Rischi & Conformità
NIS2 non ancora recepita in Francia, un regime svizzero distinto, un AI Act con scadenze ridisegnate, clienti che esigono già prove. La conformità non è più una questione da giuristi: è un arbitraggio di direzione.
Che cosa osserviamo
≈ 15 000
entità attese nel perimetro NIS2 in Francia, contro qualche centinaio oggi
Commissione europea; stima
24 h
termine per segnalare un attacco informatico all’UFCS per le infrastrutture critiche svizzere, dal 1° aprile 2025
UFCS, ncsc.admin.ch
35 M€ · 7 %
tetto delle sanzioni AI Act per le pratiche vietate; 15 M€ o 3 % per la maggior parte degli altri obblighi
Regolamento (UE) 2024/1689, art. 99
Francia. NIS2 deve far passare il numero di entità regolamentate da qualche centinaio a circa 15 000, in 18 settori, a partire da 50 dipendenti o 10 M€. La legge di recepimento non è votata; la Commissione ha adito la Corte di giustizia l’8 luglio 2026. Attendere la legge è una scommessa, non un piano.
Svizzera. NIS2 non si applica direttamente. Dal 1° aprile 2025, gli esercenti di infrastrutture critiche segnalano ogni attacco informatico all’UFCS entro 24 ore, con una multa fino a 100 000 CHF dal 1° ottobre 2025. Sei mesi dopo l’entrata in vigore erano state registrate 164 segnalazioni. Fuori dalle infrastrutture critiche nessun obbligo legale, ma i vostri clienti dell’UE potranno imporvelo per contratto.
IA. L’articolo 50 dell’AI Act è applicabile dal 2 agosto 2026. Gli obblighi «ad alto rischio» dell’Allegato III sono rinviati al 2 dicembre 2027 dal Regolamento (UE) 2026/1744. Le sanzioni raggiungono 35 M€ o il 7 % del fatturato mondiale per le pratiche vietate, 15 M€ o il 3 % per la maggior parte degli altri obblighi.
Che cosa cambia
Tre calendari, tre giurisdizioni. La domanda giusta non è «siamo conformi?» ma «a che cosa siamo tenuti, verso chi, entro quando?».
Che cosa ottenete
Una visione chiara di ciò che si applica, di ciò che è richiesto per contratto e di ciò che può attendere.
Prove che consegnate a un cliente senza ricostruirle.
Un responsabile nominato per ogni obbligo.
Sei situazioni
01« Un grande cliente ci invia un questionario di sicurezza di quaranta pagine. »
Decisione
Quale livello di prova fornire, su quale riferimento.
Risultato
Dossier di prove e piano di colmatura degli scarti, riutilizzabile per i clienti successivi.
Qualche settimana
02« Non sappiamo se siamo nel perimetro. »
Decisione
Che cosa si applica a noi, che cosa ci sarà imposto, che cosa può attendere.
Risultato
Mappa di esposizione a tre vie.
Missione breve
03« Le nostre squadre usano l’IA senza regole. »
Decisione
Quali strumenti, con quali dati, sotto quale responsabilità.
Risultato
Politica d’uso, inventario dei sistemi, classificazione ai sensi dell’AI Act.
Missione breve
04« Abbiamo subito un incidente. »
Decisione
Chi informare (autorità, clienti, assicuratore), entro quali termini.
Risultato
Dossier d’incidente documentato e piano di miglioramento, con gli esperti di risposta agli incidenti della rete.
Su richiesta
05« Un investitore o un acquirente ci farà un audit. »
Decisione
Che cosa regolarizzare prima, che cosa assumere.
Risultato
Dossier di conformità pronto per la data room.
Qualche settimana
06« Vendiamo nell’UE dalla Svizzera (o viceversa). »
Decisione
Rappresentante, DPO, trasferimenti di dati.
Risultato
Matrice delle giurisdizioni (LPD / GDPR) e obblighi associati.
Missione breve
I nostri servizi
Il nostro metodo
Ogni testo è classificato su una delle tre vie, con la sua scadenza, il suo responsabile interno e lo scarto constatato.
Obbligatorio
Ciò che la legge vi impone oggi, secondo il vostro ruolo: entità essenziale o importante, deployer o fornitore di IA, titolare del trattamento.
Contrattuale
Ciò che i vostri clienti, assicuratori e investitori esigono, anche senza legge.
Da sorvegliare
Scadenza nota, non applicabile a oggi.
Risultato
Una pagina di sintesi, allegati dettagliati per testo.
Secondo la vostra dimensione
PMI · da 10 a 50 M€
Raramente un CISO o un DPO a tempo pieno. Puntiamo a una base di controlli opponibili, non a un sistema di gestione completo, e mobilitiamo funzioni esternalizzate della rete.
Mid-cap · da 50 M€
Una direzione dei rischi esiste, più riferimenti si sovrappongono. Li consolidiamo in un solo piano e prepariamo l’audit interno.
Secondo il vostro settore
Finance & Capital
DORA, applicabile dal 17 gennaio 2025: terzi ICT critici, test di resilienza, registro dei fornitori. In Svizzera, requisiti FINMA sui rischi operativi e la resilienza (circolare 2023/1).
Salute & Scienze della vita
HDS in Francia, MDR/IVDR, EHDS. IA integrata in un dispositivo medico: alto rischio dell’Allegato I, scadenza 2 agosto 2028.
Industria, Energia & Infrastrutture
NIS2 (energia, acqua, trasporti, manifattura); in Svizzera, segnalazione UFCS entro 24 h; segmentazione IT/OT.
Commercio, Servizi & Esperienza cliente
GDPR e LPD (fidelizzazione, profilazione); articolo 50 (agenti conversazionali, contenuti generati); strumenti di selezione delle candidature: alto rischio, Allegato III, 2 dicembre 2027.
Tech, Innovazione & Settore pubblico
I vostri clienti NIS2 e DORA vi chiedono prove; Cyber Resilience Act (obblighi di notifica da settembre 2026, requisiti di prodotto a dicembre 2027); editori di software usati in infrastrutture critiche: verificare se la LSI svizzera vi riguarda.
Scenario tipo · illustrativo
Editore di software svizzero con 25 M€ di fatturato, clienti nell’energia in Germania e in Francia. Il suo cliente più grande esige prove di sicurezza della catena di fornitura prima del rinnovo. In tre settimane: perimetro chiarito (obbligatorio per lui, contrattuale per i suoi clienti), otto scarti classificati, prove riutilizzabili per gli altri tre clienti.
Che cosa uno strumento di IA non farà al posto vostro
Un assistente riassume NIS2. Non porterà il vostro dossier davanti al vostro cliente, non sceglierà gli scarti che accettate, non risponderà della qualità della prova. Aegryn impegna un esperto nominato, responsabile del proprio perimetro.
Il nostro accompagnamento non sostituisce un parere legale; lavoriamo con studi partner.
Attuare
Attuare il piano di conformità: politiche, procedure e registri.
Mettere in atto i controlli e il fascicolo di prove opponibile ai clienti.
Formare i team e i comitati di direzione sulle nuove esigenze.
Guidare le azioni correttive fino alla chiusura degli scostamenti.
Che cosa questa pagina non copre
Trenta minuti con un esperto della rete, nominato e responsabile del proprio perimetro. Nessun impegno in questa fase; le condizioni seguono l’inquadramento.
Valutare la vostra esposizioneNewsletter · Built to Last
Analisi di mercato, cicli di vita delle organizzazioni, esperienze sul campo. Una lettera, nessuna prospezione.
