NIS2 · Filiera · PMI manifatturiere di Monza Brianza, Lecco e Bergamo
La cybersicurezza non ve la chiede lo Stato. Ve la chiede il vostro cliente più grande.
La pressione esiste, ed è misurata
- 48% delle PMI lombarde è fornitrice di multinazionali o di imprese sopra i 1.000 addetti
- 41% ha definito policy di sicurezza verso i propri fornitori e partner di filiera
- 33% ha già affidato la responsabilità della sicurezza informatica a un partner esterno
Fonte: Cyber Index PMI — Rapporto Lombardia 2025. Generali, Confindustria e Agenzia per la Cybersicurezza Nazionale, con il supporto scientifico del Politecnico di Milano.
01 · Se avete ricevuto la lettera
Qual è la vostra scadenza NIS?
Non è una data sola: per chi è stato inserito nel 2025 dipende da quando è arrivata.
02 · Se la lettera non è arrivata
Siete un fornitore rilevante?
Il vostro nome può essere già all'Agenzia lo stesso, mandato da un vostro cliente.
03 · Se avete letto «rinviato»
Il rinvio dell'AI Act
La data generale è già passata, e due articoli valgono da oltre un anno.
In arrivo
Nessuno dei tre chiede una registrazione. Il calcolo avviene nel vostro browser e non esce di lì. Tutti e tre.
Tre pressioni, e nessuna arriva da dove ve la aspettate
L'obbligo ve lo mette in contratto il vostro cliente più grande. La vostra azienda quasi certamente non è un soggetto NIS: il capofila della filiera lo è, e deve comunicare all'Agenzia l'elenco dei propri fornitori rilevanti — con denominazione, codice fiscale e il criterio con cui vi ha classificati. Di quel giudizio su di voi non avete copia.[1]
Siete esattamente il bersaglio. L'Agenzia scrive che «la maggior parte delle vittime di ransomware sono piccole imprese, soprattutto manifatturiere»[2], e l'Italia subisce il 16% degli attacchi mondiali al manifatturiero.[3] Quasi una PMI su quattro è stata violata in tre anni.[4]
E l'intelligenza artificiale è già in azienda, dentro i gestionali che avete comprato per altro: il 76% delle PMI non ci investe, e solo il 7% ha una formazione strutturata su come usarla.[5] Il divario non è tecnologico: è di governo.
La decisione, quindi, l'avete già presa. Non serve convincere nessuno che il problema esista: in Lombardia è l'identificazione del rischio a essere rimasta sporadica, non la consapevolezza. È una differenza che cambia da chi si compra e cosa.
Il vostro territorio, non «il mercato»
Chi vi propone la stessa analisi per tutta la Lombardia non ha guardato i numeri: le tre province qui intorno non hanno lo stesso problema.[6] Ognuna ha la sua pagina, e apre sul dato che la distingue.
Monza e Brianza
Produzione ferma, e il tessuto si assottiglia
- Imprese attive
- 63.694
- Variazione imprese
- −2,3%
- Produzione industriale
- +0,7%
- Export
- +5,7%
Il calo di imprese peggiore della Lombardia, con la produzione sostanzialmente ferma.
Lecco
Corre più di tutti, e ha più da perdere
- Imprese registrate
- 24.029
- Variazione imprese
- −1,7%
- Produzione industriale
- +2,6%
- Export
- +6,3%
L'indice di produzione più alto delle tre, a 131,3: un fermo qui costa più che altrove.
Bergamo
Cresce dentro, arretra fuori
- Imprese attive
- 82.869
- Variazione imprese
- −0,07%
- Produzione industriale
- +2,0%
- Export
- −6,4%
Artigianato al massimo storico, e insieme il calo di export più forte delle tre.
E allora cosa si compra
Tre formule: un assessment di due o tre settimane che vi dice dove siete; un presidio ricorrente da uno a tre giorni a settimana, che è una direzione tecnologica senza assumerla; un progetto mirato, quando la cosa da portare a casa è una sola e complessa.
L'assessment ha una quota fissa concordata prima dell'avvio; il presidio si dimensiona dopo. E se dopo la prima fase la risposta è che non vi serve un fractional CIO, ve lo dico e ci fermiamo.
Chi ve lo sta dicendo
Non rivendo licenze, non ho accordi con fornitori, non prendo margine su ciò che consiglio. Il resto delle prove.
ayeapps.it
E una è in esercizio ogni giorno
Fatto — agenda, prenotazioni online e cassa per le attività su appuntamento. È un servizio a canone: un'attività lo usa in produzione, con continuità di servizio e dati che restano dell'attività.
Gli aggiornamenti seguono le stesse regole che porto in consulenza: si misura prima di cambiare, si salva prima di scrivere, e ogni modifica ha la sua via di ritorno.