La compliance che ora decide i contratti: PDPL, LGPD e NIS2

Fino a qualche anno fa, il questionario di sicurezza era una formalità da compilare dopo aver chiuso il contratto. Oggi arriva prima, e una risposta debole lo affossa. Se vendi a grandi aziende nel Golfo, in Brasile o in Europa, la tua postura di conformità non è più una questione di back-office. È una voce nel procurement, e sempre più spesso è quella che decide se entri nella shortlist.

La frase chiave è dimostrare su richiesta. I buyer non vogliono sentire che prendi la sicurezza sul serio. Vogliono un documento, una policy, un controllo a cui puntare. La maggior parte delle aziende mid-market ha parte della sostanza e quasi nessuna evidenza. Colmare questo gap è più veloce e meno costoso di quanto si tema.

Cosa è cambiato davvero in ciascun mercato

Il Golfo (a guida UAE). La legge federale sulla protezione dei dati personali (PDPL) è in vigore dal 2022, e l'Information Assurance Standard, ora 188 controlli estesi a cloud, AI, IoT e rischio della supply chain, è diventato obbligatorio quest'anno per enti governativi e infrastrutture critiche. Le sanzioni PDPL vanno da AED 100K a 1M; i danni alle infrastrutture critiche arrivano a AED 3M. E c'è una trappola che molti si perdono: le free zone ADGM e DIFC hanno i loro propri regimi di protezione dei dati.

Brasile (LGPD). L'autorità nazionale per i dati è passata da "moderatamente attiva" a genuinamente aggressiva, con circa BRL 98M di sanzioni negli ultimi due anni. Il dettaglio che coglie di sorpresa chi esporta: il periodo transitorio per le clausole contrattuali standard del Brasile è scaduto nel 2025, quindi qualsiasi flusso di dati transfrontaliero richiede ora un meccanismo formale di trasferimento documentato.

Europa (NIS2). Se servi clienti europei, probabilmente sei in scope anche se non lo pensi. La clausola sulla supply chain di NIS2 coinvolge i vendor mid-market al di sotto della soglia dimensionale perché i loro grandi clienti sono obbligati a verificarli. Il clock degli incidenti è implacabile: 24 ore per il preavviso, 72 ore per la segnalazione completa, un mese per il rapporto finale. E la direttiva crea responsabilità personale per i membri del board.

L'errore che fa perdere il contratto

L'errore costoso non è la non-conformità. È il gold-plating, spendere per un programma di sicurezza massimale quando il buyer aveva bisogno di tre cose specifiche, o scoprire a metà ciclo di vendita di non saper rispondere a un questionario per cui si aveva una settimana di tempo.

Quello che funziona è l'opposto: capire quali regimi si applicano davvero, mappare i pochi controlli che buyer e regolatori chiedono effettivamente, e costruire il pacchetto di evidenze prima di averne bisogno.

In sintesi

La compliance è diventata silenziosamente una funzione commerciale. Le aziende che vincono i contratti enterprise e nel settore pubblico non sono le più sicure sulla carta, sono quelle che sanno dimostrare una postura proporzionata nel momento in cui un buyer la chiede.

---

The Tek Atelier costruisce programmi di compliance proporzionati e pronti per il board nel Golfo, America Latina ed Europa. Contattami.