Un consiglio di amministrazione può approvare un piano cyber e scoprire, durante un incidente, che nessuno sa quale servizio debba ripartire per primo. Il decreto legislativo 138/2024 non riduce NIS2 a un elenco di strumenti: collega attività, governance, misure, notifica e catena di fornitura. Nel 2026 il problema commerciale più utile non è vendere “la conformità NIS2”, ma aiutare un soggetto a dimostrare come protegge un servizio concreto e chi decide quando qualcosa fallisce. Il primo acquisto è una revisione di un’attività, un servizio essenziale per quella attività e il relativo fascicolo di prove. Questa lettura segue quel servizio dalla qualificazione alla risposta all’incidente, distingue i calendari comunicati dall’ACN per le diverse coorti e mostra come costruire un presidio ricorrente senza promettere classificazione, conformità o assenza di incidenti.
Da quale attività comincia la qualificazione NIS2?
La qualificazione NIS2 comincia dall’attività realmente svolta, dal settore e sottosettore previsti dal decreto, dalla dimensione e dalle regole speciali applicabili. Codice ATECO, sito web o appartenenza a un gruppo aiutano la ricerca, ma nessuno di questi elementi decide da solo l’inclusione.
Il dossier descrive servizio, destinatari, territorio, entità giuridica e ruolo nella catena. Poi collega ogni criterio alla fonte e registra le eccezioni. Se il perimetro rimane dubbio, la consegna non forza una risposta: prepara il quesito per il legale o per l’autorità competente.
- Attività e clienti serviti
- Servizio e risultato da preservare
- Sistemi, dati, persone e sedi
- Fornitori e dipendenze non fungibili
- Misure, incidenti, decisioni ed evidenze
Perché “essenziale” e “importante” non descrivono il valore commerciale dell’impresa?
Soggetto essenziale e soggetto importante sono categorie giuridiche determinate dal quadro NIS e dalle comunicazioni dell’ACN; non sono giudizi sulla reputazione o sulla dimensione commerciale. La categoria influenza supervisione e misure applicabili, mentre il lavoro operativo deve comunque partire dai servizi e dai rischi reali.
Un gruppo può contenere più entità, attività e categorie. La mappa evita che una comunicazione ricevuta da una società venga estesa automaticamente a tutte le controllate o che un fornitore si autodefinisca soggetto NIS perché serve un cliente incluso.
- Entità giuridica e stabilimento
- Attività e settore del decreto
- Dimensione, eccezioni e regole speciali
- Comunicazione ed elenco ACN
Che cosa deve consegnare la prima revisione acquistabile?
La prima revisione deve consegnare, per un’attività e un servizio, la motivazione del perimetro, una mappa delle dipendenze, l’elenco delle misure applicabili, le prove disponibili, le lacune, i responsabili e un piano di novanta giorni. Non deve promettere un certificato NIS2, che il decreto non trasforma in prodotto commerciale.
Il cliente porta la comunicazione ACN, se ricevuta, l’organigramma, una descrizione del servizio, inventari esistenti, piani e contratti principali. L’analisi lavora per campione: una funzione delimitata rende visibili le difficoltà che un programma enterprise potrebbe nascondere per mesi.
Quali decisioni spettano agli organi di amministrazione e direzione?
Gli organi di amministrazione e direzione devono approvare le modalità di attuazione delle misure, sovrintendere agli obblighi e ricevere formazione secondo il decreto. Possono assegnare attività operative, ma non trasformare la cybersicurezza in una responsabilità esclusiva del responsabile IT.
La revisione prepara un “foglio decisione” di una pagina: servizio, rischio, misura, proprietario, prova, eccezione e scelta richiesta. Il board non deve leggere ogni log; deve comprendere quali rischi accetta, quali risorse autorizza e come controllerà l’esecuzione.
| Decisione | Domanda del board | Prova attesa |
|---|---|---|
| Priorità del servizio | Che cosa non può fermarsi? | Mappa e impatto |
| Trattamento del rischio | Che cosa riduciamo o accettiamo? | Piano approvato |
| Ruoli | Chi decide e chi esegue? | Deleghe e RACI |
| Controllo | Come sappiamo che funziona? | Test, metriche, eccezioni |
Come si trasforma una misura ACN in una prova operativa?
Una misura diventa operativa quando possiede ambito, proprietario, procedura, frequenza, evidenza e criterio di eccezione. Una policy firmata dimostra un’intenzione; inventari, configurazioni, test, verbali e ticket mostrano se il controllo esiste nel servizio analizzato.
La gap analysis non usa colori senza spiegazione. Per ogni misura distingue “non applicabile motivato”, “progettato”, “attuato”, “testato” e “da correggere”. Le specifiche di base ACN sono il riferimento corrente, ma il calendario va collegato alla coorte e alla comunicazione ricevuta, non copiato da una slide generica.
- Policy approvata
- Procedura assegnata
- Controllo attuato
- Evidenza conservata
- Test ed eccezione riesaminati
Quale calendario deve seguire un soggetto incluso nel 2025 o nel 2026?
Il calendario dipende dall’anno di prima inclusione e dalle determinazioni ACN vigenti. I soggetti già presenti nella coorte 2025 conservano le scadenze comunicate per notifiche e misure; quelli inseriti per la prima volta nel 2026 seguono i termini specifici stabiliti nel 2026. La data del decreto, da sola, non basta.
La scheda di lavoro registra data di registrazione, comunicazione, categoria, referente CSIRT, aggiornamento annuale, obblighi di notifica e termine delle misure. Se manca una comunicazione, il consulente non inventa una scadenza: prepara una richiesta di chiarimento e continua il lavoro sulle capacità operative utili.
Come deve funzionare la catena di notifica di un incidente?
La catena deve riconoscere un evento, valutarne la significatività secondo i criteri applicabili, attivare il referente, conservare le informazioni e rispettare le fasi e i tempi di notifica previsti. Non basta possedere un indirizzo del CSIRT: persone e fornitori devono sapere chi chiama chi durante le prime ore.
Un table-top exercise su un solo scenario verifica reperibilità, informazioni disponibili e decisioni. Il test non cerca un team perfetto: identifica dove la catena si spezza prima di un incidente reale.
- Rilevazione e triage
- Valutazione del servizio colpito
- Escalation al referente CSIRT
- Notifiche secondo soglia e termine applicabili
- Aggiornamenti, relazione e lezioni apprese
Perché i fornitori rilevanti sono diventati una domanda di mercato?
I fornitori diventano rilevanti quando sostengono attività o servizi NIS, soprattutto se l’interruzione avrebbe un impatto significativo o l’alternativa è difficile. Nel 2026 l’aggiornamento delle informazioni sulla supply chain rende acquistabile una mappa fornitori-servizi-prove, distinta da un questionario identico per tutti.
La priorità nasce dalla dipendenza, non dalla spesa. Un piccolo servizio DNS o una manutenzione OT può essere più determinante di un grande contratto sostituibile. Il soggetto NIS conserva la decisione e documenta come il contratto, il monitoraggio e l’uscita sostengono il servizio.
Quale servizio ricorrente segue il fascicolo iniziale?
Il servizio ricorrente aggiorna perimetro, servizi, misure, prove, incidenti, fornitori e decisioni del board. Riesamina le eccezioni e prepara test periodici, evitando che il fascicolo diventi una fotografia prodotta una volta per una scadenza.
Il ritmo segue i cambiamenti: nuovo fornitore, acquisizione, incidente, aggiornamento ACN, lancio di servizio o modifica infrastrutturale. Ogni ciclo termina con poche decisioni attribuite, non con un report sempre più lungo.
Quando l’offerta NIS2 è pronta per essere promossa?
L’offerta è pronta quando specifica soggetto pagante, servizio campione, competenze legali e tecniche, documenti richiesti, piano di novanta giorni, prezzo, capacità ed escalation. Resta in HOLD se vende una certificazione inesistente, attribuisce il perimetro da dati pubblici o garantisce conformità e sicurezza.
Prima del lancio H3 verifica fonti, confini di responsabilità, disponibilità del partner e una missione comparabile. L’urgenza normativa non compensa un’offerta che nessuno sa consegnare.
GetFishNet può costruire una strategia di acquisizione su questa decisione?
GetFishNet può tradurre il primo acquisto in una strategia multicanale, trovare i segnali che precedono la decisione e qualificare il bisogno prima dell’incontro commerciale. Il test di eleggibilità gratuito verifica se i pain point attuali, l’offerta e la capacità creano una reale sinergia di sviluppo.
La strategia resta specifica al partner e al mercato. Se la prima missione è troppo ampia, la riduciamo; se manca un confine professionale o operativo, il verdetto può restare negativo.
Autorità considerate
Il dossier privato conserva il decreto legislativo 138/2024, la direttiva NIS2, le determinazioni e le indicazioni operative dell’ACN e il regolamento tecnico europeo per le categorie digitali pertinenti. Le URL non sono esposte nel testo pubblico.
Tutte le analisi di mercato.
Questa finestra è richiusa. La vostra no.
Il rapporto identifica quella aperta per la vostra pratica, la quantifica e dice se merita di essere colta.