Bitwire Home

NIS2 · D.Lgs. 138/2024

Adeguamento NIS2 con il lavoro tecnico incluso

Verifichiamo se la NIS2 ti riguarda, confrontiamo l'azienda con le misure di base ACN e poi chiudiamo i gap: MFA, backup, procedure per gli incidenti, controllo dei fornitori. Alla fine hai documenti che descrivono controlli che esistono davvero.

Prenota un audit gratuitoChiama 0423 432770
Gap analysis
2–3 settimane
Aree coperte
Tutte le 10 dell'art. 21
Per chi
Soggetti NIS2 e fornitori

Gli strumenti che usiamo

  • SentinelOne

    Rilevamento e risposta

  • Palo Alto Networks

    Segmentazione, log

  • Microsoft Entra ID

    Identità, MFA

  • Bitwarden

    Credenziali

  • Proxmox Backup Server

    Backup fuori sede, immutabile

  • Defense Grid

    La nostra blocklist IP

I controlli tecnici dietro i documenti. Gran parte vale anche come evidenza per ISO 27001 e per gli audit dei clienti.

Il problema

La NIS2 arriva ad aziende che non se lo aspettavano

L'Italia ha recepito la direttiva NIS2 con il Decreto Legislativo 138/2024, in vigore dal 16 ottobre 2024. Copre molti più settori della vecchia NIS, tra cui fabbricazione di macchinari, elettronica, veicoli, alimentare, chimica, gestione dei rifiuti e logistica. Le aziende coinvolte si sono registrate sul portale ACN e ora devono applicare misure di sicurezza e notificare gli incidenti significativi.

Le aziende più piccole non sono escluse. I soggetti NIS2 devono verificare la sicurezza dei propri fornitori, quindi un terzista veneto di 30 persone può ricevere lo stesso questionario di un grande stabilimento. Per rispondere con onestà, i controlli devono esserci.

  • Gli incidenti significativi vanno notificati al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore
  • Gli organi di amministrazione devono approvare le misure e possono essere ritenuti responsabili
  • Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato per i soggetti essenziali, 7 milioni o 1,4% per gli importanti
  • I questionari ai fornitori arrivano anche ad aziende ben sotto le soglie dimensionali

Cosa comprende l'adeguamento

Siamo ingegneri, quindi ci concentriamo su controlli che funzionano. Per i pareri legali lavoriamo con il tuo avvocato o consulente.

Verifica dell'ambito

Settore, dimensione e ruolo nella catena di fornitura: se sei un soggetto essenziale o importante, o coinvolto come fornitore.

Gap analysis

La situazione attuale confrontata con le misure di base ACN, area per area, con evidenze e un punteggio da seguire nel tempo.

Piano di adeguamento

Un elenco in ordine di priorità con impegno e costo per ogni voce, così la direzione approva con numeri veri.

Interventi tecnici

MFA, EDR, backup, log, segmentazione di rete, gestione delle vulnerabilità. Li facciamo noi, non li deleghiamo.

Procedura incidenti

Chi decide, chi chiama chi, cosa va al CSIRT entro 24 e 72 ore. Provata una volta con il tuo team.

Formazione per direzione e personale

Una sessione breve per la direzione sui suoi obblighi e formazione anti-phishing per il personale.

Come lavoriamo

Dall'incertezza a un piano difendibile

La maggior parte delle aziende completa l'analisi in due o tre settimane, con poche ore di impegno del personale.

  1. 011 chiamata

    Verifica dell'ambito

    Una chiamata e un breve questionario. Capisci se la NIS2 ti riguarda direttamente, indirettamente o per niente.

  2. 021 settimana

    Raccolta evidenze

    Guardiamo sistemi e documenti esistenti e parliamo con chi li gestisce. Niente moduli da cento pagine.

  3. 031–2 settimane

    Report dei gap

    Risultati per area, livello di rischio e piano di adeguamento con i costi. Scritto per essere letto dalla direzione.

  4. 041–6 mesi

    Adeguamento

    Realizziamo le misure tecniche e scriviamo insieme a te policy e procedure.

  5. 05annuale

    Mantenimento

    Revisione annuale, aggiornamenti sul portale ACN, questionari dei clienti compilati con le evidenze.

Cosa ricevi

Una gap analysis da portare in CdA e ai tuoi clienti

Situazione

Un parere sull'ambito: soggetto NIS2 diretto, coinvolto come fornitore o escluso, con il ragionamento messo per iscritto.

Cosa abbiamo fatto

I risultati per ciascuna delle dieci aree dell'articolo 21, ognuno con evidenza, rischio e la modifica concreta da fare.

Risultato

Un piano di adeguamento con i costi e una sintesi utile per rispondere ai questionari dei clienti.

10
Aree di misure analizzate
24 h
Pre-notifica al CSIRT
72 h
Notifica completa dell'incidente
1 mese
Relazione finale

Guida

NIS2 in Italia: cosa devono sapere le PMI

Chi rientra nella NIS2

In linea generale la NIS2 si applica alle medie e grandi imprese (da 50 dipendenti oppure 10 milioni di euro di fatturato e bilancio) dei settori elencati negli allegati I e II del decreto. Alcuni soggetti rientrano a prescindere dalla dimensione, come i fornitori di servizi DNS o gli unici fornitori di un servizio essenziale. Stare sotto le soglie non vuol dire non essere toccati: se i tuoi clienti sono soggetti NIS2, ti trasferiranno i requisiti per contratto.

Le dieci aree di misure di sicurezza

L'articolo 21 della direttiva, ripreso dal decreto italiano e dettagliato da ACN, raggruppa le misure in dieci aree:

  • Analisi dei rischi e politiche di sicurezza
  • Gestione degli incidenti
  • Continuità operativa, backup e gestione delle crisi
  • Sicurezza della catena di approvvigionamento
  • Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi
  • Valutazione dell'efficacia delle misure
  • Igiene informatica e formazione
  • Crittografia e cifratura
  • Sicurezza del personale, controllo degli accessi e gestione degli asset
  • Autenticazione a più fattori e comunicazioni protette

Le scadenze

Le scadenze decorrono dalla data in cui ACN ti ha comunicato l'inserimento nell'elenco dei soggetti NIS, quindi controlla la comunicazione sul portale ACN. Per gran parte delle aziende notificate nel 2025 l'obbligo di notifica degli incidenti è già attivo e le misure di sicurezza di base scadono nel corso del 2026. Se non sai a che punto sei, il primo passo è la verifica dell'ambito, ed è gratuita.

Domande frequenti

Le domande che ci fanno più spesso

Abbiamo meno di 50 dipendenti. La NIS2 ci riguarda?

Di solito non direttamente, salvo alcune categorie particolari. Ma se fornisci un soggetto NIS2, aspettati questionari di sicurezza e clausole contrattuali. Molti dei nostri clienti partono proprio da lì.

Siete avvocati?

No. Siamo ingegneri e realizziamo le misure tecniche e le evidenze. Per l'interpretazione legale dei casi dubbi lavoriamo con il tuo avvocato o consulente.

Quanto costa una gap analysis?

Un prezzo fisso che dipende dal numero di sedi e sistemi, concordato dopo la verifica gratuita dell'ambito. L'adeguamento viene preventivato a parte, voce per voce.

La ISO 27001 equivale alla conformità NIS2?

Si sovrappongono molto e la ISO 27001 è un buon modo per dimostrare la conformità, ma la certificazione non è richiesta dalla NIS2 e non copre tutto in automatico, ad esempio la notifica degli incidenti al CSIRT.

Cosa si intende per incidente significativo?

In sintesi, un incidente che causa o può causare gravi interruzioni del servizio o perdite economiche, o che coinvolge altri soggetti. ACN ha pubblicato i criteri; li inseriamo nella tua procedura incidenti così la decisione è rapida.

Potete compilare il questionario NIS2 del nostro cliente?

Possiamo aiutarti a rispondere con le evidenze, e prima sistemare quello che manca, così le risposte sono vere.

Prima chiamata gratuita

Raccontaci cosa non funziona

Risponde un tecnico, non un commerciale, entro un giorno lavorativo. Anche il primo sopralluogo è gratuito nelle province di Treviso, Padova e Vicenza.

Via Alberon 19/F, 31030 Castello di Godego (TV)

Scrivici

Usiamo questi dati solo per risponderti. Leggi l'informativa privacy.

Servizi collegati

Molti clienti partono da un servizio e aggiungono gli altri quando serve.

Tutti i servizi

Cybersecurity

SentinelOne su ogni dispositivo, un firewall configurato bene e backup che si ripristinano.

Scopri di più

Assistenza IT gestita

Monitoraggio, aggiornamenti, backup e un helpdesk che risponde, a canone mensile fisso.

Scopri di più

Modernizzazione IT

Un audit, una roadmap sostenibile e una migrazione che non ferma l'azienda.

Scopri di più