Consulenza NIS2 a Milano, con un ingegnere che vi segue di persona
Lo Studio dell'Ing. Alessio Sanavio, in Corso di Porta Nuova, accompagna le aziende di Milano e della Lombardia nell'adeguamento alla NIS2: incontri in studio o nella vostra sede, e il lavoro che resta ordinato su Pilot NIS2.
Aggiornata il 13 novembre 2026, sul d.lgs. 138/2024 e sulle determinazioni dell'ACN in vigore.
La NIS2 chiede alle aziende dei settori critici di registrarsi all'ACN, di far approvare le misure di sicurezza ai vertici, di applicare le misure di base dell'Agenzia e di notificare gli incidenti entro 24 ore. Per una media impresa senza un ufficio compliance è un lavoro nuovo, con scadenze che tornano ogni anno.
Lo Studio dell'Ing. Alessio Sanavio, a Milano, vi segue in questo lavoro dall'inizio alla fine. Non vi consegna un faldone di modelli: lavora con voi e con il vostro fornitore IT su Pilot, la piattaforma dello Studio, così le decisioni, i documenti e le prove restano vostri e in ordine anche quando la consulenza finisce.
Chi vi segue
Alessio Sanavio è ingegnere, iscritto all'Ordine degli Ingegneri della Provincia di Milano, n. A 25135. Lavora da oltre quindici anni tra sicurezza, software e sistemi di gestione:
- sistemi di gestione: esperienza di progettazione di sistemi ISO/IEC 27001, per la sicurezza delle informazioni, e ISO 45001, per la salute e sicurezza sul lavoro;
- sicurezza informatica sul campo: messa in sicurezza dei server, firewall applicativi, vulnerability assessment, analisi dei log;
- formazione: è RSPP e formatore qualificato per la sicurezza sul lavoro (D.I. 6 marzo 2013) e forma le aziende anche sulla sicurezza informatica;
- software: ha progettato e sviluppato Pilot, e lo usa nelle consulenze.
Il profilo completo è su ingas.it. La consulenza è tecnica e organizzativa: per questioni legali, come contratti complessi o una contestazione dell'ACN, serve un avvocato.
Cosa comprende la consulenza
Sette parti, che seguono l'ordine in cui la legge vi chiede le cose. Si può partire da quella che vi serve, se una parte l'avete già fatta.
- Verifica di applicabilità. Le attività che svolgete davvero confrontate con gli allegati, la dimensione calcolata con il gruppo, lo status di soggetto essenziale o importante (artt. 3 e 6 del d.lgs. 138/2024). Ve la diamo per iscritto, con il perché. Se siete fuori ve lo diciamo, e ci si ferma lì.
- Registrazione e ruoli verso l'ACN. Punto di contatto e sostituto, referente CSIRT, dati per la dichiarazione annuale sul Portale ACN (1° gennaio – 28 febbraio), aggiornamento delle informazioni (15 aprile – 31 maggio) e categorizzazione di attività e servizi (1° maggio – 30 giugno). Il dettaglio è in registrazione e punto di contatto.
- Gap analysis sulle misure di base. Requisito per requisito della determinazione ACN 379907/2025, 87 se siete importanti e 116 se essenziali: cosa c'è già, chi lo realizza tra voi e il fornitore IT, quali prove esistono e quali mancano.
- Piano di adeguamento. Le cose da fare in ordine di rischio, con un responsabile e una data, agganciate alle vostre scadenze: per chi è entrato nell'elenco nel 2026, le misure vanno applicate entro il 31 luglio 2027.
- Documenti. Organizzazione per la sicurezza, politiche, valutazione del rischio e piano di trattamento, piano di gestione delle vulnerabilità, piani di continuità e ripristino, piano di formazione, piano per gli incidenti, elenco dei fornitori con le clausole di sicurezza. Scritti sulla vostra realtà e pronti per l'approvazione dell'organo di amministrazione, che per l'ACN non si può delegare.
- Formazione dei vertici. La formazione che l'articolo 23, comma 2, chiede a consiglio di amministrazione o amministratore unico, nella vostra sede o a distanza, più il piano per i dipendenti. Cosa devono sapere i vertici è in NIS2 e amministratori.
- Procedura per gli incidenti. Chi decide, chi notifica al CSIRT Italia, cosa si scrive nelle 24 ore, nelle 72 ore e nel mese, come si coinvolge il fornitore IT. Con una prova a tavolino su un caso realistico, prima che serva davvero.
Dopo il primo anno la consulenza può continuare come affiancamento: riesame dei documenti, finestre ACN, verifica annuale, formazione. Lo scadenzario della piattaforma avvisa voi e il fornitore prima che un documento scada.
In presenza a Milano, a distanza nel resto d'Italia
Per le aziende di Milano e dintorni gli incontri si possono fare in studio, in Corso di Porta Nuova, oppure nella vostra sede. La presenza conta soprattutto in tre momenti:
- il sopralluogo, per vedere sistemi, reparti, sale server e accessi, compresi i macchinari collegati in rete;
- la riunione con i vertici, per spiegare cosa approvano e di cosa rispondono;
- la formazione in aula, quando è utile avere tutti nella stessa stanza.
Il resto del lavoro si fa in videochiamata e sulla piattaforma, dove colleghi e fornitore IT vengono invitati e caricano i loro documenti. Per questo seguiamo aziende in tutta Italia, anche a distanza, e quando serve concordiamo una visita. Come funziona la consulenza fuori Milano è spiegato in consulenza NIS2.
Il primo colloquio: cosa preparare
Il primo colloquio serve a capire se la NIS2 vi riguarda, con quale status e quanto lavoro c'è davanti. Vi basta avere sotto mano:
- il numero di dipendenti e i dati dell'ultimo bilancio chiuso: fatturato e totale dell'attivo;
- la struttura del gruppo, se c'è: controllanti, controllate, partecipazioni;
- le attività che svolgete davvero, anche quelle marginali o fatte solo per il gruppo;
- la PEC dell'ACN, se l'avete ricevuta, e l'eventuale registrazione già fatta;
- chi gestisce l'informatica, i servizi in cloud che usate e i fornitori con accesso ai vostri sistemi;
- i documenti che avete già: certificazioni ISO/IEC 27001, documentazione privacy, modello 231, procedure di backup.
Il preventivo arriva dopo, per iscritto e su misura: dipende dallo status (37 o 43 misure), da sedi, sistemi e fornitori, e da quanto avete già fatto. Non pubblichiamo prezzi fissi perché due aziende della stessa dimensione possono partire da punti molto diversi. Se prima volete capire da soli se siete dentro, c'è la verifica gratuita.
Un ingegnere e una piattaforma, insieme
Molte consulenze NIS2 finiscono con una cartella di documenti che dopo un anno nessuno apre più. Ma la NIS2 non si chiude con un progetto: politiche e piani hanno una scadenza, i report del fornitore IT vanno raccolti ogni mese o trimestre, le finestre ACN tornano ogni anno. Per questo lo Studio lavora su Pilot:
- ogni requisito ha accanto chi lo realizza e le prove caricate;
- il fornitore IT carica i suoi report da un link personale, senza account, e riceve un promemoria prima della scadenza;
- il fascicolo è pronto se l'ACN chiede di dimostrare cosa avete fatto;
- i dati restano in Europa, protetti con le stesse misure che l'ACN chiede alle aziende: le trovate in sicurezza dei dati.
Se avete già competenze interne, potete anche usare la piattaforma da soli e chiamare lo Studio solo per i passaggi delicati. Cosa fa e cosa non fa un software per la NIS2 è spiegato in software NIS2.
Settori: cosa cambia per voi
Le regole sono le stesse per tutti, ma chi rientra e cosa pesa di più cambia molto da un settore all'altro. Le guide di settore lo spiegano con esempi concreti:
- aziende manifatturiere: codici NACE da C26 a C30, chimica REACH, macchine collegate in rete;
- settore alimentare: industria e ingrosso, catena del freddo, etichette;
- trasporti, corrieri e logistica: chi è dentro e il confine dell'autotrasporto;
- fornitori IT e servizi gestiti: quando l'azienda informatica è soggetto NIS.
Dove siamo
Lo Studio è in Corso di Porta Nuova 15, 20121 Milano (mappa). Gli incontri in studio sono su appuntamento.
- Telefono: 02 4507 1124
- Per scrivere: il modulo dei contatti, scegliendo «Vorrei un consulente». Rispondiamo via email.
- PEC: [email protected]
- P. IVA 04464310962
Domande frequenti
Scriveteci due righe su cosa fate e quanto siete grandi, o chiamate lo Studio. Nel primo colloquio capiamo insieme se la NIS2 vi riguarda e cosa vi manca; il preventivo arriva dopo, per iscritto.
