Il 2026 si avvicina con due grandi appuntamenti normativi che nessuna azienda italiana può permettersi di ignorare: il Regolamento europeo sull'intelligenza artificiale (meglio noto come AI Act) e la Direttiva NIS2 sulla cybersicurezza. Per le piccole e medie imprese italiane, che rappresentano il tessuto produttivo del Paese, questi non sono semplici adempimenti burocratici: sono obblighi con scadenze precise, sanzioni pesanti e implicazioni operative concrete. Capire per tempo cosa fare è la differenza tra adeguarsi con calma o trovarsi in emergenza.

L'Italia è uno dei Paesi europei con la più alta concentrazione di PMI: secondo i dati ISTAT, oltre il 99% delle imprese italiane è classificabile come piccola o media impresa. Questa caratteristica strutturale rende il nostro sistema produttivo particolarmente esposto alle sfide della conformità normativa europea, spesso pensata su scala di grandi organizzazioni ma applicabile a tutti. Il Clusit (Associazione Italiana per la Sicurezza Informatica) ha documentato negli ultimi anni una crescita costante degli attacchi informatici verso le aziende italiane, con le PMI sempre più nel mirino proprio perché storicamente meno protette. Questo rende NIS2 non solo un obbligo di legge ma una necessità reale.

In questo articolo analizziamo in modo pratico e concreto cosa prevedono AI Act e NIS2, quali sono le scadenze effettive da rispettare nel 2026, quali categorie di PMI sono coinvolte e — soprattutto — quali azioni intraprendere oggi per non farsi trovare impreparati. L'obiettivo non è spaventare, ma fornire una bussola operativa per imprenditori e responsabili IT che devono prendere decisioni informate.

Cos'è la Direttiva NIS2 e quali PMI italiane sono obbligate ad adeguarsi

La Direttiva NIS2 (Network and Information Security 2, Direttiva UE 2022/2555) è entrata in vigore a ottobre 2022 e gli Stati membri dovevano recepirla entro il 17 ottobre 2024. L'Italia ha completato il recepimento con il Decreto Legislativo 138/2024, che ha introdotto obblighi operativi con decorrenza progressiva. La fase di registrazione obbligatoria presso l'ACN (Agenzia per la Cybersicurezza Nazionale) è iniziata e le PMI coinvolte devono agire senza ulteriori ritardi.

Un punto fondamentale da chiarire subito: NIS2 non si applica a tutte le PMI indiscriminatamente. La direttiva distingue tra soggetti essenziali ed entità importanti sulla base del settore di attività e della dimensione aziendale. Le micro-imprese (meno di 10 dipendenti e fatturato sotto i 2 milioni di euro) sono generalmente escluse, salvo eccezioni legate al settore critico. Le PMI con più di 50 dipendenti o fatturato superiore ai 10 milioni di euro che operano in settori considerati critici rientrano nell'ambito applicativo.

I settori coperti da NIS2 sono suddivisi in due categorie:

  • Settori ad alta criticità (allegato I): energia, trasporti, banche e infrastrutture finanziarie, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio.
  • Altri settori critici (allegato II): servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, produzione di alimenti, industria manifatturiera (per alcune categorie), fornitori di servizi digitali, ricerca.

Per le PMI rientranti in questi ambiti, gli obblighi concreti includono: adottare misure tecniche e organizzative di sicurezza informatica proporzionate al rischio, implementare procedure di gestione degli incidenti, garantire la continuità operativa, effettuare valutazioni dei rischi della catena di approvvigionamento e notificare gli incidenti significativi all'ACN entro 24 ore dalla scoperta (notifica preliminare) e entro 72 ore per la notifica completa.

AI Act: le scadenze progressive e cosa cambia concretamente nel 2026

Il Regolamento UE 2024/1689, meglio conosciuto come AI Act, è entrato in vigore il 1° agosto 2024 ed è direttamente applicabile in tutti gli Stati membri senza necessità di recepimento nazionale. La sua struttura prevede un calendario di applicazione progressivo che si estende fino al 2027, ma le scadenze del 2026 sono quelle più rilevanti per la maggior parte delle imprese.

Il calendario da tenere presente è il seguente:

  • 2 febbraio 2025: divieto assoluto di utilizzo di sistemi di AI a rischio inaccettabile (ad esempio, sistemi di social scoring, manipolazione subliminale, riconoscimento delle emozioni nei luoghi di lavoro in determinate circostanze).
  • 2 agosto 2025: applicazione delle norme sui modelli di AI general-purpose (GPAI), inclusi gli obblighi per i fornitori di modelli come GPT o Gemini.
  • 2 agosto 2026: applicazione completa delle norme sui sistemi di AI ad alto rischio già presenti sul mercato, inclusi gli obblighi per gli utilizzatori (deployers) di tali sistemi.
  • 2 agosto 2027: estensione alle categorie residuali di sistemi ad alto rischio.

Per le PMI, la distinzione chiave è tra provider (chi sviluppa o commercializza sistemi di AI) e deployer (chi utilizza sistemi di AI forniti da terzi nei propri processi aziendali). Anche una piccola impresa che usa un software di selezione del personale basato su AI, un sistema di scoring creditizio automatizzato o strumenti di monitoraggio dei dipendenti può essere classificata come deployer di un sistema ad alto rischio, con conseguenti obblighi di trasparenza, registrazione e valutazione dell'impatto.

Esempi pratici di sistemi AI ad alto rischio che le PMI potrebbero già utilizzare senza saperlo:

  • Software di recruitment che filtra automaticamente i CV con algoritmi predittivi.
  • Sistemi di valutazione del merito creditizio per l'accesso a finanziamenti.
  • Strumenti di monitoraggio delle prestazioni dei lavoratori in tempo reale.
  • Sistemi di videosorveglianza intelligente con analisi comportamentale.

Come prepararsi concretamente: la roadmap operativa per le PMI

Comprendere le norme è il primo passo, ma ciò che conta davvero è trasformare gli obblighi normativi in azioni concrete. Una PMI che vuole prepararsi correttamente all'entrata in vigore di NIS2 e AI Act nel 2026 deve seguire un approccio strutturato, che parte dall'analisi della propria situazione e arriva all'implementazione di misure tecniche e organizzative.

Per quanto riguarda NIS2, la roadmap pratica prevede:

  1. Verifica dell'ambito applicativo: stabilire se la propria azienda rientra nelle categorie soggette alla direttiva, considerando settore e dimensione.
  2. Registrazione presso ACN: completare la registrazione sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale, obbligatoria per i soggetti identificati.
  3. Gap analysis di sicurezza: valutare lo stato attuale della propria infrastruttura IT rispetto ai requisiti minimi richiesti (gestione delle identità, crittografia, backup, patching, autenticazione a più fattori).
  4. Nomina del responsabile della sicurezza: identificare internamente o esternamente un referente per la cybersicurezza.
  5. Piano di risposta agli incidenti: documentare procedure chiare per rilevare, gestire e notificare gli incidenti informatici nei tempi previsti.

Per AI Act, invece, le azioni prioritarie sono:

  1. Inventario dei sistemi AI in uso: mappare tutti gli strumenti software che utilizzano intelligenza artificiale nei processi aziendali.
  2. Classificazione del rischio: per ciascun sistema identificato, valutare la categoria di rischio secondo le definizioni del regolamento.
  3. Verifica della documentazione dei fornitori: richiedere ai vendor di software AI la documentazione tecnica e la dichiarazione di conformità CE ove applicabile.
  4. Formazione del personale: l'AI Act impone che i deployer garantiscano un adeguato livello di AI literacy per i dipendenti che interagiscono con sistemi AI.

Sanzioni, rischi concreti e perché le PMI non possono permettersi di aspettare

Un argomento che spesso convince gli imprenditori più del dettaglio tecnico è quello delle sanzioni. Sia NIS2 che AI Act prevedono un regime sanzionatorio significativo, proporzionale alla gravità della violazione ma comunque impattante anche per le imprese di dimensioni ridotte.

In merito a NIS2, il Decreto Legislativo 138/2024 prevede sanzioni amministrative che possono arrivare fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o l'1,4% del fatturato per le entità importanti. Oltre alle sanzioni pecuniarie, è prevista la possibilità per l'ACN di disporre misure inibitorie temporanee, inclusa la sospensione dell'attività nei casi più gravi.

Per l'AI Act, le sanzioni variano in base alla tipologia di violazione:

  • Violazione dei divieti sui sistemi a rischio inaccettabile: fino a 35 milioni di euro o il 7% del fatturato mondiale.
  • Violazione degli obblighi per sistemi ad alto rischio: fino a 15 milioni di euro o il 3% del fatturato.
  • Fornitura di informazioni inesatte alle autorità: fino a 7,5 milioni di euro o l'1,5% del fatturato.

Al di là delle sanzioni, esistono rischi reputazionali e commerciali concreti: sempre più grandi aziende e committenti pubblici stanno inserendo nei propri contratti di fornitura clausole di conformità NIS2 e AI Act. Una PMI non conforme rischia di perdere commesse rilevanti ancor prima di ricevere una sanzione dall'autorità competente.

Domande frequenti

Una PMI con meno di 50 dipendenti è esclusa da NIS2?

Non necessariamente. La dimensione aziendale è uno dei criteri, ma non l'unico. Le micro-imprese (sotto i 10 dipendenti e 2 milioni di fatturato) sono generalmente escluse, ma le piccole imprese tra 10 e 49 dipendenti potrebbero rientrare nell'ambito applicativo se operano in settori critici. Inoltre, alcune categorie di soggetti sono incluse a prescindere dalla dimensione, come i fornitori di reti pubbliche di comunicazione elettronica o i prestatori di servizi fiduciari. È fondamentale effettuare una verifica specifica basata sul proprio settore di attività prima di assumere di essere esclusi.

Se la mia azienda usa solo ChatGPT o strumenti AI comuni, devo preoccuparmi dell'AI Act?

L'utilizzo di strumenti come ChatGPT per attività generali di ufficio (scrittura, riassunti, brainstorming) non comporta generalmente obblighi specifici per le PMI in qualità di deployer. Il problema sorge quando si utilizzano sistemi AI per processi che ricadono nelle categorie ad alto rischio elencate nell'allegato III del regolamento. Se invece la vostra azienda integra API di modelli AI in prodotti o servizi che vendete a terzi, potreste configurarvi come provider con obblighi più stringenti. In ogni caso, tutti i soggetti — incluse le PMI — sono tenuti al rispetto dei divieti sui sistemi a rischio inaccettabile già dal febbraio 2025.

Entro quando devo completare la registrazione all'ACN per NIS2?

L'ACN ha avviato la piattaforma di registrazione e i soggetti identificati come essenziali o importanti devono completare la registrazione nei tempi comunicati dall'Agenzia stessa. Il processo di identificazione dei soggetti obbligati è in corso e l'ACN notifica direttamente le aziende interessate. Tuttavia, è responsabilità delle imprese verificare proattivamente se rientrano nei criteri e procedere alla registrazione. Si raccomanda di non attendere la notifica passiva ma di controllare le comunicazioni ufficiali sul sito dell'ACN (acn.gov.it) e, se necessario, consultare un esperto per la verifica dell'ambito applicativo.

Quanto costa adeguarsi a NIS2 per una PMI italiana?

Non esiste un costo standard, perché dipende fortemente dallo stato attuale della sicurezza informatica aziendale. Una PMI che ha già investito in misure di base (firewall aggiornati, backup regolari, autenticazione a più fattori, formazione del personale) affronterà costi di adeguamento molto più contenuti rispetto a chi parte da zero. In linea generale, i costi includono: la gap analysis iniziale, eventuali upgrade tecnologici, la redazione della documentazione, la formazione e — nei casi più strutturati — la consulenza di un professionista della cybersicurezza. Molte PMI scelgono di avvalersi di un vCISO (Virtual Chief Information Security Officer) in modalità as-a-service, una soluzione flessibile e proporzionata alle esigenze delle piccole imprese.

Conclusione

AI Act e NIS2 rappresentano un cambio di paradigma nel modo in cui le imprese italiane devono approcciarsi alla sicurezza informatica e all'utilizzo dell'intelligenza artificiale. Non si tratta di adempimenti una tantum, ma di un nuovo assetto permanente che richiede processi, responsabilità e cultura aziendale orientati alla conformità e alla resilienza digitale. Le PMI che iniziano oggi ad analizzare la propria situazione, a mappare i sistemi in uso e a strutturare le misure necessarie avranno un vantaggio competitivo reale rispetto a chi aspetta l'ultimo momento.

Il tempo utile per agire con calma e metodo sta per scadere: le scadenze del 2026 sono vicine e i processi di adeguamento richiedono mesi di lavoro. Non aspettare che sia l'autorità o un cliente a segnalarti una non conformità. Contatta oggi stesso un esperto IT o un consulente specializzato in cybersicurezza e conformità normativa per effettuare una prima valutazione gratuita della tua situazione aziendale. Un professionista qualificato può aiutarti a capire se sei obbligato, cosa devi fare concretamente e con quale priorità, trasformando un obbligo normativo in un'opportunità di rafforzamento reale della tua infrastruttura digitale.