Introduzione
Le operazioni di M&A espongono acquirenti e venditori a rischi informatici e di protezione dei dati che possono impattare valore, continuità operativa e responsabilità legale. Questa guida fornisce una checklist pratica e riproducibile per integrare controlli tecnologici e compliance privacy nel processo di due diligence.
Chi deve usarla
- Team legali e consulenti M&A
- Reparti finanziari e corporate development
- Chief Information Security Officer (CISO) e responsabili IT
- Data Protection Officer (DPO) e consulenti privacy
Obiettivi della due diligence
- Verificare la postura di sicurezza della target
- Identificare passività regolamentari (GDPR, NIS2, DORA, AI Act, Cyber Resilience Act e recepimenti nazionali)
- Valutare esposizione a incidenti, contenziosi e obblighi contrattuali
- Definire piano di remediation e allocazione del rischio contrattuale
Checklist operativa (documenti ed evidenze)
- Governance e documentazione
- Registro dei trattamenti dati (evidenza aggiornata)
- Politiche di sicurezza, data protection policy, incident response plan
- Ruoli e responsabilità: nomina DPO, responsabili sicurezza, team di crisi
- Audit e report di conformità interni
Cosa chiedere: copia del registro, ultime revisioni delle policy, verbali di audit.
- Inventario asset e architetture
- Asset inventory (server, endpoint, cloud, applicazioni) e mappe di rete
- Elenco fornitori terzi critici e contratti di servizio (outsourcing, cloud, MSP)
- Software bill of materials (SBOM) o elenco componenti open source dove disponibile
Evidenza: inventario esportabile, diagrammi architetturali, contratti con SLA.
- Controlli tecnici e gestione vulnerabilità
- Risultati di penetration test e vulnerability assessment recenti
- Politiche e processi di patch management
- Esempi di hardening, cifratura dei dati at-rest/in-transit e gestione chiavi
- Controlli di Identity & Access Management: MFA, gestione privilegi, account orphan
Richiesta: rapporti di pen test, timeline di remediation, configurazioni di sicurezza rilevanti.
- Backup, continuità e resilienza
- Politiche di backup e restore, test di ripristino
- Business continuity e disaster recovery plan
- Prove o esercitazioni recenti di resilienza
Cercare evidenze di test di restore e RTO/RPO dichiarati.
- Incident response, log e forensic readiness
- Incident response plan e playbook per data breach
- Procedure per segnalazione alle autorità competenti e agli interessati (GDPR: notifica dati personali)
- Retention, integrità e disponibilità dei log per analisi forense
Chiedere esempi di incidenti recenti, rapporti di post-mortem e azioni correttive.
- Data protection e privacy
- DPIA (Data Protection Impact Assessment) per trattamenti ad alto rischio
- Contratti con responsabili esterni (processor) e clausole contrattuali
- Meccanismi di minimizzazione, conservazione e cancellazione dei dati
- Gestione di richieste di esercizio dei diritti (accesso, cancellazione, opposizione)
Documenti: DPIA, template DPA, registro richieste interessati.
- Compliance normativa e regolatoria
- Mappatura degli obblighi applicabili (GDPR, NIS2, DORA per enti finanziari, AI Act per sistemi classificati, Cyber Resilience Act per prodotti digitali)
- Notifiche o procedimenti pendenti con autorità di vigilanza
- Certificazioni rilevanti (ISO 27001, SOC 2) e audit di terze parti
Verificare lettere formali, ispezioni, piani di adeguamento in corso.
- Contrattualistica, licenze e proprietà intellettuale
- Titolarità del codice sorgente, clausole di acquisizione IP
- Licenze software e compliance OSS
- Clausole contrattuali su responsabilità per breach e ripartizione dei costi
Controllare inventario licenze, accordi di trasferimento IP, escrow del codice.
- Terze parti e supply chain
- Valutazione rischio fornitori: subcontractor, cloud provider, fornitori di servizi gestiti
- Procedure di onboarding vendor, audit rights e penali per non conformità
Richiedere lista fornitori critici e ultimi report di risk assessment.
- Finanza e assicurazioni
- Costi stimati per remediation post-closing
- Coperture assicurative cyber, esclusioni e limiti
- Precedenti richieste di indennizzo o sinistri
Evidenza: polizze, sinistri registrati, valutazioni attuariali documentate.
Valutazione del rischio e scoring
Suggerimento pratico: costruire una matrice di rischio che combini probabilità (bassa/media/alta) e impatto (basso/media/alto) per ogni area. Classificare le issue come:
- Critiche: remediation pre-closing o riduzione di prezzo
- Elevate: piano di remediation vincolante in SPA con milestone
- Moderate: clausole di rappresentanza/garanzia e escrow
- Basse: raccomandazioni post-closing
Clausole contrattuali consigliate
- Rappresentazioni e garanzie specifiche su sicurezza, incidenti e conformità
- Indennizzi limitati e meccanismi di escrow per costi di remediation
- Right to audit post-closing e piani di integrazione tecnica
Piano di integrazione e remediazione
Definire un playbook post-closing con priorità, owner, tempi e budget stimato. Prioritizzare:
- Chiusura delle vulnerabilità critiche
- Hardening degli accessi e MFA
- Allineamento delle policy privacy e DPIA
- Revisione contratti con fornitori critici
Checklist sintetica (azione immediata)
- Ottenere registro trattamenti e DPIA
- Richiedere rapporti di pen test e POC su remediation
- Verificare presenza di incident response plan e log retention
- Valutare polizze cyber e sinistri pregressi
- Inserire clausole contrattuali su R&R e escrow
Conclusione
Una due diligence cyber e privacy strutturata riduce l'incertezza e protegge valore e reputazione. Integrare fin da subito competenze legali, finanziarie e tecniche e tradurre i rischi in misure contrattuali e operative è la strada più efficace per concludere un'operazione sicura.
