Per molti imprenditori sigle come GDPR e NIS2 rischiano di tradursi immediatamente in una parola: adempimenti. Documenti da predisporre, procedure da aggiornare, consulenti da coinvolgere. È comprensibile. Ma credo che oggi fermarsi a questa lettura significhi perdere la parte più importante del cambiamento che stiamo vivendo.
Le nostre aziende dipendono sempre di più dai dati e dai sistemi digitali. Pensiamo per un momento a cosa accadrebbe se non potessimo accedere alla posta elettronica, al gestionale, ai dati dei clienti o ai sistemi con cui lavoriamo ogni giorno. A quel punto la sicurezza informatica smette immediatamente di essere una questione tecnica e diventa un problema dell’impresa.
I numeri lo rendono molto concreto. Nel 2025 il Garante per la protezione dei dati personali ha ricevuto 2.415 notifiche di data breach, ovvero violazioni dei dati personali, il 10% in più rispetto all’anno precedente. Di queste, 1.901 hanno riguardato il settore privato, soprattutto PMI, professionisti e imprese delle telecomunicazioni, dell’energia, delle banche e dei servizi. Nello stesso anno sono stati adottati 506 provvedimenti correttivi e sanzionatori e le sanzioni riscosse hanno superato i 37 milioni di euro.
Eppure, nella nostra esperienza, capita ancora troppo spesso che questi temi diventino una priorità solo dopo un problema: una verifica, una contestazione, un attacco informatico o una compromissione dei propri sistemi. È in quel momento che ciò che fino al giorno prima poteva sembrare un adempimento diventa improvvisamente molto concreto.
E c’è un costo che difficilmente trova posto in un bilancio: quello reputazionale. Quando un’azienda subisce un attacco, perde dati o è costretta a interrompere i propri servizi, il problema esce rapidamente dai confini dell’IT. Clienti, fornitori e partner iniziano a chiedersi quanto siano al sicuro le informazioni affidate all’azienda e quanto questa sia realmente preparata a proteggerle. Se poi l’incidente diventa pubblico, l’impatto può amplificarsi in poche ore attraverso media e social network.
A quel punto non si tratta più soltanto di ripristinare un sistema o sostenere un costo economico. Bisogna ricostruire fiducia e credibilità. E mentre un’infrastruttura può essere rimessa in funzione in tempi relativamente brevi, recuperare la reputazione può richiedere molto più tempo. La fiducia costruita in anni può essere messa in discussione in poche ore.
Per questo occuparsi di sicurezza e conformità quando l’incidente è già avvenuto significa intervenire quando una parte del danno potrebbe essersi già prodotta. Il vero cambio culturale è anticipare il rischio, non limitarsi a reagire.
Il GDPR, applicabile dal 2018, ha cambiato il nostro rapporto con i dati personali. E oggi l’intelligenza artificiale rende questo tema ancora più attuale. L’utilizzo sempre più diffuso di strumenti di AI nelle aziende apre infatti nuove domande: quali dati possiamo utilizzare, quali informazioni stiamo affidando a questi sistemi e come vengono trattate? Introdurre l’AI nei processi significa quindi anche stabilire regole chiare sul suo utilizzo, soprattutto quando entrano in gioco dati personali o informazioni riservate.
Su un piano diverso, la NIS2 rafforza l’attenzione sulla sicurezza informatica: per le organizzazioni che rientrano nel suo perimetro, gestione del rischio, incidenti, continuità operativa e sicurezza della filiera diventano parti dello stesso approccio.
E c’è un aspetto della NIS2 che, da imprenditore, trovo particolarmente significativo: la cybersecurity arriva direttamente sui tavoli di chi guida l’azienda. Gli organi di amministrazione e direttivi dei soggetti interessati devono approvare e supervisionare le misure di gestione dei rischi informatici e sono chiamati a formarsi su questi temi. In altre parole, non possiamo più pensare: “se ne occupa l’IT”.
Anche le possibili conseguenze economiche sono rilevanti. Per le violazioni più gravi, il GDPR può prevedere sanzioni fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo, se superiore. La disciplina italiana che recepisce la NIS2 prevede, per determinate violazioni, massimali fino a 10 milioni o al 2% del fatturato mondiale annuo per i soggetti essenziali e fino a 7 milioni o all’1,4% per quelli importanti.
Ma il punto, ancora una volta, non sono soltanto le sanzioni.
Nel confronto quotidiano con le imprese, anche attraverso le soluzioni che abbiamo sviluppato per accompagnarle sui temi GDPR e NIS2, vediamo quanto conformità, organizzazione e sicurezza siano ormai legate tra loro. Significa conoscere i dati che gestiamo, sapere dove si trovano, stabilire chi ne è responsabile, valutare i rischi e sapere cosa fare se qualcosa va storto.
E significa guardare anche fuori dalla propria azienda. La NIS2 pone attenzione alla sicurezza della catena di fornitura: possiamo avere sistemi ben protetti, ma essere comunque esposti attraverso un fornitore o un partner.
Credo quindi che per un imprenditore la domanda da porsi oggi non sia soltanto: “Siamo a norma?”
Ce n’è una ancora più importante: “Se domani succedesse qualcosa, saremmo davvero pronti?”
È in quel passaggio che GDPR e NIS2 smettono di essere percepiti soltanto come obblighi e diventano ciò che dovrebbero essere: parte della responsabilità di chi guida un’impresa.
