Questa guida illustra gli obblighi specifici per studi di contabilità, dottori commercialisti e revisori che gestiscono dati finanziari sensibili di clienti. Scoprirai come implementare controlli di accesso, proteggere i dati in transito, gestire incidenti di sicurezza e conformarsi al D.Lgs. 138/2024 entro il 2026.
Rientrano negli obblighi NIS2 gli studi di contabilità, i dottori commercialisti e le società di revisione che gestiscono in via continuativa dati finanziari, dichiarazioni fiscali, bilanci e informazioni riservate di clienti, indipendentemente dalle dimensioni aziendali. Sono esclusi solo i microimprenditori e gli esercenti che non conservano digitalmente dati di clienti per periodi superiori ai 3 anni.
Tutti i dati finanziari, dichiarazioni fiscali, bilanci e documentazione contabile devono essere crittografati sia a riposo (su server, backup, archivi locali) che in transito (durante sincronizzazioni cloud, trasmissioni fra uffici, condivisioni con clienti). La crittografia deve utilizzare standard almeno AES-256 o equivalente, con gestione centralizzata delle chiavi crittografiche. I dati non crittografati devono essere conservati solo temporaneamente in memoria RAM durante l'elaborazione.
Ciascun collaboratore deve accedere ai sistemi contabili, software di audit e archivi cloud utilizzando credenziali univoche e autenticazione multi-fattore (MFA). L'accesso deve essere limitato per ruolo: commercialisti junior vedono solo le pratiche assegnate, revisori vedono dati per audit specifici, amministratori hanno accesso completo tracciato. Tutti gli accessi devono essere registrati in log con timestamp, IP e operazioni eseguite, conservati per almeno 12 mesi.
Al termine del rapporto di impiego, stage, consulenza o collaborazione, entro 24 ore deve essere revocato l'accesso a tutti i sistemi contabili, mailbox, archivi cloud e software di audit. La revoca deve essere documentata e verificata da un responsabile IT o amministratore designato. Le password temporanee utilizzate dal dipendente devono essere cambiate o disabilitate immediatamente, e le credenziali memorizzate in gestori password aziendali devono essere cancellate.
Qualsiasi accesso non autorizzato, furto, smarrimento o corruzione di dati finanziari o fiscali di clienti deve essere segnalato all'Agenzia per la Cybersicurezza Nazionale (ACN) entro 72 ore dalla scoperta. La notifica deve includere: numero di clienti interessati, tipo di dati compromessi, descrizione tecnica dell'incidente, misure di contenimento adottate, contatti per follow-up. Contemporaneamente, i clienti colpiti devono essere informati secondo le disposizioni sulla privacy (GDPR artt. 33-34).
Prima di adottare software contabili, piattaforme cloud per l'archiviazione, servizi di fatturazione elettronica o backup, lo studio deve verificare che il fornitore rispetti requisiti minimi NIS2: crittografia end-to-end, conformità GDPR, SLA sulla disponibilità, procedure di incident response, conformità alle normative locali. Ogni contratto con fornitori di dati sensibili deve includere clausole sulla sicurezza informatica, diritto di audit, notifica di violazioni e obbligo di cooperazione in caso di incidente.
La responsabilità è condivisa: lo studio (entità importante NIS2) deve verificare che il fornitore del software rispetti i requisiti minimi di sicurezza (crittografia, backup, incident response), inserire clausole di sicurezza nel contratto, e mantiene responsabilità piena sui controlli di accesso interni e sui log degli utenti. Il software house deve garantire la sicurezza dell'infrastruttura cloud sottostante e la notifica di violazioni entro 72 ore.
Devono essere crittografati: dichiarazioni fiscali (modelli 730, Unico, IVA), bilanci, estratti conto bancari, dati anagrafici con codici fiscali, corrispondenza riservata su questioni fiscali. Dati pubblicamente disponibili (ragione sociale, indirizzo della sede legale, numero telefonico principale) potrebbero rimanere in chiaro, ma come buona pratica vanno comunque protetti per evitare modifiche non autorizzate. La crittografia deve essere applicata sia ai file archiviati che alle copie di backup.
L'Agenzia per la Cybersicurezza Nazionale può comminare sanzioni amministrative fino a 10.000 euro per mancata notifica tempestiva (art. 38 D.Lgs. 138/2024), oltre a sanzioni ulteriori per il danno causato ai clienti. La mancata notifica espone inoltre lo studio a responsabilità civile verso i clienti colpiti e a segnalazione presso l'Ordine dei Dottori Commercialisti per violazione dei doveri di diligenza professionale.