Consulente NIS2 in Calabria: conformità entro il 31 ottobre 2026
Supporto operativo alle imprese calabresi soggette alla NIS2: gap analysis sulle misure ACN, politiche approvate dal CdA, gestione degli incidenti e presenza in sede quando serve.
Presenza in sede
Base a Rende: incontri con direzione e IT a Cosenza, Catanzaro, Reggio, Crotone e Vibo.
Misure ACN documentate
Ogni requisito con responsabile, evidenza e data, pronto per le verifiche.
Board preparato
Formazione e reporting per gli organi di gestione, responsabili delle violazioni.
In sintesi
- Il 31 ottobre 2026 scade il termine per le misure di base dei soggetti in elenco dal 2025.
- La notifica degli incidenti significativi è già operativa: 24 ore, 72 ore, un mese.
- Un CISO fractional con base in Calabria unisce presenza in sede e costi sostenibili.
Per un'impresa calabrese la NIS2 in Calabria pone gli stessi obblighi di una lombarda, ma con un problema in più: trovare competenze di sicurezza a livello direzionale sul territorio. Lavoro da Rende come Responsabile della Sicurezza delle Informazioni e seguo imprese in tutta la regione con il formato CISO as a Service.
Le scadenze che contano adesso
Il D.Lgs. 138/2024 e la Determinazione ACN 379907/2025 fissano un calendario preciso:
- dal 15 gennaio 2026 la notifica degli incidenti significativi è operativa: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese;
- entro il 31 ottobre 2026 i soggetti inseriti nell'elenco nel 2025 devono adottare le misure di sicurezza di base: 87 requisiti per i soggetti importanti, 116 per gli essenziali;
- entro il 31 luglio 2027 lo stesso obbligo vale per chi è entrato nell'elenco nel 2026.
Ho raccolto la checklist completa nell'articolo NIS2 in pratica.
Cosa vedo nelle imprese del territorio
Nelle aziende calabresi con cui lavoro la tecnologia spesso c'è: firewall, antivirus, backup. Quello che manca è il governo. In particolare:
- un inventario aggiornato di sistemi, dati e fornitori critici;
- politiche di sicurezza scritte e approvate formalmente dall'organo di gestione;
- una procedura di gestione degli incidenti provata almeno una volta;
- contratti con i fornitori ICT che includano requisiti di sicurezza.
Sono lacune risolvibili in poche settimane, ma solo se qualcuno ha la responsabilità di chiuderle.
Come lavoriamo
1. Gap analysis (2–4 settimane)
Verifica dei requisiti applicabili, interviste a direzione e IT, raccolta delle evidenze esistenti. Il risultato è un registro con stato, responsabile e priorità per ogni requisito.
2. Piano e approvazione
Politiche, ruoli e deleghe vengono portati all'organo di gestione per l'approvazione formale, insieme a un piano con scadenze realistiche e budget.
3. Implementazione e prove
Accompagno IT e fornitori nell'attuazione delle misure, imposto la procedura di notifica al CSIRT Italia e organizzo una simulazione di incidente.
4. Presidio
Dopo la scadenza, la NIS2 richiede un ciclo continuo: aggiornamento dei dati sulla piattaforma ACN, revisione del rischio, formazione. Il formato fractional lo rende sostenibile anche per una PMI.
Perché un CISO con base in Calabria
Molte attività si svolgono bene da remoto. Altre no: un consiglio di amministrazione da formare, un sopralluogo in stabilimento, una crisi da gestire. Essere a Rende significa poter essere in azienda in giornata a Cosenza, Lamezia o Catanzaro, e in poche ore a Reggio o Crotone, con i costi di un consulente locale e l'esperienza di un manager che ricopre il ruolo ogni giorno.
Sono certificato CAISO – Certified AI Security Officer e PMP®: la sicurezza dei sistemi di intelligenza artificiale e la gestione di progetti complessi fanno parte dello stesso incarico.
Domande frequenti.
Quali imprese calabresi rientrano nella NIS2?
I soggetti dei settori elencati dal D.Lgs. 138/2024 che superano le soglie dimensionali (in generale medie e grandi imprese), più alcuni soggetti indipendentemente dalla dimensione. In Calabria riguarda soprattutto energia, trasporti, sanità, gestione dei rifiuti, agroalimentare, manifattura e servizi digitali. La verifica parte dalla registrazione sulla piattaforma ACN.
Quanto tempo serve per la gap analysis?
Per un soggetto importante di medie dimensioni servono in genere dalle due alle quattro settimane, tra raccolta documentale, interviste e verifica delle evidenze sui requisiti applicabili.
Lavori anche da remoto?
Sì. La parte documentale e il monitoraggio si svolgono da remoto; incontri con il vertice, sopralluoghi e sessioni di formazione si fanno in sede, in tutta la Calabria.
Da leggere
Parliamo di ciò che deve funzionare.
Una call conoscitiva di 30 minuti, senza impegno: capiamo insieme priorità, rischi e il formato di collaborazione più adatto.
eugenio.damaso01@gmail.com