Consulenza NIS2: l'adeguamento seguito da un ingegnere, in tutta Italia
Dalla verifica iniziale ai documenti approvati dal consiglio, con un ingegnere che vi segue e una piattaforma che tiene tutto in ordine anche dopo. In presenza a Milano, a distanza nel resto d'Italia.
Aggiornata il 13 novembre 2026, sul d.lgs. 138/2024 e sulle determinazioni dell'ACN in vigore.
Chi cerca una consulenza per la NIS2 di solito ha appena ricevuto una PEC dall'ACN, una lettera da un cliente importante o una domanda dal consiglio di amministrazione: «siamo a posto?». Questa pagina spiega quando un consulente serve davvero, cosa deve fare, come si lavora a distanza, da cosa dipende il costo e come riconoscere un consulente serio.
La consulenza dello Studio dell'Ing. Alessio Sanavio si appoggia a Pilot, il percorso guidato che trovate su questo sito: un ingegnere che vi segue, e una piattaforma dove decisioni, documenti e prove restano vostri.
Vi serve davvero un consulente?
Dipende da dove siete. Le situazioni tipiche sono tre:
| Situazione | Cosa vi serve |
|---|---|
| Fuori dalla NIS2: piccola impresa, oppure attività non negli allegati | Nessun obbligo. Basta controllarlo bene una volta e rivederlo ogni anno: la verifica gratuita vi dice il perché. |
| Fuori, ma fornitori di aziende NIS2 | Poche misure fatte bene e le prove da mostrare ai clienti. Spesso bastano il percorso guidato e un confronto mirato: vedete NIS2 e PMI. |
| Dentro, come soggetto importante o essenziale | Registrazione, organizzazione, 87 o 116 requisiti di sicurezza, piani, formazione dei vertici, notifiche. Se non avete in casa chi conosce sicurezza e sistemi di gestione, un consulente vi fa risparmiare tempo ed errori. |
Anche se siete dentro, potete fare molto da soli: il percorso guidato si usa senza consulente e si inizia gratis. La consulenza ha senso quando volete qualcuno che verifichi le scelte, scriva i documenti con voi e li porti all'approvazione dei vertici.
Cosa comprende
Il lavoro segue gli obblighi del d.lgs. 138/2024 e delle determinazioni dell'ACN. Per ogni parte, ecco cosa vi resta in mano:
| Attività | Cosa ottenete | Norma |
|---|---|---|
| Verifica di applicabilità | Una risposta scritta: dentro o fuori, essenziali o importanti, con il perché | artt. 3 e 6 |
| Registrazione e ruoli | Punto di contatto, sostituto e referente CSIRT designati; dati pronti per le finestre del Portale ACN | art. 7; det. 314287/2026 |
| Gap analysis | Lo stato di ogni requisito delle misure di base, chi lo realizza e le prove che mancano | art. 24; det. 379907/2025 |
| Piano di adeguamento | Attività in ordine di rischio, con responsabili e date legate alle vostre scadenze | art. 24 |
| Documenti | Politiche, valutazione del rischio, piani di continuità, vulnerabilità, formazione e incidenti, pronti per la delibera | artt. 23 e 24 |
| Formazione dei vertici | La formazione degli organi di amministrazione e il piano per i dipendenti, con il registro | art. 23, c. 2 |
| Procedura per gli incidenti | Chi fa cosa nelle 24 ore, 72 ore e un mese, provato con una simulazione | art. 25 |
Il dettaglio delle singole parti, dalla prima verifica alla procedura per gli incidenti, è nella pagina della consulenza NIS2 a Milano, dove ha sede lo Studio.
Come si svolge a distanza
La NIS2 si presta bene al lavoro a distanza, perché quasi tutto è organizzazione, documenti e prove. Il percorso tipico:
- Primo colloquio in videochiamata, con chi dirige l'azienda e, se possibile, con chi segue l'informatica.
- Verifica di applicabilità scritta, sui vostri numeri e sulle attività che svolgete davvero.
- Spazio sulla piattaforma per la vostra azienda: invitate i colleghi, il fornitore IT riceve un link per caricare i suoi documenti.
- Incontri brevi e regolari sulle misure e sui documenti, fino al piano di adeguamento.
- Approvazione dei vertici: i documenti vanno all'organo di amministrazione, che li approva con una delibera. Per l'ACN questa approvazione non si può delegare.
- Mantenimento: lo scadenzario avvisa voi e il fornitore prima che un documento scada, e le finestre ACN arrivano in calendario.
Una visita in sede si concorda quando serve davvero, per un sopralluogo tra reparti e sistemi o per la formazione dei vertici in aula.
Quanto costa l'adeguamento NIS2
Non esiste un prezzo onesto valido per tutti, e diffidate di chi ve lo dà senza aver visto l'azienda. Il costo dell'adeguamento ha tre parti:
- la consulenza: verifica, gap analysis, documenti, formazione, affiancamento negli anni successivi;
- gli interventi tecnici che di solito realizza il fornitore IT: autenticazione a più fattori, backup con una copia fuori rete, aggiornamenti, registrazione degli eventi, protezione della posta;
- il vostro tempo: punto di contatto, referente CSIRT, chi segue i fornitori, il consiglio che approva e si forma.
A far crescere o calare la cifra sono soprattutto: lo status (43 misure e 116 requisiti per gli essenziali, 37 e 87 per gli importanti), il numero di sedi e di sistemi rilevanti, la parte di produzione collegata in rete, quanti fornitori critici avete e cosa esiste già. Chi ha un sistema ISO/IEC 27001 funzionante parte con molto lavoro fatto. Per questo lo Studio fa il preventivo dopo il primo colloquio, scritto e su misura.
Come scegliere un consulente NIS2
Non esiste un albo dei consulenti NIS2. Qualche domanda aiuta a distinguere chi conosce la materia:
- Parla delle misure dell'ACN? In Italia le misure concrete sono quelle della determinazione 379907/2025, con 87 o 116 requisiti. Chi cita solo l'articolo 21 della direttiva o solo la ISO/IEC 27001 si ferma a metà strada.
- Vi promette una «certificazione NIS2»? Non esiste. Esistono obblighi da rispettare e prove da mostrare all'ACN.
- Si propone come punto di contatto? Non può farlo: deve essere il rappresentante legale, un procuratore o un vostro dipendente delegato (det. ACN 314287/2026, art. 4).
- Coinvolge il fornitore IT? Buona parte delle misure tecniche passa da lui: senza le sue prove la gap analysis resta sulla carta.
- Vi lascia documenti e prove in un formato vostro, che potete aggiornare senza di lui?
- Vi dice cosa non è ancora chiaro? Alcuni punti, come i minimi delle sanzioni o le misure «rafforzate» in consultazione, sono incerti: chi li presenta come certi vi sta semplificando troppo.
Cosa resta a voi
Un consulente può fare molto, ma non tutto. La legge mette la responsabilità sugli organi di amministrazione: approvano le modalità con cui applicate le misure, sovrintendono, si formano e rispondono delle violazioni (art. 23). Restano vostri anche il punto di contatto, il referente CSIRT, la decisione di notificare un incidente e la scelta dei fornitori. Il consulente prepara, spiega e verifica; voi decidete. Cosa significa per il consiglio è in NIS2 e amministratori.
Le date che contano adesso
Dove siete nel calendario cambia le priorità della consulenza:
- entrati nell'elenco nel 2026: referente CSIRT entro il 31 dicembre 2026, notifica degli incidenti dal 1° gennaio 2027, misure di base entro il 31 luglio 2027;
- entrati nel 2025: i 18 mesi per le misure sono già scaduti per chi ha ricevuto la comunicazione ad aprile 2025, quindi la priorità è chiudere le lacune e avere le prove;
- per tutti: la prossima finestra di registrazione va dal 1° gennaio al 28 febbraio 2027.
Il calendario completo è in le scadenze del 2026 e del 2027.
Lo Studio
Lo Studio dell'Ing. Alessio Sanavio è a Milano, in Corso di Porta Nuova 15, 20121 Milano. L'Ing. Sanavio è iscritto all'Ordine degli Ingegneri della Provincia di Milano, n. A 25135, ha esperienza di progettazione di sistemi ISO/IEC 27001 e ISO 45001, lavora sulla sicurezza informatica di server e applicazioni ed è formatore qualificato. Chi è vicino a Milano può incontrarlo in studio o in azienda: trovate tutto nella pagina della consulenza NIS2 a Milano. Chi è altrove lavora con lui a distanza.
La consulenza è tecnica e organizzativa: per questioni legali, come contratti complessi o una contestazione dell'ACN, serve un avvocato. Per scrivere usate il modulo dei contatti, scegliendo «Vorrei un consulente». Oppure chiamate lo 02 4507 1124.
Domande frequenti
Scriveteci due righe su cosa fate e quanto siete grandi, o chiamate lo Studio. Nel primo colloquio capiamo insieme se la NIS2 vi riguarda e cosa vi manca; il preventivo arriva dopo, per iscritto.
