Consulenza NIS2: cosa fa il consulente e come sceglierlo

La consulenza NIS2 serve a capire se e come rientri nel D.Lgs. 138/2024, a misurare la distanza dalle misure di sicurezza di base fissate da ACN e a costruire il piano per colmarla, con evidenze che il vertice possa approvare. Un buon consulente lavora sui requisiti della Determinazione ACN 379907/2025, non sul testo generico della direttiva. Non può rilasciarti una certificazione NIS2, che per l'azienda non esiste, e non si prende la tua responsabilità: quella resta agli organi di amministrazione.

Qui sotto trovi cosa chiede la legge, cosa fa un consulente e cosa no, otto criteri per sceglierlo, i segnali d'allarme in una proposta e le domande da fare prima di firmare. Se ti serve prima il quadro della norma, parti dalla guida completa alla NIS2.

Cosa chiede davvero la NIS2

Prima di valutare chiunque, conviene avere chiaro il perimetro del lavoro. Il D.Lgs. 138/2024 mette in capo ai soggetti essenziali e importanti quattro famiglie di obblighi:

• Registrazione sulla piattaforma digitale di ACN, da fare o aggiornare dal 1° gennaio al 28 febbraio di ogni anno, con la designazione di un punto di contatto (art. 7).
• Misure di gestione dei rischi tecniche, operative e organizzative (art. 24): dalle politiche di analisi dei rischi alla continuità operativa, dalla sicurezza della catena di approvvigionamento all'autenticazione a più fattori.
• Notifica degli incidenti significativi al CSIRT Italia (art. 25): pre-notifica entro 24 ore da quando ne sei venuto a conoscenza, notifica entro 72 ore, relazione finale entro un mese dalla notifica.
• Obblighi degli organi di amministrazione e direttivi (art. 23): approvano le modalità di attuazione delle misure, sovrintendono agli obblighi, seguono una formazione in materia di sicurezza informatica.

Il livello di dettaglio lo fissa ACN. La Determinazione 379907/2025 stabilisce le misure di sicurezza di base e, secondo la Guida alla lettura delle specifiche di base pubblicata dall'Agenzia, sono 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per i soggetti essenziali. È su questi requisiti, uno per uno, che si misura un adeguamento. Un consulente che ragiona solo sui dieci elementi elencati dall'articolo 24 lavora a un livello di astrazione che ACN ha già superato.

Anche i tempi pesano sulla scelta. ACN indica che i soggetti importanti e i soggetti essenziali adottano le misure entro 18 mesi dalla comunicazione di inserimento nell'elenco NIS, cioè entro ottobre 2026 per chi è in elenco dal 2025. Per chi è stato inserito nel corso del 2026, la Determinazione ACN 127434/2026 fissa il termine al 31 luglio 2027. Un consulente che arriva adesso deve dirti come ci stai dentro, non solo cosa manca.

Cosa fa un consulente NIS2

Il lavoro si divide di solito in cinque blocchi. Non tutti i fornitori li coprono tutti, ed è il primo filtro.

1. Verifica del perimetro. Settore, dimensione, categoria (essenziale o importante), società del gruppo. Sbagliare qui significa adeguarsi all'allegato sbagliato. I criteri sono in a chi si applica la NIS2; per una prima risposta sul tuo caso c'è il NIS2 check.
2. Gap analysis sui requisiti ACN. Per ogni requisito dell'allegato che ti riguarda: cosa c'è, cosa manca, con quale evidenza lo dimostri.
3. Piano di adeguamento. Gap ordinati per rischio e scadenza, con responsabili e date, in una forma che il consiglio di amministrazione possa approvare e seguire.
4. Documentazione. Politiche, procedure, registri, requisiti di sicurezza verso i fornitori e il processo di gestione degli incidenti, per cui ACN ha pubblicato linee guida dedicate.
5. Formazione del vertice. La formazione degli organi di amministrazione è un obbligo dell'art. 23, e l'articolo chiede anche di promuovere una formazione periodica coerente per i dipendenti.

Il percorso fase per fase, dal perimetro alla documentazione per il CdA, è descritto in adeguamento NIS2: la roadmap pratica.

Cosa un consulente non può fare per te

Rilasciare una certificazione NIS2

Il D.Lgs. 138/2024 non prevede un attestato che dichiari conforme un'organizzazione. La conformità la verifica ACN, con le attività di monitoraggio, analisi e supporto (art. 35) e con verifiche e ispezioni (art. 36). Se un'offerta ti promette un certificato NIS2, chiedi da quale norma discende. Ne parliamo in dettaglio in esiste una certificazione NIS2.

Prendersi la responsabilità

L'art. 23 stabilisce che gli organi di amministrazione e direttivi "sono responsabili delle violazioni di cui al presente decreto". Il contratto con un consulente non sposta questa responsabilità. Le sanzioni dell'art. 38 sono amministrative: escluse le pubbliche amministrazioni, arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, per i soggetti essenziali, e fino a 7 milioni o all'1,4% per i soggetti importanti. Se un soggetto non rispetta una diffida, ACN può applicare alle persone fisiche responsabili la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali in quel soggetto.

Fare il presidio operativo

La pre-notifica entro 24 ore presuppone che tu ti accorga dell'incidente in tempo. Procedure e moduli si scrivono in consulenza; il rilevamento e la risposta, giorno e notte, sono un servizio operativo, che lo faccia un team interno o un SOC esterno. Una buona consulenza ti dice in modo esplicito dove finisce il suo lavoro e chi copre il resto.

Otto criteri per scegliere il consulente NIS2

1. Lavora sulle determinazioni ACN. Chiedi un esempio di gap analysis: deve riportare i codici delle misure e i requisiti dell'allegato giusto, non una checklist generica sulla direttiva.
2. Unisce diritto e tecnica. Perimetro e responsabilità sono questioni giuridiche; autenticazione a più fattori, vulnerabilità, backup e log sono questioni tecniche. Se il team copre solo una delle due, la parte che manca la scopri dopo.
3. Conosce il tuo settore. Un'utility, una struttura sanitaria e un'azienda manifatturiera hanno allegati, autorità di settore e rischi diversi.
4. Dichiara metodo e persone. Fasi, consegne, nomi e ruoli di chi farà il lavoro, non solo di chi lo vende.
5. Ti lascia documenti tuoi. In formato modificabile, scritti sui tuoi processi, mantenibili dal tuo team senza richiamarlo ogni volta.
6. Riusa quello che hai. Se hai già una ISO/IEC 27001 o un altro sistema di gestione, deve mappare cosa copre già, non ripartire da zero.
7. Ha un metodo per la filiera. L'art. 24 chiede di tenere conto delle vulnerabilità e delle pratiche di sicurezza dei fornitori diretti: serve un modo per valutarle, non solo una clausola nel contratto.
8. Ti dice cosa succede dopo la scadenza. Registrazione annuale, aggiornamento delle informazioni, riesame delle misure: la NIS2 è un obbligo continuo, non un progetto con una data di fine.

I segnali d'allarme in una proposta

• Promette una certificazione NIS2 o un bollino di conformità.
• Consegna un pacchetto di documenti pronti prima di aver fatto l'analisi.
• Non chiede se sei registrato sulla piattaforma ACN né in quale categoria sei stato inserito.
• Cita la direttiva ma mai la Determinazione ACN 379907/2025 e i suoi allegati.
• Garantisce l'esito di un'eventuale verifica o ispezione di ACN.
• Non prevede incontri con il consiglio di amministrazione, quando la legge mette il vertice al centro.

Le domande da fare prima di firmare

1. Su quale allegato della Determinazione ACN 379907/2025 lavorerete, e perché?
2. Come consegnate la gap analysis: per requisito, con evidenza e priorità?
3. Chi fa la formazione agli organi di amministrazione, e come resta documentata?
4. Come riusate la documentazione ISO o di sistema che abbiamo già?
5. Cosa resta a noi e cosa a voi dopo la nostra scadenza per le misure di base?
6. Chi copre il rilevamento degli incidenti e la pre-notifica entro 24 ore, se non lo fate voi?

Le risposte dicono più di qualunque presentazione commerciale.

Consulente esterno o figura interna?

Non è un'alternativa secca. Molte aziende mid-market non hanno un responsabile della sicurezza a tempo pieno e affiancano al progetto di consulenza un CISO as a service, che resta dopo la consegna, tiene aggiornato il piano e porta i temi al consiglio di amministrazione. La consulenza costruisce il sistema; qualcuno deve tenerlo in funzione.

In sintesi

Un consulente NIS2 serve a misurarti sui requisiti ACN, a costruire piano e documentazione e a preparare il vertice, che resta responsabile. Scegli chi lavora sulle determinazioni e non sulla sola direttiva, unisce diritto e tecnica, ti lascia documenti tuoi e ti dice chi copre il presidio operativo. Diffida di chi vende certificati NIS2 o garantisce l'esito delle ispezioni.

Se vuoi vedere come affianchiamo le aziende dall'analisi dei requisiti al presidio continuo, trovi il percorso nei nostri servizi NIS2.