Cybersecurity e IA, la Commissione UE frena sulle nuove regole: priorità all’attuazione della NIS2

Dopo anni in cui il legislatore europeo ha prodotto un flusso continuo di nuove discipline sul digitale, dal GDPR al Digital Services Act, dall’AI Act alla NIS2, a Bruxelles inizia a farsi strada un cambio di passo: non più nuove regole, ma l’applicazione di quelle già scritte. Lo ha confermato la Commissione europea presentando il suo piano d’azione su intelligenza artificiale e cybersicurezza.

«Con questo piano d’azione non abbiamo proposto alcuna modifica normativa in questa fase», ha dichiarato la vicepresidente della Commissione Henna Virkkunen in conferenza stampa, spiegando che «il primo passo è l’attuazione completa ed efficace della legislazione» europea in materia di sicurezza informatica. Per la vicepresidente il quadro normativo attuale è già «molto solido»: la priorità, ora, è rafforzarne l’applicazione riducendo al tempo stesso gli oneri amministrativi per le imprese, senza abbassare gli standard di sicurezza.

Il richiamo più diretto riguarda la direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, che impone obblighi di cybersicurezza a un perimetro esteso di imprese e pubbliche amministrazioni. Virkkunen ha parlato di «urgenza» nel completare recepimento e attuazione: diversi Stati membri, ha detto, risultano «molto in ritardo».

In Italia il perimetro NIS2 è gestito dall’Agenzia per la cybersicurezza nazionale, che nel 2026 ha aperto le finestre per la classificazione dei soggetti pubblici e privati tenuti agli adempimenti. Per le organizzazioni già censite, l’adozione delle misure di sicurezza di base deve completarsi entro il 31 ottobre 2026. È una scadenza che riguarda direttamente i fornitori di infrastrutture digitali e i gestori di servizi essenziali, ma che ha ricadute anche su chi, come gli studi legali e i professionisti, lavora ogni giorno con questi fornitori attraverso PEC, firma digitale e conservazione documentale.

La vicepresidente ha inoltre insistito sulla necessità di sviluppare capacità europee autonome nell’uso dell’intelligenza artificiale applicata alla cybersicurezza: «Non possiamo affidarci esclusivamente a soluzioni extraeuropee per capacità che sono fondamentali per la nostra sicurezza», ha detto, aggiungendo che «il costo di non sviluppare modelli europei sarebbe ancora più alto». Una sfida che, secondo Virkkunen, richiede «investimenti su scala molto ampia», ben oltre quanto i soli fondi pubblici possano garantire, e quindi la mobilitazione di capitali privati.

Per i professionisti che seguono la compliance digitale di imprese e pubbliche amministrazioni, il segnale è pratico: meno attesa di testi normativi ancora da scrivere, più lavoro su un impianto normativo, GDPR, AI Act, NIS2, già vigente e che le autorità di controllo sono ora chiamate ad applicare con maggiore rigore. Resta da vedere quanto rapidamente gli Stati membri in ritardo colmeranno il divario di recepimento riconosciuto dalla stessa Commissione.

---

LEGGI ANCHE