Questa guida è destinata a responsabili della sicurezza informatica, gestori proprietà e amministratori di piattaforme immobiliari in Italia. Scoprirai come proteggere i sistemi di gestione dei beni, i dati dei locatari e le infrastrutture tecnologiche degli edifici secondo il D.Lgs. 138/2024.
Le agenzie immobiliari, i gestori proprietà e le piattaforme immobiliari (proptech) che gestiscono dati di almeno 50 proprietà o che forniscono servizi di gestione a edifici intelligenti devono conformarsi alla NIS2. Rientrano in questa categoria anche i gestori di sistemi di controllo degli accessi e di building management che operano sul territorio italiano e raggiungono soglie di criticità definite dall'ACN.
Devi implementare controlli di accesso basati su ruoli (RBAC) per i sistemi che archiviano dati di proprietà, contratti di locazione e informazioni personali dei locatari. Tutti i dati sensibili devono essere crittografati sia in transito che a riposo, utilizzando standard come AES-256. Esegui audit periodici trimestrali per verificare che solo il personale autorizzato acceda ai dati, documentando ogni accesso in log immutabili.
I sistemi di controllo accessi fisico, videocitofoni intelligenti, lettori biometrici e gestione delle chiavi digitali devono operare su reti segmentate, separate dalla rete aziendale generale. Implementa autenticazione multi-fattore (MFA) per l'amministrazione remota di questi sistemi e monitora i tentativi di accesso non autorizzati. Verifica che i fornitori di dispositivi smart building rispettino standard di sicurezza riconosciuti (ISO 27001 o equivalente) prima dell'integrazione.
Se si verifica un incidente di sicurezza che compromette sistemi di ascensori, riscaldamento, ventilazione, impianti idrici o evacuazione di emergenza gestiti digitalmente, devi segnalarlo all'ACN entro 72 ore dalla scoperta. La notifica deve indicare la natura dell'incidente, i sistemi interessati, il numero di proprietà colpite e le misure di contenimento adottate. Mantieni registri dettagliati di tutti gli incidenti per almeno 2 anni.
Prima di integrare qualsiasi software o servizio esterno (gestionale immobiliare cloud, piattaforma di prenotazione visitatori, app di pagamento affitti), devi condurre una valutazione dei rischi del fornitore. Includi nel contratto clausole che richiedono audit di sicurezza annuali, comunicazione immediata di vulnerabilità e diritto di accesso ai log di sicurezza. Monitora i fornitori critici almeno semestralmente per verificare la conformità agli SLA di sicurezza.
Sviluppa un piano di continuità aziendale che copra la perdita di accesso ai sistemi di gestione proprietà per almeno 7 giorni. Effettua backup giornalieri dei dati in una sede diversa, testando il ripristino almeno una volta ogni trimestre. Documenta i tempi di recupero obiettivi (RTO) di 4 ore e gli obiettivi del punto di recupero (RPO) di 1 ora per i dati critici dei locatari.
I dati personali dei locatari (nome, indirizzo, numero di telefono, coordinate bancarie, documenti di identità, storie di affitto) sono considerati dati sensibili e devono essere protetti con crittografia end-to-end. Anche i dati di accesso alle proprietà (codici PIN, badge digitali, scansioni biometriche) devono essere trattati come informazioni critiche.
Crea una VLAN separata per i sistemi di building management (ascensori, impianti HVAC, videosorveglianza) isolandola da quella aziendale tramite firewall con regole di accesso esplicite. Se il sistema legacy non supporta segmentazione nativa, utilizza gateway di sicurezza industriale (industrial firewalls) per mediare il traffico. Documenta ogni eccezione di rete e pianifica la migrazione a sistemi conformi entro 2026.
L'ACN può irrogare sanzioni amministrative fino a €10 milioni o il 2% del fatturato annuale globale per violazioni gravi (mancanza di controlli di accesso, mancata segnalazione incidenti). Per violazioni meno gravi (audit di sicurezza incompleti), le sanzioni vanno fino a €5 milioni o l'1% del fatturato. La deadline vincolante per la conformità completa è il 18 dicembre 2026.