Orientarsi tra le norme: cinque leggi UE e cosa significano per le aziende tech

Cinque normative, un’unica azienda

La SFSCON è la conferenza dedicata al software libero in Alto Adige. Nella sessione «Digital Sovereignty» abbiamo affrontato in 15 minuti una domanda: come possono le aziende tecnologiche orientarsi tra le normative UE? Il punto di partenza: oggi cinque normative riguardano la maggior parte delle aziende tecnologiche e gran parte dei relativi obblighi è già in vigore. Ecco il quadro aggiornato a novembre 2026:

• GDPR: protezione dei dati personali, applicabile dal 2018;
• NIS2: cibersicurezza, in vigore in Italia dal 16 ottobre 2024 con il D.Lgs. 138/2024;
• AI Act: norme sull’intelligenza artificiale, con divieti e obblighi in materia di alfabetizzazione sull’IA dal 2 febbraio 2025; secondo l’AI Omnibus, gli obblighi per i sistemi di IA ad alto rischio si applicano dal 2 dicembre 2027 ai sistemi autonomi e dal 2 agosto 2028 all’IA integrata in prodotti regolamentati;
• Data Act: accesso ai dati e cambio di fornitore, applicabile dal 12 settembre 2025; i costi per il cambio di fornitore saranno eliminati dal 12 gennaio 2027;
• Cyber Resilience Act (CRA): sicurezza dei prodotti, con obblighi di notifica dal 11 settembre 2026 e piena applicazione dal 11 dicembre 2027.

Ciascuna di queste normative guarda alla vostra azienda da una prospettiva diversa. Per questo, alla maggior parte delle domande specifiche la risposta più onesta resta: dipende.

Ci riguarda? Nella maggior parte dei casi, sì

Un equivoco frequente è pensare: «Siamo troppo piccoli perché queste norme ci riguardino». Basta guardare quando scattano gli obblighi per capire perché raramente è così:

• GDPR: si applica a chi tratta dati personali. Non esiste una soglia dimensionale.
• NIS2: la direttiva prevede soglie dimensionali, quindi molte piccole imprese non rientrano direttamente nel suo ambito. Spesso, però, vi rientrano i loro clienti, che devono garantire la sicurezza della propria catena di fornitura (art. 21, par. 2, lett. d, della direttiva NIS2). In questo caso, NIS2 arriva alla vostra azienda sotto forma di clausole contrattuali o questionari sulla sicurezza.
• CRA: si applica a chi immette sul mercato UE prodotti con elementi digitali, indipendentemente dalla sede dell’azienda.
• AI Act: chi utilizza sistemi di IA nella propria attività professionale è un utilizzatore ai sensi dell’AI Act (art. 3, punto 4), per esempio se impiega un assistente IA per scrivere testi di marketing o per revisionare il codice. L’art. 4 richiede misure per promuovere l’alfabetizzazione sull’IA del personale. Dal 27 luglio 2026 si applica una versione attenuata della disposizione: non è necessario garantire un determinato livello di competenza, ma l’obbligo resta.
• Data Act: chi offre servizi cloud o prodotti connessi deve consentire ai clienti di cambiare fornitore e portare con sé i propri dati; dal 12 gennaio 2027, senza costi per il cambio.

Un incidente, tre scadenze

Considerate singolarmente, queste normative sono abbastanza semplici da comprendere. Le difficoltà emergono quando si sovrappongono. Immaginate questo scenario: un venerdì sera viene sfruttata una vulnerabilità nella vostra soluzione SaaS, si verifica una fuoriuscita di dati personali e uno dei vostri clienti è un soggetto NIS2. A quel punto decorrono tre serie di termini in parallelo:

• NIS2 (art. 23 della direttiva NIS2): il vostro cliente deve inviare al CSIRT una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Per farlo, ha bisogno delle vostre informazioni, e in tempi rapidi.
• GDPR (artt. 33 e 34): la violazione deve essere notificata all’autorità di controllo entro 72 ore; se il rischio è elevato, occorre informare anche gli interessati. Se siete responsabili del trattamento, dovete informare senza ingiustificato ritardo il titolare del trattamento (art. 33, par. 2, GDPR), affinché possa rispettare il proprio termine.
• CRA (art. 14): in caso di vulnerabilità attivamente sfruttata in un vostro prodotto, in qualità di fabbricanti dovete inviare una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro 14 giorni dalla disponibilità di una misura correttiva, al CSIRT designato come coordinatore e all’ENISA tramite la piattaforma unica di segnalazione.

Un solo incidente, gli stessi fatti, tre scadenze e tre destinatari. La Commissione europea ne ha preso atto: il Digital Omnibus del 19 novembre 2025 propone uno sportello unico per segnalare l’incidente una sola volta. Propone inoltre di estendere il termine previsto dal GDPR da 72 a 96 ore. Il 21 ottobre 2026 il Consiglio ha adottato il proprio mandato negoziale, che prevede 96 ore e una soglia di notifica basata sul «rischio elevato», ma punta su punti di segnalazione nazionali anziché su uno sportello unico a livello UE. Nulla è ancora stato approvato e il Parlamento non ha ancora definito la propria posizione. Fino ad allora, restano in vigore le tre scadenze.

Open source: un aiuto per dimostrare la conformità

L’open source non rende automaticamente un’azienda conforme, ma può aiutarla a dimostrarlo. Gestire i sistemi in proprio significa avere meno responsabili del trattamento e meno trasferimenti di dati, quindi meno documentazione da gestire. Gli strumenti di sicurezza aperti possono essere esaminati da chi svolge una verifica, senza doversi affidare a una black box. Il codice sorgente aperto è sottoposto al controllo di una comunità, mentre interfacce e formati aperti rendono il cambio di fornitore una caratteristica dell’architettura, anziché un progetto da realizzare a posteriori.

Qui emerge anche un aspetto della sovranità digitale: non significa costruire tutto in Europa, ma mantenere la capacità di decidere quali sistemi utilizzare, dove conservare i dati e se sia possibile cambiare fornitore. La normativa garantisce il diritto di cambiare; l’open source offre gli strumenti per farlo.

Cosa dovrebbero fare ora la direzione aziendale e i responsabili tecnici

• Definire quali norme si applicano: documentare cosa sviluppate, quali dati trattate e chi sono i vostri clienti, per stabilire quali delle cinque normative vi riguardano.
• Partire dagli asset più critici: adottare un approccio basato sul rischio e intervenire prima sui sistemi e sui prodotti che, in caso di incidente, comporterebbero le conseguenze più gravi.
• Esercitarsi nella gestione delle segnalazioni: preparare un modello unico per la segnalazione degli incidenti, con scadenze e destinatari previsti dal GDPR, dalla NIS2 e dal CRA; assegnare i ruoli e simulare la procedura.
• Progettare sistemi aperti e verificabili: dove possibile, scegliere componenti open source, interfacce aperte e formati che consentano di esportare i dati, così che una scelta architetturale contribuisca a soddisfare più obblighi.
• Documentare tutto: una procedura scritta, anche se imperfetta, è meglio di una perfetta che esiste solo nella testa di una persona.
• Rendere visibile la conformità: mostrare in una sezione dedicata alla fiducia e alla sicurezza sul vostro sito web le misure che adottate, così da semplificare la risposta al prossimo questionario sulla sicurezza.

Noi di Nuviax vi affianchiamo nell’attuazione di questi passaggi, integrando sicurezza informatica e protezione dei dati con un approccio pragmatico, commisurato agli obblighi effettivamente applicabili alla vostra azienda.

Conclusione

Le cinque normative condividono gli stessi principi di fondo: trasparenza, responsabilità, sicurezza fin dalla progettazione e sovranità dei dati. Considerarle nel loro insieme, anziché una per volta, permette di orientarsi senza dover disporre di un ufficio legale interno. Il risultato va oltre il semplice adempimento: chi può dimostrare la propria conformità risponde con serenità alle richieste dei clienti e ne conquista la fiducia.

È un percorso affrontabile: basta iniziare.