Il 31 ottobre 2026 è la data entro cui le aziende soggette alla direttiva NIS2 devono aver attivato le misure di sicurezza di base indicate dall’Agenzia per la Cybersicurezza Nazionale: autenticazione a più fattori, controllo accessi, backup, gestione delle vulnerabilità, procedure per rispondere a un incidente. Da quel giorno partono anche le prime verifiche.
Se pensi che la cosa non ti riguardi perché la tua azienda non rientra nei settori regolati (energia, trasporti, sanità, infrastrutture digitali e pochi altri), probabilmente hai ragione sulla forma. Ma NIS2 introduce per la prima volta un obbligo esplicito: le aziende soggette devono valutare i rischi che arrivano dai propri fornitori. In pratica, molte di loro hanno già cominciato a mandare questionari di sicurezza a chi lavora con loro, chiedendo dove stanno i dati, chi ci accede, cosa succede in caso di problema. Se sei fornitore — anche piccolo, anche indiretto — di un’azienda che rientra nel perimetro, la domanda arriva comunque. E chi non sa rispondere rischia semplicemente di uscire dalla lista.
Il vero problema
Il problema non è la normativa in sé. È che la maggior parte delle PMI italiane, negli ultimi anni, ha accumulato un mosaico di abbonamenti cloud diversi — un tool per le email, uno per il CRM, uno per i preventivi, uno per WhatsApp, fogli Excel sparsi tra i computer di chi se ne occupa — senza che nessuno in azienda abbia più una mappa completa di dove sono davvero i dati dei clienti. Non per trascuratezza: perché ogni pezzo è stato aggiunto quando serviva, senza un disegno d’insieme.
Il risultato è che quando arriva una domanda semplice — “dove sono ospitati i vostri dati, chi ci accede, con quali garanzie” — spesso in azienda non c’è una risposta pronta. E in un mondo dove i clienti più strutturati iniziano a farla per obbligo, non rispondere bene non è solo un fastidio burocratico: è un motivo concreto per essere sostituiti da un fornitore che invece la risposta ce l’ha già.
Come lo affrontiamo
Il nostro modo di lavorare parte da qui: prima di tutto, un’analisi rapida di dove sono davvero i dati e i processi dell’azienda oggi — non per fare compliance sulla carta, ma per capire cosa esiste, dove, e chi ci mette le mani. Da lì costruiamo, con piccoli prototipi funzionali, software sviluppato da PartneREvolution che gira sui sistemi dell’azienda o comunque sotto il suo controllo diretto, con una logica tracciabile: si sa chi accede a cosa, quando, e perché.
LeadCRM ne è un esempio concreto: anagrafiche clienti, lead, trattative e assistenza in un unico sistema, invece che sparsi tra tool diversi ognuno con le proprie regole di accesso. MedicalMAP lavora sullo stesso principio in un contesto ancora più delicato — dati sanitari dei pazienti, piani terapeutici, comunicazioni — dove tracciabilità e processo definito non sono un accessorio ma la base stessa del sistema. In entrambi i casi, l’azienda sa sempre rispondere alla domanda “dove sono i tuoi dati”: perché li ha, li controlla, e può raccontarli.
Non stiamo dicendo che questo renda un’azienda conforme a NIS2 — che è tutt’altra cosa, e riguarda solo chi rientra davvero nel perimetro. Stiamo dicendo che avere i propri dati e processi consolidati, tracciati e sotto il proprio controllo — invece che sparsi tra dieci abbonamenti esteri di cui nessuno ha davvero il quadro — è la base che serve comunque, con o senza normativa, per non essere il punto debole della catena di qualcun altro.
Cosa cambia per te
Quando il questionario di sicurezza di un cliente arriva — o anche solo quando in una trattativa ti viene chiesto informalmente “voi come gestite i dati?” — la differenza tra rispondere subito e dover ammettere di non saperlo è la differenza tra restare nella lista fornitori o uscirne. Con un sistema proprio, pensato per essere raccontabile, quella domanda smette di essere un rischio e diventa un argomento a tuo favore: mentre altri fornitori arrancano per mettere ordine all’ultimo momento, tu la risposta ce l’hai già pronta.
Non è un’urgenza da paura. È un vantaggio che, se costruito ora con calma, tra un anno sarà normale amministrazione — mentre chi parte a normativa già in vigore lo farà sotto pressione, con meno margine di scelta.
