NIS2 e la tua PMI nel 2026: sei nella catena di fornitura di un obbligato?

La NIS2 non e’ l’AI Act. Ma sta arrivando sulla scrivania delle PMI dallo stesso canale: un cliente piu’ grande che ti gira i suoi obblighi.

Molte PMI italiane pensano “non e’ roba mia, sono troppo piccolo”. Nel 2026 questo e’ spesso falso, non perche’ sei un soggetto obbligato, ma perche’ sei nella catena di fornitura di uno che lo e’.

In breve:

• La maggior parte delle PMI NON e’ un soggetto NIS2 diretto (servono settore critico + soglie dimensionali da media/grande impresa).
• Ma se fornisci un obbligato, i suoi requisiti di sicurezza ti arrivano via contratto: questionari fornitori, clausole, richieste di log e piani di incident response.
• Il rischio per te non e’ la multa NIS2 (colpisce l’obbligato), e’ perdere la fornitura se non passi la due diligence.
• Se usi agenti IA sui processi, quegli agenti accedono a dati e sistemi: entrano nel perimetro di sicurezza che il cliente vuole vedere governato.
• La preparazione utile non e’ un progetto da 6 mesi: e’ policy scritte, controllo accessi, log, un piano incidenti. Documentazione, non eroismo.

Sei un soggetto NIS2 diretto o “di riflesso”?

La direttiva classifica soggetti essenziali e importanti in una lista di settori (energia, trasporti, banche, sanita’, infrastrutture digitali, PA, manifatturiero critico, gestione rifiuti, alimentare, e altri), con soglie dimensionali che tipicamente escludono le micro e piccole imprese.

Traduzione operativa: se sei una PMI da 10-200 persone fuori da quei settori, quasi certamente non sei un obbligato diretto.

Il punto e’ il secondo canale. La NIS2 impone agli obbligati di gestire la sicurezza della catena di fornitura. Quindi il tuo cliente obbligato deve garantire che anche i suoi fornitori (tu) abbiano un livello di sicurezza adeguato. E lo fa nel modo piu’ semplice per lui: te lo mette nel contratto.

Cosa ti chiedera’ concretamente un cliente obbligato

Non riceverai una lettera dallo Stato. Riceverai un questionario di sicurezza fornitori, o un allegato contrattuale, con richieste tipo:

• Policy di sicurezza e gestione degli accessi documentate.
• Log delle attivita’ sui sistemi che toccano i suoi dati.
• Un piano di risposta agli incidenti con tempi di notifica (la NIS2 impone all’obbligato tempi stretti: se l’incidente parte da te, deve saperlo in fretta).
• Clausole che estendono i suoi obblighi a te.

Se non sai rispondere, non prendi una multa. Rischi di uscire dalla shortlist fornitori. Per una PMI questo e’ il costo vero.

Dove entra (davvero) l’IA

Due collegamenti concreti, senza hype.

Primo: i tuoi agenti IA sono nel perimetro. Se hai automatizzato triage ticket, riconciliazioni o screening con agenti che accedono a dati e sistemi, quegli agenti fanno parte della tua superficie di sicurezza. Un cliente NIS2 attento chiedera’ come li governi. Ecco perche’ negli sprint Soraia includiamo di default audit log immutabile su ogni decisione dell’agente, controllo accessi e supervisione umana sui casi critici: non e’ un vezzo, e’ esattamente cio’ che serve mostrare in una due diligence. Ne parliamo anche nella nostra pagina Customer & Compliance Automation.

Secondo: l’IA aiuta a sostenere gli obblighi, non li inventa. Triage automatico degli alert di sicurezza, documentazione generata e tenuta aggiornata, monitoraggio: sono task ripetitivi dove un agente riduce il carico. Ma la responsabilita’ resta umana. L’IA che “gestisce la compliance da sola” e’ una scorciatoia che non esiste.

Quando NON serve un progetto

Te lo dico chiaro: se nessuno dei tuoi clienti e’ un soggetto NIS2, e non lo prevedi, non partire con un cantiere di cybersecurity in nome di una direttiva che non ti tocca. Fai l’igiene di base (backup, accessi, MFA, un piano incidenti minimo) e concentrati sul business.

Il progetto ha senso quando un cliente obbligato ti sta gia’ mandando il questionario, o quando stai costruendo agenti IA su dati sensibili e vuoi che la governance regga a un audit. In quel caso ha senso trattare la sicurezza degli agenti come parte del build, non come toppa dopo. E’ lo stesso principio con cui affrontiamo lo sviluppo software su misura: sicurezza e log dentro il progetto, codice del cliente dal primo giorno.

Se stai formando il team a usare l’IA in modo sicuro e tracciabile, e’ il tipo di governance che copriamo anche nei percorsi di AI Adoption.

Il prossimo passo

Non serve una consulenza da 6 mesi per capire dove sei. Serve una mappa onesta: sei obbligato, sei nella catena di uno, o non ti tocca? E se usi agenti IA, reggono a una richiesta di due diligence?

Parliamone in 20 minuti, oppure fai il check-up. Ti diciamo in che scenario ricadi, senza vendere un progetto che non ti serve.