Questa guida è destinata a gestori proprietà, agenzie immobiliari e piattaforme proptech classificate come entità importante secondo l'Allegato II del D.Lgs. 138/2024. Scoprirai gli obblighi concreti di cybersicurezza, le scadenze normative e come implementare un programma di conformità efficace entro il 2026.
Sono soggette al D.Lgs. 138/2024 le agenzie immobiliari, i gestori proprietà e le piattaforme immobiliari che gestiscono dati di inquilini e proprietari su scala significativa, oppure operano infrastrutture critiche di building automation e controllo accessi. La classificazione come entità importante dipende dal numero di utenti e dalla criticità dei servizi forniti; l'ACN effettua la valutazione durante la registrazione obbligatoria tra il 1° gennaio e il 28 febbraio di ogni anno.
Dovete implementare cifratura end-to-end per tutti i dati sensibili di inquilini e proprietari (anagrafi, documenti di identità, informazioni finanziarie). I sistemi di gestione proprietà non devono più utilizzare fogli di calcolo non crittografati o database accessibili con credenziali deboli. Questo include chat, email, documenti condivisi e cartelle cliniche relative a requisiti di accessibilità.
I sistemi di controllo accessi, videocitofoni intelligenti, serrature elettroniche e impianti di automazione devono essere protetti da autenticazione multi-fattore e isolati su reti dedicate non connesse direttamente a Internet. Dovete implementare registri di accesso dettagliati, limitare i privilegi amministrativi e sottoporre i vendor di dispositivi intelligenti a valutazione della sicurezza prima dell'integrazione.
Qualsiasi violazione che comprometta l'integrità dei dati inquilini o interrompa infrastrutture critiche di building (ascensori, riscaldamento, accessi) deve essere segnalata all'ACN entro 24 ore se richiede intervento immediato, altrimenti entro 72 ore. La segnalazione deve includere natura dell'incidente, dati interessati, misure di mitigazione adottate e contatti responsabile della cybersicurezza.
Se utilizzate piattaforme SaaS di gestione immobiliare, CRM, portali tenant o API di terze parti, dovete verificare che i vendor rispettino standard NIS2 equivalenti. Inserite clausole contrattuali che impongono audit di sicurezza annuali, notifica immediata di breaches, e diritto di ispezione dei sistemi. Documentate tutte le dipendenze tecnologiche e i rischi associati.
Dovete mantenere piani di continuità operativa documentati che prevedano backup giornalieri dei dati critici (contratti, pagamenti, dati inquilini) conservati in ubicazioni geograficamente separate. I sistemi di controllo accessi devono avere modalità di fallback meccanico se la connettività si interrompe. Conducete esercitazioni di recovery almeno semestrali e documentate i risultati.
La registrazione deve avvenire tra il 1° gennaio e il 28 febbraio di ogni anno presso l'ACN (Agenzia per la Cybersicurezza Nazionale). Il mancato rispetto espone le agenzie immobiliari a sanzioni fino a 7 milioni di euro o il 1,4% del fatturato annuale, oltre a sospensione delle operazioni fino alla regolarizzazione.
I sistemi di controllo accessi devono utilizzare autenticazione multi-fattore (oltre alla tessera, richiedere PIN o riconoscimento biometrico), essere isolati su vlan dedicate separate dalla rete aziendale, disporre di capacità di fallback meccanico (apertura manuale con chiave) in caso di interruzione della connettività, e mantenere registri di accesso non modificabili con timestamp per almeno 90 giorni.
L'incidente deve essere segnalato all'ACN entro 72 ore dalla scoperta (24 ore se richiede intervento immediato per proteggere residenti). La segnalazione deve contenere descrizione tecnica dell'incidente, numero di inquilini interessati, categorie di dati compromessi, misure di contenimento adottate, contatto del responsabile della cybersicurezza aziendale e descrizione dell'impatto operativo sui servizi immobiliari.