NEWSLETTER 1/2026

Novita’ normative

Legge 30 dicembre n. 199/2025 (c.d. Legge di Bilancio 2026). Principali misure per lavoratori e imprese.

Segnaliamo in sintesi le principali misure in favore di lavoratori e imprese contenute nella Legge di Bilancio 2026.

•          Revisione della disciplina dell’IRPEF. Prevede la riduzione dal 35% al 33% dell’aliquota relativa al secondo scaglione IRPEF (compresa tra 28 e 50mila euro) con risparmi che possono arrivare a 440 euro annui. Al fine di sterilizzare gli effetti della riduzione per chi ha un reddito annuo complessivo superiore a 200mila euro, è stata prevista la riduzione di 440 euro della detrazione dall’imposta lorda spettante in relazione a taluni oneri.

•          Tassazione agevolata dei rinnovi contrattuali. Al fine di favorire l’adeguamento salariale al costo della vita e di rafforzare il legame tra produttività e salario, assoggetta a una imposta sostitutiva dell’IRPEF e delle addizionali regionali e comunali pari al 5% gli incrementi retributivi corrisposti ai lavoratori dipendenti del settore privato nell’anno 2026, in attuazione di rinnovi contrattuali sottoscritti dal primo gennaio 2024 al 31 dicembre 2026. La misura si applica ai lavoratori del settore privato titolari di reddito di lavoro dipendente – nell’anno 2025 – non superiore a 33mila euro.

•          Detassazione dei premi di produttività. Circoscrive ai premi erogati nel 2025 la tassazione agevolata al 5% e riduce all’1% l’aliquota dell’imposta sostitutiva sui premi di produttività e sulle somme erogate nel 2026 e 2027 ai dipendenti del settore privato a titolo di partecipazione agli utili di impresa. Inoltre, innalza a 5mila euro il limite di importo complessivo entro cui si applica la tassazione agevolata (precedentemente fissato in 3mila euro).

•          Proroga della riduzione dell’IRPEF su dividendi di azioni di lavoratori dipendenti. Estende all’anno 2026 la norma con cui si prevede, per i dividendi corrisposti ai lavoratori dipendenti e derivanti dalle azioni attribuite dalle aziende in sostituzione di premi di risultato, il computo nella base imponibile delle imposte sui redditi nella misura pari al 50% (ad esclusione della quota di tali dividendi eccedente il limite di 1.500 euro, per la quale resta ferma l’inclusione integrale nell’imponibile).

•          Tassazione di indennità e maggiorazioni retributive al 15%. Per il periodo d’imposta 2026, assoggetta ad una imposta sostitutiva dell’IRPEF e delle addizionali regionali e comunali pari al

15% le somme corrisposte, entro il limite annuo di 1.500 euro, ai lavoratori dipendenti del settore

privato, a titolo di: maggiorazioni e indennità per lavoro notturno (ai sensi dell’art. 1, comma 2, del D.lgs. n. 66/2003 e dei CCNL); maggiorazioni e indennità per lavoro prestato nei giorni festivi e nei giorni di riposo settimanale (come individuati dai CCNL); indennità di turno e ulteriori emolumenti connessi al lavoro a turni (previsti dai CCNL). La misura opera salvo espressa rinuncia scritta del prestatore di lavoro. Le misure sono applicate dai sostituti d’imposta del settore privato nei confronti dei titolari di reddito di lavoro dipendente di importo non superiore, nell’anno 2025, a 40mila euro.

•          Aumento esenzione buoni pasto elettronici. Eleva da 8 a 10 euro la soglia esentasse di buoni pasto resi in forma elettronica.

•          Modifiche alla disciplina fiscale degli emolumenti variabili erogati ai manager del settore finanziario. Esclude, a determinate condizioni, l’applicazione dell’aliquota d’imposta addizionale del 10% sugli emolumenti variabili eccedenti il triplo della parte fissa della retribuzione dei manager del settore finanziario. La misura è possibile qualora il soggetto che eroga la remunerazione destini a favore degli Enti del Terzo Settore una somma almeno doppia rispetto all’addizionale dovuta.

•          Assunzioni a tempo indeterminato. Si prevede che nuove risorse vengano stanziate e destinate a riconoscere l’esonero parziale dal versamento dei complessivi contributi previdenziali a carico dei datori di lavoro privati, con esclusione dei premi e contributi INAIL, per un periodo massimo di 24 mesi, per l’assunzione dal 1° gennaio al 31 dicembre 2026 di personale non dirigenziale con contratto di lavoro subordinato a tempo indeterminato o per la trasformazione, nel medesimo periodo, del contratto di lavoro subordinato da tempo determinato a tempo indeterminato, laddove previsto. Demanda a un decreto del Ministero del Lavoro e delle Politiche Sociali, di concerto con il Ministero dell’Economia e delle Finanze, la disciplina degli specifici interventi, i relativi requisiti e le condizioni necessarie a garantire il rispetto dei suddetti limiti di spesa.

•          APE Sociale prorogata al 31 dicembre 2026. Si conferma l’applicazione nel 2026 dell’APE sociale prevista dalla Legge di bilancio per il 2025 (confermando, quindi, per l’accesso alla misura il requisito anagrafico di 63 anni e 5 mesi, per i soggetti che si trovino in condizione di disoccupazione, assistenza a familiare con disabilità grave, riduzione della capacità lavorativa per invalidità grave, dipendenti per lavori usuranti individuati dalla normativa). Prevede, inoltre, l’applicazione di alcune misure di semplificazione nell’accesso alla domanda anche per i soggetti che verranno a trovarsi, nel corso del 2026, nelle condizioni indicate dalla normativa vigente. Il beneficio non è cumulabile con altri redditi da lavoro dipendente o autonomo, ad eccezione di quelli derivanti da lavoro autonomo occasionale, nel limite di 5mila euro lordi annui.

•          Misure in materia di ammortizzatori sociali. Sono previste le seguenti misure:

– il finanziamento dell’indennità omnicomprensiva per ciascun lavoratore dipendente da impresa adibita alla pesca marittima, in caso di sospensione dal lavoro derivante da misure di arresto temporaneo obbligatorio o non obbligatorio;

– proroga, per l’anno 2026, l’esonero dalla contribuzione addizionale per le unità produttive di imprese nelle aree di crisi industriale complessa, per un periodo massimo complessivo di autorizzazione di 12 mesi;

– proroga, per il 2026 e in deroga ai limiti generali di durata e di alcuni requisiti sul numero di dipendenti occupati dal datore di lavoro, il trattamento straordinario di integrazione salariale per crisi aziendale qualora l’azienda abbia cessato o cessi l’attività produttiva, per un periodo massimo complessivo di autorizzazione del trattamento straordinario di integrazione salariale di 12 mesi;

– proroga la CIG straordinaria per gli stabilimenti produttivi ILVA per l’anno 2026;

– proroga al 31 dicembre 2026 alcune convenzioni tra il Ministero del Lavoro e delle Politiche Sociali e le regioni per le politiche attive a favore dei lavoratori socialmente utili;

– stanziati 20 milioni di euro per la Filiera delle Telecomunicazioni;

– previsti 63,3 milioni di euro di CIGS per salvaguardare il livello occupazionale e il patrimonio di competenze delle imprese di interesse strategico nazionale con almeno mille dipendenti, e piani di riorganizzazione aziendale non ancora completati per via della complessità degli stessi;

– previsto un possibile ulteriore intervento di integrazione salariale straordinaria, per un massimo di 6 mesi, non ulteriormente prorogabili, qualora l’azienda abbia cessato o cessi l’attività produttiva e sussistano concrete prospettive di un significativo riassorbimento occupazionale;

– prevista la proroga fino al 2027 dell’efficacia delle misure della CIGS in deroga per riorganizzazione o crisi aziendale per imprese con rilevanza economica strategica anche a livello regionale che presentino rilevanti problematiche occupazionali con esuberi significativi nel contesto territoriale.

•          Adeguamento dei requisiti di accesso al pensionamento. Sterilizzato l’aumento di tre mesi dell’età pensionabile per i lavoratori impegnati in attività usuranti e gravose. Per le restanti categorie di lavoratori, l’aumento sarà di un solo mese nel 2027 e di due mesi nel 2028.

•          Disposizioni in materia di previdenza complementare. Dal 1° luglio 2026, scatta l’adesione automatica alla previdenza complementare per i neoassunti del settore privato, nel caso in cui non esprimano la propria scelta nei 60 giorni successivi all’assunzione. La platea delle aziende che dovranno conferire le quote di TFR non destinate alla previdenza complementare al fondo INPS è estesa, includendo quelle che, negli anni successivi a quello di avvio delle attività, raggiungono i 50 dipendenti. Si escludono per il 2026 e il 2027, le imprese con media annuale riferita all’anno precedente inferiore ai 60 dipendenti. Dal 2032, l’obbligo è esteso alle aziende che impiegano almeno 40 dipendenti. Sono inoltre previste specifiche misure per il rafforzamento degli investimenti in infrastrutture da parte delle forme pensionistiche complementari, nonché numerose modifiche alla disciplina del finanziamento, delle prestazioni e di attribuzioni della COVIP.

•          Sanzioni per la violazione della disciplina delle forme pensionistiche complementari. Il provvedimento eleva da 25mila a 500mila euro il limite massimo delle sanzioni amministrative previste nei confronti di chi commette diverse violazioni della disciplina delle forme pensionistiche complementari.

•          Bonus mamme. Sale da 40 a 60 euro mensili il bonus mamme per le lavoratrici madri dipendenti (con esclusione dei rapporti di lavoro domestico) e le lavoratrici madri autonome iscritte a gestioni previdenziali obbligatorie autonome (comprese le casse di previdenza professionali e la gestione separata) con 2 figli e fino al compimento del 10° anno da parte del secondo figlio, titolari di un reddito da lavoro inferiore a 40mila euro annui, nelle more dell’attuazione dell’esonero contributivo previsto dalla Legge di bilancio per il 2025 per le lavoratrici madri di 2 o più figli, dipendenti o autonome (posticipato al 2027). Lo stesso incremento è riconosciuto alle madri lavoratrici dipendenti (e alle lavoratrici madri autonome iscritte a gestioni previdenziali obbligatorie autonome) con più di 2 figli e fino al mese di compimento del 18° anno del figlio più piccolo, per ogni mese o frazione di mese di vigenza del rapporto di lavoro o dell’attività di lavoro autonomo. In tal caso, il reddito da lavoro non deve provenire da attività di lavoro dipendente a tempo indeterminato o coincidere temporalmente alla vigenza di un rapporto di lavoro a tempo indeterminato.

•          Promozione dell’occupazione delle madri lavoratrici. A decorrere dal 1° gennaio 2026, riconosce ai datori di lavoro privati che assumono donne, madri di almeno 3 figli di età minore di 18 anni, prive di un impiego regolarmente retribuito da almeno 6 mesi, l’esonero totale dal versamento dei contributi previdenziali, ad esclusione di premi e contributi Inail, a carico del datore di lavoro, per massimo 8mila euro all’anno. Resta ferma l’aliquota di computo delle prestazioni pensionistiche. Si prevede che l’esonero spetti: per 12 mesi dalla data di assunzione, qualora sia con contratto di lavoro a tempo determinato (anche in somministrazione); per 24 mesi data di assunzione, qualora sia effettuata con contratto di lavoro a tempo indeterminato; per 18 mesi dalla data dell’assunzione originaria, qualora il contratto venga trasformato in contratto a tempo indeterminato. L’esonero non si applica ai rapporti di lavoro domestico e ai rapporti di apprendistato, e non è cumulabile con altri esoneri o riduzioni delle aliquote di finanziamento previsti dalla normativa vigente, ma è compatibile, senza alcuna riduzione, con la maggiorazione del costo ammesso in deduzione in presenza di nuove assunzioni (c.d. maxi-deduzione).

•          Incentivi per favorire la conciliazione vita-lavoro. Dal 1° gennaio 2026, lavoratrici o

lavoratori con almeno 3 figli conviventi, fino al compimento del 10° anno di età del figlio più piccolo,

o senza limiti di età nel caso di figli disabili, hanno una priorità nella trasformazione del contratto di lavoro da tempo pieno a tempo parziale (orizzontale o verticale) o per la rimodulazione della percentuale di lavoro in caso di contratto a tempo parziale, purché determini una riduzione dell’orario il 40%. In tal caso, i datori di lavoro privati sono esonerati dal versamento del 100% dei contributi previdenziali (con esclusione dei premi e contributi dovuti ad INAIL), fino a un massimo di 3mila euro annui nei 24 mesi successivi dalla trasformazione del contratto (o dalla rimodulazione dell’orario). L’esonero è subordinato al mantenimento del complessivo monte orario di lavoro. Si prevede che resti ferma l’aliquota di computo delle prestazioni pensionistiche.

•          Rafforzamento della disciplina in materia di congedi parentali e di congedo di malattia per i figli minori. Al fine favorire la genitorialità, rafforzando le misure volte alla gestione flessibile del rapporto fra vita privata e lavoro, e con l’obiettivo di preservare l’occupazione:

– estende fino al 14° anno di età del bambino il diritto di fruire del congedo parentale, in luogo degli attuali 12 anni;

– estende fino al 14° anno di età del bambino il diritto al prolungamento del congedo parentale previsto per figli con disabilità;

– estende il riconoscimento dell’indennità del 30% della retribuzione, a titolo di trattamento economico del congedo parentale (e del suddetto prolungamento del congedo parentale per figli con disabilità);

– estende le previsioni anche ai casi di adozione, nazionale e internazionale, e di affidamento;

– con riferimento al congedo per malattia dei figli di età superiore a 3 anni (riconosciuto alternativamente a ciascun genitore): innalza a 10 giorni (rispetto ai 5 vigenti) il limite massimo di giorni fruibili all’anno; eleva da 8 a 14 anni il requisito anagrafico del figlio per la fruizione del congedo.

•          Rafforzamento del contratto a termine a favore della genitorialità e della parità di genere. In caso di assunzione con contratto a tempo determinato (anche in somministrazione), per sostituzione delle lavoratrici in congedo di maternità o parentale, sarà possibile prolungare il contratto per affiancare la lavoratrice sostituita fino al compimento dell’anno del bambino.

•          Istituzione del Fondo per il benessere psicologico. Al fine di favorire il benessere psicologico e psicofisico, presso il Ministero del Lavoro e delle Politiche Sociali viene istituito un Fondo per il benessere psicologico con una dotazione di 1 milione di euro per ciascuno degli anni 2026 e 2027. Le risorse sono finalizzate anche alla promozione di incentivi per aziende e imprese, volti a introdurre o rafforzare un sistema di aiuto psicologico ai dipendenti.

•          Maggiorazione dell’ammortamento per gli investimenti in beni strumentali e rispetto delle norme per la sicurezza sul lavoro. Subordina il riconoscimento della maggiorazione dell’ammortamento per gli investimenti in beni strumentali al rispetto delle normative sulla sicurezza nei luoghi di lavoro e al corretto adempimento degli obblighi di versamento dei contributi previdenziali e assistenziali a favore dei lavoratori.

•          Indennità per i lavoratori delle aree di crisi industriale complessa della Sicilia. Prevede la possibilità di concedere, fino al 31 dicembre 2026, l’indennità – pari al trattamento di mobilità in deroga – in favore dei lavoratori delle aree di crisi industriale complessa ubicate nel territorio della Regione Siciliana, i quali abbiano cessato di percepire la NASpI nel 2020. La misura, che permette di poter percepire l’indennità in continuità con quanto già precedentemente previsto, si rivolge ai lavoratori che nel 2020 hanno fatto richiesta per la concessione dell’indennità (prevista originariamente dalla legge di bilancio per il 2019 e più volte prorogata). Prevede che agli oneri derivanti dalla misura in parola – valutati in euro 1.332.000 per l’anno 2026 – si provveda mediante corrispondente riduzione del Fondo sociale per occupazione e formazione.

•          Modifiche all’indennità di discontinuità in favore dei lavoratori del settore dello spettacolo. Modifica, dal 1° gennaio 2026, la disciplina in materia di requisiti di accesso all’indennità di discontinuità in favore dei lavoratori del settore dello spettacolo.

•          Fondo per le politiche relative ai diritti e alle pari opportunità. Incrementa di 2 milioni di euro per ciascuno degli anni 2026 e 2027 il Fondo per le pari opportunità, al fine di assicurare la

tutela dalla violenza di genere e la prevenzione della stessa, e specificamente per contrastare tale fenomeno favorendo il recupero degli uomini autori di violenza (tramite l’istituzione ed il potenziamento dei centri di riabilitazione per uomini maltrattanti).

Le modalità applicative di molti di questi provvedimenti saranno fornite dai competenti enti ministeriali e previdenziali.

Legge n. 198 del 29 dicembre 2025 sulla tutela della salute e della sicurezza nei luoghi di lavoro.

Il Parlamento ha pubblicato, sulla Gazzetta Ufficiale n. 301 del 30 dicembre 2025, la Legge n. 198 del 29 dicembre 2025, di conversione, con modificazioni, del decreto-legge 31 ottobre 2025, n. 159, recante misure urgenti per la tutela della salute e della sicurezza sui luoghi di lavoro e in materia di protezione civile.

Per quanto riguarda la materia lavoro, questi i principali articoli a cui fare riferimento:

Art. 1 – Autorizzazione per la revisione delle aliquote di oscillazione e dei contributi in agricoltura da parte dell’INAIL

Art. 2 – Disposizioni in materia di Rete del lavoro agricolo di qualità

Art. 3 – Disposizioni in materia di attivita’ di vigilanza in materia di appalto e subappalto di badge di cantiere e di patente a crediti

Art. 4 – Potenziamento dell’Ispettorato nazionale del lavoro e del contingente in extra-organico del Comando Carabinieri per la tutela del lavoro

Art. 5 – Interventi in materia di prevenzione e di formazione

Art. 7 – Tutela assicurativa INAIL e rafforzamento delle misure di sicurezza per gli studenti impegnati nei percorsi di formazione scuola-lavoro

Art. 14 – Disposizioni per favorire l’occupazione e la sicurezza nei luoghi di lavoro attraverso il Sistema informativo per l’Inclusione sociale e lavorativa

Art. 17 – Sorveglianza sanitaria e promozione della salute.

DM 180/2025 del 17 dicembre 2025

Emanate le linee guida IA per il lavoro.

Con il DM 180/2025 del 17 dicembre 2025, sono state adottate dal Ministero del Lavoro le Linee guida per l’implementazione dell’Intelligenza Artificiale (IA) nel mondo del lavoro, finalizzate a promuoverne l’adozione consapevole tutelando i diritti dei lavoratori.

Per quanto concerne l’implementazione dell’IA nelle aziende, il Ministero orienta le sue azioni su 3 linee fondamentali:

  • promuovendo la formazione e lo sviluppo delle competenze;
  • tutelando i lavoratori, prevenendo le discriminazioni, proteggendo la privacy e assicurando che l’IA non venga utilizzata in modo improprio nei processi aziendali;
  • riducendo il divario digitale, rendendo l’innovazione accessibile a tutti, contrastando le disuguaglianze territoriali, generazionali e sociali.

Inoltre, nel provvedimento ministeriale si evidenzia come l’adozione dell’IA presenti anche nel lavoro

autonomo alcune criticità, tra cui la riduzione delle opportunità lavorative in determinati settori e la

difficoltà di accesso alle tecnologie avanzate.

Vengono quindi fornite indicazioni operative affinché i lavoratori autonomi possano integrare l’IA nel

loro lavoro in modo vantaggioso, senza subire penalizzazioni o perdita di tutele.

Infine, di particolare interesse risulta la sezione delle Linee guida dedicata ai finanziamenti e agli incentivi per l’adozione dell’IA, laddove vengono illustrate le principali agevolazioni economiche disponibili, suddivise tra finanziamenti erogati direttamente dal Ministero del Lavoro, incentivi di altri Ministeri e misure specifiche per ridurre il divario Nord-Sud, favorendo una digitalizzazione più equa a livello territoriale.

Lavoratori con malattia oncologica oppure invalidante o cronica – Visite, esami e cure mediche. Nuovi permessi.

L’INPS, con la circolare n. 152 del 19 dicembre 2025, fornisce le indicazioni per l’attuazione dell’art. 2 della legge n. 106/2025, relativamente ai lavoratori dipendenti del settore privato assicurati presso l’INPS.

Segnaliamo in particolare che dal 2026, i dipendenti del settore privato e pubblico, hanno diritto a 10 ore annue di permesso, qualora siano affetti (o abbiano un figlio affetto):

•          da una malattia oncologica, sia nella fase attiva della cura che nei primi 5 anni successivi alla fine del trattamento della malattia (cd. cd. follow-up precoce), ovvero qualora affetti da malattie invalidante o cronica che comporta un grado di invalidità superiore al 73%;

•          vi deve essere una certificazione della malattia rilasciata dal medico (medicina generale o specialista), operante in una struttura sanitaria pubblica o privata accreditata;

•          i permessi devono essere utilizzati per visite, esami strumentali, analisi chimico-cliniche e micro-biologiche nonché cure mediche frequenti;

•          i permessi vengono concessi in aggiunta alle tutele previste dalla normativa vigente e dal CCNL;

•          viene riconosciuta una indennità economica determinata secondo le regole della malattia;

•          l’indennità, per i lavoratori dipendenti del settore privato, è direttamente corrisposta dal datore di lavoro e successivamente recuperata tramite conguaglio con i contributi dovuti all’ente previdenziale;

•          viene riconosciuta la copertura contributiva figurativa.

Legge 2 dicembre 2025, n. 182

Il lavoratore in cassa integrazione deve avvisare anche la propria azienda se avvia altra attività lavorativa.

Dal 18 dicembre 2025 il lavoratore percettore della cassa integrazione che, durante il periodo di fruizione del trattamento, svolga attività lavorativa, sarà tenuto a darne immediata comunicazione al

datore di lavoro che ha richiesto l’intervento di integrazione salariale. Lo prevede, all’art. 22, la L. n. 182/2025, recante disposizioni in materia di semplificazione dei procedimenti relativi alle attività economiche e ai servizi a favore dei cittadini e delle imprese, che così modifica la disciplina relativa

agli obblighi di comunicazione per i lavoratori che percepiscono il trattamento di cassa integrazione.

In base alla ordinaria disciplina sugli ammortizzatori sociali, contenuta nel D.Lgs. n. 148/2015, sul percettore di cassa gravava già l’obbligo di dare preventiva comunicazione dello svolgimento dell’attività lavorativa alla struttura dell’Inps territorialmente competente, a pena di decadenza dal diritto al trattamento. A seguito della novella legislativa, dal prossimo 18 dicembre l’informazione dovrà essere resa anche al datore di lavoro che lo ha collocato in CIG.

Novita’ giurisprudenziali

Corte di Cassazione, sentenza 11 dicembre 2025, n. 32283.

Chat aziendale e controlli tecnologici: regole per l’utilizzazione ai fini disciplinari.

Un dirigente, licenziato per giusta causa per violazione degli obblighi di riservatezza nel processo di selezione del personale, aveva impugnato il recesso contestando l’utilizzabilità, a fini disciplinari, delle conversazioni estratte da una chat aziendale. Tribunale e Corte d’appello avevano respinto l’impugnativa, ritenendo legittima l’acquisizione e l’utilizzazione delle chat e proporzionata la sanzione espulsiva. La Cassazione, nel dichiarare l’inammissibilità del ricorso del dirigente, osserva che: (i) la chat aziendale, se utilizzata per comunicazioni di servizio tramite account aziendale, può qualificarsi come “strumento di lavoro” ai sensi dell’art. 4, co. 2, Stat. lav.; la circostanza che la piattaforma sia tecnicamente utilizzabile anche per conversazioni private non esclude, di per sé, tale qualificazione quando la stessa sia in concreto adoperata per esigenze lavorative; (ii) i dati raccolti attraverso strumenti di lavoro sono utilizzabili anche a fini disciplinari, purché siano rispettate le condizioni previste dall’art. 4, co. 3, Stat. lav., e quindi:

(a) che il lavoratore sia stato previamente

e adeguatamente informato sulle modalità d’uso degli strumenti e sull’effettuazione dei controlli; (b) che il trattamento dei dati avvenga nel rispetto della normativa in materia di protezione dei dati personali. Nel caso di specie, la Corte d’appello aveva ritenuto soddisfatto il requisito dell’adeguata informazione mediante una policy aziendale, accessibile a tutti i dipendenti e richiamata nel contratto di assunzione, che includeva la messaggistica istantanea tra i sistemi elettronici aziendali e ne prevedeva l’eventuale utilizzo a fini disciplinari in presenza di sospetti di illecito.

Corte di cassazione, sentenza 7 dicembre 2025 n. 31915.

Accertamenti ispettivi INPS e preclusioni successive.

Nel corso dell’ispezione presso una società, riguardante il periodo dal 1996 al 2002, l’INPS aveva accertato l’esistenza del rapporto di lavoro subordinato con un lavoratore fino al dicembre 1999, escludendolo per il periodo successivo. A seguito poi di una sentenza passata in giudicato tra quel lavoratore e l’impresa che aveva accertato il rapporto di lavoro subordinato anche dal 2000 al 2002, condannando la società alla regolarizzazione contributiva, l’INPS aveva provveduto a richiedere i contributi anche per tale ulteriore periodo. Vi si era opposta in giudizio la società, invocando la norma previdenziale secondo la quale, in caso di accertamento ispettivo, l’eventuale esito favorevole per il contribuente non può essere rimesso in discussione successivamente con ispezioni riguardanti i periodi già esaminati, salvo il caso di comportamenti omissivi o irregolari del datore o di denuncia del lavoratore. Diversamente da quanto stabilito dai giudici di merito, che avevano ritenuto applicabile la preclusione, equiparando l’accertamento giudiziale a quello amministrativo, la Corte esclude che la fattispecie sia riconducibile a quella considerata dalla norma citata. Così venuto meno tale presupposto, diventa necessario, secondo la Corte, procedere all’accertamento del reale atteggiarsi dei rapporti tra le parti, nel cui quadro non può non considerarsi l’esistenza e l’incidenza di una sentenza che ha accertato le circostanze di fatto su cui fonda la pretesa contributiva.

Corte di Cassazione, ordinanza 28 novembre 2025, n. 31120

Acquisizione della superiore qualifica per sostituzione di superiore assente: conta anche la durata.

Nel caso esaminato, si trattava di ben quattro anni di sostituzione del capo ufficio in aspettativa da parte di una impiegata di livello inferiore, fino alla nomina di altro capo ufficio. I giudici di merito avevano respinto la domanda di stabilizzazione nella superiore qualifica, in considerazione del fatto che l’assegnazione superiore era motivata con la necessità di sostituire un superiore assente, a norma dell’art. 2103 c.c., nella versione ante 2015. Cassando con rinvio la decisione dell’appello, la Cassazione osserva che: (i) la regola generale dell’art. 2103 c.c. e della disciplina collettiva applicabile è quella della definitività dell’inquadramento corrispondente alle mansioni superiori svolte in concreto, di norma dopo tre mesi di assegnazione; (ii) la deroga prevista per il caso della sostituzione di un dipendente assente con diritto alla conservazione del posto ha natura eccezionale e, per operare, richiede un sicuro accertamento dell’effettivo rapporto tra assegnazione a mansioni superiori e sostituzione; (iii) tale accertamento dev’essere particolarmente rigoroso quando la sostituzione si protrae per un periodo molto lungo, altrimenti la deroga si traduce in un utilizzo permanente del lavoratore di livello inferiore in mansioni superiori, con abuso della figura del “sostituto”; (iv) alla luce di tali principi, va rilevato che la Corte d’appello ha omesso l’accertamento dell’assenza di un abuso datoriale nell’utilizzo della dipendente di livello inferiore, per cui va disposto un nuovo esame della situazione concreta che valorizzi, in particolare, durata, continuità e natura della sostituzione ai fini del diritto al definitivo inquadramento superiore.

CGUE, sentenza causa C-485/2024.

Corte di Giustizia Europea: lavoro in diversi Paesi – va determinata la legge applicabile

Con sentenza alla causa C-485/24, la Corte di Giustizia Europea ha affermato che qualora il lavoratore svolga la propria attività in Paesi diversi, va determinata la legge applicabile in caso di cambiamento del luogo di lavoro abituale.

La Corte specifica che il nuovo luogo di lavoro destinato a divenire il luogo di lavoro abituale deve essere preso in considerazione nell’ambito dell’esame dell’insieme delle circostanze al fine di determinare la legge che sarebbe applicabile in mancanza di scelta delle parti.

La Convenzione di Roma limita la libertà delle parti di scegliere la legge applicabile, nel senso che tale

scelta non può privare il lavoratore della protezione assicuratagli dalle norme imperative della legge che regolerebbe il contratto in mancanza di scelta. Al fine di determinare la legge applicabile in tal caso, essa prevede due criteri di collegamento, quello del paese in cui il lavoratore compie abitualmente il suo lavoro o, in mancanza, la legge del paese in cui si trova la sede che ha assunto il lavoratore. Tuttavia, questi due criteri di collegamento non sono applicabili qualora dall’insieme delle circostanze risulti che il contratto di lavoro presenta un collegamento più stretto con un altro paese, nel qual caso è applicabile la legge di quest’ultimo paese.

Secondo la Corte, il primo criterio non consente di identificare un paese quando, nel corso del rapporto di lavoro nel suo insieme, il luogo di lavoro abituale si è spostato da un paese all’altro.

Occorre quindi fare riferimento al secondo criterio, quello della sede dello stabilimento che ha assunto il lavoratore.

Tribunale di Milano, sentenza 4 dicembre 2025.

Stop al dumping contrattuale negli appalti: è antisindacale l’applicazione di contratti peggiorativi. Leso il ruolo del sindacato come regolatore del mercato.

Il Tribunale di Milano ha dichiarato antisindacale la condotta di due società, condannandole per aver applicato ai lavoratori in appalto condizioni economiche e normative inferiori rispetto al contratto “leader” del settore Vigilanza Privata. Il Giudice ha stabilito che l’utilizzo di contratti collettivi sottoscritti da sigle minoritarie, prive dei requisiti di rappresentatività comparata, non costituisce una semplice scelta imprenditoriale, ma una violazione diretta dell’art. 29 co. 1-bis del d.lgs. 276/2003. Tale norma, infatti, impone di garantire al personale impiegato negli appalti un trattamento complessivamente non inferiore a quello del contratto nazionale stipulato dalle associazioni comparativamente più rappresentative; la violazione di questo precetto lede direttamente il ruolo del sindacato come “regolatore del mercato”, svilendone la funzione di contrasto al dumping salariale affidatagli dal legislatore. Dall’istruttoria e dalla perizia tecnica è emerso un quadro di netta disparità: i contratti applicati dalle aziende prevedevano retribuzioni più basse e tutele normative carenti su istituti fondamentali come malattia, infortunio e maternità. Il Tribunale ha sancito che tale “non equivalenza” economica e normativa integra gli estremi della condotta antisindacale poiché nega nei fatti la funzione di garanzia delle condizioni minime di impiego.

Tribunale di Milano, sentenza 1° dicembre 2025.

Grida “Palestina libera!” alla Scala: il licenziamento è sproporzionato.

In tema di licenziamento disciplinare, è illegittima per difetto di proporzionalità la sanzione espulsiva irrogata alla lavoratrice che si allontani momentaneamente dalla postazione per inscenare una protesta politica (nella specie, durante un evento di rilevanza istituzionale), qualora la condotta, pur costituendo inadempimento contrattuale, risulti inoffensiva, priva di violenza e inidonea a determinare l’interruzione del servizio o un concreto pericolo per la sicurezza. Con riguardo alle conseguenze sanzionatorie nel rapporto a tempo determinato, qualora la sentenza di accertamento dell’illegittimità

del recesso intervenga successivamente alla scadenza del termine apposto al contratto, al lavoratore spetta la tutela risarcitoria commisurata alle retribuzioni perse dalla data dell’estromissione fino alla naturale scadenza del rapporto, restando preclusa la ricostituzione dello stesso.

Tribunale di Napoli, sentenza n. 4481 del 14 novembre 2025.

WhatsApp idoneo ad integrare la forma scritta del licenziamento

Il Tribunale di Napoli ha affermato come una comunicazione di licenziamento effettuata tramite una comunicazione di messaggistica telefonica è potenzialmente idonea ad integrare la forma scritta ad substantiam prevista dalla normativa.

A tale proposito il giudice evidenzia che, a norma dell’art. 2 della L. n. 604/1966, il licenziamento deve

essere intimato per iscritto senza essere necessarie delle forme sacramentali affinché tale requisito possa considerarsi assolto. Ne consegue che la richiesta forma scritta ad substantiam del licenziamento deve intendersi soddisfatta “in assenza della previsione di modalità specifiche, con qualunque modalità che comporti la trasmissione al destinatario del documento scritto nella sua materialità (nella specie, la lettera di licenziamento era stata inviata come allegato a messaggio di posta elettronica, il cui ricevimento non era stato contestato) (Cass. n. 29753/17).

Con particolare riferimento al licenziamento intervenuto tramite l’applicazione WhatsApp, il giudice evidenzia come tale modalità appare assolvere all’onere della forma scritta richiesta dalla legge trattandosi di un documento informatico che la stessa parte ricorrente dichiara di aver ricevuto.

In merito è stato affermato dal Tribunale di Catania (Sez. Lavoro), con sentenza del 27 giugno ì2017, che “il recesso intimato a mezzo «WhatsApp» appare assolvere l’onere della forma scritta, allorché parte ricorrente abbia con certezza imputato al datore di lavoro il documento informatico, tanto da provvedere a formulare tempestiva impugnazione stragiudiziale”. Si legge, inoltre, nella parte motivazione della predetta sentenza che “la Suprema Corte ha evidenziato che “in tema di forma scritta del licenziamento prescritta a pena di inefficacia, non sussiste per il datore di lavoro l’onere di adoperare formule sacramentali“, potendo ”la volontà di licenziare… essere comunicata al lavoratore anche in forma indiretta, purché chiara” (Cass., civ. sez. lav., 13 agosto 2007, n. 17652, ove è stata ritenuta corretta la decisione del giudice di merito, secondo cui “la consegna del libretto di lavoro…da parte della società con l’indicazione della data di cessazione del rapporto deve essere considerato atto

formato di recesso”; in tal senso, v. anche Cass., civ. sez. lav., 18 marzo 2009, n. 6553).

NEWSLETTER PRIVACY GENNAIO 2026

Emanate le linee guida IA per il lavoro

Con il Decreto ministeriale n. 180 del 17 dicembre 2025, il Ministero del Lavoro e delle Politiche Sociali ha adottato ufficialmente le Linee guida per l’implementazione dell’Intelligenza Artificiale nel mondo del lavoro, dando attuazione all’art. 12 della legge 23 settembre 2025, n. 132 e nel quadro del Regolamento (UE) 2024/1689 (AI Act). Il provvedimento si inserisce nel più ampio processo di costruzione di una governance nazionale dell’IA e ha l’obiettivo di fornire indirizzi operativi per un’adozione consapevole, sicura e responsabile delle tecnologie di intelligenza artificiale nei contesti lavorativi, tenendo conto dei profili giuslavoristici, organizzativi, etici e di tutela dei diritti fondamentali.

Le Linee guida sono state elaborate anche alla luce di una consultazione pubblica svolta tra aprile e maggio 2025 e sono destinate a costituire uno strumento dinamico, soggetto a costante aggiornamento da parte dell’Osservatorio sull’adozione dei sistemi di IA nel mondo del lavoro.

Dal punto di vista dei contenuti, il documento affronta in modo sistematico i principali profili legati all’utilizzo dell’IA nel lavoro. In primo luogo, viene delineato lo scenario complessivo di implementazione dell’IA nelle imprese, con particolare attenzione alle PMI, evidenziando benefici in termini di produttività e competitività, ma anche le criticità connesse alla gestione del cambiamento tecnologico

Per quanto concerne l’implementazione dell’IA nelle aziende, il Ministero orienta le sue azioni su 3 linee fondamentali:

  • promuovendo la formazione e lo sviluppo delle competenze.

Un ulteriore asse di intervento riguarda la formazione e lo sviluppo delle competenze, considerati elementi essenziali per accompagnare la transizione digitale e prevenire fenomeni di esclusione o di “stress da automazione”. In questa prospettiva, l’IA è letta non solo come fattore tecnologico, ma come leva di trasformazione organizzativa e culturale.

  • tutelando i lavoratori, prevenendo le discriminazioni, proteggendo la privacy e assicurando che l’IA non venga utilizzata in modo improprio nei processi aziendali.

Le Linee guida affrontano inoltre i profili di tutela dei lavoratori, richiamando espressamente i principi di non discriminazione, protezione dei dati personali e diritto a non essere sottoposti a decisioni esclusivamente automatizzate, in coerenza con il GDPR, lo Statuto dei Lavoratori e la normativa antidiscriminatoria nazionale ed europea.

  • riducendo il divario digitale, rendendo l’innovazione accessibile a tutti, contrastando le disuguaglianze territoriali, generazionali e sociali. N

Nel provvedimento ministeriale si evidenzia come l’adozione dell’IA presenti anche nel lavoro autonomo alcune criticità, tra cui la riduzione delle opportunità lavorative in determinati settori e la difficoltà di accesso alle tecnologie avanzate.

Vengono inoltre fornite indicazioni operative affinché i lavoratori autonomi possano integrare l’IA nel loro lavoro in modo vantaggioso, senza subire penalizzazioni o perdita di tutele.

Di particolare interesse risulta la sezione delle Linee guida dedicata ai finanziamenti e agli incentivi per l’adozione dell’IA, laddove vengono illustrate le principali agevolazioni economiche disponibili, suddivise tra finanziamenti erogati direttamente dal Ministero del Lavoro, incentivi di altri Ministeri e misure specifiche per ridurre il divario Nord-Sud, favorendo una digitalizzazione più equa a livello territoriale.

Ampio spazio è dedicato alle linee guida operative per le aziende, che sono chiamate a mappare i sistemi di IA utilizzati, classificarli in base ai livelli di rischio previsti dall’AI Act e adottare misure adeguate di trasparenza, supervisione umana, tracciabilità e gestione dei dati. Particolare attenzione è riservata ai sistemi di IA ad alto rischio, come quelli utilizzati in ambito HR per la selezione, la valutazione o il monitoraggio dei lavoratori.

Il documento dedica infine specifica attenzione all’uso dell’IA generativa, fornendo un vero e proprio vademecum operativo per PMI e professionisti, volto a prevenire rischi di violazione della privacy, perdita di controllo dei dati e non conformità normativa, ribadendo il principio della supervisione umana e della minimizzazione dei dati trattati.

Nel complesso, le Linee guida adottate con il decreto n. 180/2025 rappresentano un passaggio chiave nel percorso di integrazione tra innovazione tecnologica e tutela del lavoro, offrendo a imprese, professionisti e lavoratori un quadro di riferimento concreto per affrontare l’impatto dell’intelligenza artificiale in modo conforme, sostenibile e responsabile.

Cybersicurezza: pubblicato il documento di indirizzo ACN sulla gestione degli incidenti NIS 2.

Ambito di applicazione.

Coerentemente con il Modello unitario e centralizzato di governance della cybersicurezza adottato da ACN nel 2024, le Linee Guida CAD si applicano all’intera platea dei soggetti indicati dall’art. 2, comma 2 del D.Lgs. 82/2005 (Codice dell’Amministrazione Digitale o CAD), vale a dire (semplificando) tutte le pubbliche amministrazioni di cui all’art. 1, comma 2, del d.lgs. 165/2001, i gestori di servizi pubblici e le società a controllo pubblico. L’impostazione perseguita è quella di assicurare un livello omogeneo di sicurezza in tutto il settore pubblico, senza differenze legate alla dimensione dell’ente o al suo grado di maturità digital.

Coerentemente con il Modello unitario e centralizzato di governance della cybersicurezza adottato da ACN nel 2024, le Linee Guida CAD si applicano all’intera platea dei soggetti indicati dall’art. 2, comma 2 del D.Lgs. 82/2005 (Codice dell’Amministrazione Digitale o CAD), vale a dire (semplificando) tutte le pubbliche amministrazioni di cui all’art. 1, comma 2, del d.lgs. 165/2001, i gestori di servizi pubblici e le società a controllo pubblico.

Le fasi del processo di gestione degli incidenti

Il documento di indirizzo di ACN articola la gestione degli incidenti di sicurezza informatica su più fasi funzionalmente connesse tra loro. La suddivisione consente di ricondurre la gestione dell’incidente a una sequenza di attività, ciascuna delle quali risponde a specifiche esigenze organizzative e operative. La composizione del processo in fasi consente di chiarire il perimetro delle attività richieste ai soggetti NIS e di individuare, per ciascun momento della gestione, gli elementi organizzativi, procedurali e di responsabilità rilevanti ai fini dell’attuazione delle misure previste dalla disciplina NIS.

La preparazione si suddivide in tre ambiti distinti, indicati come governo, identificazione e protezione, ciascuno dei quali risponde a esigenze organizzative distinte:

a) Governo

La sotto-fase di governo attiene alla definizione dell’assetto decisionale e organizzativo della gestione degli incidenti. In tale ambito il documento colloca le politiche di sicurezza, l’attribuzione delle responsabilità e la predisposizione del piano di gestione degli incidenti.

Il piano di gestione degli incidenti costituisce lo strumento attraverso il quale il processo viene formalizzato. Lo stesso deve individuare le fasi operative, assegnare i ruoli, disciplinare i flussi informativi e regolare le modalità di comunicazione interna ed esterna. Il documento di indirizzo deve essere approvato da parte degli organi di amministrazione e direttivi e che venga sottoposto a revisione periodica, in funzione dell’evoluzione del contesto di rischio e dell’esperienza maturata nella gestione degli incidenti.

b) Identificazione

La sotto-fase di identificazione riguarda la conoscenza del contesto tecnico e organizzativo nel quale il processo di gestione degli incidenti opera. La stessa comprende le attività di inventariazione dei sistemi informativi e di rete, la classificazione degli asset e l’analisi delle minacce e delle vulnerabilità rilevanti. L’ambito consente al soggetto NIS di disporre di un quadro informativo coerente, necessario per valutare l’impatto degli incidenti e per orientare le decisioni assunte nelle fasi successive del processo.

c) Protezione

La sotto-fase di protezione riguarda l’adozione delle misure destinate a incidere sulla probabilità di accadimento degli incidenti e sull’entità dei loro effetti. In questa sede il documento colloca le misure tecniche e organizzative che concorrono a ridurre l’impatto degli eventi di sicurezza informatica. Le misure di protezione assumono rilievo anche in funzione della gestione dell’incidente, poiché incidono sulle modalità di contenimento e sulle tempistiche di ripristino dei sistemi e dei servizi coinvolti.

Il documento attribuisce rilievo alla chiarezza delle responsabilità lungo il processo di gestione degli incidenti. L’esigenza trova una sede naturale nel piano di gestione degli incidenti richiesto dalla misura RS.MA-01, poiché il piano, per sua funzione, organizza fasi, procedure e flussi decisionali, con indicazione delle strutture coinvolte e della reportistica prevista.

In tale quadro, le Linee guida richiamano la matrice RACI che costituisce un metodo di attribuzione delle responsabilità nella governance NIS. La matrice associa a ciascuna attività del processo quattro posizioni: Responsible, quale soggetto deputato all’esecuzione; Accountable, quale soggetto titolare della responsabilità del risultato; Consulted, quale soggetto chiamato a rendere contributi istruttori; Informed, quale soggetto destinatario di informativa. L’utilità operativa della matrice consiste nel collegamento stabile tra attività e responsabilità, con effetti diretti sulla qualità delle decisioni e sulla tracciabilità delle azioni. La matrice RACI assume rilievo anche sul piano organizzativo, poiché consente di distinguere le responsabilità operative dalle responsabilità di indirizzo e controllo, con particolare riguardo alle decisioni che richiedono il coinvolgimento degli organi di amministrazione e direttivi.

Procedure per la gestione degli incidenti

Nel documento di indirizzo, le procedure vengono intese quale il processo di gestione degli incidenti viene reso operativo, le stesse sono impostate secondo il formato standard, riconducibile alle SOP (Standard Operating Procedure). Tra questi rientrano l’indicazione dell’oggetto e della versione, la definizione dell’ambito di applicazione, la descrizione delle attività operative, l’individuazione degli strumenti necessari e l’assegnazione dei ruoli e delle responsabilità. La rilevanza delle procedure risulta connessa al loro aggiornamento e alla loro verifica nel tempo. Il documento richiede attività periodiche di revisione e di test, in funzione dell’evoluzione del contesto tecnico e normativo e dell’esperienza maturata nella gestione degli incidenti. Le procedure assumono, inoltre, rilievo ai fini della formazione del personale, poiché costituiscono il riferimento operativo per le condotte richieste nelle situazioni di sicurezza rilevanti. Invero, la disciplina delle procedure si raccorda alle misure in materia di formazione. Il documento richiama la misura PR.AT-01, che impone la predisposizione di un piano di formazione in materia di sicurezza informatica rivolto al personale e agli organi di amministrazione e direttivi, con indicazione delle attività e dei contenuti formativi. Per i soggetti essenziali, la misura PR.AT-02 richiede una formazione specifica per il personale che riveste ruoli strategici in materia di sicurezza informatica.

Rilevamento

La fase di rilevamento riguarda l’individuazione e l’analisi degli eventi rilevanti per la sicurezza informatica; la stessa è finalizzata all’accertamento tempestivo del verificarsi di un incidente e alla valutazione della sua possibile estensione.

Il documento qualifica come eventi rilevanti quelli idonei a incidere sulla sicurezza dei sistemi informativi e di rete e che richiedono una valutazione preliminare per stabilirne la riconducibilità a un incidente. A titolo esemplificativo, sono richiamati eventi riconducibili ad anomalie nei processi di autenticazione, variazioni dei privilegi, utilizzo di indicatori di compromissione, traffico di rete sospetto o saturazione delle risorse.

Il monitoraggio presenta due aspetti: un approccio proattivo e su un approccio reattivo. Il primo attiene all’analisi preventiva di indizi di attività malevole e delle informazioni condivise dal CSIRT Italia; il secondo si basa sugli allarmi degli strumenti di sicurezza e sulle segnalazioni interne o esterne. Il documento richiama, inoltre, metodologie di rilevamento IOC-based, anomaly-based e TTP-based, ciascuna con proprie caratteristiche operative.

L’elevato numero di eventi richiede l’impiego di strumenti automatizzati, quali SIEM, SOAR ed EDR, la cui configurazione incide sulla qualità del rilevamento e sulla riduzione dei falsi positivi. Il documento collega tali attività alle misure DE.CM-01 e DE.CM-09 e, per i soggetti essenziali, a obblighi rafforzati in materia di monitoraggio del traffico, degli accessi e degli eventi amministrativi.

L’esito dell’analisi conduce alla dichiarazione dell’incidente e all’attivazione della fase di risposta.

Risposta

La fase di risposta ha inizio con la dichiarazione dell’incidente e costituisce il nucleo operativo del processo, si articola nelle sotto-fasi di segnalazione, investigazione, contenimento ed eradicazione, che possono svilupparsi in modo parallelo in relazione alle caratteristiche dell’evento.

a. Segnalazione

La sotto-fase di segnalazione riguarda la notifica dell’incidente alle autorità competenti e la comunicazione alle parti interessate. Il documento indica le tipologie di incidente soggette a notifica al CSIRT Italia e attribuisce rilievo alla nozione di evidenza dell’incidente, intesa come disponibilità di elementi oggettivi attestanti il verificarsi di una delle fattispecie previste.

L’acquisizione dell’evidenza individua il momento dal quale decorrono i termini per la pre-notifica e per la notifica. La qualificazione dell’incidente si basa sugli effetti prodotti, indipendentemente dalla causa tecnica o dalla natura intenzionale o accidentale dell’evento. Il flusso informativo verso il CSIRT Italia comprende pre-notifica, notifica, relazioni intermedie e relazione finale. Il Referente CSIRT rappresenta il soggetto deputato a curare le interlocuzioni, secondo quanto previsto dal piano di gestione degli incidenti, ferma restando la competenza degli organi di amministrazione e direttivi nei casi di maggiore rilievo.

b. Investigazione

La sotto-fase di investigazione riguarda l’analisi approfondita dell’incidente, con finalità di ricostruzione della dinamica, individuazione della causa e valutazione dell’estensione della compromissione. Il documento descrive tale attività come suscettibile di iterazioni, in relazione all’emersione di nuovi elementi informativi, e richiama, in via esemplificativa, attività di analisi forense, correlazione degli eventi, caratterizzazione dell’incidente e individuazione degli indicatori di compromissione.

c. Contenimento

La sotto-fase di contenimento riguarda le attività dirette a circoscrivere l’incidente e a limitarne l’impatto. Il documento colloca in questa fase la definizione della strategia di contenimento, l’isolamento dei sistemi coinvolti e il monitoraggio delle attività successive anche in riferimento alla tracciabilità delle azioni intraprese e alla valutazione della loro efficacia.

d. Eradicazione

La sotto-fase di eradicazione concerne la rimozione delle cause tecniche dell’incidente e dei meccanismi di persistenza. Il documento richiama attività di bonifica dei sistemi e delle credenziali, mitigazione delle vulnerabilità e installazione degli aggiornamenti di sicurezza, con documentazione delle azioni e verifica degli esiti.

e. Ripristino

La fase di ripristino riguarda il ritorno dei sistemi informativi alle condizioni operative antecedenti all’incidente. Il documento richiama attività di reinstallazione a partire da immagini affidabili, ricollegamento in rete e monitoraggio, collegando tali attività alle misure RC.RP-01 e, per i soggetti essenziali, RC.CO-03, in materia di procedure di ripristino e comunicazione interna.

f. Miglioramento

La fase di miglioramento si estende all’intero ciclo di vita del processo e riguarda l’analisi post-incidente e l’adeguamento delle misure adottate. Il documento richiama le attività di lesson learned, la valutazione dell’efficacia delle procedure e l’aggiornamento delle politiche e dei piani di sicurezza. Tali attività si raccordano alle misure ID.IM-01 e ID.IM-04, nonché alla valutazione periodica delle prestazioni attraverso indicatori e metriche, in una logica di rafforzamento progressivo della capacità di gestione degli incidenti.

Il documento si completa con due Appendici che specificano le tipologie di eventi e di incidenti rilevanti ai fini dell’applicazione del processo di gestione degli incidenti di sicurezza informatica. L’Appendice A riguarda la qualificazione delle tipologie di incidente rilevanti ai fini degli obblighi di notifica, mentre l’Appendice B opera sul piano delle misure di sicurezza, raccordando il processo di gestione degli incidenti al sistema delle misure previste dalla disciplina NIS. Quest’ultima offre un valido supporto ai soggetti NIS nell’applicazione delle misure di sicurezza per la fase di gestione degli incidenti.