NIS2
Dalla domanda «riguarda anche me?» ai documenti pronti da firmare.
Prima domanda: sei dentro o fuori?
La direttiva NIS2 è recepita in Italia con il D.lgs. 138/2024. Riguarda soggetti pubblici e privati di settori individuati per legge, che devono registrarsi sulla piattaforma ACN e dimostrare misure di sicurezza concrete.
Il primo problema, per la maggior parte delle aziende, non è adeguarsi: è capire se sono dentro. La verifica dell'ambito è la prima cosa che facciamo, e se sei fuori te lo diciamo subito.
In pratica
Rientrano di norma le medie e grandi imprese dei settori elencati negli allegati al decreto — almeno 50 addetti, oppure fatturato o bilancio oltre 10 milioni di euro. Alcune categorie sono dentro a prescindere dalle dimensioni.
Se non sai in quale casella cadi, è esattamente la domanda a cui rispondiamo nella prima call.
Il percorso completo, nell'ordine
Verifica dell'ambito
Se rientri, in quale categoria e con quali obblighi.
Gap analysis
Sui dieci domini ACN: dove sei oggi, con evidenze, non con impressioni.
Mappatura degli asset
Inventario di server, postazioni e apparati di rete, con indirizzi e criticità.
Clusterizzazione
Gli asset raggruppati nelle dodici categorie standard per la valutazione del rischio.
Parametri RID
Riservatezza, integrità, disponibilità: quanto pesa ciascuna per ogni categoria.
Risk assessment
Una valutazione per categoria, alimentata dal vulnerability assessment.
Piano di trattamento
Cosa si fa, in che ordine, con che budget.
Policy
I documenti sui dieci punti: backup, patching, gestione incidenti, accessi, MFA, formazione.
Carta che regge davanti a un'autorità
Un fascicolo completo e ordinato, un documento per fase, con le evidenze di ogni valutazione. Non una presentazione: documentazione che tiene davanti a un'autorità e davanti a un cliente che ti manda un questionario fornitori.
- Gap analysis con evidenze sui dieci domini
- Inventario asset e clusterizzazione
- Risk assessment per categoria
- Piano di trattamento del rischio
- Policy sui dieci punti ACN
Come si quota
Su misura, in base alla dimensione dell'azienda, al numero di asset da mappare e a quanto è già in piedi. Il percorso è continuativo: NIS2 non è un progetto che finisce, è uno stato da mantenere.
Il preventivo arriva dopo la gap analysis, non prima: è l'unico modo per non spararti un numero a caso. Alcune voci — policy legali, MFA, backup — si quotano separatamente e le vedi distinte in preventivo.
Chiedi un preventivoQuello che ci chiedono sempre
Chiamaci. Bastano il settore, il numero di dipendenti e il fatturato per una risposta ragionata. Le micro-imprese fuori dalle categorie speciali di solito non hanno obblighi di registrazione.
Ci lavoriamo insieme, ed è la situazione normale. Molte misure NIS2 — backup, antivirus, firewall — spesso ci sono già: noi verifichiamo che siano adeguate, documentiamo quello che manca e ci occupiamo della parte di sicurezza e conformità. Il tuo IT resta il tuo IT.
Gap analysis e mappatura in poche settimane. Il risk assessment dipende da quanti asset ci sono. L'adeguamento vero e proprio va scaglionato: si parte da quello che riduce il rischio subito.
Per la parte di policy e responsabilità degli organi di gestione, sì. Ci appoggiamo a professionisti con cui collaboriamo abitualmente e la voce compare separata in preventivo, così vedi esattamente cosa paghi a chi.
Scopri se la NIS2 ti riguarda.
Una call di venti minuti. Se sei fuori ambito te lo diciamo subito, e non ti sarà costato niente.