Intarmour · Valutazione
La valutazione cyber che il consiglio può approvare.
Tre settimane, perimetro scritto prima di iniziare, una relazione che il consiglio di amministrazione può leggere e approvare, un piano a 12 mesi. Prezzo fisso, concordato dopo il colloquio.
- NIS2
- DORA
- AI Act
- CRA
- Rinnovo della polizza
- Richiesta di un investitore
- Dopo un incidente
Quando serve
Quando il consiglio deve rispondere di una scelta.
Sei situazioni in cui al consiglio si chiede di approvare, sovrintendere o dimostrare. Date e articoli vengono dai testi ufficiali, linkati nelle schede.
NIS2
D.Lgs. 138/2024 · Determinazione ACN 127434/2026
Chi è entrato nell’elenco dei soggetti NIS nel 2026 adotta le misure di base entro il 31 luglio 2027. L’art. 23 chiede agli organi di amministrazione di approvarle, di sovrintendere e di formarsi, e li rende responsabili delle violazioni.
DORA
Regolamento (UE) 2022/2554
Si applica alle entità finanziarie dal 17 gennaio 2025. L’organo di gestione definisce e approva l’attuazione del quadro per i rischi informatici, ne vigila l’attuazione e ne è responsabile (art. 5, par. 2).
AI Act
Regolamento (UE) 2024/1689, modificato dal Reg. (UE) 2026/1744
Si applica in via generale dal 2 agosto 2026; per i sistemi ad alto rischio dell’Allegato III il termine è il 2 dicembre 2027. La valutazione ricostruisce quali sistemi di IA usa l’azienda e in quale categoria rientrano.
Cyber Resilience Act
Regolamento (UE) 2024/2847
Per chi fabbrica prodotti con elementi digitali: dall’11 settembre 2026 vanno segnalate le vulnerabilità sfruttate e gli incidenti gravi (art. 14), dall’11 dicembre 2027 si applica tutto il Regolamento (art. 71).
Rinnovo della polizza
Polizza cyber
Al rinnovo l’assicuratore può chiedere evidenze: chi decide, quali controlli funzionano davvero, in quanto tempo si ripristinano i sistemi. Una relazione approvata dal consiglio risponde con documenti.
Richiesta di un investitore
Operazioni straordinarie
Prima di un’operazione l’investitore può chiedere lo stato della sicurezza. Una relazione indipendente, approvata dal consiglio, risponde con evidenze e limiti dichiarati, non con dichiarazioni.
Cosa esamino
Sei aree, lette con gli occhi di chi decide.
Governance e responsabilità
Chi decide, chi risponde e che cosa arriva al consiglio.
- RACI
- Risk appetite
- KRI
- Reporting al CdA
Identità e accessi
Account privilegiati, autenticazione, accessi di fornitori ed ex dipendenti.
- MFA
- PAM
- SSO
- Joiner-mover-leaver
Backup e ripristino
Se le copie esistono, sono separate e sono mai state ripristinate.
- RPO / RTO
- 3-2-1
- Copie immutabili
- Test di restore
Fornitori critici
Da chi dipende l’operatività e che cosa prevedono i contratti.
- Terze parti ICT
- Registro delle informazioni
- SLA
- Exit plan
Gestione e notifica degli incidenti
Chi fa che cosa nelle prime ore e chi notifica a chi.
- Playbook
- Tabletop
- CSIRT
- Notifica 24 / 72 h
Formazione del vertice
Che cosa sanno amministratori e dirigenti del ruolo che la norma assegna loro.
- Board briefing
- Awareness
- Simulazione di phishing
Lavoro su tre fonti: interviste con chi decide e chi gestisce, documenti e contratti, verifiche tecniche mirate sui sistemi per confermare ciò che emerge. Non è un penetration test: guardo se i controlli descritti sulla carta funzionano davvero e chi ne risponde.
Cosa riceve
Documenti che il consiglio può approvare.
Tutto resta Suo: può riutilizzarlo con investitori, assicuratori o altri consulenti dal giorno in cui lo riceve.
Relazione per il consiglio
Da 10 a 15 pagine, scritte per chi deve decidere, non per i tecnici.
Registro dei rischi materiali
Ogni rischio con le evidenze che lo sostengono e i limiti dell’analisi.
Piano a 12 mesi
Interventi ordinati per priorità, con responsabile e tempi.
Briefing di 45 minuti in consiglio
Presento i risultati e rispondo alle domande degli amministratori.
Bozza di delibera
Per l’approvazione delle misure da parte del consiglio.
Per chi
Per chi risponde a un consiglio, a un’autorità o a un socio.
Gli studi professionali fino a 30 postazioni hanno una linea dedicata, qui sotto.
Aziende
Oltre 30 postazioni, oppure soggette a NIS2 o a DORA.
Gruppi
Più società, un consiglio della capogruppo che deve avere un quadro unico.
Enti pubblici
Amministrazioni e società pubbliche con obblighi NIS2 e organi di vertice da informare.
Una linea a parte
Ha uno studio professionale?
Per commercialisti, avvocati e notai fino a 30 postazioni c’è StudioSicuro™: la Verifica firmata e la Supervisione, con prezzi pubblici.
Come funziona
Tre settimane, dopo un perimetro scritto.
Perimetro
Prima di iniziare: colloquio di 30 minuti, poi perimetro e prezzo per iscritto.
Interviste
Settimana 1: chi decide e chi gestisce, politiche e contratti.
Verifiche
Settimana 2: sui sistemi, ciò che è emerso dalle interviste.
Relazione
Settimana 3: consegna di relazione, piano e bozza di delibera; presentazione al primo consiglio utile.
Cosa non è
Che cosa non deve aspettarsi.
- Non è un penetration test. Non provo a violare i sistemi. Le verifiche tecniche servono a confermare ciò che emerge dall’analisi.
- Non è una certificazione. Non rilascio attestati né bollini. La relazione dice dove sono le lacune e che cosa fare prima.
- Non è un audit formale di conformità. Non dichiaro l’azienda conforme a NIS2 o a DORA. Indico che cosa manca rispetto agli obblighi applicabili e con quali priorità intervenire.
Domande frequenti
Le domande che mi vengono poste.
Quanto costa?
Il prezzo è fisso e lo concordo con Lei dopo il colloquio, sul perimetro scritto, prima di iniziare. Nessun conteggio a ore senza limite: conosce il costo prima che il lavoro cominci e resta quello per l’incarico concordato. Se il perimetro cambia in corso d’opera, lo discuto e lo riconcordo prima, mai a lavoro fatto.
Quanto dura?
Tre settimane dal momento in cui il perimetro è concordato e ho accesso alle informazioni previste. Un perimetro più ampio, per esempio un gruppo con più società, può richiedere più tempo: lo scrivo nel perimetro, prima di iniziare. Se c’è una data da rispettare, come un consiglio, un rinnovo della polizza o una firma, costruisco il calendario a ritroso da lì e Le dico in anticipo che cosa mi serve.
Cosa resta a Lei?
Tutto ciò che produco: relazione, registro dei rischi, piano ed evidenze sono Suoi e può riutilizzarli con chiunque, che sia un investitore, un assicuratore o un altro consulente. Non trattengo nulla che Le serva per agire o per farsi seguire da altri.
Che cosa rende indipendente la valutazione?
Non vendo software, non rivendo licenze e non prendo commissioni di segnalazione. La raccomandazione è quella che la Sua situazione richiede, non quella legata a un fornitore. Le conclusioni riportano anche i limiti dell’analisi e ciò che resta incerto.
Cosa serve da parte Sua per iniziare?
Poco: un referente, l’accesso alle informazioni concordate nel colloquio e la disponibilità per le interviste della prima settimana. Prima di cominciare definisco con Lei il perimetro per iscritto, così il lavoro resta mirato e i tempi sono chiari fin dall’inizio.
E se serve un supporto continuativo?
Posso proseguire con la direzione della sicurezza (vCISO), proporzionata alla Sua azienda, con aggiornamenti periodici al consiglio. Non è un obbligo: la valutazione è utile e completa anche da sola. La scelta la fa dopo, sui risultati.
È un penetration test?
No. Un penetration test cerca di violare i sistemi per misurarne la resistenza tecnica; la valutazione guarda a governance, controlli e responsabilità, e usa verifiche tecniche mirate solo per confermare ciò che emerge da interviste e documenti. Se la relazione indica che serve un penetration test, Le dico che cosa chiedere e come scegliere un fornitore specializzato, senza commissioni di segnalazione, e La aiuto a leggerne i risultati.
Il primo passo
Parliamo della decisione che ha davanti.
Un colloquio riservato di 30 minuti. Nessun impegno.
Parliamo della Sua decisione