Le piccole e medie imprese sono la spina dorsale dell'economia italiana, ma sono anche l'obiettivo che i criminali informatici colpiscono con maggiore frequenza, proprio perché spesso meno difese delle grandi organizzazioni. La cybersicurezza ha smesso di essere una voce facoltativa del budget IT: è diventata un obbligo di legge, un prerequisito per lavorare con la pubblica amministrazione e con le filiere industriali, e un elemento di fiducia agli occhi di clienti e partner. Con il pieno recepimento della direttiva NIS2 e il consolidamento del Perimetro di Sicurezza Nazionale Cibernetica, il 2026 rappresenta per migliaia di PMI il momento in cui non è più possibile rimandare.
Il nodo, per un'azienda sotto i 250 dipendenti, è che difendersi bene richiede competenze specialistiche, tempo e continuità operativa: tre risorse quasi sempre scarse. Assumere un team di sicurezza interno completo è fuori portata per la maggior parte delle PMI, mentre affidarsi al primo consulente disponibile spesso non basta a reggere l'urto di una verifica ispettiva. In questo articolo ricostruiamo il quadro normativo aggiornato, chiariamo quali obblighi scattano concretamente e mostriamo come un modello di ingegneria nearshore possa colmare il divario di competenze mantenendo i costi sotto controllo.
Il quadro normativo del 2026: NIS2, Perimetro e GDPR
Negli ultimi anni l'Italia ha costruito un'architettura di regole che le PMI devono ormai conoscere nel dettaglio.
- ▸NIS2: recepita in Italia con il Decreto legislativo 138/2024, estende gli obblighi di sicurezza a molti più settori rispetto al passato. La vigilanza spetta all'Agenzia per la Cybersicurezza Nazionale (ACN), presso cui i soggetti interessati devono registrarsi e notificare gli incidenti significativi con una segnalazione preliminare entro 24 ore e un rapporto più completo entro 72 ore.
- ▸Perimetro di Sicurezza Nazionale Cibernetica: introdotto per gli operatori che erogano funzioni essenziali dello Stato, impone requisiti stringenti su architetture, forniture ICT e notifiche, e coinvolge indirettamente anche i loro fornitori.
- ▸GDPR e Codice Privacy: il Regolamento generale sulla protezione dei dati e il Codice in materia di protezione dei dati personali restano il riferimento per il trattamento dei dati, sotto la vigilanza del Garante per la protezione dei dati personali.
- ▸DORA, PSD2 e PSD3: chi opera nella filiera finanziaria o dei pagamenti deve tenere conto del regolamento sulla resilienza operativa digitale e dell'evoluzione da PSD2 verso PSD3.
- ▸ISO/IEC 27001 e Framework Nazionale: come riferimenti volontari ma sempre più richiesti nei capitolati, offrono una struttura riconosciuta per organizzare i controlli.
Chi rientra negli obblighi e cosa si rischia
Molti imprenditori pensano che NIS2 riguardi solo le grandi imprese. Non è così. La direttiva si applica in genere a partire dalla dimensione di media impresa, cioè almeno 50 dipendenti oppure oltre 10 milioni di euro di fatturato annuo, in settori come energia, trasporti, sanità, gestione delle acque e dei rifiuti, produzione e distribuzione alimentare, manifattura, chimica e fornitori di servizi digitali.
Ma il vero effetto moltiplicatore è la catena di fornitura. Un'azienda essenziale o importante deve valutare il rischio dei propri fornitori e trasferisce quindi requisiti di sicurezza, tramite clausole contrattuali, anche a subfornitori molto più piccoli che formalmente non rientrerebbero nel perimetro. Per una PMI meccanica o software che lavora per una grande committente, la conformità diventa di fatto una condizione per restare nella filiera. A questo si aggiunge la responsabilizzazione diretta degli organi di gestione e un impianto sanzionatorio severo: la direttiva prevede sanzioni fino a 10 milioni di euro o al 2 per cento del fatturato annuo mondiale per i soggetti essenziali.
La roadmap di conformità in otto passi
Un percorso ordinato evita sia gli sprechi sia le lacune. Ecco una sequenza pragmatica per una PMI che parte quasi da zero.
1. Verificare se l'azienda rientra tra i soggetti essenziali o importanti e, in caso affermativo, completare la registrazione sul portale ACN. 2. Nominare un referente per la sicurezza e coinvolgere formalmente la direzione, che ne risponde in prima persona. 3. Mappare asset, dati e fornitori critici, ricostruendo dove risiedono le informazioni e chi vi accede. 4. Condurre un'analisi dei rischi e una gap analysis rispetto a NIS2, GDPR e ISO/IEC 27001. 5. Definire e adottare policy di sicurezza, gestione degli accessi e piano di risposta agli incidenti. 6. Implementare i controlli tecnici prioritari, dal backup verificato all'autenticazione a più fattori. 7. Predisporre le procedure di notifica per rispettare le finestre di 24 e 72 ore. 8. Formare il personale e pianificare test periodici, simulazioni e audit di miglioramento continuo.
Le priorità tecniche: Zero Trust e igiene digitale
La conformità documentale senza controlli reali è carta straccia. Le misure che offrono il miglior rapporto tra costo e riduzione del rischio sono note e replicabili.
- ▸Zero Trust: non fidarsi mai per impostazione predefinita, verificare ogni accesso e segmentare la rete in modo che una singola compromissione non si propaghi all'intera infrastruttura.
- ▸Autenticazione a più fattori: estenderla a posta elettronica, VPN e accessi amministrativi è tra gli interventi più efficaci contro il furto di credenziali.
- ▸Gestione delle patch: aggiornare tempestivamente sistemi operativi, applicativi e dispositivi di rete chiude le vulnerabilità note più sfruttate.
- ▸Backup e ripristino: mantenere copie isolate, cifrate e regolarmente testate è la miglior difesa contro il ransomware.
- ▸Monitoraggio e log: raccogliere e conservare i registri consente di rilevare le intrusioni e di ricostruire gli incidenti come richiesto dalle notifiche.
- ▸Cifratura e protezione dei dati: proteggere le informazioni a riposo e in transito riduce l'impatto di una violazione e sostiene la conformità al GDPR.
Nearshore tunisino: competenze, prossimità e protezione dei dati
Qui entra in gioco il modello che TuniCyberLabs propone al mercato italiano. Con quartier generale in Estonia, uffici a Cipro e un polo di ingegneria in Tunisia, l'azienda combina la governance di un soggetto europeo con la flessibilità di un team nearshore.
- ▸Competenze specialistiche: accesso a ingegneri della sicurezza, sviluppatori e analisti difficili da reperire in Italia, dove la domanda supera l'offerta.
- ▸Prossimità e fuso orario: la Tunisia condivide sostanzialmente lo stesso fuso dell'Italia, il che permette collaborazione in tempo reale, e dista poche ore di volo per gli incontri in presenza.
- ▸Costo sostenibile: un rapporto qualità-prezzo che rende accessibile alle PMI un presidio continuativo, non solo interventi occasionali.
- ▸Allineamento europeo sui dati: i progetti possono essere gestiti sotto contratti conformi al GDPR, con clausole contrattuali standard e la possibilità di mantenere i dati su infrastrutture nell'Unione Europea.
- ▸Lingua e cultura: team che lavorano in italiano, francese e inglese, con familiarità verso i mercati dell'UE e del Nord Africa.
Il risultato non è sostituire il controllo interno, ma affiancarlo: la direzione mantiene la responsabilità e la strategia, mentre il partner nearshore fornisce la capacità operativa per implementare, monitorare e migliorare nel tempo.
Guardando avanti, la traiettoria è chiara: la cybersicurezza si sposterà sempre più dal terreno della conformità formale a quello della resilienza dimostrabile, con verifiche più frequenti lungo le filiere e un peso crescente della gestione del rischio dei fornitori. L'intelligenza artificiale, usata sia dagli attaccanti sia dai difensori, alzerà ulteriormente l'asticella delle competenze richieste. Per le PMI italiane la scelta strategica non è se investire, ma come farlo in modo sostenibile: costruire fin da ora processi solidi e appoggiarsi a partner nearshore affidabili significa trasformare un obbligo normativo in un vantaggio competitivo duraturo.