Data breach, il doppio binario ACN-Garante che espone le imprese

Quando un attacco colpisce un’impresa che eroga servizi essenziali e che, come quasi tutte, tratta dati personali, il diritto apre due procedimenti paralleli. L’articolo 25 del decreto legislativo 138/2024 impone di notificare l’incidente significativo all’Agenzia per la Cybersicurezza Nazionale, tramite il CSIRT Italia. L’articolo 33 del GDPR impone, se l’evento comporta una violazione di dati personali, di notificarla al Garante. Due binari, due autorità, due discipline distinte che un solo attacco attiva insieme.