In un martedì mattina piovoso, il fondatore di un’azienda di installazione con dodici dipendenti apre contemporaneamente tre cose: un’e-mail di un fornitore che chiede di aggiornare le coordinate bancarie, una bozza generata dall’AI per una gara e un messaggio del provider IT che segnala un aggiornamento software urgente.
È qui che si concentra la questione aziendale. La cybersicurezza non è più un tema da sala server. È una questione di consiglio e di responsabilità proprietaria.
Chi governa davvero il rischio
Rijksoverheid ha confermato che la Tweede Kamer ha approvato la Cyberbeveiligingswet e la Wet weerbaarheid kritieke entiteiten il 15 aprile 2026. La Cyberbeveiligingswet recepisce nell’ordinamento olandese la direttiva europea NIS2.
Le indicazioni del Governo individuano già i settori destinati a sostenere il peso maggiore: energia, trasporti, banche, sanità, acqua potabile, infrastrutture digitali, gestione dei servizi ICT, fornitori digitali, servizi postali e di corriere, gestione dei rifiuti, alimentare, chimica, ricerca e manifattura. Anche alcuni micro e piccoli fornitori di servizi digitalipossono rientrare nell’ambito NIS2.
Per la maggior parte delle micro e piccole imprese, la questione pratica è meno complessa di quanto suggerisca il titolo. Non assumeranno un chief information security officer a tempo pieno. La domanda più difficile è chi potrà decidere su accessi, fornitori, verifiche dei pagamenti, uso dell’AI, registri, ripristino e comunicazioni ai clienti quando arriverà la pressione.
Quella pressione non si ferma al confine giuridico. Passa attraverso contratti con i clienti, gare, assicurazioni, banche, partner della filiera e committenti più grandi, che hanno bisogno di prove anche da parte dei fornitori più piccoli.
Il divario delle piccole imprese
I dati CBS restituiscono un quadro sobrio. Nel 2024, l’1% di tutte le imprese ha dichiarato un incidente informatico con costi causati da un attacco esterno. Un altro 3% ha segnalato un incidente di questo tipo senza costi.
Nel 2025, l’86% delle imprese con almeno 250 dipendenti aveva adottato dieci o più delle dodici misure di cybersicurezza rilevate. Tra le imprese con 2-10 dipendenti, la quota era del 13%.
È in questo divario che operano molti fornitori più piccoli. Uno studio di progettazione, un ufficio paghe, un partner logistico, un installatore, un consulente o una software house possono trovarsi all’interno della catena operativa di un’organizzazione più grande. Il cliente maggiore può chiedere regole informatiche, verifiche sui fornitori, risposte agli audit, clausole sugli incidenti e prova della copertura assicurativa.
CBS ha inoltre rilevato che il 19% di tutte le imprese era assicurato contro gli incidenti informatici. L’assicurazione aiuta, ma non sostituisce i controlli. Dopo un incidente, l’impresa deve comunque dimostrare di essersi mossa tempestivamente, di aver gestito correttamente il problema e di aver conservato la documentazione in ordine.
Liquidità, contratti, prove
Io leggo la governance informatica innanzitutto attraverso la liquidità. DNB distingue la frode non bancaria, nella quale la vittima esegue o autorizza un pagamento sulla base di un inganno, dalla frode bancaria, nella quale il pagamento avviene senza il consenso del titolare del conto. La frode del CEO e quella sulle fatture appartengono al primo gruppo.
Per una piccola impresa può voler dire un conto corrente del fornitore modificato via e-mail, un pagamento urgente disposto durante le ferie o una casella di posta che sembra normale fino a quando il denaro non è già sparito.
Per il fondatore dell’azienda di installazione, il valore sta in controlli semplici. La modifica delle coordinate bancarie non può dipendere soltanto dall’e-mail. Qualcuno deve sapere chi può approvare i nuovi dati, chi può accedere al sistema contabile, chi mantiene gli accessi dopo aver lasciato l’azienda e quale fornitore conserva dati di clienti o dipendenti.
La stessa domanda vale dopo un incidente. DNB afferma che il tempo tra la scoperta e lo sfruttamento delle vulnerabilità software si è ridotto a ore e, talvolta, a minuti. In questo contesto, ruoli, elenchi dei contatti, registri e note sulle decisioni assumono un valore aziendale concreto.
DNB spiega che il DORA si applica al settore finanziario dal 17 gennaio 2025. Il regolamento riguarda il rischio ICT, gli incidenti, i test, il rischio da esternalizzazione e la condivisione di informazioni sulle minacce informatiche. Gli intermediari finanziari devono inoltre tenere un registro dei contratti relativi ai servizi ICT.
L’11 giugno 2026 AFM ha dichiarato che le analisi dei divari svolte dalle piattaforme di negoziazione in relazione al DORA erano spesso troppo generiche. Ha richiamato l’attenzione su monitoraggio, gestione degli accessi, registri, modifiche d’emergenza e gestione della continuità operativa. Per le imprese più piccole che operano fuori da quel settore, il DORA vale soprattutto come modello di controllo: una procedura è debole se nessuno è in grado di dimostrare che cosa è accaduto.
L’AI rientra nella stessa discussione
L’AI porta il tema ancora più vicino alla direzione. CBS ha rilevato che nel 2025 il 33% delle imprese con almeno 10 dipendenti utilizzava una o più delle tecnologie AI rilevate. La quota era del 23% nel 2024 e del 14% nel 2023. Il dato 2025 è provvisorio.
Rijksoverheid afferma che il Regolamento europeo sull’AI è entrato in vigore il 1° agosto 2024 e viene applicato per fasi successive. Alcune applicazioni di AI indesiderate sono vietate dal febbraio 2025. Gli obblighi per l’AI ad alto rischio e quelli di trasparenza decorrono dal 2 agosto 2026.
Per una piccola impresa, la prima domanda di controllo è elementare. Quali strumenti di AI utilizzano i dipendenti, quali dati vi inseriscono e chi verifica il risultato prima che incida su un cliente, un lavoratore, un contratto, una gara o un pagamento?
Una disciplina più ordinata in consiglio
UWV prevede una crescita di circa 20.000 posti di lavoro ICT entro il 2028, sostenuta da digitalizzazione, cybersicurezza e AI. Questa previsione del mercato del lavoro mantiene il confronto ancorato alla realtà. Molte piccole imprese non risolveranno il problema assumendo uno specialista senior.
Si può comunque adottare un ritmo di lavoro sostenibile. Occorre nominare un responsabile che abbia accesso al fondatore o al consiglio. A quella persona va riconosciuta un’autorità sufficiente per fermare le scorciatoie rischiose. Gli stessi temi devono entrare nell’agenda mensile: sistemi critici, accessi dei fornitori, account degli ex dipendenti, controlli sulle modifiche ai pagamenti, backup, strumenti di AI, contatti per gli incidenti, comunicazioni ai clienti e obblighi contrattuali.
Il CISO che si avvicina al consiglio è un simbolo utile, ma non è la storia per la maggior parte delle piccole imprese olandesi. La storia è che il consiglio stesso è diventato digitale. Liquidità, fiducia, dati del personale, archivi dei clienti, portali dei fornitori, strumenti di AI e documenti fiscali convivono ormai nello stesso spazio operativo. Qualcuno deve governare quello spazio prima che l’e-mail sbagliata, l’accesso indebito o un’interruzione trasformino la decisione aziendale di domani mattina in un problema.
Vuole discutere cosa significa questo per la sua azienda?
I dati, le fonti e l’analisi alla base di questo articolo sono stati elaborati da Paolo Maria Pavan. L’AI non è stata usata per individuare le fonti, costruire la base fattuale o formulare il giudizio analitico qui contenuto. L’AI è stata usata solo come supporto alla redazione. Il testo italiano definitivo è stato rivisto, modificato e approvato personalmente da Paolo Maria Pavan prima della pubblicazione.
