Se gestisci dati retributivi e personali di dipendenti per multiple organizzazioni clienti, questa pagina illustra gli obblighi specifici di cybersecurity secondo il D.Lgs. 138/2024. Apprenderai come implementare protezioni tecniche, isolamento dei dati e processi di notifica incidenti per conformarti alle scadenze normative.
I fornitori di software HR e servizi di payroll sono classificati come entità importanti se forniscono servizi digitali critici a organizzazioni clienti in settori infrastrutturali o pubblici, oppure se gestiscono dati personali e retributivi di oltre 500 dipendenti distribuiti su multiple clienti. La soglia di importanza include provider SaaS multi-tenant con accesso amministrativo ai sistemi di gestione stipendi e archivi di dati sensibili di terzi.
Devi implementare controlli tecnici di isolamento dei tenant in architetture multi-cliente per garantire che i dati retributivi, anagrafici e sensibili di un cliente non siano accessibili a un altro cliente, neppure in caso di violazione di una singola istanza. Questo include crittografia a riposo per tenant, politiche RBAC granulari, e separazione fisica o logica dei database. La verifica deve essere documentata mediante audit tecnici almeno semestrali.
Gli accessi amministrativi ai sistemi di gestione payroll e ai dati dei clienti devono essere protetti da autenticazione a fattori multipli (MFA) basata su hardware (token FIDO2, smartcard), non solo SMS o app software. Ogni accesso amministrativo deve generare log dettagliati con timestamp, identificativo utente, azioni eseguite e durata della sessione. I logs devono essere conservati per almeno 24 mesi e sottoposti a monitoraggio continuo per rilevare anomalie.
Se subisci una violazione di dati che interessa i sistemi di payroll o i dati personali gestiti per conto di clienti, sei obbligato a notificarla all'Autorità per la Cybersicurezza Nazionale (ACN) entro 72 ore dalla scoperta, e ai clienti interessati entro 24 ore. La notifica deve includere natura della violazione, numero di dipendenti/clienti interessati, misure di contenimento adottate e contatti per ulteriori dettagli. Ritardi ingiustificati espongono a sanzioni fino a 500.000 euro.
Devi stabilire e documentare un processo formale per la cancellazione sicura di tutti i dati di cliente (dati anagrafici, retributivi, fiscali, documenti afferenti) entro 30 giorni dalla fine del contratto di servizio, con certificazione della distruzione. Questo include backup, archivi offline e copie temporanee. La mancanza di questo processo compromette il trattamento GDPR e viola l'obbligo NIS2 di protezione della disponibilità dei dati.
Se utilizzi subappaltatori, fornitori di infrastruttura cloud, o servizi di backup per memorizzare dati di payroll, devi eseguire valutazioni di rischio scritte e richiedere garanzie contrattuali di conformità NIS2. Le valutazioni devono coprire crittografia, isolamento dati, incident response, e audit rights. Almeno una volta all'anno devi verificare il mantenimento dei controlli mediante questionari di security, audit o penetration test su componenti critiche.
Devi documentare un architettura di sicurezza che descriva il posizionamento fisico e logico di ogni cliente, con diagrammi di data flow, criteri di crittografia per ciascun segmento (on-premises, cloud), e results di penetration test o audit di isolamento almeno annuali. La ACN accetta evidenza tecnica (policy RBAC, log di accesso cross-tenant negati, risultati di security scanning) integrata in una relazione di conformità strutturata secondo i profili di rischio NIS2.
MFA hardware richiede un dispositivo fisico (token FIDO2, smartcard, yubikey) che non può essere compromesso da malware nel PC dell'admin; MFA software (Google Authenticator, SMS, push notification) è vulnerabile a phishing e SIM swap. Per i vostri admin di payroll, questo significa obbligare token hardware per ogni accesso privilegiato, registrare l'uso di ogni token e revocare immediatamente i token in caso di smarrimento, con log di tracciamento conservati 24 mesi.
Entro 30 giorni (15 dicembre) devi cancellare tutti i dati del cliente da sistemi produttivi, backup e archivi offline, con certificazione firmata di distruzione. La dimostrazione alla ACN avviene mediante report di deletion con hash crittografici dei file distrutti, dichiarazione del responsabile dell'infrastruttura, e risultati di forensic verification che confermino l'assenza dei dati nei sistemi. La mancanza di questa evidenza in caso di audit espone a sanzioni amministrative fino a 500.000 euro.