10 Framework Nazionale per la Cybersecurity e la Data Protection Tabella 1: Nuove category e subcategory introdotte nel Framework Nazionale per la Cybersecurity e la Data Protection. FUNCTION CATEGORY Asset Management (ID.AM): I dati, il personale, i dispositivi e i sistemi e le facilities necessari all'organizzazione sono identificati e gestiti in coerenza con gli obiettivi e con la strategia di rischio dell'organizzazione. Risk Assessment (ID.RA): L'impresa comprende il rischio di cybersecurity inerente all'operatività dell'organizzazione (incluse la mission, le funzioni, l'immagine o la reputazione), gli asset e gli individui. SUBCATEGORY DP-ID.AM-7: Sono definiti e resi noti ruoli e responsabilità inerenti al trattamento e la protezione dei dati personali per tutto il personale e per eventuali terze parti rilevanti (es. fornitori, clienti, partner) DP-ID.AM-8: I trattamenti di dati personali sono identificati e catalogati DP-ID.RA-7: Viene effettuata una valutazione di impatto sulla protezione dei dati personali DP-ID.DM-1: Il ciclo di vita dei dati è definito e documentato IDENTIFY (ID) DP-ID.DM-2: Sono definiti, implementati e documentati i processi riguardanti l'informazione dell'interessato in merito al trattamento dei dati Data Management (DP-ID.DM): i dati personali sono trattati attraverso processi definiti, in coerenza con le normative di riferimento. DP-ID.DM-3: Sono definiti, implementati e documentati i processi di raccolta e revoca del consenso dell'interessato al trattamento di dati DP-ID.DM-4: Sono definiti, implementati e documentati i processi per l'esercizio dei diritti (accesso, rettifica, cancellazione, ecc.) dell'interessato DP-ID.DM-5: Sono definiti, implementati e documentati i processi di trasferimento dei dati in ambito internazionale RESPOND (RS) Communications (RS.CO): Le attività di risposta sono coordinate con le parti interne ed esterne (es. eventuale supporto da parte degli organi di legge o dalle forze dell'ordine). DP-RS.CO-6: Gli incidenti che si configurano come violazioni di dati personali sono documentati ed eventualmente vengono informati le autorità di riferimento e gli interessati In aggiunta a tali elementi, il Framework integra i cambiamenti apportati al core del Cybersecurity Framework NIST con l’introduzione della versione 1.1 [5], e in particolare: § § È stata introdotta una category Supply Chain Risk Management (ID.SC) nella function IDENTIFY, al fine di gestire il rischio cyber all’interno delle filiere produttive complesse e nelle catene di approvvigionamento. La category PR.AC della function PROTECT è stata rinominata Identity Management, Authentication and Access Control ed ora include elementi legati alla gestione delle