BeeAIve · Compliance multi-framework
BeeAIve unifica rischi, incidenti, fornitori, policy, audit e formazione, con moduli verticali per cinque framework normativi. L'installazione è on-premise: i dati della vostra compliance non lasciano l'azienda.
Il D.Lgs. 138/2024, che recepisce la direttiva NIS2 in Italia, individua circa 16.000 soggetti essenziali e importanti: energia, trasporti, sanità, banche e finanza, infrastrutture digitali, pubblica amministrazione, gestione dei rifiuti, produzione alimentare, manifattura.
Poi c'è il secondo cerchio, più ampio e meno consapevole: oltre 50.000 aziende che forniscono servizi ai soggetti regolamentati. System integrator, software house, MSP, fornitori di manutenzione. Non hanno l'obbligo diretto, ma il loro cliente lo ha, e lo trasferisce a valle sotto forma di requisiti contrattuali.
C'è infine chi si adegua senza esservi tenuto, perché partecipa a gare pubbliche o lavora con clienti europei che chiedono garanzie prima di firmare.
Le conseguenze del non adeguamento. Sanzioni fino al 2% del fatturato annuo per i soggetti essenziali e responsabilità diretta degli organi di gestione. In pratica, però, la conseguenza che arriva prima è un'altra: l'esclusione dagli elenchi fornitori dei clienti già regolamentati.
Le cinque normative chiedono la stessa cosa in forme diverse: evidenze verificabili di un processo continuo.
Tre scadenze rendono l'idea del ritmo richiesto:
Con la documentazione distribuita tra cartelle di rete e caselle di posta, il conto alla rovescia si consuma nel tentativo di ricostruire cosa è successo.
Il primo valore di una piattaforma di compliance non è la conformità: è la velocità di risposta sotto pressione.
Qualunque combinazione di framework scegliate, la base è la stessa:
Il punto di questa architettura: un controllo di sicurezza che soddisfa contemporaneamente un requisito ISO 27001 e uno NIS2 si registra una volta sola. Chi gestisce due framework su due sistemi separati fa lo stesso lavoro due volte.
Gap analysis sui dieci requisiti dell'art. 21, checklist su oltre 40 requisiti operativi, notifiche ACN precompilate con le finestre 24 ore / 72 ore / 30 giorni, piani di continuità e disaster recovery con RTO e RPO, gestione vulnerabilità con punteggio CVSS, sicurezza della catena di fornitura.
Registro dei trattamenti (art. 30), valutazione d'impatto DPIA (art. 35), gestione data breach con notifica a 72 ore (artt. 33-34), diritti degli interessati (artt. 12-22), nomine del DPO, consensi, politiche di conservazione, trasferimenti extra-UE e valutazione del legittimo interesse.
Catalogo completo dei 93 controlli dell'Annex A, Statement of Applicability, audit interni, riesame della direzione, gap analysis.
Gestione del rischio ICT (artt. 5-16), test di resilienza operativa digitale, registro dei fornitori terzi ICT, analisi del rischio di concentrazione.
Registro dei sistemi di intelligenza artificiale (art. 49), valutazione d'impatto sui diritti fondamentali FRIA (art. 27), obblighi di trasparenza (art. 50), segnalazione incidenti (art. 73), alfabetizzazione AI del personale (art. 4).
L'assistente integrato non è un modello linguistico collegato a un campo di testo. Dispone di 58 strumenti che operano sui dati reali della piattaforma: genera documenti da 50 modelli pronti con export in PDF e DOCX, produce report, analizza documenti caricati, interroga i dati in linguaggio naturale e prepara un briefing giornaliero su scadenze e anomalie.
Ogni accesso dell'AI ai dati è registrato nel log degli accessi, insieme a export e chiamate API.
Il registro dei rischi di un'organizzazione è la mappa delle sue debolezze. Il registro degli incidenti è la storia dei suoi fallimenti.
È materiale che molte organizzazioni — banche, sanità, pubblica amministrazione, difesa — non possono o non vogliono affidare a un servizio cloud di terzi.
BeeAIve si installa su macchina virtuale, su hardware dedicato o su Kubernetes, nell'infrastruttura del cliente. Nessun dato esce dal perimetro.
Sul piano della sicurezza: cifratura AES-256-GCM sui campi contenenti dati personali, audit trail immutabile, autenticazione a più fattori obbligatoria (TOTP e DUO), SSO aziendale via SAML 2.0, OIDC e LDAP/Active Directory con sincronizzazione utenti, controllo accessi granulare per ruolo, isolamento completo tra tenant, TLS 1.3, policy password con lunghezza minima di 12 caratteri e rotazione.
Il canone annuale si compone della piattaforma base più i moduli normativi attivati, con una quota di attivazione e onboarding. L'hosting resta a carico del cliente, che installa nel proprio ambiente. Il listino completo viene inviato su richiesta.
BeeAIve gestisce l'anagrafica dei fornitori e la loro valutazione documentale. Se serve la misurazione tecnica del rischio — scansione della superficie d'attacco esterna del fornitore, punteggio automatico, remediation tracciata — quella è FRUX Traxion. Molte organizzazioni adottano le due piattaforme in parallelo, ciascuna sul proprio perimetro.
Il D.Lgs. 138/2024 individua i soggetti essenziali e importanti per settore e dimensione. Rientrano anche organizzazioni sotto soglia se svolgono un ruolo critico. L'iscrizione al registro ACN è l'atto che formalizza l'inclusione. Se siete fornitori di un soggetto regolamentato, i requisiti vi arrivano comunque per via contrattuale.
Preallarme entro 24 ore dalla conoscenza dell'incidente significativo, notifica entro 72 ore, relazione finale entro un mese. BeeAIve precompila i moduli e traccia il conto alla rovescia.
In parte. La ISO 27001 copre una porzione rilevante dei requisiti dell'art. 21, ma non tutto: notifica degli incidenti alle autorità, obblighi in capo agli organi di gestione e alcuni aspetti di supply chain restano scoperti. L'audit cross-framework della piattaforma serve esattamente a evidenziare cosa è coperto e cosa no.
L'architettura è pensata per l'installazione on-premise nell'infrastruttura del cliente. Le esigenze diverse si valutano caso per caso.
L'attivazione comprende onboarding e configurazione iniziale. La tempistica dipende dai moduli attivati e dalla quantità di dati esistenti da importare, e viene definita insieme in fase di analisi.
In demo eseguiamo la gap analysis sui dieci requisiti dell'art. 21 sulla vostra situazione reale. Al termine sapete quanto siete distanti, indipendentemente da quello che deciderete di fare dopo.