NIS2 nella tua base PMI: chi è dentro, chi la subisce

Alla PMI la NIS2 non arriva quasi mai dalla Gazzetta Ufficiale. Arriva da un'email del suo cliente più grande, con allegato un questionario di sicurezza da compilare entro fine mese e una clausola nuova nel contratto di fornitura. Il titolare la gira al commercialista, il commercialista la gira all'informatico, e alla fine resta aperta sul desktop per tre settimane.

Quella email è la tua apertura commerciale, e la maggior parte delle reti di vendita la lascia passare perché la tratta come un argomento da specialisti.

Il minimo di diritto che ti serve, e poi basta

Il decreto legislativo 138/2024 recepisce la NIS2 in Italia ed è in vigore dal 16 ottobre 2024. L'autorità competente è l'ACN. Il testo distingue soggetti essenziali e soggetti importanti, impone misure di gestione del rischio e obblighi di notifica degli incidenti, e mette in capo agli organi di amministrazione la responsabilità di quelle misure.

I tempi di notifica valgono la pena di essere ricordati a memoria, perché sono la parte che cambia davvero le priorità di un titolare: pre-allerta entro ventiquattro ore dalla conoscenza dell'incidente, notifica entro 72 ore, relazione finale entro un mese. Se nell'incidente ci sono dati personali, il GDPR chiede la notifica al Garante entro 72 ore, e le due scadenze corrono insieme. Sul lato sanzioni la norma arriva fino a 10 milioni di euro o il 2% del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni o l'1,4% per gli importanti.

Se vuoi il quadro normativo per esteso, l'abbiamo già scritto: la direttiva NIS2 in Italia. Per la forza vendita, però, questo è già più diritto di quanto ne serva.

Chi è dentro davvero, e chi la sente di rimbalzo

Nella tua base ci sono clienti che rientrano nel perimetro a pieno titolo, per settore e per dimensione. Con loro non devi spiegare che la norma esiste: lo sanno, spesso hanno già ricevuto solleciti, e quello che manca è chi li aiuta a passare dall'elenco degli obblighi alle cose fatte. Sono i conti più grossi e i cicli di vendita più lunghi.

Poi c'è il gruppo largo, quello che pesa sui tuoi numeri. Sono le PMI fuori perimetro che però vendono, lavorano o consegnano a chi ci sta dentro. Un soggetto essenziale deve gestire il rischio della propria catena di fornitura, quindi ribalta requisiti sui fornitori sotto forma di questionari, clausole contrattuali e richieste di evidenze. Per il fornitore l'obbligo non nasce da una legge che lo riguarda: nasce da una fattura che rischia di non ripetersi l'anno prossimo. È una leva più immediata di qualunque sanzione, e un commerciale la capisce al volo perché è la stessa logica con cui vende tutto il resto.

Il momento in cui la conversazione si rompe

Quasi sempre si rompe perché il commerciale legge le sanzioni ad alta voce. Il titolare sente "10 milioni", capisce che non lo riguarda, e da lì in poi ascolta con metà orecchio. La paura generica non converte: le PMI convivono da anni con rischi molto più probabili di quello che gli stai raccontando.

Funziona meglio partire da una domanda che riguarda la sua settimana. Se domattina i gestionali sono cifrati, chi risponde al telefono, in quanto tempo torni a fatturare, e chi scrive l'email al tuo cliente più grande per dirgli cosa è successo. La norma entra dopo, come cornice, non come minaccia.

Da lezione di diritto a conversazione commerciale

Il tuo commerciale non deve diventare un consulente NIS2. Deve sapere quattro cose su quel cliente prima di alzare il telefono: cosa è vero della sua superficie esposta, quale obbligo lo tocca o lo tocca di riflesso, quale domanda apre la discovery, quale servizio del tuo catalogo chiude il gap.

Il lead generation co-worker mette insieme i segnali su ogni PMI della base, dalla scansione degli asset esposti alle credenziali finite in un data breach, fino ai questionari di compliance compilati in linguaggio comprensibile. Da lì esce una copertura per punti della NIS2 su quel cliente, con accanto i buchi. Il sales co-worker trasforma quella copertura nel brief in quattro fasi (Prepare, Discovery, Objections, Close) e nella proposta che il commerciale porta in chiamata: ogni gap agganciato a un servizio del tuo catalogo, al tuo prezzo, in un report che porta il tuo marchio.

Una precisazione che va detta ai clienti prima che la chiedano loro: la piattaforma aiuta a prepararsi e a documentare il lavoro fatto, non rilascia certificazioni e non sostituisce un audit. Prometterlo sarebbe il modo più rapido per bruciare la fiducia che ti ha portato lì.

Cosa stai vendendo, sotto la sigla

Non vendi conformità, perché la conformità non è un prodotto. Vendi il lavoro che la rende raggiungibile, ed è lavoro ricorrente: assessment periodici, gestione degli accessi, backup verificato, protezione della posta, formazione delle persone, il questionario che va rifatto quando cambia l'assetto. Sono voci che stanno già nel tuo listino e che il cliente rinnova, invece di comprarle una volta e dimenticarsene.

C'è anche un effetto meno ovvio. Il fornitore che aiuta una PMI a rispondere al questionario del suo cliente più grande diventa la persona che il titolare chiama la volta dopo, prima di chiamare chiunque altro. Quel posto si assegna adesso, mentre i questionari girano.

La NIS2 non ti serve come argomento di paura. Ti serve come calendario: c'è una data, c'è un'autorità che vigila, e ci sono aziende che stanno già chiedendo evidenze ai loro fornitori mentre tu leggi questa pagina. Chi chiama per primo con un fatto in mano, e non con una slide sulla direttiva, si prende la conversazione e di solito anche il rinnovo.