La conformità richiede due cose che di solito stanno separate: misure tecniche che funzionano davvero e documentazione che le dimostri. Noi facciamo la prima parte come lavoro ordinario dentro il canone, e la seconda insieme a uno studio legale partner — compreso il DPO, dove serve.
La NIS2 è la direttiva europea sulla cybersicurezza (UE 2022/2555), recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. L'autorità competente è l'Agenzia per la Cybersicurezza Nazionale; le notifiche degli incidenti significativi vanno al CSIRT Italia.
La prima cosa da chiarire è chi sia obbligato. In via diretta lo sono i soggetti di medie e grandi dimensioni che operano in diciotto settori individuati dagli allegati del decreto — energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, manifattura, alimentare, chimico, rifiuti, servizi postali e altri. Se la tua impresa è piccola e non rientra in quei settori, non sei un soggetto obbligato.
Tra le misure minime che il decreto impone ai soggetti obbligati c'è la sicurezza della catena di fornitura. Questo significa che il tuo cliente obbligato deve identificare i propri fornitori rilevanti, valutarne il rischio informatico, inserire clausole di sicurezza nei contratti e monitorarli nel tempo.
Il meccanismo è semplice: l'obbligo grava su di lui, ma il requisito si scarica su di te. Non ti arriva una comunicazione dell'autorità, ti arriva un questionario del tuo committente — o una clausola nel rinnovo del contratto di fornitura. E la conseguenza del non essere in grado di rispondere non è una sanzione: è l'esclusione dalla fornitura, che per una PMI può pesare più di una multa.
Se accedi ai sistemi informativi del cliente, se gli fornisci componenti o servizi critici, o se una tua interruzione si ripercuoterebbe sul suo servizio, sei con ogni probabilità un fornitore rilevante. È il caso di un'officina che lavora per un produttore in filiera, di uno studio che gestisce dati per una struttura sanitaria, di chiunque abbia un collegamento tecnico verso un'impresa più grande.
L'articolo 24 del decreto individua un nucleo minimo di misure, con approccio multirischio:
C'è poi un aspetto che sposta la questione dall'ufficio tecnico alla direzione: l'articolo 23 attribuisce agli organi di amministrazione obblighi puntuali di approvazione e sorveglianza delle misure, con responsabilità non delegabile e possibile sospensione dall'esercizio delle funzioni dirigenziali. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e fino a 7 milioni o all'1,4% per quelli importanti.
Per i soggetti inseriti nell'elenco NIS nel 2025 il termine per l'adozione delle misure di sicurezza di base è il 31 ottobre 2026, e da quel momento l'ACN può avviare le verifiche: audit, richieste di evidenze, contestazioni. Per le organizzazioni attratte nell'ambito durante il 2026 il percorso è graduale — misure di base entro il 31 luglio 2027 e obbligo di notifica degli incidenti dal 1° gennaio 2027.
Le scadenze e i requisiti applicabili dipendono dalla categoria in cui ricade il singolo soggetto e vengono definiti dalle determinazioni dell'ACN, che si aggiornano: in fase di analisi verifichiamo la posizione specifica della tua impresa invece di applicare una scadenza generica.
La maggior parte delle misure dell'articolo 24 sono esattamente il lavoro che facciamo come fornitore di servizi gestiti: backup testati e disaster recovery, controllo degli accessi e autenticazione a più fattori, crittografia, inventario degli asset, gestione degli incidenti, formazione del personale. Chi ha un contratto di managed service serio ha già gran parte del percorso fatto — quello che manca è di solito la formalizzazione.
Per questo procediamo così: una analisi delle lacune rispetto ai requisiti applicabili, un piano di intervento con priorità, l'implementazione tecnica dentro il canone, e la produzione delle evidenze che servono in caso di verifica — registri degli incidenti, prove di esecuzione e ripristino dei backup, verbali di formazione, clausole di sicurezza verso i tuoi fornitori. Se il tuo cliente ti manda un questionario, ti aiutiamo a compilarlo con dati veri.
Il Regolamento (UE) 2016/679 non impone tecnologie specifiche: impone di sapere quali dati personali tratti, perché, con quale base giuridica, per quanto tempo e con quali misure di protezione — e di poterlo dimostrare. È il principio di responsabilizzazione, e cambia la natura dell'adempimento: non basta essere in regola, bisogna avere le carte per provarlo.
In concreto significa avere e mantenere aggiornati:
La parte che nelle PMI manca quasi sempre non è la documentazione: è la corrispondenza tra ciò che i documenti dichiarano e ciò che i sistemi fanno realmente. Un registro che descrive backup cifrati e accessi profilati non vale niente se sul server non è così — e in caso di contestazione quel disallineamento è la prima cosa che emerge.
Un committente ti ha mandato un elenco di domande sulla tua sicurezza informatica, o ti ha proposto un allegato contrattuale con clausole di cybersicurezza e diritto di audit. È il caso più frequente, e il più urgente: quella richiesta va soddisfatta con evidenze, non con rassicurazioni.
Se lavori per energia, sanità, trasporti, infrastrutture digitali, manifattura, alimentare, gestione rifiuti o pubblica amministrazione, il tuo cliente è probabilmente un soggetto obbligato — e prima o poi guarderà a te.
Studi medici, dentistici, poliambulatori, RSA, laboratori: il GDPR impone misure rafforzate e la probabilità che un incidente diventi una violazione notificabile è alta. Qui la conformità non è un adempimento, è gestione del rischio.
Registro dei trattamenti mai aggiornato, informative scaricate da internet, nessuna procedura per le violazioni, nessuna evidenza dei backup testati. È la situazione più comune nelle PMI, e diventa un problema solo quando qualcuno chiede di vedere le carte.
Un'annotazione utile: se stai già lavorando sul GDPR, hai una base solida anche per la NIS2. Le due normative condividono molti requisiti — analisi del rischio, misure tecniche, gestione degli incidenti, controllo dei fornitori — con differenze rilevanti negli obblighi di notifica e nelle responsabilità della direzione. Affrontarle insieme costa meno che affrontarle due volte.
La nomina di un DPO è obbligatoria nei casi previsti dal Regolamento: autorità e organismi pubblici, monitoraggio regolare e sistematico degli interessati su larga scala, trattamento su larga scala di categorie particolari di dati — la situazione in cui si trovano molte strutture sanitarie private. In altri casi non è obbligatoria, ma viene richiesta dai committenti o scelta come misura di responsabilizzazione.
Dove serve, il DPO è compreso nel nostro servizio grazie a uno studio legale partner con cui lavoriamo in modo integrato. Il valore non è avere il nome di un professionista su un atto di nomina: è che la parte giuridica e la parte tecnica si parlino. Quando il DPO chiede se i dati sono cifrati, chi accede a cosa, quanto durano i log o come è andato l'ultimo test di ripristino, la risposta arriva da noi con i dati alla mano — e viceversa, le prescrizioni del DPO diventano configurazioni che applichiamo, non raccomandazioni che restano in un documento.
Il DPO conserva la propria autonomia e indipendenza, come la norma richiede: il mandato è con lo studio, non con noi. Quello che offriamo è un percorso unico invece di due fornitori che non si conoscono, e per una PMI questo è precisamente ciò che rende l'adempimento sostenibile.
La conformità non si compra: si costruisce e si mantiene. Non esiste un pacchetto che ti rende conforme in una settimana, e chi lo vende sta vendendo documentazione, non sicurezza. Quello che possiamo fare è portarti da dove sei a dove devi essere, con un piano di priorità realistico e la parte tecnica che diventa lavoro ordinario invece di un progetto che finisce e si ferma.
Il primo passo è capire dove ti trovi: se sei un soggetto obbligato o un fornitore coinvolto, quali requisiti ti si applicano davvero e cosa hai già. Lo verifichiamo nell'incontro di raccolta requisiti, insieme a tutto il resto — senza venderti un audit prima di sapere se ti serve.
Portalo all'incontro: guardiamo il questionario, verifichiamo cosa hai già e ti diciamo cosa manca. Poi ricevi il preventivo con il canone e, dove serve, il percorso di adeguamento.
Nessun impegno di acquisto: se il preventivo non convince, il rapporto finisce lì.