PMI

NIS2: ventitré giorni al 31 ottobre. Le sei domande che ogni PMI dovrebbe farsi adesso

Il termine per le misure di sicurezza di base della prima platea NIS2 è ormai dietro l’angolo. Ma la vera notizia è un’altra: la cybersecurity sta diventando un requisito di qualifica commerciale, e riguarda anche chi non è nel perimetro. Sei domande operative per fare autodiagnosi in un pomeriggio.

Se leggete questo articolo oggi, mancano ventitré giorni al 31 ottobre 2026. È la data di riferimento che chiude, per la prima platea di soggetti NIS inseriti nel 2025, la finestra dei diciotto mesi per l’adozione delle misure di sicurezza di base. Non è una scadenza universale valida per ogni azienda italiana: ciascun soggetto obbligato ha il proprio termine, calcolato a partire dalla comunicazione di inserimento nell’elenco NIS. Resta però una data di riferimento importante, perché su di essa si sta costruendo buona parte della comunicazione pubblica dell’Agenzia e, soprattutto, l’attesa dei clienti verso i propri fornitori.

La notizia più interessante non è però la scadenza in sé. È il fatto che il tema si sta trasformando in qualcosa di più ampio: un requisito di qualifica commerciale che, a valle, coinvolge molte più PMI di quelle direttamente obbligate.

Un rapido inquadramento

La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, ha allargato il perimetro delle aziende obbligate a rispettare misure minime di cybersicurezza, articolato attraverso gli allegati I e II in diciotto ambiti settoriali. Il meccanismo di inclusione, previsto all’articolo 7 del decreto, è imperniato sull’autocensimento: entro le finestre temporali definite ogni anno, i soggetti potenzialmente obbligati devono registrarsi sulla piattaforma ACN autocertificando dimensione, settore e requisiti. L’Agenzia procede poi all’adozione e all’aggiornamento degli elenchi dei soggetti essenziali e importanti, comunicando l’inserimento ai soggetti interessati attraverso la piattaforma stessa.

I soggetti obbligati direttamente sono migliaia. Ma il punto di attenzione per molte PMI è indiretto: la sicurezza della catena di approvvigionamento rientra espressamente tra le misure di gestione del rischio richieste ai soggetti NIS. Tradotto in dinamica di mercato: i grandi clienti industriali, sanitari, dell’energia e della pubblica amministrazione iniziano a chiedere ai propri fornitori prove crescenti di adeguatezza — questionari, clausole contrattuali, assessment, richieste di evidenze. Non è un’estensione automatica della NIS2 a tutta la supply chain. È un effetto commerciale che, in molti settori, sta già cambiando le condizioni di qualificazione.

Sei domande da porsi in un pomeriggio

Consiglio a ogni imprenditore e direttore di PMI di ritagliarsi un pomeriggio — magari con il proprio responsabile IT e il proprio consulente legale accanto — per rispondere a queste sei domande. Non serve una risposta perfetta. Serve una risposta onesta.

  1. La mia azienda è ufficialmente nel perimetro NIS2? Vi siete registrati sulla piattaforma ACN nelle finestre previste? Avete ricevuto conferma dell’inserimento nell’elenco dei soggetti essenziali o importanti? La registrazione, da sola, non equivale all’inserimento nel perimetro: è ACN che adotta e comunica gli elenchi. Se non avete una conferma formale, verificate se la vostra attività rientra negli ambiti degli allegati I e II: un dubbio irrisolto non è una risposta.
  2. Se non sono nel perimetro diretto, sono un fornitore critico di aziende che lo sono? Manifatturiero che serve la sanità, servizi IT che supportano l’energia, logistica per le telecomunicazioni, consulenza per la PA: la mappa dei coinvolti indirettamente è più ampia di quanto sembri. Guardate il vostro portafoglio clienti sotto la lente dei diciotto ambiti NIS2.
  3. Chi presidia il tema in azienda? La NIS2 non è un progetto solo IT: è una postura di sicurezza che coinvolge governance, processi, contratti, formazione. Se non c’è una persona chiaramente responsabile — con nome, cognome e un budget — il progetto probabilmente non esiste davvero.
  4. Gli organi di amministrazione hanno formalmente approvato le modalità di implementazione delle misure di gestione del rischio? Il D.Lgs. 138/2024 attribuisce agli organi di amministrazione e direttivi dei soggetti essenziali e importanti un ruolo diretto e non riducibile a una semplice delega al reparto IT: approvare le modalità di implementazione delle misure, sovrintendere alla loro attuazione, seguire una formazione specifica in materia di sicurezza informatica. Se non esiste una formalizzazione documentata, va costruita.
  5. Sappiamo come notificare un incidente significativo? L’obbligo riguarda gli incidenti classificati come significativi secondo i criteri di impatto previsti dalla normativa — non ogni evento informatico, e non automaticamente ogni ransomware. La procedura prevede una pre-notifica entro 24 ore dalla conoscenza dell’incidente, una notifica completa entro 72 ore con prima valutazione tecnica, una relazione finale entro un mese dalla trasmissione della notifica. Se venerdì sera accadesse qualcosa, il vostro responsabile IT saprebbe come classificare l’evento, chi chiamare, in quali tempi comunicare? Una simulazione di dieci minuti fa emergere lacune sorprendenti.
  6. Ho un budget dedicato o sto finanziando “a spot”? La cybersecurity finanziata quando serve non produce sicurezza: produce solo interventi di emergenza. Un budget annuale identificato — anche modesto, ma stabile — dice molto sulla maturità reale del progetto.

Il rischio vero non è la sanzione

Un’ultima riflessione. In questi mesi ho letto molti articoli concentrati sul rischio sanzioni NIS2. Vale la pena precisare le cifre: per i soggetti essenziali le sanzioni amministrative possono arrivare fino al 2% del fatturato annuo globale, con un massimale di 10 milioni di euro; per i soggetti importanti il limite è l’1,4% del fatturato annuo globale, con un massimale di 7 milioni. Cifre significative, soprattutto per le imprese medio-grandi.

Il mio punto di osservazione a servizio delle PMI, è però diverso. Per molte imprese italiane il rischio più tangibile non è la sanzione — che resta un’eventualità gestita con criterio di proporzionalità — ma l’esclusione progressiva da forniture e gare. I clienti strutturati stanno iniziando a chiedere evidenze di adeguatezza già oggi, non attraverso un’imposizione dell’ACN ma attraverso i propri processi di qualifica fornitori. La cybersecurity sta diventando, nei fatti, un requisito di partecipazione al mercato, un po’ come lo è stato ISO 9001 nei decenni scorsi. È una metafora, non una previsione normativa, ma rende l’idea della direzione.

Ventitré giorni sono pochi per completare un adeguamento sostanziale. Ma sono più che sufficienti per avere risposte oneste alle sei domande di sopra. Chi le ha, arriva al 31 ottobre con la testa lucida e un piano. Chi non le ha, arriverà con un problema — che spesso non è l’Agenzia alla porta, ma il questionario del cliente a cui non si sa rispondere.

Se state affrontando il percorso di adeguamento NIS2 o la gestione dei questionari di sicurezza dei vostri clienti, e volete confrontarvi su cosa priorizzare in queste settimane, sono a disposizione. Nei commenti o in privato.

Digital brain representing AI neural network connected to multiple data streams

AI in azienda: i due mondi del pricing che ogni imprenditore dovrebbe distinguere

Quando un imprenditore mi chiede quanto costa davvero usare l’AI in azienda, la mia risposta inizia sempre con una domanda di ritorno: “Stai pensando all’abbonamento o all’integrazione?”. Perché esistono due mondi paralleli, e capire in quale ci si trova è il primo atto di consapevolezza.

Negli ultimi mesi, in molti incontri con imprenditori e direttori, mi capita di ricevere la stessa domanda: “Roberto, ma quanto costa davvero usare l’AI in azienda?”. La risposta non è univoca, e proprio questo è il punto interessante: i fornitori di intelligenza artificiale generativa propongono due modelli di pricing molto diversi, ed è importante sapere in quale dei due ci si sta muovendo.

I due mondi del pricing AI

Mondo 1 — Gli abbonamenti a canone fisso. È quello in cui vive la maggior parte degli utenti aziendali. ChatGPT Plus o Team di OpenAI, Claude Pro o Team di Anthropic, Microsoft Copilot for 365, Gemini Advanced o Workspace di Google: si paga un canone mensile per utente — tipicamente tra i 20 e i 30 euro al mese — e si usa il servizio “a volontà”, con alcuni limiti pratici di cui parliamo tra poco.

Mondo 2 — Il consumo a token via API. È il mondo in cui si entra quando l’azienda decide di integrare l’AI nei propri strumenti: un chatbot collegato al CRM, un automatismo che legge le email e le smista, una funzione di sintesi dentro al gestionale. Qui non c’è canone: si paga per ogni “unità” di testo elaborata. L’unità tecnica si chiama token.

Cos’è un token, in due righe

I modelli AI non lavorano “a parole intere” come noi: spezzettano il linguaggio in unità più piccole chiamate token. Indicativamente, in italiano 100 parole corrispondono a circa 130-150 token.

L’analogia che trovo più chiara è questa: i token sono le calorie di una conversazione con l’AI. Ogni richiesta che inviamo e ogni risposta che riceviamo consuma calorie. La differenza tra i due mondi sta nel modo in cui si pagano:

  • L’abbonamento flat è il buffet libero: paghi una quota mensile fissa, mangi finché vuoi, ma il menu è quello previsto e ci sono regole della casa
  • L’API è il ristorante alla carta: paghi esattamente ciò che ordini, riga per riga

Entrambi i modelli hanno senso. Servono semplicemente a scopi diversi.

Se sei nel mondo del canone fisso (la maggioranza)

Se in azienda usate ChatGPT, Claude, Copilot o Gemini tramite i loro abbonamenti, i token non vi appaiono in fattura. Significa che non dovete preoccuparvene? Non proprio. Ci sono tre cose che vale la pena conoscere:

  1. I limiti del piano esistono, anche se non si vedono. Numero massimo di messaggi in una finestra temporale, accesso ai modelli più potenti solo per alcuni utenti, lunghezza massima dei documenti caricabili. Sono i “limiti del buffet”: è utile conoscerli per non scoprirli nel momento sbagliato.
  2. I piani non sono tutti uguali. La differenza tra il piano singolo, il piano Team e il piano Enterprise non riguarda solo il prezzo. Cambiano: la condivisione tra colleghi, la gestione dei dati aziendali, gli strumenti di amministrazione, le garanzie contrattuali sul trattamento delle informazioni. Per una PMI, scegliere il piano giusto significa risparmiare e dormire più tranquilli.
  3. I dati che inserite hanno un peso. Caricare documenti riservati, listini, contratti dei clienti dentro un AI senza aver verificato dove finiscono è un tema di governance, non di costo. Tutti i fornitori seri offrono garanzie diverse a seconda del piano: vale la pena leggerle.

Se entri nel mondo del consumo a token (lo scenario delle integrazioni)

Il discorso cambia totalmente quando un fornitore IT vi propone di integrare l’AI nei vostri sistemi aziendali. In quel caso entrate nel ristorante alla carta, e i token diventano la voce di costo concreta. Quattro attenzioni utili da portare al tavolo del confronto:

  1. Input e output costano in modo diverso. Il token in uscita (la risposta del modello) costa tipicamente da 3 a 5 volte il token in entrata (la richiesta). Un servizio che genera testi lunghi può rivelarsi più caro di quanto sembri a prima vista.
  2. Non sempre serve il modello più potente. Ogni fornitore offre una famiglia di modelli: i top di gamma (GPT-5, Claude Opus, Gemini Ultra) sono ottimi per ragionamenti complessi ma costano di più. Per molte attività operative — classificare email, riassumere note, estrarre dati da un PDF — i modelli “leggeri” sono perfettamente adeguati e costano una frazione.
  3. Chiedete stime, soglie e alert. Un buon partner sa fornire una stima realistica del consumo mensile in base al vostro caso d’uso, sa attivare avvisi sopra determinate soglie e sa proporre limiti di sicurezza. Sono richieste legittime, da fare prima di firmare il contratto.
  4. Misurate il ritorno sul tempo, non solo sul costo. Un’integrazione che costa 200 euro al mese e libera mezza giornata alla settimana al responsabile commerciale ha un ROI evidente. La domanda giusta non è “quanto costa?” ma “quanto vale ciò che mi restituisce?”.

In conclusione

L’intelligenza artificiale è un’opportunità concreta per le PMI italiane. Come ogni tecnologia di valore, dà il meglio quando chi decide ne comprende i meccanismi essenziali. Non serve diventare tecnici, serve sviluppare il vocabolario per fare le domande giuste — ai propri collaboratori e ai propri fornitori.

Il primo atto di consapevolezza è semplice: sapere se ci si sta muovendo nel mondo degli abbonamenti o in quello delle integrazioni a consumo. Sono due conversazioni diverse, con interlocutori diversi, decisioni diverse, rischi diversi. Confonderli è l’errore che vedo più spesso. Distinguerli è ciò che separa una valutazione superficiale da una scelta strategica informata.

Se state valutando l’introduzione dell’AI nei vostri processi aziendali e volete confrontarvi su quale dei due mondi sia più adatto al vostro caso, sono a disposizione. Nei commenti o in privato.