NIS2, AI Act, Cyber Resilience Act: il rischio più grande per la tua PMI non è la sanzione, è non sapere di essere coinvolto

Negli ultimi due anni il quadro normativo europeo su cybersicurezza, intelligenza artificiale e protezione dei dati si è mosso più velocemente di quanto la maggior parte delle PMI italiane abbia potuto seguire. NIS2, AI Act, Cyber Resilience Act, Data Act: nomi che circolano sempre più spesso nelle rassegne stampa di settore, ma che restano per molti imprenditori un rumore di fondo — qualcosa che riguarda “le grandi aziende” o “chi fa informatica sul serio”.

È qui che si nasconde il rischio più concreto, ed è un rischio diverso da quello a cui si pensa di solito. Non è tanto la sanzione in sé — per quanto in alcuni casi possa essere pesante — quanto il fatto di scoprire di essere coinvolti in una normativa quando è già troppo tardi per prepararsi con calma, oppure di perdere un cliente importante perché non si è in grado di rispondere a una richiesta contrattuale di conformità.

Il problema non è essere obbligati per legge. È essere coinvolti comunque.

Molte PMI ragionano così: “Non siamo un’infrastruttura critica, non rientriamo nella NIS2. Non sviluppiamo intelligenza artificiale, l’AI Act non ci riguarda. Non produciamo dispositivi elettronici, il Cyber Resilience Act non ci tocca.” In alcuni casi è vero. Ma sempre più spesso non lo è, per un motivo che ha poco a che fare con la legge e molto con il mercato: la pressione della filiera.

Se sei fornitore, anche indiretto, di un’azienda più grande o di un ente pubblico soggetto alla NIS2, è sempre più probabile che quell’azienda ti chieda — per contratto, con un questionario di sicurezza o in fase di gara — di dimostrare requisiti che, sulla carta, non ti sarebbero imposti direttamente. Lo stesso vale per chi integra componenti elettronici o software in un prodotto: anche senza essere “fabbricante” ai sensi del Cyber Resilience Act, ti verrà chiesto di garantire la conformità di ciò che fornisci a valle.

Il risultato è che moltissime aziende del tessuto produttivo toscano — meccanica, moda, pelletteria, alimentare, servizi digitali — si trovano già oggi a dover rispondere a richieste che non avevano previsto, con tempi stretti e senza una base di partenza. E la mancata risposta a una richiesta di conformità non produce una multa: produce la perdita di un contratto, o l’esclusione da una gara.

Le scadenze reali non aspettano

Alcuni dati concreti, per capire perché il tema non è più rimandabile:

• Il Cyber Resilience Act (Regolamento UE 2024/2847) è già legge, in vigore dal dicembre 2024. Dall’11 settembre 2026 sono già scattati gli obblighi di segnalazione delle vulnerabilità per i fabbricanti di prodotti con componenti digitali; la piena applicazione arriva l’11 dicembre 2027, ma i tempi tecnici per adeguarsi (gestione della sicurezza fin dalla progettazione, tracciamento dei componenti software) si misurano in mesi, non in settimane.
• La NIS2 ha già ridefinito, rispetto alla precedente direttiva, un perimetro molto più ampio di settori coinvolti — non solo energia e sanità, ma anche manifattura, trasporti, servizi digitali, alimentare — con soglie dimensionali (50 dipendenti o 10 milioni di fatturato) che collocano molte PMI strutturate proprio al limite.
• L’AI Act distingue chi sviluppa sistemi di intelligenza artificiale da chi semplicemente li utilizza (pensiamo a strumenti come ChatGPT o Copilot in azienda), ma anche il secondo caso comporta obblighi — a partire dalla formazione del personale — spesso del tutto sconosciuti a chi li usa già ogni giorno.

Nessuna di queste scadenze è “lontana”. Sono già iniziate.

Perché la vera priorità è capire, prima ancora di adeguarsi

Il problema che vediamo più spesso, lavorando ogni giorno con PMI toscane su privacy, ISO 27001, NIS2 e AI Act, non è la resistenza al cambiamento. È la mancanza di un primo orientamento chiaro: quali normative riguardano davvero la mia azienda, con quale grado di urgenza, e da dove dovrei iniziare? Senza questa mappa iniziale, ogni sforzo di adeguamento rischia di partire dal punto sbagliato, o di non partire affatto.

Per questo abbiamo deciso di mettere a disposizione, gratuitamente, uno strumento pensato proprio per questo primo passo: il Check-up Normativo. Bastano pochi minuti e alcune informazioni sulla tua attività — settore, dimensione, tipo di dati trattati, presenza di prodotti connessi, uso di sistemi di intelligenza artificiale — per ricevere un orientamento preliminare, gratuito e personalizzato, su quali normative tra GDPR, NIS2, AI Act e Cyber Resilience Act possono riguardare la tua azienda, con un’indicazione delle priorità.

Non è una consulenza legale, e non sostituisce un’analisi puntuale della tua situazione — ma è il punto di partenza più rapido per smettere di ragionare per sensazioni (“tanto non credo che ci riguardi”) e iniziare a farlo sui fatti.

Se dal check-up emerge che la tua azienda è già coinvolta, o rischia di esserlo presto attraverso i tuoi clienti e fornitori, siamo a disposizione per approfondire insieme i passi concreti da fare — prima che sia un cliente, o un’ispezione, a chiedertelo per primo.