In sintesi
- Un Fractional CISO è un responsabile della sicurezza che lavora a tempo parziale con mandato definito.
- Il costo dipende da impegno, complessità, livello di partenza, obblighi normativi e attività incluse.
- Conviene quando la funzione non giustifica un tempo pieno o manca la competenza per impostare il sistema.
- Va valutato sui risultati dei primi 90 giorni, non sulle ore.
Una PMI con trecento dipendenti ha le stesse minacce di una multinazionale e un decimo del budget per difendersi. Assumere un responsabile della sicurezza a tempo pieno è spesso fuori scala. I fractional CISO costi diventano allora la domanda giusta: quanto vale avere una guida esperta per una parte del tempo?
Cos'è un Fractional CISO
È un responsabile della sicurezza delle informazioni che lavora per l'azienda in modo continuativo ma a tempo parziale, con un mandato definito. Il glossario spiega il concetto di fractional executive e il ruolo di CISO. Non sostituisce un reparto IT: governa il rischio, scrive e fa applicare le regole, riferisce alla direzione.
Perché non pubblico una cifra
I prezzi che circolano variano di molto perché i perimetri sono diversi, e un numero senza perimetro non ha senso. Non riporto range perché non li ho verificati su fonti attendibili; preferisco indicare da cosa dipende il costo.
| Fattore | Come incide sul costo |
|---|---|
| Impegno atteso | Giornate al mese, dalla supervisione leggera alla presenza ricorrente |
| Dimensione e complessità | Sedi, sistemi, applicazioni, dati trattati |
| Livello di partenza | Quanto manca per arrivare alle misure richieste |
| Obblighi normativi | Se l'azienda è soggetto NIS o fornitore di soggetti NIS |
| Attività incluse | Solo governance o anche gestione incidenti, audit, formazione |
Quando conviene rispetto a un interno
Un dirigente interno garantisce presenza e conoscenza dell'azienda; un fractional garantisce esperienza trasversale e costi legati al bisogno. Conviene il secondo quando la funzione non giustifica un tempo pieno, quando manca la competenza per impostare il sistema da zero, quando la direzione vuole un parere indipendente. Conviene il primo quando i sistemi sono molti, il rischio è alto e la sicurezza richiede una presenza quotidiana. Esiste anche il percorso di transizione: un fractional costruisce il sistema, poi lo affida a una persona interna.
NIS2: serve per forza un CISO?
Per quanto risulta dalle fonti consultate, la NIS2 richiede soprattutto un sistema di governo della sicurezza, con misure documentate, un punto di contatto verso ACN e organi di amministrazione che approvano e sovrintendono, come ricostruisce Unindustria; non ho trovato un obbligo di nominare una figura dirigenziale con quel titolo. Da verificare sul testo del D.Lgs. 138/2024 per il tuo caso. Chi guida quel sistema, però, deve avere competenza e autorità: qui il Fractional CISO è una soluzione ragionevole per chi deve rispettare la scadenza delle misure di base.
Cosa deve produrre nei primi 90 giorni
Valuto un Fractional CISO sui risultati. Nei primi tre mesi mi aspetterei questi.
- Una valutazione del rischio e una gap analysis rispetto alle misure richieste.
- Un piano di sicurezza approvato dalla direzione, con priorità e responsabili.
- Le policy fondamentali scritte e approvate.
- Un registro dei fornitori critici e un modello di risposta ai questionari.
- Una procedura di gestione degli incidenti, con la notifica entro 24 e 72 ore prevista per i soggetti NIS.
- Un cruscotto trimestrale per il consiglio.
Fractional CISO costi: come strutturare il contratto
La forma del contratto incide sul costo e sul valore. Esistono tre modelli ricorrenti.
| Modello | Come funziona | Quando ha senso |
|---|---|---|
| Retainer mensile | Un monte di giornate al mese per governance e supervisione | Quando serve presenza continuativa |
| Progetto a obiettivi | Un perimetro definito (per esempio gap analysis e piano) con consegne e date | Quando c'è un obiettivo preciso, come una scadenza normativa |
| Misto | Progetto iniziale seguito da un retainer ridotto | Quando si parte da zero e poi si passa a una gestione ordinaria |
In ogni caso il contratto dovrebbe contenere cinque elementi: perimetro delle attività e quelle escluse, livelli di servizio (tempi di risposta, disponibilità in caso di incidente), reporting alla direzione con cadenza fissa, riservatezza e gestione dei conflitti di interesse, clausola di uscita con passaggio di consegne. Gli indicatori di risultato aiutano a valutare il rapporto: percentuale di misure attuate rispetto al piano, vulnerabilità critiche aperte oltre un termine concordato, esito dell'ultimo test di ripristino, formazione completata. Sono numeri che il consiglio può leggere senza competenze tecniche.
Un Fractional CISO non è un capro espiatorio: le responsabilità degli organi di amministrazione restano le loro, come spiego nell'articolo sulla responsabilità degli amministratori. Il consulente aiuta a esercitarle meglio, non le sostituisce.
Le domande da fare prima di firmare
- Qual è il perimetro esatto e quali attività sono escluse?
- Chi risponde in caso di incidente fuori orario?
- Quali livelli di servizio sono garantiti?
- Come si trasferisce la conoscenza a fine mandato?
- Quali conflitti di interesse esistono, per esempio con fornitori di sicurezza?
Cosa fare adesso
Descrivi in una pagina il tuo perimetro e il livello di partenza, poi confrontalo con la checklist NIS2. Verifica la tua posizione con l'autovalutazione NIS2. La pagina Fractional CISO descrive come lavoro, e la pagina consulente NIS2 l'impostazione sul tema normativo.
Domande frequenti
Quanto costa un Fractional CISO?
Dipende dal perimetro: impegno, complessità, livello di partenza, obblighi normativi e attività incluse; senza un perimetro definito una cifra non è significativa.
Quando conviene rispetto a un dirigente interno?
Quando la funzione non giustifica un tempo pieno, serve esperienza trasversale o si vuole un parere indipendente.
La NIS2 impone un CISO?
Dalle fonti consultate emerge l'obbligo di un sistema di governo e di un punto di contatto, non di una figura con quel titolo: va verificato sul testo del decreto per il proprio caso.
Cosa deve consegnare nei primi 90 giorni?
Valutazione del rischio, piano di sicurezza, policy, registro fornitori, procedura incidenti e cruscotto per il consiglio.