Consulenza NIS2, DORA e AI Act per le PMI a Brescia e in Italia

Capire quali requisiti riguardano l’impresa

Il servizio si rivolge a imprenditori, direzioni, responsabili IT, funzioni rischio e acquisti che debbano chiarire una richiesta normativa o contrattuale prima di impegnare risorse. Per una PMI che opera nelle filiere industriali di Brescia, così come per un’impresa italiana che fornisce servizi a soggetti regolamentati, l’esposizione dipende dalle attività svolte, dai processi sostenuti e dal ruolo effettivo nella catena di fornitura.

L’inquadramento iniziale distingue gli obblighi direttamente applicabili dalle richieste trasferite attraverso i contratti e dalle misure che l’impresa sceglie di adottare per proteggere la propria continuità. Le questioni interpretative che richiedano una valutazione giuridica vengono individuate e sottoposte ai professionisti competenti del committente, mentre la review rende espliciti le fonti, le assunzioni e i dati che restano da acquisire.

NIS2, DORA e AI Act: tre perimetri da distinguere

Consulenza NIS2: perimetro, responsabilità e filiera

La NIS2, recepita in Italia dal d.lgs. 138/2024, richiede di verificare tipologia di attività, settori e criteri dimensionali, considerando imprese collegate ed eccezioni: una piccola impresa può rientrare in specifici casi, mentre l’appartenenza a una filiera non basta, da sola, a stabilirlo. Per i soggetti inclusi, il lavoro documentale riguarda governo del rischio, coinvolgimento degli organi direttivi, sicurezza dei fornitori e preparazione alle notifiche. Le priorità e le scadenze vengono ricostruite sulle comunicazioni ACN e sugli atti applicabili alla singola posizione, evitando di attribuire a tutte le imprese un calendario uniforme.

Riferimenti: NIS1, NIS2, NIS3, NIS4.

Consulenza DORA: entità finanziarie e fornitori ICT

DORA è applicabile dal 17 gennaio 2025 alle entità finanziarie comprese nel regolamento, con esclusioni e proporzionalità da verificare. Per una PMI fornitrice di servizi ICT a un cliente finanziario, l’esigenza può invece consistere nel documentare servizi, subfornitori, continuità ed elementi richiesti dal contratto. La review aiuta a preparare tali informazioni e i quesiti da sottoporre al legale, distinguendo queste richieste dagli obblighi del soggetto vigilato e dal regime dei fornitori designati critici; la soggezione del fornitore alla NIS2 non sostituisce i requisiti contrattuali DORA.

Riferimenti: DORA1, DORA2, DORA5, DORA8.

Consulenza AI Act: impieghi, ruoli e calendario applicabile

Per l’AI Act, il percorso dipende dal ruolo dell’impresa, dalle finalità e dalle caratteristiche del sistema: acquistare un assistente non significa automaticamente introdurre un sistema ad alto rischio. La consulenza può ricostruire inventario degli impieghi, deleghe, supervisione, iniziative di alfabetizzazione e presidi di trasparenza pertinenti. Al 3 novembre 2026, le disposizioni generali e i pertinenti obblighi di trasparenza sono già applicabili; il calendario della Commissione distingue la decorrenza principale per l’alto rischio dell’allegato III, il 2 dicembre 2027, da quella dei sistemi collegati ai prodotti dell’allegato I, il 2 agosto 2028. Restano da verificare sul caso concreto le disposizioni transitorie, comprese quelle sulla marcatura dei contenuti.

Riferimenti: AI3, AI4, AI7, AI8.

GDPR e Cyber Resilience Act: i raccordi da verificare

Dati personali e gestione degli incidenti

Quando sono coinvolti dati personali, la gestione delle violazioni richiede il raccordo con il GDPR: un incidente ICT non coincide sempre con una violazione dei dati, e le valutazioni di notifica devono mantenere criteri, ruoli e canali distinti. Il lavoro può ordinare fatti, tempi e documenti per il titolare, il DPO ove presente e i consulenti incaricati.

Riferimenti: GDPR1.

Software, dispositivi e prodotti con elementi digitali

Per le PMI che fabbricano prodotti con elementi digitali, il Cyber Resilience Act apre un percorso diverso da quello di chi utilizza semplicemente software: per i fabbricanti interessati, le segnalazioni previste per vulnerabilità attivamente sfruttate e incidenti gravi sulla sicurezza del prodotto sono applicabili dall’11 settembre 2026, mentre gli obblighi principali decorrono dall’11 dicembre 2027. La preparazione documentale può ricostruire responsabilità, canali di segnalazione e dipendenze dai componenti, con verifiche tecniche e valutazioni di conformità affidate ai soggetti competenti.

Riferimenti: CRA1, CRA2.

Dai documenti alle decisioni da preparare

L’analisi parte dai servizi e dai processi che l’impresa deve mantenere disponibili, per ricostruire chi ne governi i rischi, quali fornitori li sostengano e quali documenti descrivano i controlli. Policy, contratti, inventari, procedure di escalation e registri vengono esaminati nel perimetro concordato, distinguendo ciò che il documento dichiara da ciò che le evidenze disponibili permettono di riscontrare.

Quando l’operatività dipende da un servizio cloud, da un accesso remoto del manutentore o da un agente AI che utilizza strumenti aziendali, la review considera come quella dipendenza possa trasmettere un’interruzione, ritardare una decisione o rendere incompleta la ricostruzione di un incidente. L’inquadramento normativo acquista così un contenuto operativo, perché ogni lacuna viene collegata a un responsabile, a una verifica e a un risultato atteso.

La lettura cybergeopolitica approfondisce inoltre localizzazione dei servizi, giurisdizioni coinvolte, concentrazione delle forniture e alternative documentate, quando questi elementi possono condizionare continuità, accesso ai dati o reversibilità delle scelte. Governare lo stesso fornitore sotto più regimi permette di riutilizzare inventari ed evidenze pertinenti, mantenendo distinta la valutazione di soglie, termini e responsabilità.

Che cosa riceve l’impresa

L’incarico può comprendere una matrice preliminare di applicabilità, nella quale siano indicati attività, fonti e questioni da validare; un quadro delle lacune documentali e organizzative; una mappa delle dipendenze critiche e delle richieste dei clienti; un piano di intervento che assegni priorità, responsabili e materiali da produrre. Il contenuto degli elaborati viene definito nella proposta, affinché il committente sappia quali decisioni il lavoro debba sostenere.

Per la preparazione alla gestione degli incidenti si possono esaminare i passaggi di segnalazione, la disponibilità delle informazioni e le responsabilità di escalation; per l’AI, il lavoro può ricostruire casi d’uso, deleghe, supervisione e formazione necessaria nel contesto esaminato. Le prove tecniche sui sistemi, le acquisizioni forensi e l’implementazione dei controlli richiedono un perimetro distinto, che viene concordato con le funzioni o i professionisti incaricati.

Una richiesta del cliente non basta a definire l’obbligo

Si consideri un caso illustrativo: una PMI riceve da un cliente finanziario un questionario sulla resilienza digitale, mentre sta introducendo un assistente AI nei propri processi. La prima verifica riguarda il ruolo dei servizi forniti e il contenuto della richiesta contrattuale; la seconda riguarda gli impieghi concreti dell’AI, i dati utilizzati e le decisioni che il sistema può influenzare. I due percorsi vengono mantenuti distinti, affinché una risposta commerciale non venga scambiata per una conclusione generale sull’applicabilità delle norme.

Il risultato atteso è un quadro che consenta alla direzione di rispondere con informazioni verificabili, riconoscere le lacune e assegnare il lavoro necessario, mentre le valutazioni legali e le verifiche tecniche vengono attribuite a chi ne ha la responsabilità. L’esempio descrive un metodo di lavoro e non rappresenta un cliente o un risultato già ottenuto.

Impostare un incarico proporzionato alla PMI

Per il primo confronto bastano il settore, la dimensione indicativa, il tipo di servizio o prodotto, la richiesta ricevuta e l’eventuale scadenza, senza inviare documenti riservati. Su questa base vengono definiti obiettivo, interlocutori, materiali, elaborati e tempi, così che l’advisory possa integrare il lavoro della direzione e delle funzioni IT, sicurezza, legali e privacy.

L’attività consiste in analisi, review e preparazione organizzativa entro il perimetro dell’incarico; non produce una certificazione di conformità né sostituisce la valutazione giuridica o i controlli tecnici che il caso richieda. L’eventuale coinvolgimento di altri specialisti, così come ogni attività ulteriore, è stabilito nella proposta.

Richiedi un primo confronto →