CISO as a Service, governance IT e conformità NIS2
Un responsabile della sicurezza delle informazioni che parla la lingua del board: rischio, priorità, costi e responsabilità. Non un elenco di prodotti da comprare.
La NIS2 ha spostato la sicurezza informatica dall'ufficio IT al consiglio di amministrazione: gli organi di gestione approvano le misure, ne rispondono e devono essere formati. Molte imprese hanno tecnologia, ma non hanno governo: ruoli, processi, evidenze.
Cosa ottieni, concretamente.
Conformità dimostrabile
Misure ACN implementate e documentate, con evidenze pronte per le verifiche.
Rischio sotto controllo
Registro dei rischi cyber collegato a impatti di business e piani di trattamento.
Incidenti gestiti
Procedure di risposta e notifica testate: 24 ore, 72 ore, un mese.
Board consapevole
Reporting periodico e formazione degli organi di gestione.
Il ruolo, prima degli strumenti
Ricopro il ruolo di IT Manager e Responsabile della Sicurezza delle Informazioni (RSI): strategia tecnologica, infrastrutture, politiche di sicurezza, gestione del rischio e degli incidenti. Porto la stessa impostazione come CISO as a Service: prima si decide cosa proteggere e perché, poi si scelgono i controlli e, solo alla fine, gli strumenti.
NIS2 in Italia: le date che contano
- 15 gennaio 2026 — operativo l'obbligo di notifica degli incidenti significativi: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
- 31 ottobre 2026 — termine per adottare le misure di sicurezza di base della Determinazione ACN 379907/2025 per i soggetti inseriti nell'elenco nel 2025: 87 requisiti per i soggetti importanti, 116 per gli essenziali.
- Sanzioni — fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all'1,4% per gli importanti, con responsabilità diretta degli organi di gestione.
Sicurezza dei sistemi di intelligenza artificiale
Con la certificazione CAISO – Certified AI Security Officer estendo la governance di sicurezza ai modelli e alle pipeline di IA: inventario dei sistemi, controlli sugli accessi ai dati, prevenzione di prompt injection e data leakage, policy d'uso per il personale.
Continuità operativa
La sicurezza serve a continuare a lavorare. Per questo integro l'analisi del rischio cyber con la business continuity: processi critici, tempi massimi di interruzione, piani di ripristino e test periodici.
Deliverable tipici
- 01Verifica di assoggettabilità NIS2 e supporto agli adempimenti sul portale ACN
- 02Gap analysis sulle misure di sicurezza di base (87/116 requisiti)
- 03Politiche di sicurezza, ruoli, deleghe e registro degli asset
- 04Analisi del rischio cyber e piano di trattamento
- 05Procedura di gestione e notifica degli incidenti significativi
- 06Gestione dei fornitori ICT e sicurezza della supply chain
- 07Formazione degli organi di gestione e del personale
Domande frequenti.
Cosa fa un CISO as a Service?
Svolge il ruolo di responsabile della sicurezza delle informazioni per un numero definito di giorni al mese: definisce policy e priorità, governa il rischio cyber, coordina IT e fornitori, gestisce gli incidenti e riferisce al vertice aziendale.
Entro quando bisogna adeguarsi alla NIS2?
I soggetti inseriti nell'elenco NIS nel 2025 devono adottare le misure di sicurezza di base entro il 31 ottobre 2026; quelli inseriti nel 2026 entro il 31 luglio 2027. La notifica degli incidenti è già operativa.
La NIS2 riguarda anche i fornitori?
Indirettamente sì: i soggetti NIS2 devono gestire la sicurezza della propria catena di fornitura e trasferiscono requisiti contrattuali ai fornitori ICT e di servizi critici.
Quanto costa un CISO fractional rispetto a uno interno?
Dipende dal perimetro e dai giorni al mese, ma è in genere una frazione del costo di un dirigente a tempo pieno, con il vantaggio di un'esperienza già formata e operativa da subito.
Pagine correlate
- Consulente NIS2 per PMI e fornitori: adeguamento concreto, in tutta ItaliaConsulente NIS2 per PMI e fornitori in tutta Italia: perimetro, misure di base ACN, notifica incidenti, governance del board e catena di fornitura.
- Consulente NIS2 in Calabria: conformità entro il 31 ottobre 2026Gap analysis NIS2, misure di sicurezza ACN entro il 31 ottobre 2026, incidenti e formazione del CdA per le imprese calabresi. Base a Rende (CS).
- Fractional CISO: un responsabile della sicurezza senza assumere un dirigenteUn CISO senior per alcuni giorni al mese: strategia di sicurezza, NIS2, AI Act, rischio cyber e reporting al board. Operativo da remoto in Italia e UE.
Da leggere
Parliamo di ciò che deve funzionare.
Una call conoscitiva di 30 minuti, senza impegno: capiamo insieme priorità, rischi e il formato di collaborazione più adatto.
eugenio.damaso01@gmail.com