Il problema: un lunedì mattina senza sistemi
Arrivi in ufficio e la posta non si apre. Il gestionale è bloccato. Gli ordini del fine settimana sono fermi da qualche parte e nessuno sa dove. I clienti chiamano, il magazzino aspetta, i camion restano in cortile.
Ogni ora di fermo ha un costo: ore pagate e non lavorate, consegne in ritardo, clienti che iniziano a guardarsi intorno. È una perdita che non si ferma da sola. E se la tua azienda rientra nella disciplina NIS, rimettere in piedi i sistemi non basta: devi anche avvisare le autorità entro tempi molto stretti.
Cosa dice la norma, in breve
La Direttiva (UE) 2022/2555, detta NIS2, è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 e in vigore dal 16 ottobre 2024. L'autorità competente è l'Agenzia per la Cybersicurezza Nazionale (ACN).
- Chi riguarda: come regola generale, le medie e grandi imprese dei settori elencati negli allegati della direttiva. Tra questi ci sono energia, trasporti, banche, sanità, acqua e infrastrutture digitali, ma anche servizi postali, gestione dei rifiuti, chimica, alimentare e fabbricazione di vari prodotti. Alcuni soggetti rientrano a prescindere dalla dimensione. La Commissione europea lo spiega nella sua pagina sulla NIS2.
- Registrazione: ogni anno, dal 1° gennaio al 28 febbraio, i soggetti interessati si registrano sulla piattaforma ACN, dopo aver designato un punto di contatto. Dal 15 aprile al 31 maggio aggiornano le informazioni.
- Notifica degli incidenti significativi: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
- Misure di sicurezza di base: definite dall'ACN, con elenchi diversi per soggetti essenziali e importanti.
- Responsabilità della direzione: gli organi di amministrazione approvano le misure, ne sovrintendono l'attuazione, seguono una formazione sulla sicurezza informatica e promuovono quella dei dipendenti, come chiariscono le domande frequenti ACN.
Le scadenze che contano adesso
Per i soggetti inseriti nell'elenco NIS nel 2025, l'ACN ha fissato l'obbligo di notifica da gennaio 2026 e le misure di sicurezza di base entro 18 mesi dalla comunicazione, cioè entro ottobre 2026. Queste date sono già passate.
Per i soggetti inseriti per la prima volta nel 2026, la determinazione ACN del 13 aprile 2026 prevede l'obbligo di notifica dal 1° gennaio 2027 e le misure di base entro il 31 luglio 2027. Trovi il quadro completo nella pagina Obblighi NIS dell'ACN.
Quanto ti costa non essere pronto
Il costo più visibile sono le sanzioni: per le violazioni più gravi, l'ACN indica importi fino a 10 milioni di euro o al 2% del fatturato per i soggetti essenziali, e fino a 7 milioni o all'1,4% per gli importanti. Ma il costo vero è un altro: il fermo, i dati persi, i clienti che chiedono garanzie ai fornitori e non le ricevono. La NIS2 chiede infatti attenzione anche alla sicurezza della catena di fornitura: anche se non rientri tu, potrebbe rientrare un tuo cliente.
Cosa fare subito
- Verifica se rientri, con il tuo consulente: settore, dimensione, attività svolte.
- Controlla registrazione e punto di contatto, e segna in calendario le finestre annuali.
- Scrivi chi fa cosa in caso di incidente: chi se ne accorge, chi decide, chi avvisa e entro quando. Le 24 ore passano in fretta.
- Forma la direzione, prima ancora dei tecnici: la responsabilità è sua.
- Guarda dove finiscono i dati, compresi gli strumenti AI che i dipendenti usano da soli, magari incollando email di clienti in un chatbot pubblico.
Come ti aiuta SAITEKO, e cosa non facciamo
Chiariamolo subito: SAITEKO non è un fornitore di cybersecurity né un consulente di conformità. Per gli obblighi NIS ti serve il tuo consulente. Noi facciamo una cosa precisa: ti aiutiamo a usare l'AI senza aprire nuove falle.
- La soluzione: i Process Pack lavorano con accessi minimi, registrano ogni passaggio e non scrivono nulla nel gestionale senza la conferma di un tuo operatore. I dati restano nell'Unione Europea, con un accordo sul trattamento dei dati (art. 28 GDPR). Su richiesta, l'elaborazione avviene nei tuoi server o in un cloud privato. Trovi i dettagli in Metodo e sicurezza.
- La formazione: l'Academy insegna a direzione e team a usare l'AI in modo sicuro, quali dati proteggere e come scrivere una policy d'uso aziendale. Affianca la formazione sulla sicurezza informatica, non la sostituisce.
- Nel tempo: con l'abbonamento, aggiornamenti e consulenze sono inclusi; in alternativa scegli la licenza perpetua.
Fonti ufficiali
- Direttiva (UE) 2022/2555, EUR-Lex
- D.Lgs. 4 settembre 2024, n. 138, Normattiva
- ACN, obblighi NIS
- Commissione europea, NIS2
Vuoi capire come introdurre l'AI senza aggiungere rischi? Richiedi una call: partiamo dai tuoi processi.
Contenuto informativo aggiornato a novembre 2026: non costituisce consulenza legale. Verifica gli obblighi specifici con il tuo consulente.