermato pubblicamente che ogni organizzazione citata nelle più recenti rivendicazioni sia stata compromessa attraverso CVE-2026-12569. Il collegamento tra la campagna Cl0p e lo sfruttamento di installazioni Windchill e FlexPLM esposte in rete resta però un elemento operativo da considerare con la massima priorità.

Un modello di attacco sempre più industrializzato

Cl0p è noto per campagne che non puntano necessariamente una singola azienda. Il gruppo cerca vulnerabilità in software largamente adottati e tenta di sfruttarle su più installazioni, moltiplicando il numero delle potenziali vittime.

È un modello diverso dal classico attacco costruito su misura contro un’organizzazione specifica. Il bersaglio iniziale diventa il prodotto software; le aziende che lo utilizzano rappresentano il bacino di possibili compromissioni.

Inoltre, l’estorsione non richiede sempre la cifratura dei sistemi. Se gli attaccanti riescono a sottrarre documenti riservati o proprietà intellettuale, possono minacciare la pubblicazione dei dati e fare pressione sull’organizzazione anche senza bloccarne completamente le attività.

Questo riduce la visibilità immediata dell’incidente. Un sistema può continuare apparentemente a funzionare mentre dati sensibili vengono raccolti e trasferiti all’esterno. Per questo il solo controllo della disponibilità dei servizi non basta: servono monitoraggio, analisi dei log e capacità di individuare comportamenti anomali.

Il rischio della concentrazione tecnologica

La vicenda mostra anche un punto debole delle moderne catene digitali. Quando molte imprese affidano processi critici allo stesso prodotto, una vulnerabilità può generare un rischio concentrato e propagarsi in settori diversi.

Questo non significa che utilizzare una soluzione diffusa sia automaticamente insicuro. Significa, però, che l’organizzazione non può delegare integralmente la sicurezza al fornitore. Deve conoscere le tecnologie utilizzate, sapere quali servizi sono esposti, ricevere tempestivamente gli avvisi di sicurezza e verificare che le correzioni siano state realmente applicate.

La gestione dei fornitori prevista dalla NIS2 non si limita infatti alla scelta iniziale del partner. Richiede una valutazione continuativa delle dipendenze, delle vulnerabilità e delle conseguenze che un incidente presso un prodotto o un servizio esterno potrebbe avere sull’erogazione delle attività aziendali.

Cosa devono verificare subito le organizzazioni

Le aziende che utilizzano Windchill PDMLink o FlexPLM dovrebbero avviare una verifica coordinata tra funzione IT, cybersecurity, responsabili applicativi, continuità operativa e direzione.

In particolare, è opportuno:

• censire tutte le installazioni Windchill, FlexPLM e le eventuali componenti collegate;
• verificare versioni, patch installate e indicazioni aggiornate pubblicate da PTC;
• controllare se i sistemi sono accessibili direttamente da Internet e ridurre l’esposizione non necessaria;
• confrontare log, file e traffico di rete con gli indicatori di compromissione diffusi dal produttore;
• ricercare accessi anomali, esecuzioni inattese e possibili trasferimenti di dati;
• attivare il piano di risposta agli incidenti se emergono segnali compatibili con una compromissione;
• valutare la rotazione delle credenziali e delle chiavi che potrebbero essere state accessibili dal sistema coinvolto;
• verificare integrità e disponibilità dei backup, senza considerarli una protezione sufficiente contro la sottrazione dei dati;
• documentare verifiche, decisioni, responsabilità e azioni correttive adottate.

Installare la patch è indispensabile, ma potrebbe non essere sufficiente se l’attaccante è entrato prima dell’aggiornamento. Nei sistemi esposti durante il periodo di rischio serve anche una verifica retrospettiva, finalizzata a escludere la presenza di accessi persistenti o tracce di esfiltrazione.

Dalla patch alla gestione strutturata del rischio

La lezione della campagna attribuita a Cl0p è chiara: il patch management non può essere trattato come un’attività tecnica isolata. Deve essere collegato all’inventario degli asset, alla classificazione dei sistemi critici, al monitoraggio delle minacce, alla gestione dei fornitori e alla risposta agli incidenti.

Un aggiornamento applicato con settimane di ritardo su un sistema che conserva proprietà intellettuale non equivale a un ritardo su un dispositivo marginale. La priorità deve dipendere dall’esposizione, dalla criticità dei dati, dalla presenza di sfruttamento attivo e dall’impatto potenziale sul business.

Per i soggetti rientranti nel perimetro NIS2, questo approccio è anche parte della capacità di dimostrare che le misure di sicurezza sono proporzionate al rischio e vengono gestite nel tempo.
Non basta avere una procedura di aggiornamento: occorre poter provare quando l’avviso è stato ricevuto, come è stata valutata la priorità, quali sistemi sono stati corretti e quali controlli sono stati effettuati dopo l’intervento.

Actainfo supporta aziende e Pubbliche Amministrazioni nella valutazione del rischio cyber, nel censimento degli asset, nella gestione delle vulnerabilità, nell’organizzazione delle evidenze NIS2 e nella formazione del personale, anche attraverso il software Actacyber qualificato da ACN.

Fonti

• Reuters – Hacking group claims mass data theft from Shell, Philips, GE, Fiserv and dozens of others
• PTC – Critical Vulnerability in Windchill and FlexPLM
• NVD – CVE-2026-12569

L'articolo Cyberattacco Cl0p: 50 aziende a rischio usando software per supply chain proviene da Actainfo.

Le FAQ, identificate con i codici da MVE.1 a MVE.5, chiariscono come l’ACN potrà verificare il rispetto degli obblighi previsti dal D.Lgs. 138/2024 da parte di soggetti essenziali, soggetti importanti e Pubbliche Amministrazioni.

Non si tratta di una nuova scadenza né dell’introduzione di ulteriori adempimenti.
Il chiarimento è però rilevante perché rende più leggibile il passaggio dalla fase di adeguamento alla fase di controllo.
Per un’organizzazione non sarà sufficiente dichiarare di essere conforme, ma sarà necessario poter dimostrare nel tempo le misure adottate, le verifiche svolte e gli interventi correttivi realizzati.

I quattro ambiti della vigilanza ACN

La FAQ MVE.1 ricorda che l’attività di vigilanza ed esecuzione si articola in quattro ambiti:

1. monitoraggio, analisi e supporto ai soggetti NIS;
2. verifiche e ispezioni;
3. misure di esecuzione;
4. sanzioni amministrative pecuniarie e accessorie.

ACN applica un approccio graduale e basato sul rischio, nel rispetto dei principi di effettività, proporzionalità e dissuasività, tenendo conto delle caratteristiche del singolo caso.

Questo significa che controlli e provvedimenti non seguono necessariamente uno schema identico per tutte le organizzazioni. Possono incidere, tra gli altri elementi, la gravità e la durata di una violazione, eventuali precedenti, i danni causati, le misure adottate per limitarli e il livello di collaborazione con l’Autorità.

Monitoraggio continuativo: la conformità deve essere dimostrabile

La FAQ MVE.2 evidenzia il carattere sistematico e continuativo delle attività di monitoraggio, analisi e supporto.

ACN può acquisire informazioni sullo stato di attuazione degli obblighi, valutarne le risultanze e accompagnare i soggetti NIS attraverso raccomandazioni, linee guida, FAQ, tavoli settoriali e attività divulgative.

Il D.Lgs. 138/2024 prevede inoltre la possibilità di richiedere rendicontazioni, autovalutazioni, piani di implementazione, audit e scansioni di sicurezza.
La compliance NIS2 non può essere gestita come un fascicolo da preparare una volta sola.
Deve diventare un processo aggiornato, tracciabile e coerente con ciò che l’organizzazione svolge concretamente.

Procedure formalmente corrette ma non applicate, registri non aggiornati o documenti che non corrispondono all’assetto reale si trasformano in criticità durante un controllo.

Ispezioni: la differenza tra soggetti essenziali e importanti

La FAQ MVE.3 chiarisce una distinzione centrale.

Nei confronti dei soggetti essenziali, l’attività ispettiva può essere esercitata anche ex ante, quindi in via preventiva e senza che debbano essere già emersi specifici elementi di possibile violazione.

Per i soggetti importanti, invece, i poteri di verifica e ispettivi possono essere esercitati quando ACN acquisisce o riceve elementi di prova, indicazioni o informazioni di possibili violazioni del decreto NIS.

Le attività di controllo comprendono la verifica della documentazione e delle informazioni trasmesse, ispezioni in loco o a distanza e richieste di accesso a dati, documenti e altre informazioni necessarie.

Essere classificati come soggetto importante, quindi, non significa essere esclusi dalla vigilanza.
Cambia il presupposto per l’avvio dell’attività ispettiva, resta la necessità di mantenere una conformità effettiva e documentata.

Intimazioni, diffide e misure correttive

La FAQ MVE.4 riguarda le misure di esecuzione previste dall’articolo 37 del D.Lgs. 138/2024.

Quando vengono rilevate carenze o condotte non conformi, ACN può richiedere al soggetto NIS di adempiere agli obblighi, attuare le raccomandazioni ricevute, porre rimedio alle criticità individuate o cessare il comportamento in violazione.
L’Autorità può intervenire mediante intimazioni e, in caso di mancato adempimento, attraverso diffide, indicando modalità e termini ragionevoli e proporzionati.

L’adozione di una misura di esecuzione non impedisce la contestazione della violazione e l’eventuale applicazione di una sanzione.
Correggere una carenza è necessario, ma non cancella automaticamente ciò che è già stato accertato.

Sanzioni diverse per soggetti essenziali, importanti e Pubbliche Amministrazioni

La FAQ MVE.5 precisa che l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie variano in base alla natura del soggetto.

Per le principali violazioni indicate dall’articolo 38 del decreto, le sanzioni possono arrivare:

• per i soggetti essenziali diversi dalle Pubbliche Amministrazioni, fino a 10 milioni di euro oppure al 2% del fatturato annuo mondiale dell’esercizio precedente, se superiore;
• per i soggetti importanti diversi dalle Pubbliche Amministrazioni, fino a 7 milioni di euro oppure all’1,4% del fatturato annuo mondiale dell’esercizio precedente, se superiore;
• per le Pubbliche Amministrazioni qualificate come soggetti essenziali, da 25.000 a 125.000 euro;
• per le Pubbliche Amministrazioni qualificate come soggetti importanti, una riduzione di un terzo rispetto agli importi previsti per le PA essenziali.

L’importo effettivo dipende dalla violazione contestata e dai criteri di valutazione previsti dalla normativa. In specifiche circostanze possono trovare applicazione anche misure accessorie.

Cosa devono fare aziende ed enti

Le nuove FAQ non richiedono una corsa a produrre altra documentazione. Richiedono, piuttosto, di verificare che quella esistente sia completa, aggiornata e supportata da evidenze concrete.

È opportuno controllare almeno i seguenti aspetti:

• corretta individuazione degli obblighi applicabili e delle responsabilità interne;
• coerenza tra informazioni comunicate a ACN, organizzazione reale e sistemi utilizzati;
• disponibilità di analisi del rischio, politiche, registri, verbali, report di audit e prove delle misure attuate;
• tracciamento delle carenze, dei responsabili, delle scadenze e della chiusura delle azioni correttive;
• aggiornamento delle procedure di gestione e notifica degli incidenti;
• controllo della sicurezza della catena di fornitura;
• formazione degli organi di amministrazione, dei responsabili e del personale coinvolto;
• svolgimento di verifiche periodiche interne, anche tramite simulazioni di audit.

Dalla conformità formale alla capacità di prova

Il messaggio delle nuove FAQ è chiaro: la vigilanza NIS2 non coincide esclusivamente con l’ispezione. È un processo che parte dal monitoraggio, prosegue con l’analisi e il supporto e può arrivare a verifiche, misure correttive e sanzioni.

Per aziende ed enti, il vero obiettivo è costruire una conformità che possa essere ricostruita e dimostrata in qualsiasi momento.
Aspettare una richiesta di ACN per organizzare documenti, responsabilità ed evidenze sarebbe una strategia fragile, soprattutto per i soggetti essenziali, che possono essere sottoposti a controlli anche in via preventiva.

Actainfo supporta Imprese e Pubbliche Amministrazioni nell’analisi degli obblighi NIS2, nella gestione della governance, nella valutazione dei rischi, nella formazione e nell’organizzazione delle evidenze necessarie a rendere il percorso di conformità verificabile nel tempo, anche attraverso l’applicativo ActaCyber.

Fonti

• ACN – Pubblicate le FAQ sulle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS
• ACN – FAQ NIS: monitoraggio, vigilanza ed esecuzione
• D.Lgs. 4 settembre 2024, n. 138 – Gazzetta Ufficiale

Articolo elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo NIS2, nuove FAQ ACN su controlli e vigilanza: cosa devono sapere aziende ed enti proviene da Actainfo.

Il documento è destinato principalmente alle Autorità nazionali per la protezione dei dati e dovrebbe essere implementato attraverso strumenti informatici dedicati. L’obiettivo è rendere più uniforme e guidata la raccolta delle informazioni richieste alle organizzazioni quando si verifica una violazione di dati personali.

La consultazione resterà aperta fino alle ore 23:59 del 5 agosto 2026.

Un modello comune per le Autorità europee

Il modello predisposto dall’EDPB introduce una struttura comune che comprende valori predefiniti, indicazioni operative e campi condizionali.

Questi ultimi permetteranno di richiedere determinate informazioni solo quando risultano effettivamente necessarie in base alle caratteristiche della violazione. La compilazione potrebbe quindi diventare più chiara, coerente e meno dispersiva.

Il modello è stato pensato soprattutto per essere integrato negli strumenti digitali utilizzati dalle Autorità di controllo dei diversi Stati membri.

Al termine della consultazione, l’EDPB valuterà le osservazioni ricevute e stabilirà le tempistiche per la futura implementazione pratica da parte delle Autorità nazionali.

Nella fase attuale, quindi, il nuovo modello non sostituisce i portali o le procedure nazionali già utilizzati per notificare le violazioni.

Gli obblighi del GDPR restano invariati

La proposta non modifica gli obblighi previsti dall’articolo 33 del GDPR.

Il titolare del trattamento deve notificare una violazione all’Autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che il data breach sia improbabile che presenti un rischio per i diritti e le libertà delle persone.

La notifica deve contenere almeno:

• la natura della violazione;
• le categorie e il numero approssimativo degli interessati coinvolti;
• le categorie e il numero approssimativo dei dati violati;
• i contatti del Responsabile della protezione dei dati o di un altro referente;
• le probabili conseguenze della violazione;
• le misure adottate o previste per contenerne gli effetti.

Quando non è possibile fornire tutte le informazioni entro le prime 72 ore, il GDPR consente di trasmetterle successivamente in più fasi, senza ulteriori ritardi ingiustificati.

Se la violazione può comportare un rischio elevato per le persone coinvolte, può inoltre diventare necessaria la comunicazione agli interessati prevista dall’articolo 34 del GDPR.

Cosa potrebbe cambiare per aziende ed enti

L’adozione di un modello comune potrebbe ridurre le differenze procedurali tra i diversi Paesi europei e facilitare la gestione delle violazioni che interessano più Stati membri.

Una struttura digitale più guidata potrebbe aiutare le organizzazioni a individuare con maggiore precisione le informazioni necessarie e a ridurre errori, omissioni o richieste successive di integrazione.

Il nuovo modello, tuttavia, non sostituirà la valutazione del rischio effettuata dal titolare del trattamento. La decisione di notificare o meno una violazione continuerà a richiedere un’analisi documentata delle circostanze, dei dati coinvolti e delle possibili conseguenze per gli interessati.

Le procedure devono essere pronte prima dell’incidente

La finestra delle 72 ore rende indispensabile preparare in anticipo ruoli, contatti e flussi decisionali.

Aziende, enti pubblici e professionisti dovranno verificare:

• come vengono segnalati internamente gli incidenti informatici;
• chi deve coinvolgere il DPO e l’Autorità di controllo;
• quali informazioni devono essere raccolte dal personale e dai fornitori;
• come vengono documentate le decisioni di notificare o non notificare;
• se i responsabili esterni del trattamento (art. 28 GDPR) sono tenuti a comunicare tempestivamente eventuali violazioni;
• se esiste un registro aggiornato dei data breach, compresi quelli non notificati.

Il nuovo modello europeo non rappresenta quindi un ulteriore adempimento già operativo, ma indica chiaramente la direzione intrapresa: notifiche più uniformi, digitali e strutturate.

Il termine delle 72 ore, invece, resta invariato.

Fonte: European Data Protection Board – Regolamento europeo sulla protezione dei dati

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Nuovo Modello europeo EDPB notifica data breach: osservazioni entro il 5 agosto proviene da Actainfo.

Come e quando presentare la domanda
Le domande dovranno essere presentate esclusivamente attraverso lo sportello telematico della Regione Abruzzo, accessibile con SPID del legale rappresentante, dalle ore 10 del 21 settembre fino alle ore 10 del 12 ottobre 2026. Le istanze saranno gestite attraverso graduatorie giornaliere e successivamente sottoposte alla valutazione tecnica prevista dall’avviso.

Chi può partecipare e come funziona il finanziamento
Il bando è rivolto alle micro, piccole e medie imprese, alle ditte individuali e ai liberi professionisti con partita Iva operanti in Abruzzo. Il contributo a fondo perduto potrà coprire fino al 70% delle spese ammissibili, con un finanziamento massimo di 100 mila euro per progetto, a fronte di investimenti non inferiori a 10 mila euro.

Tra gli interventi finanziabili rientrano:
– la realizzazione o il potenziamento di piattaforme di e-commerce;
– l’adozione di software gestionali integrati;
– soluzioni cloud e sistemi di cybersecurity;
– applicazioni di intelligenza artificiale e tecnologie IoT;
– strumenti per l’automazione dei processi produttivi e commerciali.

Non sono ammesse, invece, semplici sostituzioni di hardware o software non inserite in un progetto organico di innovazione.

Criteri di valutazione
Accanto ai requisiti amministrativi, particolare rilievo sarà attribuito alla qualità progettuale. La valutazione prenderà in considerazione:
– l’innovazione tecnologica;
– le ricadute economiche attese;
– il livello di investimento privato previsto dall’impresa.

Sarà premiata la capacità dei progetti di generare crescita e nuovi mercati.

Actainfo, con la sua esperienza certificata in realizzazione e gestione sul territorio nazionale di siti web, e-commerce, servizi digitali, privacy, cloud, cybersicurezza e intelligenza artificiale, é il partner ideale per realizzare un progetto tecnologicamente innovativo, seguirti da remoto, sviluppare, fornire prodotti e servizi finanziabili.

Per informazioni, progetti e preventivi contatta: commerciale@actainfo.it
o chiama +39 085/2010274 – 085/22194581 – 085/2015591

Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo

L'articolo Scade il 21 settembre domanda finanziamento e-commerce e digitale in Abruzzo proviene da Actainfo.