NIS2 Operating Readiness: dall'obbligo all'operatività in 90 giorni
Prendo la regia operativa dell'adeguamento NIS2, coordino persone e fornitori e porto alla direzione evidenze, priorità e stato reale. In 90 giorni i requisiti diventano attività assegnate, verificabili e presentabili agli organi amministrativi. Non un audit generico: esecuzione.
Nonostante il gap assessment e il parere legale, la NIS2 resta sulla carta
Il gap assessment c'è. Il parere legale pure. Ma tra il documento e l'operatività manca chi trasforma i requisiti in attività assegnate, verificabili e presentabili alla direzione: chi definisce gli owner, insegue le date, coordina i fornitori critici e tiene traccia delle evidenze.
Così l'adeguamento si ferma: la registrazione ACN è fatta, le policy sono scritte, ma nessuno può dire con onestà a che punto siete davvero. Quando arriva il questionario di un cliente strategico, un'ispezione o un incidente, la distanza tra la carta e la realtà diventa visibile.
Cosa vi resta in mano dopo i 90 giorni
Nove deliverable concreti, non un elenco di obblighi. Owner, date, stato: tutto verificabile.
Come si sviluppano i 90 giorni
Tre fasi da 30 giorni. Ogni fase chiude con un risultato tangibile, non con una promessa.
Mappatura e priorità
Servizi critici, asset, dipendenze e fornitori mappati. RACI approvato dalla direzione. Gap prioritizzati per rischio aziendale: sappiamo da dove si parte e perché.
Remediation avviata e procedure
Il piano di remediation entra in esecuzione con owner e date. Procedura di gestione e notifica incidenti operativa. Governance dei fornitori critici avviata.
Governance a regime e handover
Dashboard mensile per la direzione a regime, archivio evidenze completo, handover strutturato al responsabile interno: il presidio resta in casa vostra.
Per chi è pensata
Soggetti essenziali e importanti NIS2 tra 50 e 1000 dipendenti: manifattura e filiere industriali, ICT-managed services, logistica e trasporti, energia e utility, sanità privata, fornitori di grandi aziende regolamentate.
In particolare per chi ha già avviato l'adeguamento sulla carta ma non ha un owner interno che ne assuma la regia operativa e ne renda conto alla direzione.
Quando ha senso partire ora
- È arrivato il questionario NIS2 di un cliente strategico e non sapete cosa rispondere.
- Un audit o un'ispezione è in arrivo, oppure c'è appena stato un incidente.
- Il board chiede lo stato dell'adeguamento e nessuno ha una risposta difendibile.
- C'è stata una nuova nomina NIS2 ma nessun owner interno con tempo e metodo.
- La registrazione ACN è fatta... e poi non è successo più nulla.
NIS2 in Italia: il quadro operativo
La Direttiva (UE) 2022/2555 è stata recepita in Italia con il D.Lgs. 138/2024, che ha esteso la platea dei soggetti obbligati, alzato gli obblighi di cybersecurity, introdotto la notifica incidenti a 24/72 ore e responsabilità diretta del management. ACN gestisce registrazione, linee guida e ispezioni.
Soggetti essenziali & importanti
Energia, trasporti, bancario, finanza, sanità, acqua, infrastrutture digitali, ICT-managed services, PA, spazio, servizi postali, rifiuti, chimica, alimentare, manifatturiero critico, digitale, ricerca.
Governance + misure + evidenze
Governance del rischio cyber, risk management, incident response, business continuity, sicurezza supply chain, cifratura, controlli di accesso, formazione, evidenze documentali. Responsabilità diretta del management.
Fino a 10 M€ o 2% del fatturato
Per i soggetti essenziali. 7 M€ o 1,4% per soggetti importanti. Possibili sanzioni personali al management per violazioni gravi, più potere di intervento ispettivo e prescrizioni vincolanti ACN.
La regia può restare
I 90 giorni chiudono con la governance NIS2 a regime e un handover strutturato al responsabile interno: procedure, dashboard e archivio evidenze restano vostri e sostenibili senza dipendere da me.
Se serve continuità sul presidio — mantenimento delle evidenze, aggiornamento dei fornitori, allineamento alle scadenze ACN e al ciclo di audit — il mandato prosegue come Fractional IT Director part-time rinnovabile. Nessun vincolo: è una prosecuzione naturale, non un lock-in.
Non sono un avvocato.
Lavoro a fianco del consulente legale, non al posto suo. La mia parte è quella operativa-tecnica: tradurre gli obblighi NIS2 in servizi mappati, processi, controlli, evidenze e governance che le persone IT e risk riescono davvero ad applicare. E sono indipendente da vendor e system integrator: non rivendo licenze né sviluppo, quindi non ho interesse a gonfiare il perimetro o a spingervi verso un fornitore. Per i pareri legali ti accompagno dal mio network di studi specializzati in cybersecurity law.
FAQ
Un gap assessment fotografa la distanza dagli obblighi; un audit la verifica. Io prendo la regia operativa dell'adeguamento: trasformo i requisiti in attività assegnate con owner e data, coordino persone e fornitori e porto alla direzione evidenze, priorità e stato reale. Non consegno un report e me ne vado: seguo l'esecuzione fino all'handover al responsabile interno.
Lavori sempre con me. Vent'anni di direzione IT enterprise, responsabilità unica, nessun junior a cui girare il lavoro. Coordino le persone interne e i vostri fornitori: non vendo licenze né sviluppo, quindi non ho alcun interesse a gonfiare il perimetro.
Al termine dei 90 giorni la governance NIS2 è a regime e viene passata a un responsabile interno con un handover strutturato: procedure, dashboard e archivio evidenze restano vostri. Se volete continuità sul presidio, il mandato prosegue come Fractional IT Director part-time rinnovabile, allineato al ciclo di audit e alle scadenze ACN.
La registrazione al portale ACN è solo l'adempimento formale d'ingresso. Gli obblighi sostanziali — misure di sicurezza proporzionate al rischio, governance, procedura di notifica incidenti a 24/72 ore, evidenze verificabili — restano tutti da attuare. Molte aziende si fermano dopo la registrazione: la NIS2 Operating Readiness parte esattamente da lì per portare l'adeguamento a operatività.
Non è obbligatoria, ma ISO/IEC 27001 (e le norme correlate come ISO/IEC 27005 per il risk management e ISO/IEC 22301 per la continuity) sono un acceleratore concreto: se le avete già, il gap NIS2 è più contenuto. Se non le avete, valutiamo nel kick-off se conviene certificarsi o adottare solo i controlli rilevanti.
No. Mi occupo della parte operativa-tecnica: tradurre gli obblighi in servizi mappati, processi, controlli, evidenze e governance che le persone IT e risk riescono davvero ad applicare. I pareri legali e le interpretazioni normative restano al consulente legale: collaboro con il vostro studio o vi accompagno dal mio network di studi specializzati in cybersecurity law.
Dall'obbligo NIS2 all'operatività, con evidenze per la direzione
In 90 giorni prendo la regia dell'adeguamento e porto la NIS2 dalla carta all'operatività. Trenta minuti bastano per capire da dove partire.
Parliamone 30 minutiAltre situazioni che seguo
Interventi a perimetro e durata definiti, condotti in prima persona.
Progetto IT in ritardo: prima la verità operativa, poi la regia
In 10 giorni lo stato reale del progetto e gli scenari; poi 90 giorni di regia per riportarlo sotto controllo.
ScopriSapere cosa autorizzare, bloccare e finanziare nell'AI
Inventario degli usi AI e shadow AI, policy, registro casi d'uso con scoring valore-rischio, KPI e roadmap.
Scopri