Questa guida è destinata a studi di ragioneria, società di revisione, e professionisti di consulenza fiscale che gestiscono dati finanziari e patrimoniali di clienti. Apprenderete gli obblighi specifici di cybersicurezza previsti dal D.Lgs. 138/2024 e come implementare controlli pratici per proteggere i dati sensibili affidati dai vostri clienti.
Rientrano in questa categoria gli studi di ragioneria, le società di revisione contabile, e i consulenti fiscali che gestiscono dati finanziari e patrimoniali di clienti, inclusi documenti contabili, dichiarazioni dei redditi, e informazioni bancarie. Sono soggetti al D.Lgs. 138/2024 gli studi con operatività significativa in Italia e che forniscono servizi di importanza critica al sistema economico, come definito dall'Agenzia per la Cybersicurezza Nazionale (ACN).
Tutti i dati contabili, fiscali e finanziari dei clienti devono essere protetti mediante crittografia sia a riposo che in transito. È obbligatorio implementare sistemi di backup criptati e verificare periodicamente che le copie di sicurezza siano integre e recuperabili. I dati non devono mai essere memorizzati su unità locali non crittografate o su supporti rimovibili privi di protezione.
Ogni collaboratore dello studio deve disporre di credenziali univoche per accedere ai software contabili, ai sistemi di archiviazione cloud, e alle piattaforme di audit. È vietato condividere password o utilizzare account generici. Deve essere implementata l'autenticazione a più fattori (MFA) per l'accesso ai dati sensibili e deve essere mantenuto un registro aggiornato dei diritti di accesso di ogni membro del team.
L'accesso da remoto ai software di contabilità e gestione documentale deve avvenire esclusivamente tramite VPN crittografata o soluzioni di accesso remoto sicuro (come soluzioni zero-trust). È vietato l'utilizzo di Remote Desktop Protocol (RDP) non protetto. Tutti gli accessi remoti devono essere registrati, tracciati e sottoposti a monitoraggio continuativo per rilevare attività anomale.
Al termine del rapporto di lavoro, deve essere avviato un processo formale di offboarding che includa la revoca immediata di tutti gli accessi ai sistemi contabili, ai repository cloud, e alle piattaforme di gestione documentale. È obbligatorio verificare che la revoca sia stata completata entro 24 ore dal termine dell'incarico e mantenere documentazione dell'avvenuta revoca. I dati personali del collaboratore devono essere cancellati dai sistemi in conformità alle normative sulla privacy.
Qualsiasi incidente che comprometta la confidenzialità, l'integrità o la disponibilità dei dati finanziari dei clienti deve essere segnalato all'Agenzia per la Cybersicurezza Nazionale (ACN) entro 24 ore dal rilevamento. Per incidenti di natura meno grave, il termine è esteso a 72 ore. La segnalazione deve includere una descrizione dettagliata dell'incidente, i dati interessati, il numero stimato di clienti coinvolti, e le misure di contenimento adottate.
La registrazione presso l'Agenzia per la Cybersicurezza Nazionale (ACN) deve avvenire tra il 1° gennaio e il 28 febbraio di ogni anno. Lo studio deve compilare il modulo di registrazione sulla piattaforma ACN fornendo informazioni sull'organizzazione, i servizi erogati, i dati gestiti, e le misure di sicurezza implementate. La registrazione è obbligatoria per continuare a operare e per evitare sanzioni.
L'incidente deve essere segnalato all'ACN entro 24 ore dal rilevamento (termine ridotto per situazioni critiche). La segnalazione deve contenere descrizione dell'incidente, numero di clienti e dati coinvolti, data e ora della compromissione, misure di contenimento adottate, e impatto stimato sui servizi. Se l'incidente non rappresenta rischio significativo, il termine è esteso a 72 ore.
Per le entità importanti (categoria in cui rientrano gli studi di ragioneria significativi), le sanzioni amministrative pecuniarie possono raggiungere fino a 7 milioni di euro o il 1,4% del fatturato annuo globale, a seconda di quale importo sia superiore. Le sanzioni aumentano se l'incidente coinvolge dati sensibili di numerosi clienti o se la violazione è dovuta a negligenza grave.