Consulenza cybersecurity e compliance NIS2 per PMI italiane

Tre fatti che cambiano il calcolo del rischio per chi decide:

1. 1
   Verifica del perimetro.

   Stabilisco se rientri in NIS2/DORA, come soggetto essenziale o importante, e quali obblighi ti competono. Mezza giornata, prima di spendere su un adeguamento.

2. 2
   Assessment tecnico e gap analysis.

   Audit di codice, configurazioni e infrastruttura (OWASP, hardening, gestione accessi, backup, log). Confronto con gli obblighi normativi e mappa delle distanze, prioritizzata per rischio reale.

3. 3
   Remediation tecnica.

   Chiusura delle vulnerabilità, hardening Linux (fail2ban, AppArmor, nftables), gestione degli accessi (RBAC, MFA), cifratura, audit trail tamper-evident, segmentazione di rete.

4. 4
   Continuità operativa e risposta agli incidenti.

   Backup verificati con test di ripristino reali, piano di business continuity e disaster recovery, procedure di notifica incidenti conformi alle tempistiche NIS2.

5. 5
   Documentazione e monitoraggio.

   Policy, registro del rischio, evidenze per audit, formazione mirata del team. Monitoraggio continuo e review periodica: la compliance è uno stato da mantenere, non un timbro una tantum.

La mia azienda è soggetta alla direttiva NIS2?

NIS2 si applica a soggetti "essenziali" e "importanti" in 18 settori (energia, trasporti, sanità, banche, infrastrutture digitali, fornitori ICT gestiti, produzione, alimentare e altri), tipicamente sopra le soglie di media impresa, ma anche sotto soglia se l'attività è critica. In Italia il recepimento è il D.Lgs. 138/2024, con l'ACN come autorità competente e obblighi di registrazione, gestione del rischio e notifica incidenti. Il primo passo è una verifica del perimetro: in mezza giornata stabilisco se e come rientri, prima di spendere su un adeguamento.

Quali sono le sanzioni per chi non si adegua alla NIS2?

Per i soggetti essenziali fino a 10 milioni di euro o il 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni o l'1,4%. Oltre alla sanzione economica, NIS2 introduce la responsabilità diretta degli organi di gestione, che possono essere ritenuti personalmente responsabili delle violazioni. Non è più un tema solo IT: è un tema da consiglio di amministrazione.

Cosa significa "approccio offensive-security applicato alla difesa"?

Significa che progetto le difese conoscendo come si attacca davvero un sistema. Un audit fatto da chi ha solo letto le checklist trova quello che le checklist prevedono; un audit fatto da chi sa pensare come un attaccante trova le catene di vulnerabilità reali. Lavoro su OWASP Top 10 applicato al codice, penetration test mirati, hardening Linux (fail2ban, AppArmor, nftables), analisi delle configurazioni. La difesa migliore si scrive partendo dall'attacco.

Fai anche incident response se siamo già stati compromessi?

Sì. Sito bucato, ransomware, data breach, defacement, esfiltrazione dati: intervengo su contenimento, analisi forense di base, bonifica, ripristino da backup verificati e hardening post-incidente per evitare la recidiva. Per i casi che richiedono perizia forense legale o notifica al Garante coordino la parte legale. La velocità nelle prime ore conta: prima si contiene, meno costa.

Vi occupate solo di NIS2 o anche di DORA e GDPR?

Le tre normative si sovrappongono e le affronto insieme dove ha senso. DORA per il settore finanziario (resilienza operativa digitale, gestione rischio ICT, test di resilienza), GDPR per la protezione dei dati personali (DPIA, misure tecniche e organizzative, gestione data breach), NIS2 per la sicurezza delle reti e dei sistemi. Un buon adeguamento riusa gli stessi controlli tecnici per soddisfare più obblighi, invece di triplicare il lavoro.

Quanto costa un audit di sicurezza o un adeguamento NIS2?

Un audit di sicurezza applicativa o una verifica del perimetro NIS2 si quotano a giornata (tariffa di riferimento 300 euro al giorno) dopo un primo inquadramento gratuito. Un adeguamento completo si quota a progetto dopo la gap analysis, perché dipende dalla distanza tra il tuo stato attuale e gli obblighi. Niente preventivo al buio: prima misuro, poi quoto.