ITSOS offre gap analysis e supporto tecnico per l'adeguamento al D.lgs. 138/2024 (NIS2 Italia) per PMI fornitrici essenziali o importanti. Inventario asset, controlli tecnici e documentazione — non sostituisce consulenza legale o DPO. Milano, Bologna, Torino, Emilia e Lombardia.
Dipende da settore e ruolo nella catena di fornitura; triage iniziale con ITSOS.
No. Prepara controlli e documentazione tecnica per audit di terze parti.
Cybersecurity · NIS2 · D.lgs. 138/2024 · PMI italiane
PILLAR · NIS2 · D.LGS. 138/2024
Il cliente automotive chiede il questionnaire. Il portale ACN chiede l’autocensimento. Il CDA chiede “siamo a posto?”. La risposta non è un altro firewall: è sapere dove sei esposto, in che ordine agire, e cosa puoi mostrare per iscritto.
Hai messo MFA su Microsoft 365. Hai un firewall che “va bene”. Forse hai già comprato un pacchetto policy NIS2 online o sentito dal commercialista che “bisogna registrarsi sull’ACN”. Eppure arriva la mail del cliente importante: compilate il questionario cybersecurity entro Q3, oppure non risultate idonei come fornitore.
Non è che non ci hai provato. È che nessuno ti ha mai dato una mappa tecnica collegata agli obblighi reali (art. 24, misure di gestione del rischio, evidenze sui sistemi, supply chain), invece di un PDF generico o di un preventivo SOC da trentaseimila euro all’anno che il CDA non firmerà mai.
ITSOS lavora con PMI manifatturiere e fornitrici B2B del centro-nord (Lombardia, Emilia-Romagna, Veneto, Friuli) con lo stesso problema: tradurre la NIS2 in passi concreti, con documenti che reggono davanti al board, al cliente e al broker. Senza venderti paura e senza promettere certificazioni che non rilasciamo.
Se ti riconosci in questa scena, il resto della pagina è per te. Se cerchi solo un template Word, probabilmente non siamo il fornitore giusto — e risparmiamo tempo a entrambi.
La NIS2 in Italia è recepita con il D.lgs. 138/2024. Non serve essere una multinazionale per sentirne gli effetti: catene di fornitura, clienti grandi, settori essenziali o importanti, soglie di dimensione.
Auto-check (orientativo — non sostituisce consulenza legale):
Se hai risposto sì a (1) o (2) e stai già sentendo (3), non sei in ritardo. Ma ogni mese senza mappa tecnica è un mese in cui firmi risposte alla cieca.
Il test sopra non determina da solo la categoria NIS2 (essenziale vs importante): per quello serve l’autocensimento e la valutazione del tuo consulente legale. Noi ci occupiamo del pezzo tecnico-operativo che va dietro.
Scarica la guida ITSOS alla sicurezza digitale d’impresa — panoramica NIS2 in linguaggio chiaro (PDF, 6–10 pagine, divulgativo).
CTA: “Scopri se la tua azienda rientra in NIS2: scarica la guida” → form nome, email, azienda · tag leadmagnet:guida-sicurezza
Molti approcci si fermano al pacchetto documentale: policy, registro, nomine. Tutto necessario, ma il D.lgs. 138/2024 e le linee ACN chiedono anche gestione del rischio informatico tradotta in controlli su sistemi reali: identità, backup, logging, patch, incidenti, supply chain.
Due figure che confondono (in una frase ciascuna):
Non devi capire tutto il decreto a memoria: devi avere un partner tecnico che ti traduce gli obblighi in stato dei sistemi + piano prioritizzato.
Cosa NON fa ITSOS (per chiarezza):
Fonti: D.lgs. 138/2024 · Portale ACN — registrazione e autocensimento
Il problema non è che “non ti importa della sicurezza”. È che il mercato ti ha offerto per anni prodotti al posto di un percorso:
Il nemico non è il tuo IT interno. È la falsa sicurezza da acquisto-prodotto: un altro tool, un altro abbonamento, un altro PDF — senza la sequenza vedi → capisci → pianifichi → esegui.
Monitoring passivo: cosa succede su firewall, server critici, AD.
Non è un SOC che ti inonda di alert: è visibilità proporzionata, da indicativo 50–400 €/mese.
→ 003 Intelligence
Monitoring passivo: cosa succede su firewall, server critici, AD.
Non è un SOC che ti inonda di alert: è visibilità proporzionata, da indicativo 50–400 €/mese.
→ 003 Intelligence
Vulnerability assessment + gap analysis NIS2 sul perimetro reale (non template).
Output: Security Status Report firmato — priorità, evidenze art. 24, finding tecnici.
Prima volta nel testo: Analisi attiva (Audit) — stessa cosa, due parole per chi cerca su Google.
Vulnerability assessment + gap analysis NIS2 sul perimetro reale (non template).
Output: Security Status Report firmato — priorità, evidenze art. 24, finding tecnici.
Prima volta nel testo: Analisi attiva (Audit) — stessa cosa, due parole per chi cerca su Google.
Traduzione in passi, costi e ordine: approvazione CDA prima delle ore di remediation.
Il piano lo può eseguire il tuo IT interno (anche con ausilio AI sulle istruzioni); il network ITSOS interviene dove serve capacity.
Traduzione in passi, costi e ordine: approvazione CDA prima delle ore di remediation.
Il piano lo può eseguire il tuo IT interno (anche con ausilio AI sulle istruzioni); il network ITSOS interviene dove serve capacity.
Esecuzione coordinata: segmentazione, backup immutabile, IAM, patch critiche, documentazione per questionnaire e ACN.
Spesso in collaborazione con il tuo MSP storico — noi dirigiamo, non sostituiamo chi conosce il gestionale.
Perché è diverso: chi scrive il gap e il piano non guadagna automaticamente sulle ore di esecuzione — diagnosi e vendita remediation restano separati.
È il nostro modello operativo, non uno slogan.
Esecuzione coordinata: segmentazione, backup immutabile, IAM, patch critiche, documentazione per questionnaire e ACN.
Spesso in collaborazione con il tuo MSP storico — noi dirigiamo, non sostituiamo chi conosce il gestionale.
Perché è diverso: chi scrive il gap e il piano non guadagna automaticamente sulle ore di esecuzione — diagnosi e vendita remediation restano separati.
È il nostro modello operativo, non uno slogan.
| Servizio | A cosa serve nella NIS2 |
|---|---|
| Gap analysis NIS2 (D.lgs. 138/2024) | Mappa obblighi vs stato reale |
| Vulnerability assessment + report tecnico | Evidenze su infrastruttura e applicativi |
| Penetration test (web, infra) | Validazione esposizione esterna / critica |
| Remediation Plan (Allegato I/II) | Piano prioritizzato per il CDA |
| Hardening (sprint 30 gg o modulare) | Chiusura finding ad alta priorità |
| 003 Intelligence | Monitoring continuo post-adeguamento |
| Supporto incident response | Supporto notifica ACN (entro SLA concordato) |
| Formazione awareness | Obblighi NIS2 per utenti e management |
| Relazione annuale | Supporto organi di vigilanza / aggiornamento |
Non devi comprare tutto insieme: il preventivo definisce scope in base a dove sei oggi e cosa chiede il tuo cliente.
Il deliverable centrale è un Security Status Report firmato dal consulente ITSOS, non un foglio Excel anonimo.
Contiene tipicamente:
Serve a te, al CDA, al legale e al broker cyber — ognuno legge la parte che gli compete.
Scenario operativo tipico (PMI manifatturiera tier-2, Emilia-Romagna — pattern validato owner, non case nominale):
Numeri e tempi sono orientativi; il tuo perimetro può essere più snello o più complesso (OT, multi-sede, cloud ibrido).
Risultato business tipico: mantenere status fornitore su commessa rilevante; polizza cyber rinnovata con evidenze; CDA che vede uno scritto invece di slide generiche.
“L’analisi di audit è stata una sorpresa: abbiamo imparato così tante cose che ignoravamo completamente. Dovrebbero farlo tutte le aziende. L’informatica è più complessa di quanto si crede — ci vogliono esperti che abbiano la passione per queste cose.”
| Servizio | Fascia indicativa |
|---|---|
| Gap analysis NIS2 (50–100 dip.) | 3.500 – 6.000 € |
| Vulnerability assessment (una tantum) | 1.500 – 3.500 € |
| Penetration test (per ciclo) | 3.000 – 8.000 € |
| Remediation Plan | 2.500 – 6.000 € |
| Hardening sprint 30 gg | 6.000 – 18.000 € |
| 003 Intelligence | 50 – 400 €/mese (tier) |
| Formazione awareness (sessione) | 600 – 1.200 € |
Non offriamo “audit gratuito” come esca commerciale. Call di scope o form strutturato; per urgenze → Emergency Hotline.
Non rilasciamo certificazioni ACN. Relazione tecnica di supporto.
No. Rilasciamo documentazione tecnica di consulenza (report, gap, piani). Per certificazioni ISO 27001 o simili, rivolgiti a organismi accreditati (es. Accredia).
Per la parte normativa e organizzativa, sì, sono indispensabili. Per art. 24 e evidenze sui sistemi, serve il pezzo tecnico. Lavoriamo insieme a loro, non al posto.
Dipende dal cliente: alcuni RFP chiedono ISO, la legge chiede NIS2 se rientri. Spesso conviene evidenze NIS2 operative prima di un percorso ISO lungo e costoso.
È documentazione di supporto al tuo adempimento: non è un “sigillo” ACN. L’ACN non certifica il tuo fornitore di consulenza.
Spesso sì, con un assessment mirato sul perimetro che il questionnaire chiede: te lo diciamo in preventivo se ha senso.
Sì. Idealmente: MSP su operatività quotidiana, ITSOS su gap indipendente e piano, poi esecuzione coordinata.
Non competiamo sul SOC enterprise. Competiamo su PMI che vogliono chiarezza, modularità e italiano: senza FUD.
Te lo diciamo in call se non è adatto al tuo caso (“prodotto sbagliato per quello che ti serve”). Non siamo obbligati a integrarlo.
—
ITSOS opera come consulente tecnico informatico indipendente. Le relazioni e i report rilasciati hanno natura di documentazione tecnica di consulenza, a supporto del cliente nell’adempimento dei propri obblighi normativi e nella propria documentazione interna. Per certificazioni di terza parte ai sensi del Reg. UE 765/2008 (es. ISO/IEC 27001), i clienti sono invitati a rivolgersi agli organismi accreditati Accredia.
