Il decreto legislativo 138/2024 ha recepito in Italia la direttiva NIS2 e ha ampliato settori, soggetti e obblighi di cybersicurezza. Organizzazioni essenziali e importanti devono gestire i rischi, adottare misure proporzionate, governare gli incidenti e interagire con l’Agenzia per la cybersicurezza nazionale secondo procedure e scadenze applicabili.
Una consulenza utile trasforma norme e specifiche tecniche in responsabilità, sistemi, procedure ed evidenze. Un fascicolo standard copiato da un’altra azienda non dimostra che backup, identità, fornitori, continuità e notifica funzionino nel contesto reale.
Il primo lavoro è capire l’ambito
La verifica parte da settore, servizi, dimensione, gruppo societario, sedi, clienti, infrastrutture e ruolo nella catena di fornitura. Il MIMIT ricorda che il quadro nazionale coinvolge numerose tipologie di soggetti in settori altamente critici e critici e considera l’intera infrastruttura ICT rilevante, non soltanto un singolo servizio.
Il codice ATECO può orientare, ma non basta. Bisogna leggere attività effettive, definizioni, allegati, eventuali eccezioni e criteri dimensionali. Gruppi internazionali e società collegate richiedono attenzione a perimetro, stabilimento nell’Unione e responsabilità delle singole entità.
L’output iniziale dovrebbe essere una nota motivata: perché l’azienda è inclusa, esclusa o da approfondire; quali entità e servizi sono interessati; quali dati mancano; chi deve approvare la conclusione. Una frase commerciale non è un parere utilizzabile.
Che cosa comprende una consulenza NIS2 completa
Dopo l’ambito, il consulente mappa persone, processi, informazioni, applicazioni, infrastrutture, sedi e fornitori. L’inventario deve collegare ogni servizio critico alle dipendenze: identità, rete, cloud, backup, energia, telecomunicazioni e assistenza esterna.
La gap analysis confronta lo stato reale con decreto, determinazioni e specifiche ACN applicabili. Ogni scostamento dovrebbe avere evidenza, rischio, proprietario, azione, priorità, costo stimato e data. Etichette generiche come “MFA da implementare” non chiariscono quali accessi, eccezioni e dipendenze siano coinvolti.
Il piano di adeguamento combina misure organizzative e tecniche. Policy, procedure e formazione servono soltanto se corrispondono a configurazioni, contratti, registri e comportamenti verificabili. La consulenza dovrebbe lasciare strumenti aggiornabili dall’azienda, non documenti bloccati nel formato del fornitore.
| Fase | Deliverable verificabile | Errore da evitare |
|---|---|---|
| Ambito | Memo su entità, servizi, criteri e obblighi applicabili | Basarsi soltanto sul codice ATECO |
| Assessment | Inventario, gap, evidenze e registro rischi | Questionario senza verifica tecnica |
| Roadmap | Azioni, proprietari, priorità, costi e scadenze | Elenco non approvato dalla direzione |
| Implementazione | Configurazioni, procedure, contratti e formazione | Policy non collegate ai sistemi reali |
| Test | Tabletop, prove di ripristino e piano correttivo | Dichiarare conformità senza simulazioni |
Quanto costa una consulenza NIS2
Non esiste una tariffa ufficiale. Per una PMI con perimetro circoscritto, una verifica iniziale può partire indicativamente da 5.000–15.000 euro. Un assessment più approfondito, con inventario, interviste, campionamenti tecnici e roadmap, può collocarsi tra circa 15.000 e 40.000 euro.
Un programma completo di adeguamento può superare 40.000–100.000 euro e crescere molto per gruppi, impianti industriali, molte sedi, servizi cloud complessi o lacune estese. Questi intervalli sono orientativi di mercato: non includono automaticamente licenze, hardware, SOC, penetration test, assicurazione o personale interno.
Un supporto continuativo può essere quotato a giornata, a pacchetto o con canone mensile. Il confronto deve trasformare il prezzo in ore, ruoli, attività, deliverable e livelli di servizio. Un canone basso che esclude incidenti e aggiornamenti può costare più di un servizio ben delimitato.
La variabile principale non è il numero di dipendenti, ma la complessità: quanti servizi critici, identità, asset, fornitori, paesi, tecnologie operative e dipendenze. Anche la maturità iniziale conta: inventari affidabili e processi esistenti riducono il lavoro di scoperta.
Assessment, remediation e tecnologia vanno separati
Un preventivo unico da “conformità completa” nasconde il confine tra analisi e acquisti. È preferibile distinguere assessment indipendente, implementazione organizzativa, interventi tecnici e servizio ricorrente. Così l’azienda può verificare priorità e confrontare alternative.
Il consulente che rivende software deve dichiarare il rapporto commerciale. Un prodotto può essere utile, ma non sostituisce decisioni su rischio e governance. La roadmap dovrebbe indicare requisiti funzionali prima di associare una marca, permettendo di valutare strumenti già posseduti.
La remediation può includere gestione identità, segmentazione, logging, patching, backup, protezione endpoint, monitoraggio, sicurezza email e controllo accessi privilegiati. Ogni acquisto deve avere proprietario, configurazione, copertura, metriche e procedura operativa.
Governance: il consiglio non può delegare tutto
Il decreto assegna compiti agli organi di amministrazione e direttivi. La direzione deve approvare modalità di implementazione, sovrintendere e ricevere informazioni adeguate. La formazione dei vertici non dovrebbe essere una presentazione generica, ma collegare rischi digitali a servizi, clienti e continuità.
È utile creare un comitato con IT, sicurezza, operations, legale, acquisti, risorse umane e comunicazione. Il CISO o responsabile tecnico non può decidere da solo accettazione del rischio, investimenti, fermo operativo o comunicazioni esterne.
Verbali e decisioni mostrano che il governo esiste. Devono riportare rischi, alternative, responsabilità e scadenze, non soltanto la frase “presa visione”. Gli indicatori dovrebbero misurare copertura e risultati: ripristini riusciti, accessi protetti, tempi di patch, incidenti e azioni scadute.
Gestione del rischio e misure di sicurezza
Il rischio nasce dall’unione di minaccia, vulnerabilità, probabilità e impatto sui servizi. Una matrice colorata senza scenari non guida investimenti. Il registro dovrebbe descrivere eventi concreti, come compromissione dell’identità cloud, cifratura dei server o indisponibilità di un fornitore.
Le misure devono essere proporzionate e collegate alle specifiche applicabili. Inventario, autenticazione, backup, risposta, continuità, supply chain e formazione formano un sistema. Se un controllo non è attuabile, l’azienda deve documentare rischio residuo, compensazioni e decisione competente.
Il campionamento tecnico verifica che la policy corrisponda alla realtà: configurazioni MFA, copie di backup isolate, account amministrativi, tempi di patch e registri. Non è sempre un audit esaustivo, ma deve produrre evidenze ripetibili e limiti dichiarati.
Incidenti e notifiche: prepararsi prima
La notifica richiede classificazione rapida, dati affidabili e ruoli reperibili. Il piano deve stabilire chi rileva, chi valuta significatività, chi attiva il CSIRT Italia, chi conserva le prove e chi comunica a clienti, autorità e direzione.
Le tempistiche legali sono strette e possono prevedere più comunicazioni successive. Per questo il consulente deve costruire un flusso che funzioni anche di notte, nei festivi e quando il responsabile principale è assente. Moduli precompilati e contatti verificati riducono ritardi.
Una simulazione tabletop presenta uno scenario e osserva decisioni reali. Chi spegne un sistema? Come si contatta il cloud provider? Quali dati servono? Chi autorizza il comunicato? Le lacune emerse devono diventare azioni con responsabile e data.
Supply chain e contratti con i fornitori
I servizi dipendono spesso da MSP, cloud, software, telecomunicazioni e manutentori. L’azienda deve identificare i fornitori rilevanti, valutare rischio e definire requisiti. Un questionario identico per tutti spreca risorse; la profondità deve seguire accesso, criticità e sostituibilità.
I contratti dovrebbero disciplinare sicurezza, incidenti, tempi di comunicazione, audit, subfornitori, localizzazione, continuità, restituzione dei dati e uscita. Una clausola che promette “conformità NIS2” senza livelli di servizio o prove è difficile da usare.
Il consulente legale e quello tecnico devono coordinarsi. Richiedere log entro quattro ore non serve se il fornitore non li produce; imporre un penetration test può essere vietato dall’architettura cloud. Le clausole devono riflettere capacità e rischio reali.
ISO 27001, GDPR e NIS2 non sono la stessa cosa
Un sistema ISO/IEC 27001 può offrire inventario, valutazione del rischio, controlli e audit utili, ma la certificazione non prova automaticamente la conformità NIS2. Il perimetro certificato potrebbe escludere servizi o società rilevanti e gli obblighi di notifica restano specifici.
Il GDPR protegge dati personali; la NIS2 guarda sicurezza di reti, sistemi e continuità dei servizi. Un incidente può attivare entrambi i regimi, uno solo o altri obblighi settoriali. Il piano deve avere una matrice decisionale, evitando notifiche duplicate o omissioni.
Riutilizzare evidenze è efficiente: registro asset, gestione fornitori, incident response e formazione possono servire più quadri. Il consulente dovrebbe indicare quali prove sono condivise e quali requisiti richiedono un’attività distinta.
Come scegliere il consulente
Chiedere casi comparabili per settore e complessità, competenze legali e tecniche, composizione del team e disponibilità durante gli incidenti. Il senior presentato in gara deve avere un ruolo reale; il preventivo dovrebbe indicare chi esegue interviste, verifiche e approvazioni.
Richiedere un esempio anonimizzato di gap analysis o roadmap. Il documento deve collegare requisito, evidenza, rischio e azione. Slide con percentuali aggregate possono essere utili alla direzione, ma non bastano a guidare l’implementazione.
Valutare indipendenza, conflitti e proprietà dei materiali. L’azienda deve poter modificare procedure e registri anche dopo la fine dell’incarico. Password, configurazioni e prove non devono restare nell’account personale del consulente.
Le domande decisive nel preventivo
Quali entità e sedi sono incluse? Quanti sistemi saranno verificati? Le interviste sono remote o in presenza? Esistono campionamenti tecnici? Quante revisioni dei documenti sono comprese? Chi supporta la direzione e chi segue il portale ACN?
Chiedere esclusioni esplicite: penetration test, scansioni, redazione contratti, DPO, formazione, esercitazioni, risposta agli incidenti, software e trasferte. Se un’attività è “su richiesta”, va indicata una tariffa o un metodo di stima.
Definire criteri di accettazione. Una roadmap è completa quando copre tutti i gap concordati; una procedura è accettata dopo prova; una formazione è conclusa con registri e verifica. Il pagamento per milestone rende visibile l’avanzamento.
Il costo interno che il preventivo non mostra
Interviste, inventario, approvazioni e test richiedono tempo dei dipendenti. Il progetto deve stimare giornate interne per funzione e identificare sostituti. Se le persone chiave partecipano soltanto alla riunione iniziale, il consulente produrrà ipotesi invece di evidenze.
La remediation può cambiare processi operativi: MFA per tecnici, segmentazione di impianti, finestre di patch, nuove verifiche sui fornitori. Ogni controllo ha un costo di adozione e possibili effetti sul servizio. Piloti e piani di rollback riducono resistenze e interruzioni.
Il budget deve includere mantenimento. Licenze, monitoraggio, esercitazioni, audit, aggiornamenti contrattuali e formazione continuano dopo il progetto. Il costo totale a tre anni è più utile del prezzo iniziale per scegliere architetture e fornitori.
Un programma sostenibile assegna proprietari interni. Se ogni aggiornamento richiede una giornata esterna, l’azienda rimane dipendente. Il consulente dovrebbe trasferire metodo e formare chi manterrà registri, metriche e procedure.
Una roadmap credibile per fasi
Nei primi trenta giorni si chiariscono ambito, governance, servizi critici e rischi immediati. In parallelo si verificano contatti, gestione incidenti e backup, perché una carenza grave non può attendere la fine dell’assessment.
La fase successiva consolida inventario, gap e piano approvato. Le azioni si ordinano per rischio, dipendenze e scadenze, non per facilità. Alcuni quick win migliorano subito la sicurezza; altri progetti richiedono gara, migrazione o fermo pianificato.
L’implementazione deve produrre prove: screenshot controllati, configurazioni esportate, verbali, ticket, registri di formazione e risultati dei test. Una cartella di evidenze con proprietari e date riduce lo sforzo durante verifiche e aggiornamenti.
La chiusura non coincide con la consegna. Un riesame misura azioni completate, rischio residuo e nuove dipendenze. La direzione decide che cosa accettare, finanziare o accelerare e pianifica il ciclo successivo.
Come evitare il teatro della conformità
Il “compliance theatre” nasce quando documenti perfetti descrivono controlli che nessuno usa. Un test casuale può verificare se un dipendente sa segnalare phishing, se il reperibile trova i contatti e se un backup viene davvero ripristinato.
Le metriche devono mostrare copertura e qualità. Percentuale di account con MFA, asset inventariati, vulnerabilità critiche scadute, fornitori valutati e ripristini riusciti sono più utili del numero di policy approvate.
Un consulente serio segnala incertezza e limiti. Non promette “conformità al 100%” come prodotto statico, perché organizzazione, minacce, servizi e atti attuativi evolvono. Offre invece un processo capace di riconoscere e gestire il cambiamento.
FAQ sulla consulenza NIS2
Quanto costa una consulenza NIS2?
Non esiste una tariffa ufficiale. Una verifica iniziale può partire da alcune migliaia di euro; un programma completo può superare decine di migliaia. Il preventivo deve separare assessment, implementazione, tecnologia e supporto continuativo.
ISO 27001 rende automaticamente conformi?
No. Offre processi ed evidenze utili, ma ambito, obblighi legali, registrazione, governo, notifiche e specifiche ACN devono essere verificati separatamente.
La NIS2 riguarda soltanto il reparto IT?
No. Direzione, acquisti, legale, risorse umane, operations, continuità e comunicazione partecipano a rischio, fornitori, incidenti e documentazione.
Che cosa deve consegnare il consulente?
Valutazione dell’ambito, inventario, gap analysis collegata agli obblighi, registro rischi, roadmap, procedure, evidenze, piano incidenti, formazione e criteri di verifica, in formati utilizzabili dall’azienda.
Si può esternalizzare la responsabilità?
Si possono acquistare competenze e servizi, ma la responsabilità organizzativa non scompare. L’azienda deve approvare decisioni, conservare evidenze, controllare fornitori e saper reagire.
Il valore della consulenza non è il numero di pagine consegnate. È la capacità dell’organizzazione di conoscere il proprio perimetro, ridurre rischi misurabili, dimostrare decisioni e gestire un incidente quando il tempo è poco.