NIS2 e AI Act per la stessa PMI: la mappa degli obblighi che si sovrappongono

Capita sempre più spesso che la stessa PMI si ritrovi davanti a due lettere dell'alfabeto regolatorio nello stesso trimestre: la NIS2 da una parte, l'AI Act dall'altra. E la reazione tipica del decisore è trattarle come due progetti distinti, due consulenti diversi, due budget separati, due scadenze da rincorrere in parallelo. È un errore di metodo che costa il doppio e protegge la metà, perché i due quadri normativi, pur nati per scopi diversi, si sovrappongono in modo sostanziale proprio nelle misure che un'azienda deve mettere in piedi. In un progetto di adeguamento normativo per una PMI, la prima cosa che faccio non è aprire due cantieri, è disegnare la mappa di dove i due obblighi si toccano, perché su quell'intersezione un controllo solo soddisfa due requisiti. In questo articolo traccio quella mappa: chi è soggetto a entrambi, dove si sovrappongono davvero, cos'è la doppia scadenza dell'autunno 2026, e perché un piano unico è l'unica scelta razionale.

Una PMI può essere soggetta a entrambi i quadri?

Sì, e la combinazione è più comune di quanto sembri. La NIS2 e l'AI Act hanno criteri di applicabilità diversi e indipendenti: una stessa azienda può ricadere in entrambi senza che l'uno escluda l'altro. La NIS2 ti riguarda se operi in uno dei settori in perimetro, dai servizi digitali alle infrastrutture, dalla sanità ai trasporti, e superi le soglie dimensionali, distinguendo tra soggetti essenziali e importanti con obblighi e sanzioni graduati. L'AI Act ti riguarda in base a cosa fai con l'intelligenza artificiale: se la usi professionalmente sei un deployer, se la sviluppi o immetti sul mercato sei un provider, con obblighi che dipendono dal livello di rischio del sistema.

Il caso che vedo più spesso è proprio l'incrocio: una PMI del settore servizi digitali, già in perimetro NIS2 per la natura della sua attività, che integra modelli di intelligenza artificiale nei propri processi e diventa così anche deployer ai sensi dell'AI Act. Da quel momento è soggetta a entrambi i quadri, e i conti li deve fare con due insiemi di obblighi che, fortunatamente, non sono due mondi separati ma due cerchi che si intersecano. È la dimensione di quell'intersezione a determinare se l'adeguamento sarà un raddoppio di costi o un'unica iniziativa ben progettata.

Dove NIS2 e AI Act si sovrappongono davvero?

Si sovrappongono in quattro aree, e sono le quattro su cui si concentra la maggior parte del lavoro di adeguamento. Conoscerle è ciò che permette di non fare due volte lo stesso lavoro.

La prima è la gestione del rischio. La NIS2 impone misure tecniche e organizzative di gestione del rischio cyber proporzionate; l'AI Act, per i sistemi ad alto rischio, richiede un sistema di gestione del rischio specifico dell'AI. Sono framework distinti, ma poggiano sulla stessa disciplina di fondo: identificare i rischi, valutarli, mitigarli, documentare il processo. Un'azienda che costruisce un processo di risk management serio per la NIS2 ha già l'impalcatura su cui innestare la parte AI, invece di partire da zero.

La seconda è la gestione e la notifica degli incidenti. Qui la NIS2 è particolarmente prescrittiva: la notifica al CSIRT Italia prevede una pre-notifica entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro un mese. L'AI Act, dal canto suo, prevede obblighi di segnalazione degli incidenti gravi per i sistemi ad alto rischio. Il punto di contatto è la capacità operativa di rilevare, classificare e segnalare un incidente nei tempi: chi la costruisce per la NIS2 ha il meccanismo che serve anche per l'AI Act, perché la macchina di detection e response è la stessa.

La terza è la governance e l'accountability. Entrambi i quadri spingono verso responsabilità chiare, ruoli definiti e tracciabilità delle decisioni. La NIS2 coinvolge esplicitamente gli organi di gestione nella responsabilità della sicurezza; l'AI Act chiede supervisione umana e documentazione per i sistemi rilevanti. Una struttura di governance ben disegnata serve entrambi. La quarta è la sicurezza della catena di fornitura: la NIS2 estende gli obblighi ai fornitori rilevanti, e l'AI Act introduce responsabilità lungo la filiera tra provider e deployer. Chi mappa e governa i propri fornitori per un quadro ha fatto gran parte del lavoro per l'altro.

NIS2 e AI Act non sono due muri da scalare separatamente, sono due viste sullo stesso edificio: la sicurezza e la governance dei sistemi aziendali. Costruire l'edificio una volta, con entrambe le viste in mente, costa molto meno che tirarne su due e scoprire poi che condividono le fondamenta.

Se vuoi capire quanto i tuoi obblighi si sovrappongono e dove conviene unificare il lavoro, nel mio profilo professionale trovi l'esperienza concreta su adeguamenti normativi e hardening per le PMI, dove il primo passo è sempre cercare le sovrapposizioni invece di moltiplicare i cantieri.

Cos'è la doppia scadenza dell'autunno 2026?

È la convergenza, nello stesso autunno e davanti alla stessa autorità, di due adempimenti che molti stanno pianificando come se fossero scollegati. Da un lato, il 2 agosto 2026 diventano operativi i poteri di enforcement della Commissione sui modelli di uso generale ai sensi dell'AI Act, e il regolamento raggiunge la sua applicabilità generale. Dall'altro, le misure di sicurezza di base della NIS2 scadono il 31 ottobre 2026: secondo le determinazioni dell'Agenzia per la Cybersicurezza Nazionale, i soggetti importanti devono implementare 37 misure su 87 requisiti, gli essenziali 43 su 116, dopodiché l'ACN passa in modalità ispettiva. Le fonti ufficiali sono sul portale NIS dell'ACN.

Il dettaglio che rende questa convergenza operativamente rilevante è il doppio ruolo dell'ACN: la stessa Agenzia è autorità competente per la NIS2 e, nel quadro italiano dell'AI Act definito dalla legge 132 del 2025, esercita la vigilanza di mercato e il potere sanzionatorio sull'AI. Per una PMI soggetta a entrambi, questo significa che la stessa autorità guarderà alla sua postura di sicurezza sotto due lenti normative, nella stessa finestra temporale. Presentarsi con due progetti scollegati, magari incoerenti tra loro, davanti a un'autorità che li legge entrambi, è la peggiore strategia possibile. È un angolo che il marketing di settore italiano quasi non racconta, e che invece è il fulcro pratico di tutto.

Vale la pena ricordare un punto di precisione, perché in compliance gli errori di citazione si pagano: l'atto di riferimento ACN vigente è la determinazione n. 379907 del 18 dicembre 2025, che ha sostituito e abrogato la precedente; citare quella vecchia è uno sbaglio. È il genere di dettaglio che distingue un adeguamento fatto da chi segue la materia da uno costruito su informazioni superate.

Perché conviene un piano unico invece di due?

Perché i controlli condivisi si implementano una volta sola, e perché un'autorità che vede coerenza si fida più di una che vede due iniziative scollegate. Il vantaggio economico è il più evidente: se la gestione del rischio, la macchina di incident response, la struttura di governance e il presidio della catena di fornitura servono entrambi i quadri, costruirli una volta per soddisfarli tutti e due dimezza il lavoro rispetto a due progetti paralleli che reimplementano gli stessi controlli con nomi diversi. Ma il vantaggio strategico è più sottile e più importante: un programma di conformità unico e coerente è anche più solido sul piano della sicurezza reale, perché evita le crepe che nascono quando due iniziative separate si sovrappongono male, lasciando scoperti i punti che ciascuna dava per coperti dall'altra.

C'è anche una questione di sostenibilità nel tempo. Le sanzioni di entrambi i quadri non sono simboliche, la NIS2 arriva fino a 10 milioni di euro o il 2% del fatturato per i soggetti essenziali e 7 milioni o l'1,4% per gli importanti, e un'azienda che ha costruito due strutture di compliance parallele si ritrova a doverle mantenere, aggiornare e documentare entrambe per sempre, raddoppiando non solo il costo iniziale ma quello ricorrente. Un programma unico, con un'unica struttura di governance che presidia entrambi i quadri, è molto più gestibile per un'organizzazione che non ha un reparto compliance dedicato, che è la condizione della maggior parte delle PMI italiane.

Come si costruisce il piano unico, in pratica?

Si parte da una matrice dei controlli, non da due elenchi di obblighi. L'errore di chi affronta i due quadri separatamente è leggere prima tutta la NIS2 e fare il suo elenco di adempimenti, poi tutto l'AI Act e fare il secondo, e ritrovarsi con due liste che si guardano in cagnesco. L'approccio che funziona è rovesciato: si parte dalle aree di controllo comuni, le quattro che ho descritto, e per ciascuna si annota quale requisito NIS2 e quale requisito AI Act essa soddisfa. Il risultato è una tabella dove ogni controllo che implementi ha accanto le caselle dei due quadri che spunta. Quando un controllo ne spunta due, lo costruisci una volta e lo documenti per entrambi; quando ne spunta uno solo, sai che è specifico e va trattato a parte.

Concretamente, per una PMI deployer in perimetro NIS2, la matrice si popola così. Il processo di gestione del rischio copre il requisito NIS2 di misure proporzionate e fa da base al risk management AI: un controllo, due caselle. La procedura di incident response, con i suoi tempi di rilevazione e segnalazione, soddisfa l'obbligo di notifica NIS2 ed è il meccanismo su cui si appoggia la segnalazione AI: un controllo, due caselle. La struttura di governance, con ruoli e responsabilità degli organi di gestione, risponde alla responsabilizzazione NIS2 e alla supervisione umana richiesta dall'AI Act. Il presidio dei fornitori copre la sicurezza della supply chain di entrambi. Restano poi i controlli specifici: la trasparenza dell'articolo 50 verso gli utenti è solo AI Act, certe misure tecniche di rete sono solo NIS2. Ma il grosso, la parte costosa, è condiviso.

Questa matrice non è un esercizio burocratico, è lo strumento che permette di dimostrare la coerenza a un'autorità che, in Italia, è la stessa per i due quadri. Quando l'ACN guarda la tua postura, una documentazione organizzata per controlli con la doppia mappatura racconta un'azienda che ha capito la materia; due faldoni separati che si contraddicono raccontano l'opposto. E sul piano interno, la matrice è ciò che rende l'adeguamento mantenibile: quando una norma cambia, sai esattamente quali controlli toccare, invece di dover rileggere tutto da capo. È la differenza tra una compliance che vive e si adatta e una che si fossilizza il giorno dopo l'audit, salvo poi scoprirsi inadeguata al primo cambiamento normativo o al primo incidente reale.

Dove tocca l'infrastruttura, qual è il fit giusto?

Quando l'adeguamento scende dal piano organizzativo a quello tecnico, la scelta dell'infrastruttura diventa parte della compliance, e per una PMI senza team interno il fit non è il fai-da-te low-cost. Molte delle misure che entrambi i quadri richiedono, dalla gestione degli accessi al monitoraggio continuo, dai backup con ripristino testato alla tracciabilità delle operazioni, sono attività che qualcuno deve implementare e mantenere sull'infrastruttura. Un'azienda con un team sistemistico solido può farlo internamente; un'azienda senza quel team che prende un cloud low-cost self-managed perché "costa meno" si ritrova con la responsabilità operativa di quelle misure e nessuno che le presidi, che è esattamente la postura che un'ispezione NIS2 rileva come carente.

Per questo profilo, il fit razionale è un'infrastruttura gestita con datacenter sul territorio italiano, dove il monitoraggio, il backup, la gestione della sicurezza e la reattività in caso di incidente sono parte del servizio, non un compito orfano. Ne ho scritto in dettaglio ragionando sul costo totale di gestione nella guida su quando il datacenter deve stare in Italia ed essere gestito: il punto è che il prezzo nudo del self-managed esclude proprio il lavoro che la compliance richiede, e per chi quel lavoro non può farlo in casa, il managed non è un sovrapprezzo, è la parte tecnica dell'adeguamento.

Il quadro complessivo è che NIS2 e AI Act, per la PMI che ricade in entrambi, non sono due emergenze separate ma due facce della stessa esigenza: governare i propri sistemi e i propri dati in modo sicuro, documentato e responsabile. Affrontarle come un programma unico, con una struttura di governance che presidia le aree comuni e un'infrastruttura adeguata alla capacità reale dell'azienda, è ciò che trasforma due scadenze ravvicinate da incubo organizzativo in un'iniziativa gestibile. La doppia scadenza dell'autunno 2026 non è il momento di moltiplicare i cantieri, è il momento di unificarli. Un solo programma, una sola struttura di governance, una sola documentazione coerente: è questo che un decisore deve avere in mente quando guarda le due scadenze ravvicinate, perché è il modo in cui si spende meno e ci si protegge di più. Se vuoi una mappa concreta di dove i tuoi obblighi NIS2 e AI Act si sovrappongono, e un piano che li affronti insieme invece che separatamente, contattami per una consulenza diretta: partiamo dalle sovrapposizioni, perché è lì che si risparmiano tempo, budget e rischio.