Redazione ClosyTalkIl quadro europeo della NIS2 sta passando dalla fase legislativa a quella applicativa. Nei Paesi Bassi la normativa nazionale è entrata in vigore il 15 agosto 2026, mentre in Germania l'autorità federale per la sicurezza informatica ha avviato le verifiche su un perimetro di circa ventinovemila soggetti. Non sono più adempimenti annunciati, sono controlli in corso.
Per le imprese italiane che fanno parte di catene di fornitura europee la cosa ha un effetto immediato, anche a prescindere dai tempi nazionali. La NIS2 estende la responsabilità lungo la filiera: un soggetto verificato in Germania o in Olanda deve dimostrare come gestisce il rischio dei propri fornitori, e quella richiesta scende a valle sotto forma di questionari, clausole contrattuali e richieste di evidenze.
Sul piano dell'AI il collegamento è diventato esplicito. A luglio la Commissione europea ha pubblicato un piano d'azione sulla cybersicurezza e l'intelligenza artificiale, con l'obiettivo di coordinare l'approccio degli Stati membri sulle minacce guidate da modelli. Il messaggio è che l'AI non sarà trattata come un capitolo a parte della sicurezza, ma come un fattore che attraversa tutti gli altri.
Questo cambia il tipo di domanda che un'azienda si sente rivolgere. Non più soltanto quali misure di sicurezza applica, ma quali strumenti di AI usa, su quali dati, con quale supervisione, e se è in grado di ricostruire a posteriori le decisioni che quegli strumenti hanno influenzato. Una risposta credibile richiede un registro, non una dichiarazione.
Chi sta introducendo strumenti di AI generativa farebbe bene ad allineare fin da subito le due cose: la governance dell'AI e quella della sicurezza non sono progetti separati che si incontreranno in fondo, sono lo stesso progetto. Un audit trail costruito per rispondere all'AI Act risponde anche a un'ispezione NIS2, e viceversa.