[OT] GDPR e Debian

Un saluto a tutta la lista.

Mi sono ritrovato con un server sul quale gira Debian 12 e un software 
dove vengono memorizzati e gestiti vari dati sanitari. A questo punto la 
prima cosa che mi viene da pensare, essendo dati molto sensibili, che il 
GDPR è la prima cosa a cui guardare. Premetto che non ho esperienza al 
riguardo, ma devo comunque adottare le pratiche richieste. Non ho ancora 
letto per intero il GDPR (cosa che farò a breve) ma leggendo in rete si 
parla di Logging, Autenticazione a 2 Fattori, cifratura dei file, backup 
cifrati, comunicazioni cifrate, firewall, accessi loggati, audit del 
sistema.. ecc.

Al momento la VM è aggiornata, è monitorata attivamente, l'interfaccia 
web è accessibile via https con certificato SSL (manca la 2FA) e i 
backup sono cifrati.
I dati sul db non sono cifrati (se non sbaglio si parla di cifratura 
anche dei data at-rest). Cosa manca per la conformità?

Quello che non mi è chiaro è se bisogna avere una certificazione tipo 
FIPS 140-3 (anche se non mi sembra sia richiesta dal GDPR) ma essendo 
uno standard internazionale ho letto che aiuta nell'adempiere alle 
conformità. Debian non offre FIPS 140-3 e nel caso fosse necessaria 
sarei costretto a guardare altre alternative come Ubuntu LTS 22.04 (la 
FIPS per la 24.04 è in opera), AlmaLinux 9.2 (la 9.6 è in review) se non 
la stessa RHEL.

Volevo sapere da chi ha già avuto esperienze, se:

1. È necessaria una certificazione tipo FIPS-140-3?
2. Quali sono gli step per essere conforme al GDPR a livello tecnico? So 
che molti storceranno il naso ma vorrei capire di cosa si tratta senza 
perdermi troppo nella parte legale (comunque importante) giusto per 
capire quali sono i requisiti tecnici
3. È possibile essere conformi con distro come Debian?

Ogni risorsa, link relativo al tema sarà gradita.

Grazie a tutti in anticipo per le risposte e se ho riportato qualche 
ca--ta perdonatemi.

Saluti,
Alessandro