Cybersecurity per aziende ed enti

Cybersecurity per aziende ed enti: la sicurezza che si verifica, si esercita e si dimostra

Un cliente chiede prove di sicurezza, il consiglio vuole sapere a che punto è l’azienda, l’assicurazione manda un questionario. Strategic mette alla prova i sistemi come farebbe un attaccante (penetration test) e ne cerca le debolezze note (vulnerability assessment), prepara l’azienda a gestire un incidente e a ripartire, e la aiuta ad adeguarsi alla NIS2, anche quando è fornitrice di aziende soggette.

Parliamo della vostra situazione La NIS2 in parole semplici

Composizione grafica d’esempio: cronologia delle prime ore di un incidente informatico, con isolamento dei sistemi, copia forense di log e dischi, perimetro dell’attacco e decisione con la direzione, accanto al registro delle evidenze e ai ruoli seduti al tavolo. — Esempio · non descrive un incidente reale

Correzioni nel resoconto: ordinate per gravità; la nuova verifica dopo le correzioni si concorda
NIS2 anche per i fornitori: documenti pronti per i questionari dei clienti
Anche l’intelligenza artificiale: assistenti e agenti AI tra i sistemi da verificare

01 · copia il link alla sezioneLa situazione

Il questionario arriva prima dell’attacco

Con la NIS2 la parte documentale pesa quanto le verifiche tecniche.

Un cliente importante manda un questionario sui fornitori: accessi con doppio controllo, copie dei dati, gestione degli incidenti, data dell’ultimo penetration test. L’IT conosce quasi tutte le risposte, ma poche sono scritte.

Una dichiarazione non basta: servono sistemi messi alla prova, correzioni fatte e documenti leggibili da IT, direzione e clienti. Senza, ogni nuova richiesta costa settimane, proprio quando un contratto dipende da quelle risposte.

Tecnica al portatile, di profilo, davanti a un armadio rack in penombra.

02 · copia il link alla sezioneCosa facciamo

Dove interveniamo

Ogni incarico parte da un perimetro scritto: quali sistemi, quali persone, quali date.

Composizione grafica d’esempio: resoconto di un penetration test con le voci ordinate per gravità, il rimedio proposto e lo stato della nuova verifica.

CYBVerifiche tecniche Penetration test e vulnerability assessment La ricerca delle debolezze note (vulnerability assessment) trova i punti deboli di sistemi e applicazioni; il penetration test prova a sfruttarli, come farebbe un attaccante, su un perimetro autorizzato per iscritto. Il resoconto ordina le correzioni per gravità; la nuova verifica si concorda.

CYBIncidenti (incident response)

Gestione degli incidenti e analisi forense

Dopo un incidente: contenere i danni, raccogliere prove valide, capire da dove è entrato l’attacco, ripartire con ordine. Prima che serva: un piano, ruoli chiari ed esercitazioni con la direzione. Le prime ore

CYBContinuità (disaster recovery) Continuità operativa e disaster recovery Quali servizi non possono fermarsi, e per quanto? Da qui l’RTO (il fermo massimo accettabile) e l’RPO (quanti dati si accetta di perdere, in ore o minuti). Poi copie isolate, ordine di ripartenza e prove di ripristino a calendario.

CYBNIS2 e dati personali

Adeguamento NIS2 e protezione dei dati

Si confronta ciò che c’è con ciò che chiede l’Agenzia per la Cybersicurezza Nazionale (ACN), poi piano di adeguamento, procedure per segnalare gli incidenti e documenti che lo provano: per le aziende soggette alla NIS2 e per i loro fornitori. Sui dati personali si lavora con il legale e il DPO. NIS2 in chiaro

CYBPersone

Formazione e simulazioni per personale e vertici

Simulazioni dei tentativi più comuni: richieste ripetute di approvare un accesso sul telefono, falsi tecnici che chiedono un codice, documenti condivisi da account che imitano un partner. Nelle aziende soggette alla NIS2 anche gli amministratori devono formarsi: per loro, sessioni dedicate. Formazione sull’intelligenza artificiale

Composizione grafica: registro dei sistemi di intelligenza artificiale con una richiesta bloccata e la sua motivazione.

AIIntelligenza artificiale

Sicurezza di assistenti e agenti AI

Un assistente AI collegato a posta e documenti si verifica come ogni altro sistema: permessi troppo larghi, istruzioni nascoste nei contenuti, informazioni che finiscono nella risposta sbagliata. Sicurezza e governance dell’AI

03 · copia il link alla sezioneRiquadro di riferimento

NIS2 in chiaro: chi riguarda e cosa chiede, in Italia e a San Marino

Aggiornato il 15 settembre 2026

In breve: la NIS2 chiede alle aziende medie e grandi di molti settori di proteggere sistemi e dati, di controllare i fornitori e di segnalare gli attacchi gravi entro 24 ore. Chi non vi rientra spesso ne riceve comunque le richieste da un cliente.

È la direttiva europea (UE) 2022/2555; in Italia vale dal 16 ottobre 2024 con il D.Lgs. 138/2024, e la fa rispettare l’ACN.

In Italia

Tema	Che cosa vuol dire per voi	Riferimento
Chi è in ambito	Le organizzazioni dei settori degli allegati I-IV, di regola medie e grandi imprese; per alcune attività, come i servizi DNS, la dimensione non conta.	D.Lgs. 138/2024; FAQ ACN
Registrazione	Ogni anno dal 1° gennaio al 28 febbraio sul portale dell’ACN, che poi comunica chi è nell’elenco.	ACN, «Ambito e registrazione»
Vertici	Gli amministratori approvano e controllano le misure, rispondono delle violazioni e devono formarsi.	D.Lgs. 138/2024, art. 23
Fornitori	La sicurezza dei fornitori diretti è una delle misure obbligatorie.	D.Lgs. 138/2024, art. 24
Incidenti significativi	Si segnalano al CSIRT Italia, la squadra nazionale di risposta agli attacchi: primo avviso entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.	D.Lgs. 138/2024, art. 25
Scadenze	Chi è entrato nell’elenco nel 2025 applica le misure di base entro diciotto mesi (per molti, ottobre 2026); chi entra nel 2026 entro il 31 luglio 2027.	Determinazione ACN 379907/2025; FAQ ACN

Chi fornisce un’azienda soggetta alla NIS2

Un fornitore non rientra nella NIS2 solo perché ci rientra il cliente, ma ne riceve le richieste: questionari, clausole, documenti, a volte verifiche. Rientra direttamente se svolge una delle attività previste, per esempio servizi informatici gestiti, e ne ha i requisiti.

E a San Marino?

La NIS2 non vincola le imprese sammarinesi per l’attività svolta nella Repubblica, ma può riguardarle per ciò che fanno nell’Unione.

Fornitori di clienti europei: ricevono le stesse richieste di un fornitore italiano.
Servizi digitali offerti nell’Unione (servizi gestiti, cloud, data center, DNS e simili): chi ne ha i requisiti rientra nella NIS2 e designa un rappresentante in uno Stato membro (direttiva, art. 26; D.Lgs. 138/2024, art. 5).
Accordo di associazione: autorizzato alla firma dal Consiglio dell’Unione europea il 16 luglio 2026, non in vigore al 15 settembre 2026; gli effetti si valuteranno sul testo definitivo.

Per i dati personali vale la Legge 21 dicembre 2018, n. 171. Norme in evoluzione: la proposta di modifica della NIS2 del 20 gennaio 2026 (COM(2026) 13) è ancora in discussione; il riquadro riporta le regole in vigore.

Il riquadro è informativo e non costituisce parere legale: l’applicazione alla singola azienda si valuta con i suoi legali.

Fonti (consultate il 15 settembre 2026; FAQ ACN ricontrollate il 16 settembre 2026)

04 · copia il link alla sezioneIl metodo

Dal perimetro alle evidenze

Quattro passi, con l’autorizzazione scritta di chi ha titolo sui sistemi prima di ogni test.

Colloquio riservato e perimetro

Accordo di riservatezza e perimetro scritto: sistemi, orari, referenti, esclusioni. Ogni test richiede l’autorizzazione scritta di chi ha titolo sui sistemi.

Verifica tecnica

Test, configurazioni, colloqui con chi gestisce i sistemi; ciò che può toccare la produzione si fa solo negli orari concordati.

Composizione grafica d’esempio: report di un penetration test con le voci ordinate per gravità, il rimedio proposto e lo stato del retest.

Correzioni e nuova verifica

Correzioni proposte in ordine di gravità; la nuova verifica si concorda.

Nel tempo

Esercitazioni e nuove verifiche a scadenze concordate, o quando cambiano sistemi e obblighi.

Quanto costa, e quanto ci vuole?: Dipende dal perimetro: quali sistemi, quante applicazioni, quali date. Il primo colloquio non impegna. Se c’è un lavoro da fare, arriva una proposta scritta per l’analisi iniziale, di norma una o due giornate di lavoro con le persone coinvolte. Dopo l’analisi arriva la proposta per il progetto, con fasi, tempi e costi.
Che cosa resta all’azienda?: Un documento tecnico per chi gestisce i sistemi e una sintesi per la direzione, scritta per essere discussa in consiglio.
Chi fa le correzioni?: Il resoconto indica, per ogni voce, chi può eseguirla; l’ordine si decide con l’IT, secondo la gravità.

05 · copia il link alla sezioneLe prime ore

Incidente in corso? Tre regole valide per ogni azienda

Il modulo di contatto non è un canale d’emergenza. Nelle prime ore valgono indicazioni generali, coerenti con le guide delle autorità.

Aggiornato il 15 settembre 2026

Isolare, senza ripulire. Staccare dalla rete i sistemi colpiti, senza reinstallare né cancellare. Spegnerli solo se non si riesce a isolarli: la memoria conserva tracce utili.
Riunire chi decide. Vertice, IT, legale, DPO e comunicazione, su canali che non passano dai sistemi colpiti.
Tenere il conto dei termini. Un’azienda soggetta alla NIS2 ha 24 ore per il primo avviso al CSIRT Italia. Se sono coinvolti dati personali, la notifica all’autorità di controllo (in Italia, il Garante) va fatta entro 72 ore, ove possibile.

Riferimenti pubblici

CSIRT Italia, portale segnalazioni dell’ACN · Garante per la protezione dei dati personali · Polizia Postale · a San Marino, Autorità Garante per la protezione dei dati personali.

Fonti (consultate il 15 settembre 2026)

Le prime ore di un attacco ransomware

06 · copia il link alla sezioneIntelligenza artificiale

Un assistente AI che legge email e documenti può ricevere ordini da chi li ha scritti

Un assistente collegato a posta, archivio o gestionale legge testo, e il testo può contenere ordini: un’email o un allegato che lo convince a ignorare le sue regole (prompt injection). L’elenco dei rischi più noti di questi sistemi, pubblicato da OWASP, la mette al primo posto; tra i primi dieci rischi c’è anche l’agente che ha più autonomia del necessario.

Le verifiche di sicurezza sugli assistenti che leggono dati aziendali controllano quattro cose. Nei progetti di Company Brain e di agenti AI si fanno prima dell’avvio.

Permessi rispettati.
Istruzioni nascoste respinte.
Operazioni verso l’esterno approvate da una persona.
Registro consultabile.

Sicurezza e governance dell’AI Company Brain

Agenti AI e integrazioni

Composizione grafica d’esempio: un’email con un’istruzione nascosta viene bloccata prima di raggiungere l’assistente AI, con la motivazione annotata nel registro.

07 · copia il link alla sezionePrincipi

Cosa non facciamo

Non rilasciamo certificazioni né attestati di conformità: documentiamo misure ed evidenze; le valutazioni formali spettano a chi ne ha titolo.
Non facciamo test senza autorizzazione scritta, né fuori dal perimetro concordato.
Non vendiamo un test come una garanzia: descrive i sistemi provati, alla data in cui è stato eseguito.
Non sostituiamo il legale né il DPO: su notifiche, contratti e obblighi lavoriamo con loro.
Non raccontiamo i risultati delle verifiche: restano all’azienda.

In sicurezza conta ciò che si può dimostrare a una data precisa, non ciò che si dichiara.

08 · copia il link alla sezioneDare l’esempio

La sicurezza di questo sito

Chi vende sicurezza deve applicarla anche a sé.

Aggiornato il 16 settembre 2026

Nessun cookie di profilazione e nessuno script pubblicitario; i caratteri sono ospitati sul sito.
Connessione sempre cifrata e protezioni del browser attive (HSTS e Content-Security-Policy), con un indirizzo per segnalare le vulnerabilità (security.txt).

Si controlla con gli strumenti per sviluppatori del browser.

Cookie e strumenti tecnici

09 · copia il link alla sezioneDomande frequenti

Domande frequenti sulla cybersecurity

Quanto costa un penetration test?

Dipende dal perimetro: quante applicazioni e quanti indirizzi si provano, se il test parte dall’esterno o con le credenziali di un utente, quanto lavoro manuale serve. Per questo non c’è un listino. Il primo colloquio non impegna. Se c’è un lavoro da fare, arriva una proposta scritta per l’analisi iniziale, di norma una o due giornate di lavoro con le persone coinvolte. Dopo l’analisi arriva la proposta per il progetto, con fasi, tempi e costi.

Come si capisce se la nostra azienda rientra nella NIS2?

Si incrociano il settore di attività, confrontato con gli allegati del D.Lgs. 138/2024, e la dimensione: di regola la norma riguarda medie e grandi imprese, con eccezioni come i servizi DNS, e l’ACN può identificare altri soggetti. Chi rientra si registra ogni anno tra gennaio e febbraio. Conviene decidere con il legale.

Siamo fornitori di un’azienda soggetta alla NIS2: quali obblighi abbiamo?

Nessun obbligo diretto per il solo fatto di esserne fornitori, salvo che la vostra attività rientri a sua volta nella norma, come i servizi gestiti. Il cliente però deve gestire i rischi dei fornitori (art. 24 del D.Lgs. 138/2024) e ve lo chiederà con questionari, clausole e richieste di evidenze, a cui conviene rispondere con misure verificate.

Esiste un certificato che attesti l’adeguamento alla NIS2?

Non esiste un certificato che dichiari un’azienda in regola con la NIS2 nel suo insieme. La norma prevede obblighi sotto la vigilanza dell’ACN, che può richiedere certificazioni europee solo per singoli prodotti, servizi o processi (art. 27). Una verifica esterna documenta misure e lacune, ma non vale come attestato.

Una società di San Marino può svolgere verifiche su sistemi e dati di aziende italiane?

Sì, alle condizioni di qualunque fornitore: autorizzazione scritta di chi ha titolo sui sistemi, perché in Italia l’accesso abusivo è reato (art. 615-ter del codice penale), e un accordo secondo il GDPR per gli eventuali dati personali. Si lavora da remoto e, quando serve, anche in azienda.

10 · copia il link alla sezioneOsservatorio

Dall’Osservatorio: sicurezza informatica

Analisi, guide e «prime ore» della Redazione Strategic sulla sicurezza delle aziende.

CYBSicurezza informatica

Attacco ransomware in corso: che cosa fare nelle prime quattro ore

File cifrati e una richiesta di riscatto: le mosse tecniche delle prime quattro ore, dall’isolamento dei sistemi alla difesa delle copie, dalle prove alla stima del danno, fino alla scelta più delicata, quella sul riscatto.

30 agosto 2026

CYBSicurezza informatica

Quanto costa un penetration test: i fattori del prezzo e le due domande da fare prima

Il prezzo di un penetration test dipende da perimetro, approccio, lavoro manuale, documentazione e nuova verifica. Come leggere un preventivo, che cosa chiedono le norme e che cosa deve restare dopo il test.

22 luglio 2026

CYBSicurezza informatica

Violazioni scoperte tardi: perché serve guardare fuori dal perimetro

Molte intrusioni lasciano tracce fuori dall’azienda prima di dare segni all’interno: credenziali in vendita, domini che imitano il marchio, fornitori colpiti. Quali segnali controllare e che cosa fare quando compaiono.

5 agosto 2026

CYBSicurezza informatica

Attacchi condotti da agenti AI: che cosa cambia nei piani di risposta

Esistono già campagne in cui un agente di intelligenza artificiale ha svolto gran parte del lavoro dell’attaccante. Che cosa accelera davvero, quali contenimenti possono scattare da soli e quali restano a una persona.

29 luglio 2026

Tutti gli articoli di sicurezza informatica

Le parti essenziali di questa pagina si stampano in una sintesi di poche pagine, senza immagini e senza gli inviti al contatto.

11 · copia il link alla sezioneContatto

Scriveteci sulla sicurezza della vostra azienda

Qualche riga: che azienda siete, che cosa va verificato o che cosa è successo, eventuali scadenze. Rispondiamo per email, di norma entro due giorni lavorativi.

Nel modulo non vanno inseriti credenziali, indirizzi IP o dettagli di vulnerabilità: si scambiano dopo, sui canali concordati. Se un incidente è in corso, le prime indicazioni sono nel riquadro Le prime ore.

Oppure scriveteci:WhatsApp staff@strategic.sm

Su WhatsApp risponde un assistente AI di Strategic. Non va usato per informazioni riservate.