Il panorama normativo europeo in materia di cybersecurity e digitalizzazione sta attraversando una fase di profonda trasformazione. Con l'avvicinarsi del 2026, le PMI italiane si trovano a dover fare i conti con un insieme di nuove regole che riguardano la sicurezza informatica, la gestione dei fornitori digitali e l'utilizzo dell'intelligenza artificiale. Il cosiddetto Digital Omnibus, il recepimento della direttiva NIS2 e l'entrata in vigore progressiva dell'AI Act rappresentano tre pilastri normativi che, insieme, ridisegnano gli obblighi e le responsabilità di migliaia di imprese italiane.

Secondo i dati del Rapporto Clusit 2024, l'Italia è tra i paesi europei più colpiti da attacchi informatici, con un incremento significativo degli incidenti che hanno coinvolto anche la supply chain, ovvero la catena di fornitori e partner digitali delle aziende. Questo contesto rende ancora più urgente comprendere cosa cambierà concretamente per un'impresa manifatturiera di Brescia, uno studio professionale di Roma o una società di logistica di Bologna. Non si tratta solo di adempimenti burocratici: le nuove norme possono davvero fare la differenza tra un'azienda resiliente e una vulnerabile.

L'obiettivo di questo articolo è fornire una guida chiara, aggiornata e pratica su tutti e tre i fronti normativi, spiegando cosa devono fare le PMI italiane nei prossimi mesi, quali semplificazioni sono state introdotte rispetto alle prime versioni delle normative e dove è possibile trovare supporto qualificato. Iniziamo dal quadro generale per poi entrare nei dettagli operativi.

Il pacchetto Digital Omnibus UE: semplificazioni normative per le PMI italiane nel 2025-2026

Il pacchetto Digital Omnibus è una proposta della Commissione Europea presentata nel 2025 con l'obiettivo dichiarato di ridurre il carico burocratico sulle imprese, in particolare sulle piccole e medie imprese, senza però abbassare i livelli di protezione previsti dalle normative digitali. Si tratta di un insieme di modifiche che toccano diversi atti legislativi europei, tra cui la direttiva NIS2, il Data Governance Act, il Data Act e, in misura minore, l'AI Act stesso.

Uno degli interventi più attesi riguarda la soglia di applicabilità della direttiva NIS2. Nella versione originale, la direttiva si applicava a tutte le medie e grandi imprese operanti in settori considerati critici o importanti. Con il Digital Omnibus, si propone di escludere automaticamente le micro e piccole imprese (quelle con meno di 50 dipendenti e fatturato inferiore a 10 milioni di euro) da molti obblighi diretti, concentrando invece l'attenzione sulle loro relazioni con soggetti più grandi, attraverso il meccanismo dei fornitori rilevanti.

Questo significa, in termini pratici, che una piccola software house italiana che fornisce servizi a una grande banca o a un operatore di infrastrutture critiche potrebbe comunque essere soggetta a requisiti specifici, non in quanto destinataria diretta della NIS2, ma perché classificata come fornitore rilevante del suo cliente principale. Le implicazioni sono concrete e richiedono un'analisi attenta della propria posizione nella filiera digitale.

  • Riduzione degli obblighi diretti per le micro e piccole imprese nei settori non critici
  • Introduzione del concetto di fornitore rilevante nella catena di approvvigionamento digitale
  • Semplificazione delle procedure di registrazione presso le autorità nazionali competenti
  • Armonizzazione dei requisiti tra i diversi stati membri dell'UE per ridurre le difformità applicative

NIS2 in Italia nel 2026: obblighi di notifica degli incidenti e gestione del rischio per le aziende

Il recepimento italiano della direttiva NIS2 attraverso il Decreto Legislativo 138/2024 ha avviato un processo graduale di attuazione che culminerà nel 2026 con la piena operatività di tutti gli obblighi. L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità competente designata e ha già pubblicato le linee guida per la registrazione dei soggetti obbligati e per la gestione degli incidenti.

Tra gli obblighi più impattanti per le PMI che rientrano nel perimetro NIS2 vi è quello delle notifiche di incidente. La normativa prevede un sistema articolato in tre fasi temporali precise: una pre-notifica entro 24 ore dal momento in cui l'azienda è venuta a conoscenza dell'incidente significativo, una notifica iniziale entro 72 ore con le prime informazioni disponibili, e un rapporto finale entro un mese con un'analisi completa dell'accaduto, delle cause e delle misure adottate.

Per una PMI manifatturiera o un'azienda di servizi IT, questo significa dover disporre di procedure interne ben definite, di personale formato e di strumenti tecnici adeguati per rilevare, classificare e segnalare tempestivamente gli incidenti. Non si può improvvisare: la preparazione deve avvenire con mesi di anticipo rispetto alle scadenze operative.

  • Pre-notifica entro 24 ore: allerta preliminare all'ACN in caso di incidente significativo
  • Notifica iniziale entro 72 ore: informazioni essenziali sull'incidente, impatto e misure adottate
  • Rapporto finale entro 30 giorni: analisi approfondita, causa radice e piano di rimedio
  • Aggiornamenti intermedi: richiesti dall'ACN nei casi di incidenti con evoluzione complessa

È importante sottolineare che la normativa prevede sanzioni amministrative significative per chi non rispetta gli obblighi di notifica o non adotta misure di sicurezza adeguate. Per i soggetti essenziali le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, mentre per i soggetti importanti i tetti sono leggermente inferiori. Anche qui, il Digital Omnibus introduce alcune modulazioni per le realtà più piccole, ma il principio della responsabilità rimane invariato.

Fornitori rilevanti e supply chain digitale: come le PMI italiane devono gestire il rischio di terze parti

Uno degli aspetti più innovativi e complessi del nuovo quadro normativo riguarda la gestione del rischio della catena di approvvigionamento digitale. Sia la NIS2 che il Digital Omnibus pongono grande enfasi sul fatto che un'azienda non può considerarsi sicura se i suoi fornitori di servizi digitali, software o infrastrutture non lo sono a loro volta. Questo concetto, noto come third-party risk management, è ormai centrale in tutta la normativa europea.

Per le PMI italiane questo si traduce in due scenari distinti. Nel primo scenario, l'azienda è essa stessa un fornitore rilevante di un soggetto più grande che rientra nel perimetro NIS2: in questo caso dovrà adeguare i propri standard di sicurezza per soddisfare i requisiti contrattuali e normativi imposti dal cliente. Nel secondo scenario, l'azienda è una organizzazione acquirente che deve verificare e monitorare la sicurezza dei propri fornitori di servizi cloud, software gestionale, connettività e così via.

Un esempio concreto: un'azienda di medie dimensioni del settore alimentare che utilizza un gestionale in cloud per la tracciabilità dei prodotti dovrà verificare che il proprio fornitore software abbia implementato misure di sicurezza conformi agli standard NIS2. Questo può tradursi nella richiesta di certificazioni specifiche, nella firma di clausole contrattuali dedicate alla sicurezza o nell'esecuzione di audit periodici.

  • Richiedere ai fornitori IT documentazione sulle misure di sicurezza adottate
  • Inserire nei contratti clausole specifiche sulla gestione degli incidenti e sulla notifica tempestiva
  • Verificare che i fornitori di servizi cloud rispettino i requisiti di localizzazione e protezione dei dati
  • Eseguire una valutazione del rischio periodica per ogni fornitore critico
  • Predisporre piani di continuità operativa in caso di interruzione dei servizi di un fornitore

AI Act e PMI italiane: obblighi, categorie di rischio e intersezione con NIS2

L'AI Act europeo, entrato formalmente in vigore nell'agosto 2024, prevede un'applicazione progressiva delle sue disposizioni fino al 2027. Per le PMI italiane, la principale preoccupazione riguarda l'utilizzo di sistemi di intelligenza artificiale ad alto rischio in ambiti come la gestione delle risorse umane, il riconoscimento biometrico, la sicurezza dei prodotti o la fornitura di servizi pubblici essenziali.

La buona notizia è che il Digital Omnibus prevede alcune semplificazioni specifiche per le PMI nell'ambito dell'AI Act: in particolare, si propone di alleggerire gli obblighi documentali e di conformità per le piccole imprese che non sviluppano sistemi AI ma che semplicemente li utilizzano come strumenti acquistati da provider terzi. Il peso maggiore della compliance ricade quindi sui fornitori e sviluppatori di sistemi AI, non sugli utilizzatori finali di piccole dimensioni.

Tuttavia, l'intersezione tra AI Act e NIS2 crea alcune zone grigie importanti. Un sistema di intelligenza artificiale utilizzato per la sicurezza informatica, come un Security Information and Event Management (SIEM) basato su AI o un sistema di rilevamento delle anomalie, potrebbe essere contemporaneamente soggetto alle prescrizioni di entrambe le normative. In questi casi, le PMI devono essere particolarmente attente a coordinare i propri adempimenti per evitare duplicazioni o, peggio, lacune di conformità.

  • Classificare i sistemi AI utilizzati in base alle categorie di rischio previste dall'AI Act
  • Verificare che i fornitori di soluzioni AI abbiano completato la propria conformità normativa
  • Prestare attenzione agli usi di AI in ambito HR, sicurezza e processi decisionali automatizzati
  • Documentare le scelte fatte in merito all'utilizzo dell'intelligenza artificiale in ottica di accountability

Domande frequenti

La mia PMI con 30 dipendenti è obbligata ad adeguarsi alla NIS2?

Non necessariamente in modo diretto. La direttiva NIS2, anche nella versione aggiornata dal Digital Omnibus, esclude generalmente le micro e piccole imprese (sotto i 50 dipendenti e 10 milioni di fatturato) dagli obblighi diretti, a meno che non operino in settori considerati critici come energia, sanità, infrastrutture digitali o trasporti. Tuttavia, se la tua azienda fornisce servizi digitali a un soggetto più grande che è obbligato dalla NIS2, potresti essere classificata come fornitore rilevante e dover rispettare specifici requisiti contrattuali. È fondamentale analizzare la propria posizione nella filiera prima di concludere che la normativa non si applica.

Cosa succede se non notifico un incidente informatico nei tempi previsti dalla NIS2?

Il mancato rispetto degli obblighi di notifica può comportare sanzioni amministrative significative. Per i soggetti importanti (la categoria che comprende molte PMI di media dimensione nei settori rilevanti), le sanzioni possono arrivare fino a 7 milioni di euro o all'1,4% del fatturato mondiale. Oltre alle sanzioni economiche, l'ACN può disporre misure correttive, audit obbligatori e, nei casi più gravi, la sospensione temporanea delle attività. È quindi essenziale predisporre per tempo le procedure interne di incident management e assicurarsi che il personale responsabile conosca esattamente cosa fare in caso di incidente.

Il Digital Omnibus è già in vigore? Cosa devo fare adesso?

Al momento della stesura di questo articolo, il pacchetto Digital Omnibus è in fase di iter legislativo europeo e non è ancora definitivamente approvato. Le proposte della Commissione Europea devono passare per il Parlamento Europeo e il Consiglio dell'UE prima di diventare normativa vincolante. Tuttavia, le direzioni indicate sono sufficientemente chiare da permettere alle aziende di iniziare a pianificare. Il consiglio pratico è di non aspettare l'approvazione finale per cominciare l'analisi del proprio perimetro di conformità: adeguarsi alla NIS2 nei suoi requisiti di base è comunque necessario e le semplificazioni del Digital Omnibus, quando arriveranno, non faranno altro che alleggerire un percorso che conviene comunque iniziare subito.

Devo fare qualcosa di specifico riguardo all'AI Act se uso strumenti come ChatGPT o Copilot nella mia azienda?

L'utilizzo di modelli di intelligenza artificiale generativa di uso generale, come quelli citati, rientra nella categoria dei sistemi AI a rischio limitato per la maggior parte degli usi aziendali comuni (redazione di testi, analisi dati, supporto al cliente). Per questi utilizzi, gli obblighi principali riguardano la trasparenza verso gli utenti (le persone devono sapere quando interagiscono con un sistema AI) e la verifica che i fornitori di questi strumenti siano in regola con gli obblighi che l'AI Act pone su di loro come sviluppatori. Se invece utilizzi sistemi AI per prendere decisioni automatizzate sui dipendenti, per la sicurezza fisica o in contesti ad alto impatto, la valutazione del rischio diventa molto più articolata e richiede un'analisi specifica.

Conclusione

Il 2026 si avvicina con un carico normativo importante per le PMI italiane, ma anche con strumenti nuovi per affrontarlo in modo più razionale e proporzionato. Il Digital Omnibus, la piena operatività della NIS2 e l'applicazione progressiva dell'AI Act non sono minacce da ignorare né montagne insormontabili: sono opportunità per costruire un'azienda più resiliente, più affidabile per i propri clienti e più competitiva sul mercato europeo.

La chiave è agire per tempo, con metodo e con il supporto di professionisti qualificati. Un'analisi del proprio perimetro di conformità, la mappatura dei fornitori rilevanti, la definizione di procedure di incident management e una valutazione dei sistemi AI utilizzati: sono tutti passi concreti che si possono iniziare oggi, senza aspettare l'ultima scadenza. Le PMI che si muovono con anticipo avranno non solo meno stress normativo, ma anche un vantaggio competitivo reale.

Hai bisogno di capire se la tua azienda rientra nel perimetro NIS2 o come prepararti agli obblighi del 2026? Contatta oggi stesso un esperto IT specializzato in cybersecurity e conformità normativa europea: un'analisi preliminare può fare la differenza tra un adeguamento fluido e un'emergenza dell'ultimo minuto. Non aspettare che sia troppo tardi.