Introduzione: Perché la NIS2 è un punto di svolta per le PMI

Dalla NIS1 alla NIS2: L’evoluzione del quadro normativo europeo

Il contesto italiano: Il decreto legislativo attuativo e le scadenze imminenti

Chi è coinvolto? Identificazione delle PMI Essenziali ed Importanti

Una delle prime domande che ogni titolare di PMI deve porsi di fronte alla normativa NIS2 è semplice ma cruciale: “Io c’entro?”. La risposta non è binaria, ma dipende da due fattori combinati: il settore in cui opera la tua azienda e la sua dimensione. La direttiva europea non guarda alle startup innovative o a una qualsiasi piccola impresa, ma identifica con precisione due categorie di organizzazioni che richiedono un livello di sicurezza più elevato: le organizzazioni essenziali e le organizzazioni importanti. Per le PMI, il punto chiave è capire se rientrano in queste categorie o se, pur essendo tecnicamente escluse, operano in settori così critici da non poter permettersi di ignorare gli standard NIS2.

La distinzione tra queste due categorie è fondamentale perché determina non solo l’obbligo di conformità, ma anche il livello di vigilanza e le sanzioni in caso di mancato rispetto. Le organizzazioni essenziali operano in settori considerati di vitale importanza per la società e l’economia, come l’energia, i trasporti, la banca, l’acqua potabile e la sanità. Per queste, il controllo da parte delle autorità nazionali è più stringente e le sanzioni possono arrivare fino al 2% del fatturato globale annuale o a 10 milioni di euro. Le organizzazioni importanti, invece, riguardano settori come la produzione alimentare, la posta, i rifiuti, la vendita al dettaglio di prodotti essenziali e i servizi digitali (come i mercati online o i motori di ricerca). Per queste, la vigilanza è meno diretta e le sanzioni si fermano all’1,4% del fatturato o a 7 milioni di euro. La classificazione dipende da cosa fate, non solo da quanto siete grandi.

Al di là della classificazione ufficiale, esiste un terzo gruppo di PMI che, pur non essendo direttamente coinvolte, devono comunque prepararsi. Parliamo delle PMI che fanno parte della catena di fornitura di organizzazioni essenziali o importanti. La NIS2 richiede infatti che queste grandi realtà esternalizzate (come i loro fornitori di software, servizi IT, logistica o consulenza) operino con partner che garantiscano un livello di sicurezza adeguato. In altre parole: se la tua PMI fornisce servizi a una grande azienda energetica o sanitaria, molto probabilmente dovrai dimostrare di essere conforme agli standard NIS2, anche se la tua attività non ricade direttamente nella normativa. Questo significa che la conformità NIS2 sta diventando progressivamente un requisito di accesso ai mercati B2B, un filtro competitivo per chi vuole lavorare con la PA o con grandi aziende.

Per identificare correttamente se la tua PMI è coinvolta, il processo di gap analysis deve iniziare con una mappatura precisa. Primo passo: definire il tuo codice ATECO e confrontarlo con gli elenchi ufficiali dei settori interessati. Non basta avere un codice ATECO generico; è necessario capire se l’attività specifica rientra nei settori criticamente elencati dalla norma. Secondo passo: verificare la soglia dimensionale. La norma si applica a tutte le imprese con più di 50 dipendenti e un fatturato o bilancio totale superiore a 10 milioni di euro. Tuttavia, anche PMI sotto queste soglie potrebbero essere coinvolte se operano in settori “a rischio” o se sono fornitrici essenziali di organizzazioni soggette a NIS2. Terzo passo: valutare il tuo posizionamento nella supply chain. Se la tua PMI è un fornitore di tecnologia, cloud, analisi dati o servizi di sicurezza per clienti in settori critici, devi considerare NIS2 come un vincolo contrattuale imminente, non come un’opzione.

Un altro aspetto spesso trascurato è il concetto di gruppo di impresa. Se la tua PMI fa parte di un gruppo più ampio che include realtà sotto la soglia ma con attività complementari, la direttiva potrebbe applicarsi a livello consolidato. In pratica, se la capogruppo è coinvolta e le filiali operano in aree interconnesse, l’intero ecosistema aziendale dovrebbe adottare misure omogenee. Questa è una novità rispetto alla prima versione della direttiva e implica che le PMI non possono più pensare in termini di “singola realtà”, ma devono considerare la loro esposizione sistemica.

La prima fase del tuo percorso di conformità, quindi, consiste nel rispondere con chiarezza a tre domande: (1) Il mio settore rientra nella lista NIS2? (2) La mia PMI supera le soglie dimensionali o è fornitore critico? (3) Ho una dipendenza da infrastrutture critiche o fornisco servizi essenziali? Se la risposta è “sì” anche a una sola di queste domande, la gap analysis diventa urgente. Non si tratta solo di rispettare una norma, ma di proteggere la continuità operativa della tua azienda e garantire l’accesso ai mercati. Le PMI che anticipano questa analisi e definiscono una roadmap di adeguamento avranno un vantaggio competitivo significativo: dimostreranno ai clienti di essere partner affidabili, sicuri e conformi, rafforzando la propria posizione contrattuale.

Infine, è utile ricordare che la normativa coinvolge anche la responsabilità del titolare e dei manager. La NIS2 introduce l’obbligo di approvazione formale da parte del vertice aziendale delle misure di sicurezza e di partecipazione a corsi di formazione specifici. Anche se la tua PMI non fosse classificata come “essenziale” o “importante”, se operi in settori sensibili o hai un fatturato elevato, è saggio adottare gli standard NIS2 come best practice di mercato. In un contesto in cui la sicurezza informatica è diventata un requisito di business e non solo un obbligo normativo, la tua PMI può trasformare la compliance in un asset strategico: un modo per distinguersi, attrarre clienti esigenti e costruire una reputazione di affidabilità a prova di futuro.

Criteri dimensionali e settori di riferimento: Energy, Transport, Health, Finance e altri

La NIS2 applica un doppio livello di analisi: dimensionale e settoriale. Per le PMI, il punto di partenza è la verifica della soglia: superare i 50 dipendenti OPPURE un fatturato annuo >10 milioni € (o totale di bilancio >10 milioni €). Sotto queste soglie, di norma si è esentati (con l’eccezione dei fornitori critici di infrastrutture digitali, che sono soggetti a NIS2 indipendentemente dalla dimensione). Altrimenti, si rientra nella categoria fonti o essenziali. Per le PMI, valutare se l’azienda appartiene a settori a rischio: è cruciale.

I settori di riferimento si dividono in due macro-aree. I Settori Critici (Alto Rischio) includono: Energia (elettricità, gas, petrolio); Trasporti (aereo, ferroviario, stradale, marittimo); Sanità (ospedali, case di cura); Finanza (banche, mercati finanziari); Acqua potabile e Rifiuti. Rientrano inoltre il digitale (ISP, cloud, data center) e i servizi pubblici essenziali (amministrazioni centrali). I Settori Critici (Rischio Standard) comprendono: Posta e logistica; Produzione e distribuzione alimentare; Produzione chimica; Produzione di beni di uso medico e altri dispositivi (automotive, elettronica). Anche le PMI in questi ambiti devono applicare misure di sicurezza proporzionate al rischio.

Action Plan NIS2 PMI: identifica il tuo codice ATECO e incrocia con l’elenco settori NIS2. Se rientri, valuta subito il fatturato e il numero di dipendenti. Anche sotto soglia, se operi come fornitore essenziale (es. hosting per la PA), sei comunque soggetto.

Non sai se rientri? Cultural Digitali Srl effettua una Gap Analysis mirata: incrocia i tuoi dati dimensionali e settoriali con i requisiti NIS2 per definire la tua roadmap operativa di conformità.

La soglia dei 50 dipendenti e l’anno di fatturato: Quando scatta l’obbligo?

Una delle prime domande che ogni amministratore di PMI si pone è: la mia azienda ricade nell’ambito di applicazione della direttiva NIS2? La risposta si basa su due parametri principali: il numero di dipendenti e l’ammontare del fatturato.

Per le PMI, l’obbligo di adeguamento scatta generalmente quando l’azienda supera la soglia dei 50 dipendenti e registra un fatturato annuo (o un bilancio di esercizio) superiore a 10 milioni di euro. È importante sottolineare che devono essere soddisfatti entrambi i requisiti contemporaneamente.

Tuttavia, esistono delle eccezioni critiche. Se la tua azienda opera in settori considerati “essenziali” (come fornitura di energia, acqua, trasporti, sanità, ecc.) o fornisce servizi digitali chiave (come piattaforme di mercato online, motori di ricerca, servizi cloud), la soglia di applicabilità si abbassa drasticamente: si applica indipendentemente dalla dimensione, per cui anche un’azienda con pochi dipendenti potrebbe dover conformarsi.

È fondamentale non fermarsi ai numeri, ma effettuare una valutazione specifica del tuo settore e della tua catena di fornitura. La tua azienda è tra quelle obbligate?

Il ruolo dei fornitori: La responsabilità estesa alla catena di approvvigionamento

La NIS2 non si limita alle vostre attività interne, ma coinvolge anche i fornitori: la responsabilità si estende a tutta la catena di approvvigionamento. Questo significa che dovete valutare e monitorare attentamente le misure di sicurezza dei vostri partner (cloud, software, servizi IT). Il rischio di incidenza di un fornitore diventa un rischio per la vostra organizzazione.

Per mitigare questo rischio, richiedete ai fornitori dichiarazioni di conformità NIS2 e contratti che includano clausole specifiche sulla sicurezza e sulla notifica degli incidenti. Un approccio proattivo garantisce che la vostra sicurezza non venga indebolita da un partner non preparato.

Fondamenti della NIS2: Principi cardine e requisiti minimi

Il Regolamento NIS2 (Direttiva (UE) 2022/2555) rappresenta l’evoluzione normativa più significativa in materia di cybersecurity per il tessuto economico europeo degli ultimi anni. Per le PMI italiane, non si tratta più di una raccomandazione o di uno standard di “best practice”, ma di un obbligo giuridico che entra nel dettaglio operativo della gestione aziendale. Comprendere i fondamenti della normativa è il primo passo per evitare sanzioni pesanti e, soprattutto, per costruire un sistema di sicurezza informatica realmente efficace.

A differenza della precedente direttiva (NIS1), che lasciava ampi margini di interpretazione agli Stati membri, NIS2 introduce un quadro armonizzato e molto più stringente. La filosofia cambia: non siamo più di fronte a un elenco di suggerimenti tecnici, ma a un sistema di governance del rischio che coinvolge direttamente l’alta direzione. Il principio cardine è la accountability: il management deve essere in grado di dimostrare, in qualsiasi momento, di aver adottato le misure adeguate e di averle gestite attivamente.

Chi è obbligato? Il perimetro di applicazione

La NIS2 si applica a entità pubbliche e private che operano in settori considerati critici. La normativa distingue due macro-categorie di operatori, basandosi sulla loro criticità (l’impatto che la loro interruzione avrebbe sulla società e l’economia):

• Settori ad alto impatto (Alcritici): Energia, trasporti, banking, servizi finanziari, sanità, acqua, infrastrutture digitali (cloud, data center), fornitura di servizi DNS, servizi postali, gestione dei rifiuti, produzione e distribuzione di prodotti chimici.
• Settori a impatto significativo: Area postale e corrieri, gestione dei rifiuti, produzione e distribuzione di prodotti alimentari, bevande e farmaci, fabbricazione di prodotti per l’elettronica, informatica, macchinari, autoveicoli e altri trasporti, ricerca e sviluppo, servizi professionali (es. consulenza legale, contabilità, marketing).

Per le PMI, la vera novità risiede proprio nell’inclusione di settori prima esclusi. Una PMI che fornisce componentistica elettronica a un’azienda automotive, un’azienda agroalimentare di medie dimensioni o un importante studio di consulenza, oggi ricadono pienamente nella normativa. L’esclusione vale solo per le micro-imprese (fatturato < 10 milioni e < 50 dipendenti), a patto che non operino come fornitori esclusivi di Operatori Alcritici.

Requisiti minimi di sicurezza (Art. 21): Non solo tecnologia, ma processo

L’errore più comune è pensare all’Adeguamento NIS2 come a un mero investimento in firewall o antivirus. L’Articolo 21 del Regolamento elenca una serie di misure tecniche, operative e organizzative che devono essere implementate. Ecco i requisiti fondamentali che una PMI deve tradurre nel proprio quotidiano:

1. Politiche di analisi del rischio e di sicurezza per gli sistemi informatici: Non si tratta di un unico documento da archiviare, ma di un processo continuo. La PMI deve identificare i propri asset (hardware, software, dati), valutare le minacce (cyberattacchi, guasti, errori umani) e implementare controlli proporzionati al rischio.
2. Gestione degli incidenti: È necessario disporre di procedure chiare per rilevare, classificare e gestire gli eventi di sicurezza. NIS2 impone obblighi di reporting stringenti (analizzeremo nel dettaglio nella sezione dedicata), ma a monte serve un sistema interno per gestire la crisi.
3. Continuity of Business e Disaster Recovery: La normativa richiede esplicitamente piani per garantire la continuità operativa e il ripristino delle funzioni critiche dopo un incidente. Questo include backup testati regolarmente e procedure di failover.
4. Sicurezza della catena di fornitura (Supply Chain): La responsabilità non si ferma ai confini aziendali. Le PMI devono valutare la sicurezza dei propri fornitori e inserire clausole contrattuali che garantiscano un adeguato livello di protezione. Se un fornitore viene compromesso e causa un danno al tuo cliente, la responsabilità ricade anche su di te.
5. Cybersecurity Awareness e Formazione: Il fattore umano è la prima linea di difesa (e il punto più debole). È obbligatorio fornire formazione periodica a tutto il personale, incluse procedure specifiche per chi lavora in remoto o gestisce dati sensibili.
6. Crittografia e Pseudonimizzazione: L’uso di crittografia per i dati a rischio (in transito e a riposo) e la pseudonimizzazione dei dati personali sono misure ormai considerate standard.
7. Misure di sicurezza per il perimetro (Access Control):multi-fattore (MFA), gestione rigorosa dei privilegi di accesso (principio del minimo privilegio) e protezione delle postazioni di lavoro.

La Governance della Sicurezza: Il ruolo del Management

Uno dei pilastri irrinunciabili della NIS2 riguarda la governance. La normativa non delega la responsabilità al solo reparto IT o a un consulente esterno: la responsabilità giuridica è in capo agli amministratori e ai direttori (C-Level). Gli organi di amministrazione devono:

• Approvare le misure di sicurezza: Non basta il consenso tacito; serve un via libera esplicito alle policy di sicurezza e al relativo budget.
• Supervisionare l’implementazione: Gli amministratori devono capire cosa stanno approvando. La legge prevede che partecipino a corsi di formazione specifici sulla sicurezza informatica per essere in grado di esercitare questo controllo.
• Essere informati tempestivamente: In caso di incidente rilevante, il management deve essere coinvolto immediatamente nelle decisioni strategiche di contenimento e comunicazione.

Questa enfasi sulla responsabilità personale introduce il concetto di “personal liability”: in caso di violazioni gravi, gli amministratori possono andare incontro a sospensione dall’incarico e multe personali, oltre a quelle aziendali.

Requisiti minimi e “State of the Art”: Una sfida per le PMI?

La normativa utilizza il concetto di “State of the Art” (stato dell’arte). Questo significa che le misure adottate devono essere aggiornate e conformi alle tecnologie e alle metodologie più avanzate disponibili. Per una PMI, questo non implica di dover spendere cifre astronomiche, ma di adottare soluzioni adeguate alla propria scala e complessità.

Ad esempio, per una PMI di 30 dipendenti, lo “stato dell’arte” potrebbe significare:

• Abilitare l’autenticazione a due fattori (MFA) su tutti gli accessi.
• Avere un sistema di backup giornaliero criptato e testato mensilmente.
• Formare i dipendenti a riconoscere il phishing.
• Disporre di un contratto di manutenzione con un fornitore qualificato che segua le patch di sicurezza.

Se la PMI non adotta queste misure “base” e subisce un attacco, sarà considerata negligente.

La catena di responsabilità: Il ruolo dei fornitori

NIS2 estende la responsabilità anche ai fornitori di servizi IT e software. Se una PMI utilizza software gestito (SaaS) o servizi cloud, deve assicurarsi che il proprio fornitore sia conforme. In caso contrario, il rischio di essere coinvolti in un incidente che proviene dalla supply chain è alto. La PMI deve chiedere ai propri fornitori dichiarazioni di conformità NIS2 o certificazioni di sicurezza riconosciute.

In conclusione, i fondamenti della NIS2 per una PMI si riassumono nel passaggio da un approccio “difensivo passivo” (installare antivirus) a un approccio “proattivo e gestionale”: valutazione continua del rischio, formazione del personale, governance consapevole e gestione rigorosa della catena di fornitura. Solo così si può essere pronti per il nuovo scenario normativo europeo.

Gestione del Rischio e Governance: Ruoli del top management e responsabilità

Gestione del Rischio e Governance: Ruoli del top management e responsabilità

La NIS2 assegna responsabilità dirette al top management: sono i vertici aziendali a dover approvare e supervisionare le misure di sicurezza, garantendo risorse adeguate e una cultura della sicurezza. Il management non delega la responsabilità finale, ma deve dimostrare di aver compreso i rischi e di aver adottato decisioni informate.

È necessario nominare un Information Security Manager (o equivalente) che coordini la valutazione dei rischi, gestisca il piano di remediation e mantenga i contatti con l’autorità di supervisione. Il ruolo richiede competenze tecniche e di compliance, oltre a un flusso di reporting chiaro verso il CdA.

• Il top management definisce obiettivi di sicurezza e budget.
• Il risk manager esegue gap analysis e supervisiona implementazione.
• Il CISO (o figura equivalente) garantisce coerenza con framework (ISO 27001, ISO 22301).

Per semplificare l’assegnazione dei compiti, scarica il template di RACI Matrix NIS2, pronto per essere adattato alla tua organizzazione.

CTA Soft (mid): Scarica il template RACI Matrix NIS2

Obblighi di notifica: Template e tempi di risposta per gli incidenti informatici

Obblighi di notifica: Template e tempi di risposta per gli incidenti informatici

Il Regolamento NIS2 impone tempi di reazione stringenti in caso di incidenti. È essenziale una procedura chiara per evitare sanzioni.

• Prima notifica (24 ore): Invio di un preavviso al CSIRT o all’Autorità nazionale entro 24 ore dalla rilevazione.
• Notifica completa (72 ore): Aggiornamento con dettagli sull’impatto e sulle prime valutazioni.
• Relazione finale (1 mese): Analisi approfondita dell’evento e misure correttive adottate.

Per ottimizzare i tempi, prepara in anticipo un template standardizzato che includa:

1. Descrizione dell’incidente e sistema colpito.
2. Impatto operativo e potenziale diffusione.
3. Misure di contenimento già attivate.
4. Contatti del responsabile della sicurezza.

Questa preparazione garantisce una risposta rapida e conforme, riducendo il rischio di interruzioni e multe pesanti.

Business Continuity e Crisis Management: Non solo sicurezza tecnica

Il business continuity plan e il crisis management sono i pilastri operativi che trasformano la sicurezza tecnica in resilienza aziendale. La NIS2 richiede non solo strumenti tecnologici, ma la capacità di gestire un incidente in modo coordinato e di garantire la ripresa delle attività critiche entro tempi definiti. È fondamentale definire procedure chiare per la gestione della crisi, la comunicazione interna/esterna e il ripristino dei servizi.

Cybersecurity e Supply Chain Security: La nuova frontiera della sicurezza perimetrale

Cybersecurity e Supply Chain Security: La nuova frontiera della sicurezza perimetrale

La NIS2 estende la responsabilità alla sicurezza dell’intera supply chain. Le PMI devono valutare i propri fornitori di tecnologia e servizi, integrando clausole di sicurezza nei contratti e mappando la catena di fornitura critica. Questo non è più un optional: la vulnerabilità di un partner può compromettere l’intero ecosistema digitale.

La nostra consulenza include una Supply Chain Assessment per identificare i rischi e definire un piano di mitigazione mirato.

Azioni immediate: inventario dei fornitori, questionario di sicurezza e valutazione del rischio.

Per una valutazione completa della tua supply chain in ottica NIS2, contattaci per una consulenza dedicata.

Phase 1: Gap Analysis – Come mappare il divario di conformità

La prima fase del percorso di adeguamento NIS2 per le PMI è la Gap Analysis, ovvero l’analisi del divario di conformità. Si tratta di un’indagine sistematica volta a confrontare lo stato attuale dei processi di sicurezza e governance dell’azienda con i requisiti normativi imposti dalla Direttiva.

Per le PMI, spesso privi di dipartimenti dedicati alla compliance, questa fase è cruciale: permette di evitare il rischio di investire risorse in controlli superflui trascurando invece quelli obbligatori.

Il primo passo della Gap Analysis consiste nella definizione del perimetro di applicazione. Non tutte le PMI rientrano nel campo di applicazione della NIS2. È necessario verificare se l’azienda opera in uno dei settori elencati dalla direttiva (Energia, Trasporti, Sanità, Banche, Acque, Fornitori digitali, ecc.) e se supera le soglie dimensionali (50 dipendenti e/o 10 milioni di euro di fatturato annuo). Per le aziende di dimensioni inferiori, potrebbero comunque esserci obblighi se sono considerate “fornitori essenziali” per attività critiche.

Una volta confermato l’inquadramento normativo, si procede con la mappatura del catalogo dei sistemi informativi. Per ogni sistema, bisogna identificare la criticità: i sistemi gestionali (ERP), i database dei clienti, le postazioni di lavoro e le infrastrutture cloud vanno classificati secondo il rischio (basso, medio, alto). Questa classificazione guiderà l’intensità delle misure di sicurezza richieste.

Il cuore della Gap Analysis è il confronto punto per punto con i requisiti della NIS2, che possiamo suddividere in quattro macro-aree:

1. Governance e Gestione del Rischio: La PMI deve dimostrare di avere procedure formali di valutazione del rischio cibernetico. Spesso le PMI operano su base informale; la Gap Analysis evidenzierà la necessità di formalizzare questi processi tramite documenti scritti.
2. Misure Tecniche di Sicurezza: L’analisi verificherà l’implementazione di controlli come l’accesso con autenticazione multifattoriale (MFA), la crittografia dei dati sensibili, la gestione delle vulnerabilità (patch management) e la segmentazione delle reti.
3. Gestione degli Incidenti: È fondamentale valutare se l’azienda possiede un sistema di monitoraggio per rilevare incidenti in tempo reale e se esiste un protocollo di risposta. La NIS2 impone notifiche entro 24 ore alla CSIRT nazionale; la Gap Analysis accerterà se la PMI ha un responsabile designato per effettuare tali segnalazioni.
4. Business Continuity e Supply Chain: La valutazione deve includere la resilienza operativa (backups, piani di ripristino) e l’analisi di sicurezza dei fornitori critici. Molte PMI subiscono attacchi proprio attraverso i loro fornitori IT esterni.

Per svolgere efficacemente questa mappatura, la PMI può avvalersi di framework standardizzati come il Controllo Obiettivo per l’Informazione (COBIT) o lo standard ISO/IEC 27001, adattati alle risorse limitate. L’output di questa fase è una matrice di valutazione che assegna uno stato a ciascun requisito: “Conforme”, “Parzialmente Conforme” o “Non Conforme”.

Un errore comune durante la Gap Analysis è trascurare l’aspetto organizzativo. La NIS2 richiede che l’alta direzione (amministratori, consiglieri) approvi e supervisioni le misure di sicurezza. La Gap Analysis deve pertanto includere un’indagine sugli organigrammi e sui ruoli di responsabilità. Se nella PMI non c’è un CISO (Chief Information Security Officer) dedicato, va designato un responsabile IT interno che funga da punto di contatto per le autorità.

Per facilitare questo processo, le PMI possono utilizzare strumenti di autovalutazione (checklist) forniti da enti certificatori o ministeri. Tuttavia, per una valutazione affidabile, specialmente in settori ad alto rischio, è consigliabile coinvolgere un consulente esterno specializzato in sicurezza informatica e compliance normativa.

Il risultato finale della Phase 1 non è solo un report di non-conformità, ma un Piano di Rimedio (Remediation Plan) che stima tempi e costi per colmare il divario. Questo piano servirà come base per la Phase 2, dove si tradurranno le azioni in una roadmap operativa dettagliata.

Checklist Pratica per la Gap Analysis NIS2

Per iniziare subito la valutazione, la tua PMI può utilizzare questa checklist sintetica. Segna “Sì”, “No” o “Non so” per ciascun punto.

Area Governance

• Esiste un documento formale che descrive la politica di sicurezza aziendale?
• Il management ha approvato recentemente il piano di sicurezza informatica?
• Esiste un inventario aggiornato di tutti i dispositivi e software in uso?

Area Tecnica

• L’accesso ai sistemi critici richiede autenticazione a due fattori (MFA)?
• I backup dei dati vengono eseguiti regolarmente e testati (restore test)?
• Gli aggiornamenti di sicurezza dei software vengono applicati entro 30 giorni dal rilascio?

Area Gestione Incidenti

• Esiste un contatto dedicato (email/telefono) per segnalare incidenti cibernetici?
• Il personale sa come riconoscere una tentata frode (es. phishing)?
• È definita una procedura per la notifica entro 24 ore alla CSIRT nazionale?

Area Fornitori

• Esiste una valutazione del rischio per i fornitori IT esterni?
• Il contratto con il fornitore cloud/include clausole di sicurezza e conformità NIS2?

Il numero di risposte “No” o “Non so” rappresenta la dimensione del gap da colmare. Se hai risposto “Non so” a più della metà delle domande, è necessario approfondire l’analisi.

Una volta completata questa mappatura preliminare, la PMI ha un quadro chiaro delle proprie vulnerabilità normative e tecniche. È fondamentale non fermarsi qui: la Gap Analysis è dinamica e va aggiornata periodicamente, specialmente in seguito a cambiamenti infrastrutturali o normativi.

Con il quadro dei divari chiaramente definito, si è pronti per passare alla definizione della roadmap operativa, che trasformerà gli obblighi normativi in azioni concrete e sostenibili per l’azienda.

Step 1: Inventario delle risorse critiche e dei sistemi informativi (Asset Management)

Step 1: Inventario delle risorse critiche e dei sistemi informativi (Asset Management)

Il primo passo concreto verso la conformità NIS2 è censire tutto ciò che conta. Partendo dalla mappatura della tua rete, identifichi hardware (server, workstation, router), software (OS, applicazioni di business, database) e servizi cloud. Per ogni asset, devi definire la sua criticità: è “Alta” se l’interruzione bloccherebbe l’attività? È soggetto a dati personali?

Questo inventario non è un semplice elenco statico. Ti permette di capire dove sono le tue informazioni più preziose e come sono collegate. Avere chiarezza su chi accede a cosa e come è fondamentale per la valutazione del rischio successiva.

Per accelerare questo lavoro, scarica la nostra checklist operativa per l’inventario degli asset (inclusa nel pacchetto di benvenuto).

Step 2: Valutazione delle politiche esistenti: Cosa manca rispetto al D.Lgs. 52/2024?

Step 2: Valutazione delle politiche esistenti: Cosa manca rispetto al D.Lgs. 52/2024?

La valutazione delle politiche esistenti non è un mero controllo formale, ma un’analisi critica della reale capacità della tua organizzazione di prevenire, rilevare e gestire incidenti. Partendo da un inventario delle procedure attuali, è fondamentale incrociarle con le specifiche del D.Lgs. 52/2024, focalizzandosi sui requisiti che spesso mancano nelle PMI.

Un gap comune è l’assenza di una politica documentata per la gestione dei fornitori e dei subappaltatori. Il decreto richiede non solo una valutazione iniziale, ma un monitoraggio continuo. Se hai solo una checklist di ingresso, il tuo sistema è vulnerabile.

Inoltre, molte PMI mancano di procedure formali per:

• Gestione degli incidenti: Spesso si reagisce al fuoco senza un processo definito. Servono chiari protocolli di escalation, classificazione e comunicazione.
• Business Continuity e Disaster Recovery: Non basta avere un backup. Il decreto richiede che siano testati regolarmente e che siano adeguati al rischio aziendale.
• Formazione specifica: Rispetto al passato, serve un piano formativo obbligatorio per tutti i dipendenti, non solo per il reparto IT.

Per identificare questi vuoti, ti suggeriamo di confrontare le tue procedure attuali con un checklist di conformità NIS2 dedicata alle PMI.

Step 3: Analisi dei controlli tecnici (Endpoint Security, Cloud, Rete)

☐ Mappatura completa degli endpoint (tipo, sistema operativo, utente assegnato).
☐ Presenza e aggiornamento di antivirus/EDR su tutti i dispositivi.
☐ Politiche di patch management attive e verificate.
☐ Controllo degli accessi fisici e logici agli endpoint.
☐ Configurazione firewall di rete e regole di filtraggio.
☐ Segmentazione di rete tra aree critiche e non critiche.
☐ Monitoraggio degli accessi cloud (MFA, log degli amministratori).
☐ Verifica crittografia dati in transito e a riposo su cloud.
☐ Presenza di un sistema di rilevamento intrusioni (IDS) o IPS.
☐ Piano di disaster recovery testato per infrastruttura cloud e rete.

Checklist pratica: Utilizzare un modello di autovalutazione (Self-Assessment Questionnaire)

Checklist pratica: Utilizzare un modello di autovalutazione (Self-Assessment Questionnaire)

Per iniziare il gap analysis in modo strutturato, le PMI possono utilizzare un questionario di autovalutazione basato sui requisiti NIS2. Questo strumento aiuta a mappare rapidamente lo stato attuale della sicurezza rispetto agli obblighi normativi.

Ecco un modello semplificato da compilare internamente:

• Governance e Gestione del Rischio: È presente una policy formale per la gestione dei rischi informatici? Chi è il responsabile designato (DPO o CISO)?
• Protezione delle Reti e Sicurezza dei Sistemi: Sono implementati firewall, sistemi di rilevamento intrusioni (IDS/IPS) e procedure di patch management?
• Gestione degli Incidenti: Esiste un processo definito per rilevare, segnalare e gestire gli incidenti informatici entro le tempistiche imposte (24h per la segnalazione iniziale)?
• Business Continuity e Disaster Recovery: Sono disponibili backup regolari, testati e conservati in loco remoto? Esiste un piano di ripristino delle attività?
• Sicurezza della Supply Chain: Vengono valutati i rischi informatici dei fornitori critici e dei partner tecnologici?
• Formazione del Personale: Il personale riceve formazione periodica su phishing, social engineering e sicurezza informatica?
• Audit e Verifica: È prevista una verifica periodica interna o esterna dei controlli di sicurezza?

Per ogni domanda, assegna un punteggio (es. 0 = Non Implementato, 1 = In Definizione, 2 = Implementato e Documentato). L’analisi dei punteggi bassi identificherà le criticità immediate su cui intervenire nella roadmap.

Phase 2: Roadmap Operativa – Dall’analisi all’azione

Phase 2: Roadmap Operativa – Dall’analisi all’azione

Superata la fase di analisi del gap, il vero discrimine tra il successo e il fallimento nella conformità NIS2 risiede nell’esecuzione pratica. Una roadmap operativa ben strutturata trasforma le scoperte teoriche della gap analysis in un piano d’azione concreto, misurabile e realistico. Questa fase non è solo tecnica, ma coinvolge aspetti organizzativi, procedurali e culturali che devono essere allineati per garantire una resilienza sostenibile.

Definizione delle priorità: dal caos al focus strategico

Dopo aver identificato le lacune nella gap analysis, il primo passo della roadmap è organizzare e priorizzare le azioni correttive. Non tutto ha la stessa urgenza o importanza. Si utilizza comunemente la matrice Eisenhower o un sistema di scoring che valuta l’impatto normativo, il rischio operativo e la complessità di implementazione. Per una PMI, è fondamentale categorizzare le azioni in tre macro-aree:

• Critical Compliance (Compilatoria): Azioni obbligatorie per legge con scadenze rigide. Ad esempio, la nomina dell’Organismo di Gestione della Sicurezza (responsabile designato), la redazione del registro degli asset IT e l’attivazione di procedure di segnalazione incidenti entro le tempistiche imposte (24h per il primo avviso, 72h per il report dettagliato). Queste sono le priorità assolute: il mancato adempimento comporta sanzioni dirette e responsabilità penali.
• High Impact (Strategica): Interventi che riducono significativamente il rischio ma richiedono investimenti o riprogettazioni. L’implementazione di una politica di backup e disaster recovery testata regolarmente o l’introduzione del multi-factor authentication (MFA) su tutti gli accessi privilegiati rientrano in questa categoria. Pur non essendo sempre obbligatori stricto sensu, sono considerati “misure tecniche e organizzative ragionevoli” dalla NIS2. La mancata adozione è equiparata a negligenza in caso di incidente.
• Low-Hanging Fruit (Facilitativa): Azioni a bassa complessità e basso costo con alto rapporto costo/beneficio. L’aggiornamento dei sistemi operativi, la disinstallazione di software non necessario o la formazione base di base sul phishing rientrano qui. Iniziare da questi progetti crea slancio e mostra progressi rapidi alla direzione.

È fondamentale che ogni azione sia assegnata a un proprietario specifico (un dipendente o un reparto) con scadenze chiare. L’obiettivo è trasformare la roadmap in un progetto gestionale eseguibile, non in una lista di desideri astratti. Perché non fermarsi al semplice elenco? Perché il tempo è un fattore critico: le PMI hanno tempo limitato per implementare le modifiche prima che le autorità di vigilanza inizino i controlli.

Stesura del piano di implementazione tecnico-organizzativo

La roadmap operativa deve tradurre le priorità in compiti specifici, suddivisi per aree: Sicurezza delle Reti, Gestione degli Incidenti, Business Continuity e Formazione. La NIS2 richiede una “linea guida sulla sicurezza dei sistemi informatici” dettagliata. Per una PMI, questo significa creare documenti operativi vivi, non archivio.

Un esempio pratico di implementazione nella fase tecnica:

• Segmentazione di Rete (Micro-segmentazione): Non serve un’architettura enterprise. Si inizia isolando il Wi-Fi degli ospiti dalla rete aziendale (VLAN separata) e proteggendo l’accesso al server di contabilità con firewall a livello applicativo (es. UTM o firewall di nuova generazione). L’obiettivo è contenere un eventuale breach, impedendo la laterale movement dei malware.
• Gestione delle Vulnerabilità e Patch Management: Stabilire un calendario mensile per l’aggiornamento di sistemi operativi, browser e software gestionale. Si può utilizzare software gratuito o a basso costo (come WSUS per Windows o strumenti di RMM) per automatizzare il processo. Questo soddisfa il requisito NIS2 di gestire i rischi noti.
• Backup e Ripristino: Implementare la regola 3-2-1 (3 copie dei dati, 2 su supporti diversi, 1 offsite/cloud). Testare il ripristino almeno trimestralmente. NIS2 richiede che i dati critici siano disponibili e che ci sia un piano per ripristinare le operazioni entro tempi definiti (RTO/RPO) in caso di attacco ransomware.

Nell’area organizzativa, la roadmap deve includere:

1. Definizione dei Ruoli e Responsabilità: Oltre al “Responsabile designate” (spesso l’amministratore di sistema o il titolare in PMI piccole), bisogna mappare chi fa cosa in caso di incidente. Chi contatta il fornitore? Chi gestisce la comunicazione interna? Chi compila il report per il CSIRT (Computer Security Incident Response Team) nazionale?
2. Formazione Obbligatoria: La NIS2 impone “formazione periodica” per tutto il personale e formazione specifica per dirigenti e responsabili. La roadmap deve prevedere corsi annuali (anche e-learning) su sicurezza informatica di base, phishing e social engineering. Per i vertici, è necessaria formazione specifica sulle responsabilità normative.
3. Monitoraggio e Audit Interno: Stabilire una frequenza di revisione (semestrale) per verificare che le misure implementate siano effettivamente operative e non solo teoriche.

Per rendere il processo sostenibile, consigliamo l’uso di strumenti di project management semplici (come Trello, Asana o un foglio di calcolo condiviso) per tracciare lo stato di avanzamento di ogni task. Ogni task deve avere: Descrizione, Proprietario, Scadenza, Risorse necessarie e Status (Da fare, In corso, Completato). Questa tracciabilità è cruciale non solo per l’implementazione, ma anche per dimostrare la “Due Diligence” in caso di controllo.

Timeline e risorse: dalla teoria alla realtà quotidiana

La realizzazione della roadmap richiede una pianificazione temporale realistica che tenga conto delle risorse disponibili. Per una PMI, spesso non esiste un dipartimento IT dedicato; le risorse sono limitate e i budget ristretti. Ecco un esempio di timeline accelerata (massimo 9 mesi) per adempiere agli obblighi base della NIS2:

• Mesi 1-2 (Preparazione e Nomina): Formalizzazione del Documento di Sicurezza, nomina del Responsabile, definizione della policy di sicurezza. Completare la gap analysis tecnica approfondita.
• Mesi 3-4 (Hardening Base): Applicazione delle patch critiche, configurazione del firewall, attivazione del MFA su tutti gli account amministrativi e cloud. Implementazione del backup verificato.
• Mesi 5-7 (Sviluppo Processi): Creazione del piano di risposta agli incidenti (template di reporting), formazione obbligatoria del personale, definizione dei criteri di classificazione degli incidenti.
• Mesi 8-9 (Audit e Certificazione): Esecuzione di un test di simulazione di incidente (tabletop exercise), revisione finale del sistema, preparazione della documentazione per l’eventuale audit esterno richiesto per specifici settori o contratti.

Riguardo alle risorse economiche, la NIS2 non specifica budget minimi, ma richiede che le misure siano “ragionevoli” e “proporzionate al rischio”. Tuttavia, i costi indiretti derivanti da un incidente non mitigato (multe fino al 2% del fatturato globale, danni reputazionali, costi di ripristino) superano di gran lunga l’investimento in prevenzione. Le PMI devono allocare risorse per:

1. Strumenti: Licenze software di sicurezza (antivirus EDR, firewall UTM), servizi cloud (backup offsite, gestione identità).
2. Formazione: Budget per corsi interni o esterni.
3. Consulenza: Se l’expertise interna manca, l’acquisto di ore di consulenza esterna specializzata è spesso la scelta più economica a medio termine rispetto all’assunzione di personale.

Per ottimizzare le risorse, molte PMI scelgono soluzioni “as-a-service” (es. SOC-as-a-Service o MSSP) che offrono sorveglianza e risposta agli incidenti a un costo mensile prevedibile, coprendo spesso il requisito di monitoraggio continuo richiesto dalla normativa.

Formazione e sensibilizzazione: il fattore umano al centro

La NIS2 è chiara: il fattore umano è la prima linea di difesa e, spesso, il punto debole. La roadmap deve prevedere un programma di formazione strutturato che vada oltre il semplice “corso annuale”. La sensibilizzazione deve essere costante e contestuale. Per le PMI, si consiglia un approccio scalabile:

1. Formazione Iniziale (Kick-off): Al termine della fase di implementazione tecnica (Mese 6), si tiene un workshop di mezza giornata per tutto il personale. Si spiega perché la sicurezza è importante (collegandola alla sopravvivenza dell’azienda), si mostrano esempi pratici di minacce (phishing, smishing) e si illustrano le nuove procedure di reporting.
2. Formazione Mirata per Ruoli Sensibili: Dirigenti, responsabili dell’IT e del personale devono ricevere formazione aggiuntiva sulle responsabilità legali, sulle sanzioni personali (la NIS2 prevede sospensioni dall’incarico e divieti di amministrazione) e sulla gestione della crisi.
3. Micro-learning e Simulazioni: Invece di lunghi corsi, inviare mensilmente brevi newsletter o quiz interattivi via email per testare la vigilanza (es. “Questa email di phishing è riconoscibile?”). Eseguire simulazioni di phishing due volte l’anno per misurare il tasso di click e fornire feedback immediati.

Un punto cruciale spesso trascurato è la formazione sui processi di segnalazione. Il personale deve sapere esattamente a chi rivolgersi (e cosa dire) nel minuto in cui sospettano un problema. Creare un “kit di pronto soccorso informatico” (una pagina A4 cartacea o digitale) da affiggere in ufficio o salvare sul desktop può fare la differenza tra un incidente contenuto e una violazione massiva. Ricorda: la NIS2 richiede che il personale sia formato “periodicamente” e che i dirigenti siano consapevoli delle loro responsabilità; la formazione non è un evento monolitico, ma un processo continuo.

Mantenimento e miglioramento continuo: non fermarsi alla compliance

Adottare la roadmap operativa non segna la fine del viaggio NIS2, ma l’inizio di un ciclo di vita della sicurezza continua. Il rischio cibernetico è dinamico; le minacce evolvono e le norme vengono aggiornate. La roadmap deve includere una fase di “Maintenance & Improvement” con cadenza almeno semestrale. Questo include:

• Revisione delle Policy: Aggiornare il documento di sicurezza man mano che l’azienda cresce, adotta nuovi strumenti o cambia i fornitori. Se si migra a Microsoft 365 o Google Workspace, le policy devono riflettere le nuove configurazioni di sicurezza (es. DLP, crittografia).
• Review degli Incidenti (Post-Mortem): Ogni volta che si verifica un evento di sicurezza (anche un falso positivo), va condotta un’analisi per capire cosa ha funzionato, cosa no e come migliorare la risposta. Questo è un requisito implicito della capacità di resilienza richiesta dalla normativa.
• Audit di Terze Parti e Supply Chain: La NIS2 impone di valutare i rischi derivanti dai fornitori critici. La roadmap deve prevedere una valutazione annuale dei propri fornitori IT, cloud e logistici. È necessario verificare che anche loro siano compliant o che abbiano misure di sicurezza equivalenti.
• Messa a jour normativa: Il quadro giuridico cambia (es. aggiornamento delle linee guida ENISA o del decreto attuativo italiano). È fondamentale che il responsabile designato riceva aggiornamenti periodici o si affidi a un consulente esterno per monitorare le novità.

Per le PMI, l’automazione è l’amica. Utilizzare strumenti che generano report automatici di vulnerabilità o di compliance (come quelli inclusi nelle suite di sicurezza endpoint) riduce il carico di lavoro manuale e garantisce una visione costante dello stato di sicurezza. L’obiettivo finale della roadmap operativa NIS2 non è solo evitare le multe, ma costruire un’organizzazione più resiliente, capace di reagire rapidamente e di proteggere i propri asset, la propria reputazione e la continuità operativa in un panorama digitale sempre più ostile.

Checklist operativa finale per la validazione della roadmap

Prima di considerare conclusa la fase operativa, esegui questo controllo finale per assicurarti che la tua roadmap sia completa e pronta per l’esecuzione:

• [ ] Proprietari identificati: Ogni azione nella roadmap ha un nominativo specifico responsabile dell’esecuzione.
• [ ] Scadenze reali: Le date di completamento sono state fissate tenendo conto delle risorse effettive (non ottimistiche).
• [ ] Budget allocato: È stato stanziato il budget necessario per strumenti, formazione e consulenze.
• [ ] Metriche di successo: Come misurerai il successo di ogni azione? (Es. “100% dei dipendenti formato”, “Backup testato con successo”, “Zero vulnerabilità critiche aperte”).
• [ ] Simulazione di incidente pianificata: Hai fissato una data per il primo tabletop exercise (entro 6 mesi dall’implementazione).

Conclusioni: Dall’analisi all’azione concreta

La fase di Roadmap Operativa è dove la teoria della sicurezza informatica diventa pratica aziendale. Trasformare i risultati della gap analysis in un piano strutturato richiede disciplina, priorità chiare e una comprensione profonda dei propri processi di business. Per le PMI, il segreto non è implementare complesse soluzioni enterprise, ma adottare misure robuste, sostenibili e documentate che riducano effettivamente il rischio.

Ricorda: la conformità NIS2 non è un progetto con una data di scadenza, ma un cambiamento culturale verso una gestione più sicura e consapevole del rischio cibernetico. Seguendo una roadmap chiara, la tua azienda non solo risponderà ai requisiti normativi, ma costruirà una solida reputazione di affidabilità e resilienza digitale.

Primi 30 giorni: Governance e Design della strategia

Giorni 30-90: Implementazione tecnica e aggiornamento organizzativo

Giorni 90-180: Formazione del personale e test delle procedure

Oltre il 180esimo giorno: Audit, certificazioni e manutenzione continua

Focus Tecnico: I 10 Pilastri tecnici della NIS2 per le PMI

Gestione delle vulnerabilità e patch management automatizzato

Crittografia e back-up regolari: Strategie di disaster recovery

Autenticazione multifattore (MFA) e gestione degli accessi privilegiati

Cybersecurity basata su Zero Trust: Realistica per una PMI?

Segmentazione di rete: Come isolare i sistemi critici

Costi e Investimenti: Budgeting per l’adeguamento NIS2 in PMI

Analisi Costi-Benefici: Costo della non conformità vs investimento in sicurezza

Opzioni di outsourcing: MSP (Managed Service Provider) vs Soluzioni In-house

Finanziamenti e Agevolazioni: Credito d’imposta e fondi PNRR per la cybersicurezza

Requisiti di Reporting e Notifica incidenti

Definizione di ‘Incidente Significativo’ per le PMI

Il processo di notifica al CSIRT Italia (ACN)

Template di comunicazione: Cosa includere nella segnalazione?

Case Study: Trasformazione di una PMI manifatturiera

Scenario A: Il contesto e la Gap Analysis iniziale

Scenario B: L’implementazione della roadmap e gli ostacoli riscontrati

Risultati: Conformità raggiunta e aumento della resilienza operativa

Allineando i processi con la direttiva NIS2, la tua PMI non solo garantisce la conformità normativa, ma costruisce un vantaggio competitivo tangibile. L’output del gap analysis e della roadmap è un sistema di sicurezza proattivo, documentato e collaudato.

Il risultato: zero sanzioni, una reputazione rafforzata verso clienti e partner, e una resilienza operativa che ti protegge da downtime e violazioni, garantendo continuità e fiducia nel business.

Conclusioni e Checklist Finale per la Conformità

L’adeguamento NIS2 per le PMI rappresenta una sfida gestibile, non un ostacolo insormontabile. Per garantire la continuità operativa e tutelare il business dalle minacce informatiche, l’approccio strutturato e costante è fondamentale. Completata la gap analysis e definita la roadmap, l’obiettivo finale è integrare la sicurezza informatica nella cultura aziendale. Questo processo non si conclude con la semplice adozione di strumenti tecnologici, ma richiede un impegno continuo da parte di tutto il team. Ricordate sempre che la conformità è un viaggio, non una destinazione, e che la resilienza cibernetica è un vantaggio competitivo.

Checklist Finale per la Verifica della Conformità:

• Registrazione: Verificare l’iscrizione all’albo dei soggetti obbligati presso l’ACN entro i termini stabiliti.
• Policy Documentate: Assicurarsi che tutte le procedure di sicurezza (cybersecurity, gestione incidenti, formazione, controlli supply chain) siano formalizzate, approvate dalla direzione e comunicate agli staff.
• Formazione Aggiornata: Confermare la partecipazione di tutti i dipendenti e dirigenti ai corsi di consapevolezza NIS2 e il relativo registro di presenza.
• Continuity Plan: Avere un piano testato di backup e disaster recovery, con tempistiche di ripristino definite e documentate.
• Audit di Terze Parti: Verificare il contratto con l’auditor indipendente per l’effettuazione della verifica biennale (obbligatoria per le PMI designate come “Essenziali”).
• Reporting: Avere procedure chiare per la notifica di incidenti significativi alla CSIRT Italia entro 24 ore (per la prima segnalazione) e 72 ore (per il report dettagliato).

Domande Frequenti (FAQ)

Una PMI sotto i 50 dipendenti è esente dalla NIS2?

Non necessariamente. La NIS2 prevede obblighi per le ‘PMI Importanti’. Se la tua PMI opera in un settore critico (es. energia, trasporti, sanità, produzione di componenti sanitari critici) o è un fornitore essenziale per un’entità sopra soglia, potresti comunque essere soggetto agli obblighi, indipendentemente dal numero di dipendenti. È fondamentale verificare l’inclusione nei registri ministeriali.

Quali sono le sanzioni per la non conformità al D.Lgs. 52/2024?

Le sanzioni amministrative pecuniarie possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale annuale (se superiore). Per i dirigenti, vi sono sanzioni specifiche che possono includere la sospensione dall’incarico. L’Autorità di Regolazione (ACN) può anche imporre misure correttive.

Quanto tempo impiega una PMI tipica per adeguarsi alla NIS2?

Una PMI media, partendo da un livello base di sicurezza, impiega solitamente tra i 6 e i 12 mesi per completare la Gap Analysis e implementare la roadmap operativa. Le PMI con scarse misure di sicurezza potrebbero richiedere fino a 18 mesi. L’approccio a step consigliato permette di ottenere risultati parziali già dopo i primi 3 mesi.

La NIS2 si applica anche alle aziende agricole o al settore food?

Sì, il settore alimentare è incluso nella NIS2. Le PMI che producono, elaborano o distribuiscono alimenti e bevande sono considerate essenziali, specialmente se fanno parte di una catena di fornitura di grandi dimensioni o gestiscono sistemi automatizzati critici.

È necessario assumere un DPO (Data Protection Officer) anche per la NIS2?

La NIS2 richiede la designazione di un responsabile della sicurezza informatica (che può coincidere con il titolare o un dipendente), ma non obbliga specificamente un DPO come nel GDPR. Tuttavia, per le PMI, è buona norma designare un interno o esterno (CISO-as-a-Service) che supervisi il programma di sicurezza.

Contattaci

contattaci per saperne di più