Rafforzamento delle ispezioni per la certificazione ISMS-P con maggiori controlli sul campo

La Commissione per la Protezione dei Dati Personali ha annunciato una riforma del sistema di certificazione ISMS-P, che sposterà l'attenzione dalla semplice revisione documentale a una verifica più rigorosa sul campo.

Il nuovo piano prevede l'integrazione di ispezioni fisiche insieme a quelle scritte per confermare che le misure di sicurezza siano effettivamente operative negli ambienti reali. Per le aziende che hanno subito incidenti di sicurezza o perdite di dati personali durante il periodo di validità della certificazione, il sistema consentirà a tecnici specializzati di eseguire diagnosi delle vulnerabilità e test di penetrazione direttamente sul posto. Tali tecnici dovranno possedere una qualifica di livello intermedio o superiore, in conformità con le norme sulla promozione dell'industria della sicurezza dell'informazione.

Questi controlli tecnici e le ispezioni sul campo potranno essere estesi anche alle revisioni annuali di mantenimento della certificazione. Inoltre, i criteri di certificazione potranno essere applicati in modo differenziato in base al volume di dati personali trattati e all'impatto sociale di un eventuale incidente, richiedendo misure di protezione tecnica e gestionale più severe per gli operatori che gestiscono grandi quantità di dati o che influenzano un numero elevato di utenti.

Per quanto riguarda le sanzioni, la proposta introduce una sospensione di un anno per le multe amministrative destinate alle aziende obbligate alla certificazione che ne subiscono la revoca. Questa misura mira a concedere tempo per correggere le cause della revoca e implementare contromisure prima di ottenere una nuova certificazione. Tuttavia, tale sospensione non sarà applicata se la certificazione è stata ottenuta tramite metodi fraudolenti o falsi.

La proposta di emendamento al decreto legislativo sulla legge sulla protezione dei dati personali sarà oggetto di consultazione pubblica dal 16 settembre al 26 ottobre. La Commissione intende raccogliere pareri da ministeri e stakeholder prima di procedere con la revisione finale e l'aggiornamento dei relativi avvisi entro la fine dell'anno.