Questa guida è rivolta a responsabili compliance, CISO e founder di fintech, payment processor, neobank e piattaforme di prestiti digitali classificati come entità importante secondo l'Allegato II del D.Lgs. 138/2024. Scopri gli obblighi concreti di gestione dei rischi ICT, le scadenze di registrazione e i rischi di non conformità.
Rientrano in questa categoria i payment processor, le neobank, le piattaforme fintech di prestiti e le società di servizi di pagamento che operano in Italia e gestiscono servizi critici per il sistema finanziario nazionale. La classificazione come entità importante dipende dalla natura del servizio, dal numero di utenti e dall'impatto potenziale di un incidente di cybersicurezza sulla continuità operativa del settore. Microimprese e startup con fatturato inferiore a determinati soglie possono beneficiare di misure proporzionate, ma rimangono obbligate alla registrazione presso l'ACN entro il 28 febbraio di ciascun anno.
Ogni fintech deve implementare un programma di gestione del rischio ICT che identifichi i sistemi critici (piattaforme di pagamento, gateway API, infrastrutture di autenticazione) e valuti la minaccia di interruzione del servizio. La gestione deve includere analisi delle minacce specifiche del settore (frodi, furto di credenziali, ransomware su infrastrutture cloud) e mitigazione mediante controlli tecnici e organizzativi documentati. Per payment processor e piattaforme di lending, ciò include test di resistenza, simulazioni di disastro e piani di continuità operativa con RTO/RPO certificati.
Tutte le API esposte (API di autorizzazione, bonifici, consultazione saldi) devono essere sottoposte a penetration test annuale e a security scanning automatico dopo ogni rilascio in produzione. Le applicazioni mobile bancarie e di pagamento devono superare test di sicurezza che verifichino protezione dei dati sensibili, implementazione di certificato pinning e assenza di vulnerabilità OWASP Top 10. I risultati dei test devono essere documentati e conservati per le ispezioni dell'ACN.
La crittografia dei dati in transito (TLS 1.2 minimo) e a riposo (AES-256) è obbligatoria per tutte le informazioni di clienti finanziari. Ogni fintech deve dimostrare separazione logica dei dati per istituto/cliente e implementare Data Loss Prevention (DLP) per prevenire trasferimenti non autorizzati verso cloud provider non autorizzati. Accesso ai dati personali deve essere tracciato e limitato a personale autorizzato con autenticazione multi-fattore.
Qualsiasi incidente che comporti interruzione del servizio di pagamento, esposizione di dati clienti o compromissione dell'integrità di transazioni finanziarie deve essere segnalato all'ACN entro 24 ore dalla scoperta. La notifica deve contenere: descrizione tecnica dell'incidente, impatto su utenti/transazioni, misure di contenimento adottate e data/ora stimata del ripristino completo. Documentazione dettagliata deve essere conservata per ispezioni successive.
Ogni contratto con provider cloud (hosting, API, servizi di autenticazione) deve includere clausole obbligatorie di conformità NIS2: audit di sicurezza annuali, diritto di accesso ai log di sicurezza, obbligo di notifica incidenti entro 24 ore e selezione di data center ubicati in UE. I provider critici (quelli che ospitano dati di pagamento) devono superare certificazione ISO 27001 e valutazione di conformità NIS2 prima della sottoscrizione.
Ogni fintech classificata come entità importante deve registrarsi sul portale ACN tra il 1 gennaio e il 28 febbraio di ciascun anno (prima registrazione entro il 28 febbraio 2025). La registrazione richiede: denominazione dell'organizzazione, servizio critico fornito (pagamenti, prestiti, autenticazione), numero di clienti/transazioni, ubicazione dei data center e contatti del responsabile ICT/compliance. La mancata registrazione espone a sanzioni fino a €7 milioni o 1,4% del fatturato.
Un incidente NIS2 deve essere notificato all'ACN entro 24 ore se comporta interruzione di servizio di pagamento, perdita di integrità di transazioni o unavailability prolungata dell'infrastruttura critica. La notifica GDPR (72 ore) riguarda l'esposizione di dati personali e segue timeline diverse. Un incidente può rientrare in entrambe le categorie: in questo caso il fintech deve notificare all'ACN entro 24 ore e ai clienti/Garante entro 72 ore, mantenendo registri separati.
Per entità importanti (fintech, payment processor), le sanzioni vanno fino a €7 milioni o 1,4% del fatturato annuale globale, a seconda di quale sia più elevato. L'importo varia in base a: gravità della violazione (mancata gestione del rischio ICT vale più di documentazione incompleta), numero di clienti/transazioni colpite, recidività e cooperazione con l'ACN durante l'indagine. Una violazione critica (incidente di pagamento non segnalato in 24 ore) porta generalmente a sanzioni nel range superiore.