Studio Legale Cucci - Rimini

23/06/2026

Sei un amministratore o un dirigente: sai che rischi di perdere l'incarico, se la tua azienda è sottoposta a NIS2 (la direttiva europea sulla sicurezza informatica)?

Conosci la responsabilità personale prevista dalla legge che ha recepito in Italia la direttiva NIS2 ?

Sai che è prevista la possibilità per l'autorità competente (ACN - Agenzia per LA Cybersicurezza Nazionale) di sospenderti ruolo, stipendio e gettoni in caso di violazione della norma?

Sai che la violazione della norma può essere scoperta anche a seguito di un incidente informatico?

Se non sai - o sai poco - ne parlo nel webinar gratuito del 30 giugno, ore 11.

Riporto in questo post il link all'annuncio su Linkedin dove puoi iscriverti.

Ti aspetto!

NIS2: Responsabilità personale degli amministratori — Cosa rischi se l'azienda non è pronta 𝗤𝘂𝗲𝘀𝘁𝗼 𝘄𝗲𝗯𝗶𝗻𝗮𝗿 𝗽𝘂ò 𝘀𝗮𝗹𝘃𝗮𝗿𝘁𝗶 𝗹𝗮 𝗰𝗮𝗿𝗿𝗶𝗲𝗿𝗮, 𝘀𝗲 𝘀𝗲𝗶 𝗮𝗺𝗺𝗶𝗻𝗶𝘀𝘁𝗿𝗮....

10/06/2026

https://www.studiolegalecuccirimini.it/da-ottobre-2026-il-garante-ha-un-nuovo-informatore-si-chiama-acn-e-ad-acn-lavvisano-gli-hacker/

Cominciamo da un dato di fatto che molte aziende hanno trasformato, negli anni, in strategia di compliance.

02/06/2026

La ricerca della verità è un elemento essenziale per la democrazia, che è essa stessa uno strumento di partecipazione al bene comune. Quando la domanda su ciò che è vero perde di interesse e prende piede un pragmatismo che si accontenta di ciò che appare utile o efficace, la vita democratica si indebolisce. Essa, infatti, non vive soltanto di regole e procedure, ma anzitutto di un rapporto leale con i fatti e di un reale orientamento al bene delle persone e del corpo sociale. Il disinteresse per la verità porta lentamente ma inesorabilmente a scivolare verso il totalitarismo, per il quale, come ha scritto la filosofa Hannah Arendt, i sudditi ideali non sono tanto quelli ideologicamente convinti, ma «la gente per la quale la distinzione tra fatto e finzione (cioè, la realtà dell’esperienza) e la distinzione tra vero e falso (cioè, i canoni del pensiero) non esistono più.

Papa Leone XIV, Enciclica Magnifica Humanitas,
Capitolo quarto, n. 134

25/05/2026

Le password dei tuoi dipendenti o clienti.
Sai come sono conservate nei tuoi sistemi?

TEHA The European House – Ambrosetti non lo sapeva. O meglio: credeva di saperlo.

Risultato: 85.000€ di sanzione e 61.670 persone esposte.

Il Garante ha trovato:
🔓 Password in chiaro
🔓 Hash con algoritmi superati
🔓 Credenziali di sistemi dismessi mai cancellate

E la ciliegina: hanno avvisato gli interessati 𝗗𝗨𝗘 𝗠𝗘𝗦𝗜 dopo. Solo perché il Garante li ha obbligati.

Con 𝗡𝗜𝗦𝟮, questo tipo di ritardo diventa responsabilità personale dell'amministratore.

Non dell'IT.
La responsabilità e la tua.

Sai qual è la sanzione per i CDA di un soggetto NIS2?

La "𝗶𝗻𝗰𝗮𝗽𝗮𝗰𝗶𝘁𝗮' 𝗱𝗶 𝘀𝘃𝗼𝗹𝗴𝗲𝗿𝗲 𝗳𝘂𝗻𝘇𝗶𝗼𝗻𝗶 𝗱𝗶𝗿𝗶𝗴𝗲𝗻𝘇𝗶𝗮𝗹𝗶 𝗮𝗹𝗹'𝗶𝗻𝘁𝗲𝗿𝗻𝗼 𝗱𝗲𝗹 𝗺𝗲𝗱𝗲𝘀𝗶𝗺𝗼 𝘀𝗼𝗴𝗴𝗲𝘁𝘁𝗼".

𝗙𝗜𝗡𝗘 𝗗𝗘𝗜 𝗖𝗢𝗠𝗣𝗘𝗡𝗦𝗜 𝗘 𝗗𝗘𝗜 𝗚𝗘𝗧𝗧𝗢𝗡𝗜 𝗗𝗜 𝗣𝗥𝗘𝗦𝗘𝗡𝗭𝗔!!!

👉 Verifica. Adesso. Non quando è troppo tardi.

Dubbi? Chiamami. Sono a tua disposizione.

13/05/2026

𝗤𝘂𝗲𝗹 𝗱𝗮𝘁𝗮𝗰𝗲𝗻𝘁𝗲𝗿 𝗮𝘃𝗲𝘃𝗮 𝘁𝘂𝘁𝘁𝗲 𝗹𝗲 𝗰𝗲𝗿𝘁𝗶𝗳𝗶𝗰𝗮𝘇𝗶𝗼𝗻𝗶 𝗱𝗲𝗹 𝗺𝗼𝗻𝗱𝗼. 𝗣𝗼𝗶 𝗲' 𝗮𝗿𝗿𝗶𝘃𝗮𝘁𝗮 𝗹𝗮 𝘀𝗾𝘂𝗮𝗱𝗿𝗮 𝗱𝗲𝗶 𝗽𝗼𝗺𝗽𝗶𝗲𝗿𝗶.

Il 7 maggio scorso brucia un locale tecnico del datacenter NorthC ad Almere, Olanda.
I server sono salvi.
I dati pure.
Nessun ferito.

𝗠𝗮 𝗹'𝗨𝗻𝗶𝘃𝗲𝗿𝘀𝗶𝘁à 𝗱𝗶 𝗨𝘁𝗿𝗲𝗰𝗵𝘁 𝗰𝗵𝗶𝘂𝗱𝗲.

𝗜 𝗯𝘂𝘀 𝗽𝗲𝗿𝗱𝗼𝗻𝗼 𝗶𝗹 𝗰𝗼𝗹𝗹𝗲𝗴𝗮𝗺𝗲𝗻𝘁𝗼 𝗰𝗼𝗻 𝗹𝗮 𝗰𝗲𝗻𝘁𝗿𝗮𝗹𝗲.

𝗙𝗮𝗿𝗺𝗮𝗰𝗶𝗲 𝗲 𝗽𝗼𝗹𝗶𝗮𝗺𝗯𝘂𝗹𝗮𝘁𝗼𝗿𝗶 𝘃𝗮𝗻𝗻𝗼 𝗶𝗻 𝘁𝗶𝗹𝘁.

Il paradosso? Quella struttura era certificata ISO 27001 per la sicurezza informatica, ISO 22301 per la continuità operativa, aveva ridondanza elettrica, compartimentazione antincendio, controllo biometrico degli accessi.

Ha funzionato tutto.

Eppure i vigili del fuoco hanno ordinato il distacco immediato della
corrente — e a quel punto ogni piano di backup interno è diventato carta straccia.
L'angolo cieco che nessuno aveva considerato: uno scenario in cui è l'autorità pubblica a spegnerti.
Ci sono due lezioni che porto spesso ai clienti e che questo incidente conferma in modo brutale:
La prima è sulla continuità operativa: un contratto con un fornitore certificato non è un piano di continuità. È un punto di partenza. La domanda vera è: se quella struttura fisica cessa di funzionare per 72 ore, la mia organizzazione regge? Non "in teoria". Nella realtà concreta, con i sistemi di autenticazione, gli accessi fisici agli uffici, le comunicazioni interne.
La seconda è sul GDPR: quasi nessuno ci pensa, ma la disponibilità dei dati personali è un obbligo di legge al pari della riservatezza. Se i dati personali dei tuoi clienti o pazienti diventano inaccessibili per giorni, puoi essere obbligato a notificare un data breach all'Autorità Garante — anche se non è stato rubato nulla.

L'ospedale di Almere — a pochi chilometri dall'incendio — ha pubblicato una nota tranquillizzante:

"𝗢𝗽𝗲𝗿𝗶𝗮𝗺𝗼 𝗰𝗼𝗻𝘀𝗮𝗽𝗲𝘃𝗼𝗹𝗺𝗲𝗻𝘁𝗲 𝘀𝘂 𝗽𝗶𝘂' 𝗱𝗮𝘁𝗮𝗰𝗲𝗻𝘁𝗲𝗿. 𝗟𝗮 𝗰𝘂𝗿𝗮 𝗮𝗶 𝗽𝗮𝘇𝗶𝗲𝗻𝘁𝗶 𝗻𝗼𝗻 𝗵𝗮 𝘀𝘂𝗯𝗶𝘁𝗼 𝗶𝗻𝘁𝗲𝗿𝗿𝘂𝘇𝗶𝗼𝗻𝗶."

Una frase apparentemente insignificatne, che nasconde una scelta strategica precisa, fatta 𝗽𝗿𝗶𝗺𝗮 dell'emergenza.

Questo è risk management. Il resto è fortuna.
Buon mercoledì a tutti — e magari fate una telefonata al vostro responsabile IT ! 😉

12/05/2026

"𝗠𝗜 𝗠𝗔𝗡𝗗𝗔 𝗨𝗡𝗔 𝗙𝗢𝗧𝗢 𝗗𝗘𝗟 𝗗𝗢𝗖𝗨𝗠𝗘𝗡𝗧𝗢 𝗦𝗨 𝗪𝗛𝗔𝗧𝗦𝗔𝗣𝗣 𝗣𝗥𝗜𝗠𝗔 𝗗𝗜 𝗔𝗥𝗥𝗜𝗩𝗔𝗥𝗘?"

Se gestisci un B&B o un affittacamere, probabilmente lo chiedi sempre.

Il Garante Privacy ha appena scritto che questa prassi è un problema. Nero su bianco. 📋

Non perché WhatsApp non sia sicuro, ma perché quella foto poi:
- Resta nel telefono
- Finisce nel backup
- La giri ai collaboratori
- Nessuno la cancella mai

E quando qualcosa va storto, chi risponde sei tu.

La cosa che nessuno ti dice? Non sei obbligato a conservare la copia del documento. Solo a verificare l'identità e comunicare i dati alla Questura.

Tutto il resto è rischio inutile. ⚠️

Vuoi capire come sistemare la gestione documentale della tua struttura? Scrivimi in privato o passa da studiolegalecuccirimini.it

Qui l'articolo completo:
https://www.studiolegalecuccirimini.it/quella-foto-del-documento-su-whatsapp-ti-costera-cara-e-non-parlo-solo-della-multa/

09/05/2026

Mandi conferme d'ordine con Mailchimp o servizi simili?

Occhio, perché quella mail "di servizio" sta tracciando quando il cliente la apre, da dove, con che telefono. E tu non hai il consenso per farlo.

Il pixel di tracciamento è attivo di default. Su tutte le mail. Anche quelle che non c'entrano col marketing.

Il Garante è chiaro: serve consenso specifico.

📌 Controlla le impostazioni della tua piattaforma
📌 Disabilita il tracking sulle mail transazionali
📌 Tieni separati i flussi marketing/servizio

Non aspettare la sanzione per scoprirlo.

Dubbi su come sei messo? Scrivimi → [email protected]
Oppure visita il mio sito: studiolegalecucci.it

24/04/2026

𝗟𝗘 𝗠𝗔𝗖𝗖𝗛𝗜𝗡𝗘 𝗖𝗛𝗘 "𝗣𝗘𝗡𝗦𝗔𝗡𝗢" 𝗘 𝗖𝗛𝗜 𝗥𝗜𝗦𝗣𝗢𝗡𝗗𝗘 𝗤𝗨𝗔𝗡𝗗𝗢 𝗤𝗨𝗔𝗟𝗖𝗢𝗦𝗔 𝗩𝗔 𝗦𝗧𝗢𝗥𝗧𝗢

Con l'Artificial Intelligence Act europeo e il nuovo Regolamento sulle Macchine, stiamo entrando in un territorio giuridico ancora poco mappato: cosa succede quando un lavoratore viene danneggiato da una macchina che prende decisioni in autonomia grazie all'intelligenza artificiale?
La risposta, oggi, non è semplice.
Il diritto europeo ha costruito una catena: il produttore della macchina, il fornitore del sistema di IA, il distributore. Ognuno con i propri obblighi, le proprie certificazioni, i propri documenti tecnici.
Ma in fondo alla catena c'è il datore di lavoro — che è anche, secondo la nostra normativa nazionale (D.Lgs. 81/2008), il principale responsabile della sicurezza dei suoi dipendenti.
Il punto critico è questo: il datore di lavoro non progetta le macchine, non scrive il codice dell'IA, spesso non ha nemmeno gli strumenti tecnici per capire come funziona davvero il sistema che ha acquistato. Eppure resta il garante della sicurezza.
Come si esce da questa contraddizione?
Intanto, sapendo che non esiste ancora un raccordo normativo esplicito tra le nuove regole europee sull'IA e la normativa sulla sicurezza del lavoro. Il ponte va costruito caso per caso, e lo strumento rimane quello tradizionale: il Documento di Valutazione dei Rischi, che però dovrà incorporare elementi tecnici nuovi — a partire dalla classificazione del livello di autonomia del sistema di IA certificata dal produttore.
Poi, formando i lavoratori non solo sulle procedure, ma sul funzionamento dei sistemi con cui lavorano.
Infine, tenendo d'occhio come si evolverà la giurisprudenza: i tribunali saranno chiamati a rispondere a domande nuove, quali, ad esempio: "fino a che punto la macchina era davvero autonoma?" e "il datore di lavoro poteva prevedere quel comportamento?"
Siamo agli inizi di una nuova stagione del diritto del lavoro. E come sempre, chi arriva preparato avrà meno sorprese.

Hai dubbi su come adeguare la tua azienda a questi nuovi obblighi? Contattami.

20/04/2026

𝗜 𝗣𝗘𝗥𝗜𝗖𝗢𝗟𝗜 𝗗𝗘𝗟𝗟'𝗔.𝗜. 𝗔𝗚𝗘𝗡𝗧𝗜𝗖𝗔 𝗜𝗡 𝗔𝗭𝗜𝗘𝗡𝗗𝗔

Sapete cosa sta facendo l'AI sul computer dei vostri dipendenti?
Si chiama OpenClaw. È gratuito, open source, scaricabile da chiunque. E non è un chatbot: è un agente AI che agisce in autonomia sul computer di chi lo installa — legge file, accede a sistemi, esegue operazioni.
Se quel computer è aziendale, ha accesso a tutto.
I ricercatori di 𝘽𝙞𝙩𝙙𝙚𝙛𝙚𝙣𝙙𝙚𝙧 hanno documentato casi reali di estensioni malevole scaricate da utenti ignari, che eseguivano codice dannoso in background mentre l'agente sembrava lavorare normalmente.
La buona notizia: esistono misure concrete per governare questo rischio.
La cattiva notizia: la maggior parte delle aziende non le ha ancora adottate.
📌 Se gestite un'azienda e volete capire come vi collocate rispetto a questi rischi, contattatemi per una prima valutazione.
🔗 L'articolo completo è sul mio blog. https://www.studiolegalecuccirimini.it/openclaw-in-azienda-il-rischio-che-nessuno-vi-ha-ancora-spiegato/

14/04/2026

Ieri mattina abbiamo posto (io e la collega dott.ssa Lisa Tonini) una domanda ai vertici di un’altra grande azienda italiana: "Se il vostro principale fornitore di software gestionale andasse down domani mattina, cosa fareste?"

Pausa lunga.

È quello che facciamo nella prima parte dei nostri percorsi formativi NIS2 per CDA ed organi direttivi: brainstorming con i partecipanti, perché le vulnerabilità più concrete e pericolose emergono sempre dall'interno — non solo da una checklist.

Poi il tabletop exercise.
Abbiamo simulato esattamente quello scenario: il fornitore del sistema su cui gira il servizio core-business dell'azienda è irraggiungibile. Nessun preavviso.

Il lavoro si è sviluppato su due binari contemporaneamente:

→ Operativo: cosa si può fare oggi — e ancora non si fa — per prepararsi a reggere l'urto
→ Legale e contrattuale: cosa pretendere dal fornitore, quali clausole negoziare, quali poteri di audit e verifica conviene riservarsi per tempo

A fine giornata qualcuno mi ha detto che non si aspettava di trovare una formazione così concreta. Quella frase vale più di qualsiasi referenza.

Se la tua azienda è soggetta a NIS2 e vuoi capire come strutturare la formazione obbligatoria per il vertice (art. 23 D. Lgs. 138/2024) — quella vera, non quella da convegno — scrivimi direttamente oppure utilizza l’indirizzo che trovi nel primo c o m m e n t o .