// Il mio metodo
Il percorso di adeguamento in 5 fasi
Non vendo un software e non vendo un audit fine a sé stesso. Costruisco un percorso di governance, gestione del rischio e compliance che regge anche dopo che me ne sono andato.
Ogni azienda con cui lavoro parte da un punto diverso: chi ha già un backup solido e un firewall configurato bene, chi deve costruire quasi tutto da zero. Il metodo però resta lo stesso, perché segue la logica della norma, non le mie preferenze. Cinque fasi, in sequenza, ciascuna con un obiettivo verificabile prima di passare alla successiva.
Assessment e perimetro
1-2 settimaneVerifico i criteri dimensionali (fatturato, dipendenti) e il settore di attività per stabilire se e come l'azienda rientra nel perimetro NIS2. Controllo se risulta già correttamente censita sul portale ACN, ed eventualmente correggo la classificazione essenziale/importante.
Il risultato di questa fase è un documento breve, non un report di cento pagine: dice con chiarezza se sei obbligato, come sei classificato, e cosa ti aspetta nei prossimi mesi.
Gap analysis
3-6 settimaneMappo l'infrastruttura e i processi attuali contro le specifiche di base ACN, misura per misura: dove manca cifratura, segmentazione di rete, autenticazione a più fattori, un risk assessment aggiornato. Non è un audit da consegnare e dimenticare: è la base su cui costruire il piano successivo.
In quasi tutti i casi emerge la stessa cosa: la tecnologia c'è già per buona parte, quello che manca sono i processi documentati e le responsabilità assegnate.
Piano di rientro
2-4 mesiQui si colmano i gap trovati. Lato tecnico: modello zero trust, irrobustimento di backup e continuità operativa, segmentazione delle reti critiche. Lato organizzativo: scrittura delle policy di sicurezza, gestione formalizzata degli accessi, metodologia di risk assessment ripetibile nel tempo.
Priorizzo sempre per rischio reale, non per facilità di implementazione: prima le misure che riducono davvero la probabilità o l'impatto di un incidente, poi il resto.
Incident response e supply chain
4-6 settimaneScrivo la procedura interna che permette all'azienda di accorgersi di un attacco e segnalarlo al CSIRT Italia entro 24 e 72 ore, con ruoli e responsabilità chiare. In parallelo imposto lo screening dei fornitori critici e predispongo le clausole contrattuali di sicurezza da allegare ai contratti di fornitura.
Sono i due pilastri su cui vedo fallire più aziende, e i due su cui, non a caso, insisto di più durante il percorso.
Formazione di governance e personale
continuativaOrganizzo sessioni per il consiglio di amministrazione su rischio cyber e responsabilità legale, così che chi firma sappia esattamente cosa sta approvando. In parallelo, progetto campagne di cyber hygiene per tutti i dipendenti: il punto di ingresso più comune resta ancora oggi una persona che clicca su un link sbagliato.
Questa fase non finisce mai davvero: la formazione va ripetuta, perché le minacce cambiano e le persone dimenticano.
Cosa vendo davvero
Non vendo un antivirus. Vendo un percorso che protegge il patrimonio aziendale e riduce l'esposizione a sanzioni che, per i soggetti obbligati, arrivano fino a 10 milioni di euro. Ma il motivo più concreto per cui vale la pena farlo bene non è la sanzione: è la continuità. Un attacco non gestito ferma la produzione, e un'azienda che si ferma per giorni perde molto più di quanto costerebbe un percorso di adeguamento serio.
C'è anche un terzo motivo, meno discusso ma già visibile: le aziende non adeguate rischiano di essere tagliate fuori dalle filiere delle imprese più grandi, che per rispettare i propri obblighi sulla sicurezza della supply chain sceglieranno solo fornitori in grado di dimostrare la propria postura di sicurezza. Chi arriva pronto prima degli altri, in questo senso, guadagna anche un vantaggio commerciale.
Domande frequenti
Quanto dura l'intero percorso di adeguamento?
Dipende dal punto di partenza e dalla dimensione dell'azienda, ma per un'impresa media, dall'assessment iniziale alla formazione conclusiva, è realistico pianificare tra i sei e i nove mesi di lavoro continuativo, con le fasi 3 e 4 spesso condotte in parallelo.
Serve un budget enorme per adeguarsi?
Non necessariamente. Molte aziende hanno già una base tecnologica valida: il lavoro più corposo, e spesso il più economico, è su processi, policy e formazione, non su nuovi acquisti tecnologici. La gap analysis serve proprio a capire dove investire davvero.
Posso iniziare da un readiness check gratuito prima di impegnarmi?
Sì, è esattamente il punto di partenza che consiglio. Il readiness check gratuito dà un primo orientamento in cinque minuti; da lì, se ha senso, si passa a un assessment vero che incrocia quei punti con l'infrastruttura reale.
Iniziamo dalla fase 1?
Una call di 30 minuti basta per capire dove sei e cosa ha senso fare per primo.
Le altre guide NIS2
Aggiornata a settembre 2026. Il percorso descrive il mio metodo di lavoro, ma gli obblighi di riferimento possono cambiare: prima di prendere decisioni operative verifica sempre le comunicazioni ufficiali sul portale NIS dell'ACN e il testo del D.Lgs. 138/2024.
Tag