Per ogni norma: cosa chiede, da quando, chi impatta, e quale combinazione di prodotti P3 te la fa rispettare senza riscrivere il portfolio fornitori.
Nessuna è opzionale. Tre sono già in vigore. La quarta è la più pesante e scade nel 2026.
Risk management, incident reporting in 24h+72h, supply-chain security, board accountability. Sanzioni fino al 2% del fatturato globale o 10M€.
Classificazione dei sistemi AI per rischio (proibito → minimo). Documentazione tecnica, governance, sorveglianza umana, registry pubblico. Multe fino a 35M€ o 7%.
Resilienza ICT del settore finanziario. Third-party risk, testing avanzato (TLPT), incident report, oversight provider critici. Diretta su banche, asset manager, IT service provider.
Trasferimenti extra-UE, basi giuridiche, DPIA, notifica di incidente 72h. Combinato col Cloud Act, rende l'EU-hosting una scelta tecnica, non politica.
È così che funziona davvero un'auditoria: il revisore ti chiede "controllo X", tu mostri "prodotto Y configurato così". Tabella usata letteralmente nelle nostre proposte.
Anche con il miglior contratto, il miglior DPA, il miglior SCC, un provider americano resta soggetto a una legge americana. Punto.
Non è una posizione politica: è il testo del Clarifying Lawful Overseas Use of Data Act, firmato nel 2018. Nessuna clausola privata può derogarlo. Nessun DPA, nessun SCC, nessuna certificazione ISO. Quando arriva l'ingiunzione, il provider americano sceglie tra rispettare la legge USA o quella UE. Sceglie sempre la legge USA: è quella che lo manda in prigione.
Questo è il motivo per cui ogni byte di ogni cliente P3 vive in Europa. Non è marketing, è architettura. Se un giorno cambiasse, anche per un solo cliente migrato su servizio USA-region, saremmo costretti a riscrivere il manifesto. Per ora, lo manteniamo per design.
Munin è la porta d'ingresso. Sette giorni on-prem, report archiviabile, deliverable in italiano.
[ Prenota Munin ]