Marco Iacovitti - Proteggersi nel Digitale

Marco Iacovitti - Proteggersi nel Digitale INNOVATION MANAGER certificato UNI11814
Da vent'anni imprenditore principalmente in ambito ICT e Digital. Bio su ➡️ marcoiacovitti.bio.link

Sito web: www.marcoiacovitti.it

Tanti contenuti gratuiti per chi si registra all’ area riservata:
- Questionario sulla tua informatizzazione
- Questionario sua tua sicurezza informatica
- Consulenza gratuita
- Corso “Elementi di base di sicurezza informatica”
- Corso “GDPR e Sicurezza Informatica”
- Piattaforma di supporto remoto

𝗡𝗜𝗦𝟮 𝗚𝗜𝗔̀ 𝗢𝗣𝗘𝗥𝗔𝗧𝗜𝗩𝗔... 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗜 𝗗𝗔 𝗢𝗧𝗧𝗢𝗕𝗥𝗘 ‼️ 𝗤𝘂𝗮𝗻𝘁𝗼 𝘀𝗲𝗶 𝗱𝗶𝘀𝘁𝗮𝗻𝘁𝗲 𝗱𝗮...𝗗𝗢𝗩𝗘 𝗗𝗢𝗩𝗥𝗘𝗦𝗧𝗜 𝗘𝗦𝗦𝗘𝗥𝗘 ❓Il primo incontro inizia s...
13/07/2026

𝗡𝗜𝗦𝟮 𝗚𝗜𝗔̀ 𝗢𝗣𝗘𝗥𝗔𝗧𝗜𝗩𝗔... 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗜 𝗗𝗔 𝗢𝗧𝗧𝗢𝗕𝗥𝗘 ‼️
𝗤𝘂𝗮𝗻𝘁𝗼 𝘀𝗲𝗶 𝗱𝗶𝘀𝘁𝗮𝗻𝘁𝗲 𝗱𝗮...𝗗𝗢𝗩𝗘 𝗗𝗢𝗩𝗥𝗘𝗦𝗧𝗜 𝗘𝗦𝗦𝗘𝗥𝗘 ❓

Il primo incontro inizia sempre con le tipiche frasi.
• I processi funzionano, più o meno.
• Il team è bravo, ci arrangiamo.
• I NUMERI? BEH, QUELLI LI VEDIAMO A FINE ANNO.
Una performance misurata a sensazione.

𝗟𝗮 𝗦𝗜𝗖𝗨𝗥𝗘𝗭𝗭𝗔 𝗲̀ 𝗰𝗼𝗺𝗲 𝗹𝗮 𝗖𝗢𝗡𝗙𝗢𝗥𝗠𝗜𝗧𝗔̀
𝗦𝗶 𝘁𝗼𝗰𝗰𝗮 𝗰𝗼𝗻 𝗠𝗔𝗡𝗢.

COME MAI QUESTO PROCESSO PRODUCE QUESTO RISULTATO?
CHI PRESIDIA QUESTA ATTIVITÀ QUANDO ACCADE QUEST'ALTRA?

Un approccio serio, pragmatico, concreto.
Nessuna crescita si costruisce sull'intuizione.
𝗟𝗮 𝘃𝗶𝘀𝗶𝗼𝗻𝗲 va tradotta in obiettivi misurabili.
𝗚𝗹𝗶 𝗼𝗯𝗶𝗲𝘁𝘁𝗶𝘃𝗶 vanno confrontati con lo stato reale.
𝗜𝗹 𝗱𝗶𝘃𝗮𝗿𝗶𝗼 va colmato con una roadmap operativa.

Se hai questa catena, procedi con lucidità.
Se non ce l'hai... in bocca al lupo!!

🟡 QUALI PROCESSI GENERANO PIÙ ATTRITO OGGI?
🟡 LE TECNOLOGIE IN USO SUPPORTANO O RALLENTANO?
🟡 LE RISORSE SONO ALLOCATE DOVE SERVE DAVVERO?
🟡 QUALI INIZIATIVE HANNO IMPATTO REALE E QUALI SOLO RUMORE?

Capite, si entra nello specifico e devi saper rispondere adeguatamente.

Per rispondere adeguatamente c'è solo un modo: 𝗠𝗔𝗣𝗣𝗔𝗥𝗘 𝗜𝗟 𝗣𝗥𝗘𝗦𝗘𝗡𝗧𝗘.

𝗙𝗮𝘀𝗲 𝟭 — 𝗔𝘀𝘀𝗲𝘀𝘀𝗺𝗲𝗻𝘁 & 𝗗𝗶𝘀𝗰𝗼𝘃𝗲𝗿𝘆.
Workshop consulenziale su processi, tecnologie, struttura del team, indicatori di performance. Ne esce un quadro chiaro dello stato "as is" e delle aree primarie di miglioramento.

𝗙𝗮𝘀𝗲 𝟮 — 𝗥𝗶𝘀𝘂𝗹𝘁𝗮𝘁𝗶 & 𝗥𝗼𝗮𝗱𝗺𝗮𝗽.
Presentazione dell'analisi, priorità critiche, raccomandazioni operative concrete.
🟡 La roadmap personalizzata, con azioni prioritarie e percorso step-by-step.

Dieci giorni lavorativi dal primo contatto alla consegna.
Nessun vincolo contrattuale. Nessun costo nascosto.

𝑳𝒂 𝒍𝒐𝒈𝒊𝒄𝒂 𝒓𝒊𝒎𝒂𝒏𝒆 𝒔𝒆𝒎𝒑𝒓𝒆 𝒍𝒂 𝒔𝒕𝒆𝒔𝒔𝒂:
🟡 𝘚𝘦 𝘤𝘰𝘯𝘰𝘴𝘤𝘪 𝘪𝘭 𝘵𝘶𝘰 𝘱𝘶𝘯𝘵𝘰 𝘥𝘪 𝘱𝘢𝘳𝘵𝘦𝘯𝘻𝘢, 𝘴𝘢𝘪 𝘥𝘰𝘷𝘦 𝘪𝘯𝘷𝘦𝘴𝘵𝘪𝘳𝘦.
🟡 𝑆𝑒 𝑝𝑟𝑒𝑛𝑑𝑖 𝑑𝑒𝑐𝑖𝑠𝑖𝑜𝑛𝑖 𝑑𝑖 𝑏𝑢𝑜𝑛 𝑠𝑒𝑛𝑠𝑜, 𝑟𝑖𝑠𝑝𝑎𝑟𝑚𝑖 𝑠𝑜𝑙𝑑𝑖 𝑒 𝑖𝑛𝑢𝑡𝑖𝑙𝑒 𝑡𝑒𝑚𝑝𝑜 𝑝𝑒𝑟𝑠𝑜.

E voi, la distanza tra presente e futuro desiderato, l'avete mai misurata davvero?

Scrivetelo nei commenti. Mi interessa capire dove si blocca la maggior parte delle aziende.

Spero di esserVi stato d'aiuto.
Un caro saluto ai miei lettori
𝓜𝓪𝓻𝓬𝓸 𝓘𝓪𝓬𝓸𝓿𝓲𝓽𝓽𝓲
www.marcoiacovitti.it

CISO | ISO/IEC 27001 Auditor | Innovation Manager UNI11814 | Referente CSIRT

Autore di "Proteggersi nel digitale"

𝗢𝘁𝘁𝗼𝗯𝗿𝗲 𝟮𝟬𝟮𝟲: 𝗽𝗮𝗿𝘁𝗼𝗻𝗼 𝗹𝗲 𝗶𝘀𝗽𝗲𝘇𝗶𝗼𝗻𝗶 𝗔𝗖𝗡.A partire da ottobre l'Agenzia per la Cybersicurezza Nazionale (ACN) avvierà il c...
08/07/2026

𝗢𝘁𝘁𝗼𝗯𝗿𝗲 𝟮𝟬𝟮𝟲: 𝗽𝗮𝗿𝘁𝗼𝗻𝗼 𝗹𝗲 𝗶𝘀𝗽𝗲𝘇𝗶𝗼𝗻𝗶 𝗔𝗖𝗡.
A partire da ottobre l'Agenzia per la Cybersicurezza Nazionale (ACN) avvierà il ciclo di verifiche sui soggetti essenziali e importanti.

Non basterà "essere sicuri", bisognerà dimostrarlo, con documenti, registri ed evidenze.

Nel mio lavoro con le aziende soggette al D.Lgs. 138/2024 (NIS2) trovo frequentemente misure tecniche presenti, ma governance frammentata.

Quello che cerco sempre di spiegare è che in fase d'ispezione
" 𝘁𝘂𝘁𝘁𝗼 𝗰𝗶𝗼̀ 𝗰𝗵𝗲 𝗻𝗼𝗻 𝗲̀ 𝗱𝗼𝗰𝘂𝗺𝗲𝗻𝘁𝗮𝘁𝗼 𝗲̀ 𝗰𝗼𝗺𝗲 𝘀𝗲 𝗻𝗼𝗻 𝗲𝘀𝗶𝘀𝘁𝗲𝘀𝘀𝗲".

La conformità NIS2 non è un progetto una tantum, è un presidio continuativo.

Spesso si lavora molto per organizzare i fornitori ICT:
- classificazione del rischio,
- clausole di sicurezza sui contratti (Art. 21 c.2 lett. d)
- Postura di sicurezza,
- Audit,

Poi si organizzano
- test,
- registri
- notifiche incidenti
per trasforma la compliance in un impegno mensile prevedibile.

𝑳𝒂 𝒍𝒐𝒈𝒊𝒄𝒂 𝒓𝒊𝒎𝒂𝒏𝒆 𝒔𝒆𝒎𝒑𝒓𝒆 𝒍𝒂 𝒔𝒕𝒆𝒔𝒔𝒂:
🟡 𝘚𝘦 𝘭𝘢𝘷𝘰𝘳𝘪 𝘴𝘦𝘳𝘪𝘢𝘮𝘦𝘯𝘵𝘦, 𝘯𝘰𝘯 𝘥𝘦𝘷𝘪 𝘱𝘳𝘦𝘰𝘤𝘤𝘶𝘱𝘢𝘳𝘵𝘪 𝘥𝘪 𝘯𝘪𝘦𝘯𝘵𝘦.
🟡 𝑆𝑒 𝑝𝑟𝑒𝑛𝑑𝑖 𝑑𝑒𝑐𝑖𝑠𝑖𝑜𝑛𝑖 𝑑𝑖 𝑏𝑢𝑜𝑛 𝑠𝑒𝑛𝑠𝑜, 𝑟𝑖𝑠𝑝𝑎𝑟𝑚𝑖 𝑠𝑜𝑙𝑑𝑖 𝑒 𝑖𝑛𝑢𝑡𝑖𝑙𝑒 𝑡𝑒𝑚𝑝𝑜 𝑝𝑒𝑟𝑠𝑜.

Spero di esserVi stato d'aiuto.
Un caro saluto ai miei lettori
𝓜𝓪𝓻𝓬𝓸 𝓘𝓪𝓬𝓸𝓿𝓲𝓽𝓽𝓲

Poche settimane fa un'organizzazione soggetta a NIS2 si è trovata davanti a un incidente reale: una campagna di phishing...
06/07/2026

Poche settimane fa un'organizzazione soggetta a NIS2 si è trovata davanti a un incidente reale: una campagna di phishing rilevata di notte, un attacco già in corso.

𝗜𝗹 𝗿𝗶𝘀𝗰𝗵𝗶𝗼, 𝗶𝗻 𝗾𝘂𝗲𝘀𝘁𝗶 𝗰𝗮𝘀𝗶, 𝗲̀ 𝗱𝗼𝗽𝗽𝗶𝗼.
C'è l'impatto tecnico dell'attacco.
Poi c'è un secondo fronte, spesso sottovalutato: la conformità. L'art. 25 del D.Lgs. 138/2024 (NIS2) impone scadenze che non ammettono ritardi:
– segnalazione preliminare entro 𝟮𝟰 𝗼𝗿𝗲.
– notifica di aggiornamento entro 𝟳𝟮 𝗼𝗿𝗲.
– comunicazione di chiusura entro 𝟯𝟬 𝗴𝗶𝗼𝗿𝗻𝗶.

Sotto pressione, senza un presidio già definito, le notifiche arrivano tarde e la documentazione resta incompleta.

La gestione di un incidente non comincia quando l'incidente accade.
Comincia mesi prima, quando si decide chi presidierà il dialogo con l'Agenzia.

𝗖𝗼𝘀𝗮 𝗻𝗼𝗻 𝗯𝗶𝘀𝗼𝗴𝗻𝗮 𝗺𝗮𝗶 𝗳𝗮𝗿𝗲?
- Nominare il Referente CSIRT senza le necessarie conoscenze cyber (obbligatorie per legge).

- Affrontare il portale ACN senza evidenze documentali ordinate.

- Non tracciare le azioni, perdendo la capacità di dimostrare la propria diligenza.

Chi prepara bene il presidio in anticipo, affronta la crisi in modo diverso:
- rispetta le scadenze anche sotto stress,
- si presenta all'ACN con comunicazioni coerenti e difendibili,
- trasforma un evento critico in una gestione documentata e tracciata.

La differenza tra subire un incidente e governarlo si gioca tutta nelle prime ore.
Come Referente CSIRT affianco i soggetti NIS-essenziali e importanti nella gestione operativa delle notifiche e nel dialogo con l'Agenzia, anche in supplenza di strutture interne non ancora pronte.

𝑳𝒂 𝒍𝒐𝒈𝒊𝒄𝒂 𝗲̀ 𝒔𝒆𝒎𝒑𝒓𝒆 𝒍𝒂 𝒔𝒕𝒆𝒔𝒔𝒂:
🟡 𝘚𝘦 𝘭𝘢𝘷𝘰𝘳𝘪 𝘴𝘦𝘳𝘪𝘢𝘮𝘦𝘯𝘵𝘦, 𝘯𝘰𝘯 𝘥𝘦𝘷𝘪 𝘱𝘳𝘦𝘰𝘤𝘤𝘶𝘱𝘢𝘳𝘵𝘪 𝘥𝘪 𝘯𝘪𝘦𝘯𝘵𝘦.
🟡 𝑆𝑒 𝑝𝑟𝑒𝑛𝑑𝑖 𝑑𝑒𝑐𝑖𝑠𝑖𝑜𝑛𝑖 𝑑𝑖 𝑏𝑢𝑜𝑛 𝑠𝑒𝑛𝑠𝑜, 𝑟𝑖𝑠𝑝𝑎𝑟𝑚𝑖 𝑠𝑜𝑙𝑑𝑖 𝑒 𝑖𝑛𝑢𝑡𝑖𝑙𝑒 𝑡𝑒𝑚𝑝𝑜 𝑝𝑒𝑟𝑠𝑜.

Spero di esserVi stato d'aiuto.
Un caro saluto ai miei lettori
𝓜𝓪𝓻𝓬𝓸 𝓘𝓪𝓬𝓸𝓿𝓲𝓽𝓽𝓲

𝗤𝘂𝗮𝗻𝗱𝗼 𝗶 𝗻𝗼𝗱𝗶 𝘃𝗲𝗻𝗴𝗼𝗻𝗼 𝗮𝗹 𝗽𝗲𝘁𝘁𝗶𝗻𝗲 𝗲 𝗹𝗲 𝘀𝗰𝗼𝗿𝗰𝗶𝗮𝘁𝗼𝗶𝗲 𝘀𝗶 𝗽𝗮𝗴𝗮𝗻𝗼 𝗮 𝗰𝗮𝗿𝗼 𝗽𝗿𝗲𝘇𝘇𝗼.Le policy, i test operativi e la gestione del ...
03/07/2026

𝗤𝘂𝗮𝗻𝗱𝗼 𝗶 𝗻𝗼𝗱𝗶 𝘃𝗲𝗻𝗴𝗼𝗻𝗼 𝗮𝗹 𝗽𝗲𝘁𝘁𝗶𝗻𝗲 𝗲 𝗹𝗲 𝘀𝗰𝗼𝗿𝗰𝗶𝗮𝘁𝗼𝗶𝗲 𝘀𝗶 𝗽𝗮𝗴𝗮𝗻𝗼 𝗮 𝗰𝗮𝗿𝗼 𝗽𝗿𝗲𝘇𝘇𝗼.

Le policy, i test operativi e la gestione del rischio non sono vincoli burocratici, ma gli unici veri paracadute quando il sistema trema.

Ecco una panoramica schietta su ciò che realmente serve per proteggere un'infrastruttura, partendo da un presupposto fondamentale: la trasparenza con se stess

𝗟𝗮 𝗚𝗮𝗽 𝗔𝗻𝗮𝗹𝘆𝘀𝗶𝘀 𝗻𝗼𝗻 𝗺𝗲𝗻𝘁𝗲
Se i report passati evidenziano carenze strutturali o policy non adattate alla realtà locale, quelle lacune peseranno come macigni durante un'emergenza.

𝗚𝗹𝗶 𝗮𝘀𝘀𝗲𝘁 𝗶𝗻𝘃𝗶𝘀𝗶𝗯𝗶𝗹𝗶 𝗻𝗼𝗻 𝘀𝗶 𝗱𝗶𝗳𝗲𝗻𝗱𝗼𝗻𝗼
Non si può gestire ciò che non si conosce. Mancare di un inventario aggiornato di asset, software e flussi di rete trasforma la risposta a un incidente in un percorso a ostacoli.

𝗟𝗮 𝘀𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮 𝗽𝗮𝗿𝘇𝗶𝗮𝗹𝗲 𝗲̀ 𝘂𝗻𝗮 𝗳𝗮𝗹𝘀𝗮 𝘀𝗶𝗰𝘂𝗿𝗲𝘇𝘇𝗮
Strumenti di monitoraggio attivi solo in specifiche condizioni (non sempre) creano pericolosi angoli ciechi.

𝑳𝒂 𝒍𝒐𝒈𝒊𝒄𝒂 𝒓𝒊𝒎𝒂𝒏𝒆 𝒔𝒆𝒎𝒑𝒓𝒆 𝒍𝒂 𝒔𝒕𝒆𝒔𝒔𝒂:
🟡 𝘚𝘦 𝘭𝘢𝘷𝘰𝘳𝘪 𝘴𝘦𝘳𝘪𝘢𝘮𝘦𝘯𝘵𝘦, 𝘯𝘰𝘯 𝘥𝘦𝘷𝘪 𝘱𝘳𝘦𝘰𝘤𝘤𝘶𝘱𝘢𝘳𝘵𝘪 𝘥𝘪 𝘯𝘪𝘦𝘯𝘵𝘦.
🟡 𝑆𝑒 𝑝𝑟𝑒𝑛𝑑𝑖 𝑑𝑒𝑐𝑖𝑠𝑖𝑜𝑛𝑖 𝑑𝑖 𝑏𝑢𝑜𝑛 𝑠𝑒𝑛𝑠𝑜, 𝑟𝑖𝑠𝑝𝑎𝑟𝑚𝑖 𝑠𝑜𝑙𝑑𝑖 𝑒 𝑖𝑛𝑢𝑡𝑖𝑙𝑒 𝑡𝑒𝑚𝑝𝑜 𝑝𝑒𝑟𝑠𝑜.

Spero di esserVi stato d'aiuto.
Un caro saluto ai miei lettori
𝓜𝓪𝓻𝓬𝓸 𝓘𝓪𝓬𝓸𝓿𝓲𝓽𝓽𝓲

𝗨𝗧𝗜𝗟𝗜𝗭𝗭𝗢 di strumenti 𝗔𝗜 𝗜𝗡 𝗔𝗭𝗜𝗘𝗡𝗗𝗔:In molte aziende (specialmente nelle PMI) si fa uso di AI sottovalutando alcuni aspe...
14/06/2026

𝗨𝗧𝗜𝗟𝗜𝗭𝗭𝗢 di strumenti 𝗔𝗜 𝗜𝗡 𝗔𝗭𝗜𝗘𝗡𝗗𝗔:
In molte aziende (specialmente nelle PMI) si fa uso di AI sottovalutando alcuni aspetti.

Mi permetto di fare un'osservazione sul tema "𝑈𝑠𝑎𝑟𝑒 𝑑𝑎𝑡𝑖 𝑎𝑧𝑖𝑒𝑛𝑑𝑎𝑙𝑖 𝑠𝑢 𝑠𝑡𝑟𝑢𝑚𝑒𝑛𝑡𝑖 𝑛𝑜𝑛 𝑎𝑢𝑡𝑜𝑟𝑖𝑧𝑧𝑎𝑡𝑖" che ovviamente ricade come responsabilità sul collaboratore (subordinato o professionista che sia).

𝗘 𝗾𝘂𝗶𝗻𝗱𝗶, 𝗹𝗮 𝗱𝗼𝗺𝗮𝗻𝗱𝗮 𝗲̀:

𝗨𝗻 𝗳𝗼𝗿𝗻𝗶𝘁𝗼𝗿𝗲 𝗲̀ "𝗿𝗶𝗹𝗲𝘃𝗮𝗻𝘁𝗲 𝗡𝗜𝗦" 𝘀𝗲 𝘀𝗼𝗱𝗱𝗶𝘀𝗳𝗮 𝗮𝗹𝗺𝗲𝗻𝗼 𝘂𝗻𝗼 𝗱𝗲𝗶 𝗱𝘂𝗲 𝗰𝗿𝗶𝘁𝗲𝗿𝗶 𝘀𝗲𝗴𝘂𝗲𝗻𝘁𝗶:𝗖𝗿𝗶𝘁𝗲𝗿𝗶𝗼 𝟭 – 𝗙𝗼𝗿𝗻𝗶𝘁𝘂𝗿𝗮 𝗜𝗖𝗧: la fornitura...
26/05/2026

𝗨𝗻 𝗳𝗼𝗿𝗻𝗶𝘁𝗼𝗿𝗲 𝗲̀ "𝗿𝗶𝗹𝗲𝘃𝗮𝗻𝘁𝗲 𝗡𝗜𝗦" 𝘀𝗲 𝘀𝗼𝗱𝗱𝗶𝘀𝗳𝗮 𝗮𝗹𝗺𝗲𝗻𝗼 𝘂𝗻𝗼 𝗱𝗲𝗶 𝗱𝘂𝗲 𝗰𝗿𝗶𝘁𝗲𝗿𝗶 𝘀𝗲𝗴𝘂𝗲𝗻𝘁𝗶:

𝗖𝗿𝗶𝘁𝗲𝗿𝗶𝗼 𝟭 – 𝗙𝗼𝗿𝗻𝗶𝘁𝘂𝗿𝗮 𝗜𝗖𝗧: la fornitura è riconducibile alle attività o ai servizi di cui all'allegato I, punti 8 e 9, del decreto NIS (ovvero forniture di tecnologie dell'informazione e della comunicazione).
𝗖𝗿𝗶𝘁𝗲𝗿𝗶𝗼 𝟮 – 𝗙𝗼𝗿𝗻𝗶𝘁𝘂𝗿𝗮 𝗻𝗼𝗻 𝗳𝘂𝗻𝗴𝗶𝗯𝗶𝗹𝗲: l'interruzione o la compromissione della fornitura comporta un impatto significativo sulla capacità del soggetto NIS di erogare le attività o i servizi per cui rientra nell'ambito NIS, anche per effetto della indisponibilità di fornitori alternativi. ACN

𝗜𝗹 𝗽𝘂𝗻𝘁𝗼 𝗰𝗵𝗶𝗮𝘃𝗲: 𝗹𝗮 𝘀𝗼𝘀𝘁𝗶𝘁𝘂𝗶𝗯𝗶𝗹𝗶𝘁𝗮̀
ACN chiarisce che un fornitore non è rilevante perché appartiene a una categoria astrattamente "cyber" o "IT", ma perché la sua interruzione produce un impatto significativo. La BIA (Business Impact Analysis) è lo strumento decisivo, perché consente di evitare una classificazione meramente tecnologica.

𝗧𝗿𝗮𝗱𝗼𝘁𝘁𝗼 𝗶𝗻 𝗽𝗿𝗮𝘁𝗶𝗰𝗼: se il tuo fornitore di assistenza tecnica smettesse di erogare il servizio domani, riesci a trovare un sostituto in tempi ragionevoli senza che ne risenta la tua attività NIS?
𝗦𝗲 𝗹𝗮 𝗿𝗶𝘀𝗽𝗼𝘀𝘁𝗮 𝗲̀ 𝗻𝗼 → 𝘃𝗮 𝗶𝗻𝗱𝗶𝗰𝗮𝘁𝗼.

𝗔𝘁𝘁𝗲𝗻𝘇𝗶𝗼𝗻𝗲 𝗮𝗹𝗹𝗲 𝘀𝗶𝘁𝘂𝗮𝘇𝗶𝗼𝗻𝗶 "𝗶𝗻𝘁𝗲𝗿𝗺𝗲𝗱𝗶𝗲"
Due casistiche frequenti nell'assistenza tecnica che meritano attenzione:
𝟭. 𝗜𝗹 𝗳𝗼𝗿𝗻𝗶𝘁𝗼𝗿𝗲 𝗰𝗼𝗻𝘁𝗿𝗮𝘁𝘁𝘂𝗮𝗹𝗲 𝗻𝗼𝗻 𝗲̀ 𝗰𝗵𝗶 𝗲𝗿𝗼𝗴𝗮 𝗶𝗹 𝘀𝗲𝗿𝘃𝗶𝘇𝗶𝗼.
Se il servizio è erogato dal fornitore B ma il fornitore A gestisce operativamente l'applicazione o parte della fornitura, entrambi possono rientrare nella valutazione. Quindi se la tua software house si appoggia a un subfornitore per l'assistenza, valuta anche quest'ultimo.
𝟮. 𝗔𝘀𝘀𝗶𝘀𝘁𝗲𝗻𝘇𝗮 𝘁𝗲𝗰𝗻𝗶𝗰𝗮 𝗶𝗻𝗳𝗿𝗮𝗴𝗿𝘂𝗽𝗽𝗼.
Anche un fornitore appartenente allo stesso gruppo di imprese deve essere valutato ai fini dell'individuazione dei fornitori rilevanti NIS. Il fatto che sia una consociata non è un'esimente. Assonime

Nell'immagine che riporto nel post sintetizzo uno schema d'esempio (è solo un esempio) applicato all'assistenza tecnica continuativa
Consideratela un punto di partenza da valutare caso per caso.

𝗟𝗔 𝗦𝗜𝗖𝗨𝗥𝗘𝗭𝗭𝗔 𝗗𝗘𝗟𝗟𝗔 𝗦𝗨𝗣𝗣𝗟𝗬 𝗖𝗛𝗔𝗜𝗡 𝗡𝗢𝗡 𝗘̀ 𝗨𝗡 𝗢𝗣𝗧𝗜𝗢𝗡𝗔𝗟 Non è una novità per chi lavora in ambito ICT.È esattamente quello ch...
21/05/2026

𝗟𝗔 𝗦𝗜𝗖𝗨𝗥𝗘𝗭𝗭𝗔 𝗗𝗘𝗟𝗟𝗔 𝗦𝗨𝗣𝗣𝗟𝗬 𝗖𝗛𝗔𝗜𝗡 𝗡𝗢𝗡 𝗘̀ 𝗨𝗡 𝗢𝗣𝗧𝗜𝗢𝗡𝗔𝗟
Non è una novità per chi lavora in ambito ICT.
È esattamente quello che un buon IT Manager o un CISO ha sempre cercato di spiegare: la sicurezza della supply chain tecnologica non è un'opzione!

Per questo la Determinazione ACN 127437/2026 ha reso operativo l'obbligo di censimento dei fornitori rilevanti, da aggiornare ogni anno entro il 𝟯𝟭 𝗺𝗮𝗴𝗴𝗶𝗼.

𝗠𝗮 𝗰𝗵𝗶 𝗱𝗲𝘃𝗼 𝗿𝗲𝗴𝗶𝘀𝘁𝗿𝗮𝗿𝗲?
«𝐼𝑙 𝑓𝑜𝑟𝑛𝑖𝑡𝑜𝑟𝑒 𝑐ℎ𝑒 𝑒𝑟𝑜𝑔𝑎 𝑢𝑛 𝑠𝑒𝑟𝑣𝑖𝑧𝑖𝑜 𝑡𝑒𝑐𝑛𝑜𝑙𝑜𝑔𝑖𝑐𝑜 𝑎 𝑓𝑎𝑣𝑜𝑟𝑒 𝑑𝑒𝑙𝑙'𝑜𝑟𝑔𝑎𝑛𝑖𝑧𝑧𝑎𝑧𝑖𝑜𝑛𝑒, 𝑐𝑜𝑛 𝑎𝑐𝑐𝑒𝑠𝑠𝑜 𝑑𝑖𝑟𝑒𝑡𝑡𝑜 𝑜 𝑖𝑛𝑑𝑖𝑟𝑒𝑡𝑡𝑜 𝑎𝑖 𝑠𝑖𝑠𝑡𝑒𝑚𝑖, 𝑎𝑙𝑙𝑒 𝑟𝑒𝑡𝑖 𝑜 𝑎𝑙𝑙𝑒 𝑐𝑟𝑒𝑑𝑒𝑛𝑧𝑖𝑎𝑙𝑖 𝑑𝑒𝑙 𝑠𝑜𝑔𝑔𝑒𝑡𝑡𝑜 𝑁𝐼𝑆.»

𝗤𝘂𝗲𝘀𝘁𝗼 𝗶𝗻𝗰𝗹𝘂𝗱𝗲:
→ Il vostro fornitore MSP che gestisce le reti
→ Il provider cloud su cui girano i sistemi critici
→ La capogruppo estera che s'intesta la fornitura di servizi IT (sì, anche quella)
→ Il fornitore SCADA che nessuno potrebbe sostituire in tempi brevi

Se la casa madre estera fornisce servizi all'entità italiana, va indicata come impresa collegata. Va formalizzato, comunicato, verificato. È tutto molto logico — se hai il quadro normativo chiaro.

Ho preparato un documento operativo che accompagna nella definizione della lista fornitori, selezione del CPV e nel calcolo della rilevanza: 𝗚𝗨𝗜𝗗𝗔 + 𝗙𝗢𝗚𝗟𝗜𝗢 𝗫𝗟𝗦

Dentro trovi:
✅ Il quadro normativo completo (art. 24 D.Lgs. 138/2024 e Determinazione ACN)
✅ I criteri per qualificare un fornitore come ICT, Non fungibile o ICT non fungibile
✅ Le regole per contratti continuativi, SLA e accordi infragruppo
✅ I Codici CPV da attenzionare
✅ Una checklist operativa per avviare subito il censimento

Se ti serve la versione estesa — con il calcolo della rilevanza attribuita su 5 dimensioni operative e i riferimenti normativi precisi per le verifiche ACN (art. 21 Determinazione categorizzazione) —

📩 Scrivimi in privato e te la invio.

Spero di essere d'aiuto.
𝓜𝓪𝓻𝓬𝓸 𝓘𝓪𝓬𝓸𝓿𝓲𝓽𝓽𝓲

𝗡𝗼𝗻 𝘃𝗲𝗱𝗲𝗿𝗲 "𝗘̀ 𝗨𝗡𝗔 𝗥𝗘𝗦𝗣𝗢𝗡𝗦𝗔𝗕𝗜𝗟𝗜𝗧𝗔̀"Immagina questa scena nella sala riunioni:Un incidente informatico è appena accaduto....
21/05/2026

𝗡𝗼𝗻 𝘃𝗲𝗱𝗲𝗿𝗲 "𝗘̀ 𝗨𝗡𝗔 𝗥𝗘𝗦𝗣𝗢𝗡𝗦𝗔𝗕𝗜𝗟𝗜𝗧𝗔̀"

Immagina questa scena nella sala riunioni:
Un incidente informatico è appena accaduto.
La vulnerabilità era nota.
Era stata pubblicata mesi fa.
Ma nessuno l'aveva gestita.
In quel momento, il problema non è più tecnico.
𝗘̀ 𝗼𝗿𝗴𝗮𝗻𝗶𝘇𝘇𝗮𝘁𝗶𝘃𝗼. 𝗘̀' 𝗴𝗶𝘂𝗿𝗶𝗱𝗶𝗰𝗼.

La Direttiva NIS 2 introduce un principio chiaro:

La NIS2 non richiede solo di “avere strumenti di sicurezza”, ma impone alle organizzazioni di:
- monitorare continuamente rischi e vulnerabilità
- dimostrare capacità di controllo
- trasformare le informazioni raccolte in decisioni operative
- attribuire responsabilità precisi.

La NIS 2 non è solo compliance.
È governance del rischio applicata al vertice aziendale.
(per questo coinvolge anche alla 231).

Spero di essere d'aiuto
𝓜𝓪𝓻𝓬𝓸 𝓘𝓪𝓬𝓸𝓿𝓲𝓽𝓽𝓲

𝗦𝗰𝗮𝗱𝗲𝗻𝘇𝗮 𝟯𝟭 𝗠𝗮𝗴𝗴𝗶𝗼 (e aggiornamento continuo) > La scadenza del 31 Maggio è distinta da quella del 30 Giugno. La differe...
17/05/2026

𝗦𝗰𝗮𝗱𝗲𝗻𝘇𝗮 𝟯𝟭 𝗠𝗮𝗴𝗴𝗶𝗼 (e aggiornamento continuo)
>

La scadenza del 31 Maggio è distinta da quella del 30 Giugno.
La differenza tra le due scadenze può essere definita "strutturale".

Cerco di semplificarla in questo modo:
- 31/05: adempimento sistemico (ricorrente tutti gli anni).
- 30/06: attività di accompagnamento (propedeutica per la scadenza di ottobre).

𝗠𝗶 𝘀𝗽𝗶𝗲𝗴𝗼 𝗺𝗲𝗴𝗹𝗶𝗼.
Tutti gli anni, entro il 31/05 (consiglio di segnarlo sul calendario), i soggetti NIS2 sono chiamati ad aggiornare i propri dati organizzativi tra cui:
- Informazioni generali (compresi i fornitori).
- Sostituto punto di contatto.
- Accordi di Condivisione.

𝑹𝒊𝒇𝒆𝒓𝒊𝒎𝒆𝒏𝒕𝒐 𝒏𝒐𝒓𝒎𝒂𝒕𝒊𝒗𝒐.
Questo adempimento trova radici nell'articolo 7, comma 6, del decreto legislativo 4 settembre 2024, n. 138 (Decreto NIS).

Le indicazioni contenute in quest'articolo costituiscono il fondamento per la Determinazione dell'Agenzia per la Cybersicurezza Nazionale (ACN) relativa alla gestione operativa della Piattaforma NIS ( n. 333017/2025 e nelle sue versioni aggiornate, come la n. 379887/2026 ).
>

𝗙𝗔𝗖𝗖𝗜𝗔𝗠𝗢 𝗔𝗧𝗧𝗘𝗡𝗭𝗜𝗢𝗡𝗘 𝗮𝗻𝗰𝗵𝗲 𝗮𝗹 𝗰𝗼𝗺𝗺𝗮𝟳 𝗱𝗲𝗹𝗹'𝗮𝗿𝘁𝗶𝗰𝗼𝗹𝗼𝟳 𝗱𝗲𝗹𝗹𝗮 𝗹𝗲𝗴𝗴𝗲 𝟭𝟯𝟴/𝟮𝟬𝟮𝟰):
𝐴𝐶𝑁 𝑠𝑝𝑒𝑐𝑖𝑓𝑖𝑐𝑎 𝑐𝑜𝑚𝑒 𝑖 𝑠𝑜𝑔𝑔𝑒𝑡𝑡𝑖 𝑑𝑒𝑏𝑏𝑎𝑛𝑜 𝑐𝑜𝑚𝑢𝑛𝑖𝑐𝑎𝑟𝑒 𝑞𝑢𝑎𝑙𝑠𝑖𝑎𝑠𝑖 𝑚𝑜𝑑𝑖𝑓𝑖𝑐𝑎 "𝑡𝑒𝑚𝑝𝑒𝑠𝑡𝑖𝑣𝑎𝑚𝑒𝑛𝑡𝑒" 𝑒, 𝑖𝑛 𝑜𝑔𝑛𝑖 𝑐𝑎𝑠𝑜, 𝑒𝑛𝑡𝑟𝑜 𝑞𝑢𝑎𝑡𝑡𝑜𝑟𝑑𝑖𝑐𝑖 𝑔𝑖𝑜𝑟𝑛𝑖 𝑑𝑎𝑙𝑙𝑎 𝑑𝑎𝑡𝑎 𝑑𝑒𝑙𝑙𝑎 𝑚𝑜𝑑𝑖𝑓𝑖𝑐𝑎.

Esiste, quindi, anche 𝗹'𝗼𝗯𝗯𝗹𝗶𝗴𝗼 𝗱𝗲𝗹𝗹'𝗮𝗴𝗴𝗶𝗼𝗿𝗻𝗮𝗺𝗲𝗻𝘁𝗼 𝗰𝗼𝗻𝘁𝗶𝗻𝘂𝗼 delle informazioni che, secondo quanto stabilito dall'Articolo 7, comma 7, del Decreto NIS (D. Lgs. n. 138/2024), 𝗱𝗲𝘃𝗲 𝗮𝘃𝘃𝗲𝗻𝗶𝗿𝗲 𝗲𝗻𝘁𝗿𝗼 𝟭𝟰𝗴𝗴.

Il termine di 14 giorni è definito nell'𝐴𝑟𝑡𝑖𝑐𝑜𝑙𝑜 1 (𝐷𝑒𝑓𝑖𝑛𝑖𝑧𝑖𝑜𝑛𝑖), 𝑐𝑜𝑚𝑚𝑎 1, 𝑙𝑒𝑡𝑡𝑒𝑟𝑎 ℎℎ 𝑑𝑒𝑙𝑙𝑎 𝐷𝑒𝑡𝑒𝑟𝑚𝑖𝑛𝑎𝑧𝑖𝑜𝑛𝑒.

Viene inoltre stabilito il termine del 14 aprile di ogni anno (successivo alla ricezione della comunicazione di inserimento nell'elenco), per l'aggiornamento continuo (𝑐𝑜𝑚𝑚𝑎 2 𝑑𝑒𝑙𝑙'𝐴𝑟𝑡𝑖𝑐𝑜𝑙𝑜 18).

Dal giorno 15 Aprile, infatti, si rientra nell'obbligo di aggiornare i propri dati entro il 31/05

𝗥𝗜𝗔𝗦𝗦𝗨𝗠𝗘𝗡𝗗𝗢
- aggiornamento continuo 𝗲𝗻𝘁𝗿𝗼 𝟭𝟰𝗴𝗴 𝗳𝗶𝗻𝗼 𝗮𝗹 𝟭𝟰 𝗔𝗽𝗿𝗶𝗹𝗲 di ogni anno.
- aggiornamento di tutti i dati organizzativi 𝗱𝗮𝗹 𝟭𝟱 𝗔𝗽𝗿𝗶𝗹𝗲 𝗳𝗶𝗻𝗼 𝗮𝗹 𝟯𝟭 𝗠𝗮𝗴𝗴𝗶𝗼.

Spero di essere stato d'aiuto.
𝓜𝓪𝓻𝓬𝓸 𝓘𝓪𝓬𝓸𝓿𝓲𝓽𝓽𝓲

𝗖𝗮𝘁𝗲𝗴𝗼𝗿𝗶𝘇𝘇𝗮𝘇𝗶𝗼𝗻𝗲 𝗙𝗼𝗿𝗻𝗶𝘁𝗼𝗿𝗶: 𝟯𝟬 𝗴𝗶𝘂𝗴𝗻𝗼 𝟮𝟬𝟮𝟲 𝘀𝗰𝗮𝗱𝗲 𝗹'𝗼𝗯𝗯𝗹𝗶𝗴𝗼 𝗡𝗜𝗦𝟮 Non è solo un adempimento burocratico. La categorizzazio...
17/05/2026

𝗖𝗮𝘁𝗲𝗴𝗼𝗿𝗶𝘇𝘇𝗮𝘇𝗶𝗼𝗻𝗲 𝗙𝗼𝗿𝗻𝗶𝘁𝗼𝗿𝗶: 𝟯𝟬 𝗴𝗶𝘂𝗴𝗻𝗼 𝟮𝟬𝟮𝟲 𝘀𝗰𝗮𝗱𝗲 𝗹'𝗼𝗯𝗯𝗹𝗶𝗴𝗼 𝗡𝗜𝗦𝟮

Non è solo un adempimento burocratico.
La categorizzazione è una vera e propria "Business Impact Analysis-light" che ti aiuta a capire:
1) Chi è davvero critico per i tuoi servizi NIS
2) Dove sono i tuoi rischi reali nella supply chain.

Le domanda da porsi, è sostanzialmente una :
"Quali fornitori bloccherebbero il mio business se domani li perdessi?".

Definendo la risposta alla domanda centrale di questo adempimento:
"𝗤𝘂𝗮𝗹𝗶 𝗳𝗼𝗿𝗻𝗶𝘁𝗼𝗿𝗶 𝗻𝗼𝗻 𝗽𝗼𝘀𝘀𝗼 𝗽𝗲𝗿𝗺𝗲𝘁𝘁𝗲𝗿𝗺𝗶 𝗱𝗶 𝗽𝗲𝗿𝗱𝗲𝗿𝗲?"

Deve poi essere definita la rilevanza che questi fornitori hanno rispetto alla continuità del nostro business.

Per aiutare i miei clienti, ho preparato una guida operativa gratuita con la quale è possibile comprendere:
- Come accedere al portale ACN e navigare la sezione categorizzazione
- Come compilare il template Excel colonna per colonna
- I 3 criteri di rilevanza: ICT / Non fungibile / ICT non fungibile
- Come distinguere un fornitore fungibile da uno non fungibile

📩 𝗦𝗰𝗮𝗿𝗶𝗰𝗮 𝗹𝗮 𝘃𝗲𝗿𝘀𝗶𝗼𝗻𝗲 𝗯𝗮𝘀𝗲 𝗱𝗶𝗿𝗲𝘁𝘁𝗮𝗺𝗲𝗻𝘁𝗲 𝗱𝗮 𝗾𝘂𝗲𝘀𝘁𝗼 𝗹𝗶𝗻𝗸
https://lnkd.in/gSbsTEkm.

Scopri se stai usando un approccio top-down (dai processi aziendali) o bottom-up (dall'inventario IT)

𝗠𝗶 𝗿𝗮𝗰𝗰𝗼𝗺𝗮𝗻𝗱𝗼:
🟡 Non caricare indiscriminatamente tutti i fornitori.
Devi selezionare solo quelli che soddisfano effettivamente almeno uno dei tre criteri, con impatto reale sulle attività/servizi NIS.
Al contempo, non escludere fornitori non-ICT che siano di fatto non-fungibili.

🟡 Conservare internamente la documentazione che motiva le scelte (obbligatoria per eventuali verifiche di conformità ACN ex art. 21 Determinazione categorizzazione).

𝗦𝗲 𝗽𝗲𝗻𝘀𝗶 𝗰𝗵𝗲 𝗽𝗼𝘀𝘀𝗮 𝘁𝗼𝗿𝗻𝗮𝗿𝘁𝗶 𝘂𝘁𝗶𝗹𝗲 la versione completa che include:
🔹 Il calcolo della "rilevanza attribuita" su 5 dimensioni operative
🔹 La tabella completa dei Codici CPV per soggetti NIS
🔹 La checklist finale per non dimenticare nulla
🔹 I riferimenti normativi precisi (art. 21 Determinazione ACN)
𝗦𝗰𝗿𝗶𝘃𝗶𝗺𝗶 𝗶𝗻 𝗽𝗿𝗶𝘃𝗮𝘁𝗼 e sarà mia cura inviarti il documento completo.
𝗦𝗲 𝗵𝗮𝗶 𝗯𝗶𝘀𝗼𝗴𝗻𝗼 𝗱'𝗮𝗶𝘂𝘁𝗼, fissa una breve call (gratuita) per alcune spiegazioni veloci.
𝗦𝗼𝗻𝗼 𝗾𝘂𝗶 𝗽𝗲𝗿 𝗮𝗶𝘂𝘁𝗮𝗿𝘁𝗶.

Ti lascio con le due frasi che più mi rappresentano:
🔸 𝑆𝑒 𝑙𝑎𝑣𝑜𝑟𝑖 𝑠𝑒𝑟𝑖𝑎𝑚𝑒𝑛𝑡𝑒, 𝑛𝑜𝑛 𝑑𝑒𝑣𝑖 𝑝𝑟𝑒𝑜𝑐𝑐𝑢𝑝𝑎𝑟𝑡𝑖 𝑑𝑖 𝑛𝑖𝑒𝑛𝑡𝑒
🔸𝑆𝑒 𝑝𝑟𝑒𝑛𝑑𝑖 𝑑𝑒𝑐𝑖𝑠𝑖𝑜𝑛𝑖 𝑑𝑖 𝑏𝑢𝑜𝑛 𝑠𝑒𝑛𝑠𝑜, 𝑟𝑖𝑠𝑝𝑎𝑟𝑚𝑖 𝑠𝑜𝑙𝑑𝑖 𝑒 𝑖𝑛𝑢𝑡𝑖𝑙𝑒 𝑡𝑒𝑚𝑝𝑜 𝑝𝑒𝑟𝑠𝑜

hashtag
hashtag
hashtag
hashtag
hashtag
hashtag
hashtag
hashtag
hashtag

Indirizzo

Via Tor Pagnotta 94
Rome
00143

Orario di apertura

Lunedì 10:00 - 18:30
Martedì 10:00 - 18:30
Mercoledì 10:00 - 18:30
Giovedì 10:00 - 18:30
Venerdì 10:00 - 18:30

Sito Web

, ,

Notifiche

Lasciando la tua email puoi essere il primo a sapere quando Marco Iacovitti - Proteggersi nel Digitale pubblica notizie e promozioni. Il tuo indirizzo email non verrà utilizzato per nessun altro scopo e potrai annullare l'iscrizione in qualsiasi momento.

Contatta L'azienda

Invia un messaggio a Marco Iacovitti - Proteggersi nel Digitale:

Scelte rapide

Condividi