Non esiste una tariffa fissa per NIS2
Non esiste un importo concreto per la "conformità a NIS2", e nessuno può darvi tale assicurazione in anticipo. La direttiva prescrive dieci categorie di misure, ma il modo in cui un'azienda le attua, e quindi il costo, varia notevolmente a seconda della situazione. Un'azienda di installazione con pochi laptop e un pacchetto contabile nel cloud ha un'impostazione diversa rispetto a un'azienda con una propria sala server e più fornitori IT.
Ciò che determina i costi è un numero limitato di fattori: la portata e la complessità del vostro ambiente IT, quante delle misure richieste avete già implementato, se esternalizzate il lavoro a un'altra parte, e quali strumenti o software acquisite. Questo rende difficile citare un importo, ma consente di comprendere dove vanno a finire i soldi.
Ciò che determina la vostra situazione
La prima voce di costo spesso non è visibile in una fattura: il tempo necessario internamente per inventariare ciò che già esiste. Chi deve avere accesso a quali sistemi, quali fornitori hanno accesso alla vostra rete, e come è attualmente gestito un incidente. Le aziende che hanno già questa base in ordine, ad esempio perché hanno precedentemente avviato un percorso ISO 27001, hanno meno lavoro rispetto alle aziende che iniziano da zero.
Il secondo fattore è la scelta tra farlo da soli o esternalizzarlo. Alcune misure, come una politica di controllo degli accessi o una procedura di segnalazione degli incidenti, sono principalmente una questione di documentazione e accordi. Altre misure, come la crittografia dei dati o il monitoraggio del traffico di rete, richiedono piuttosto una componente tecnica e quindi software o un fornitore esterno. La quantità di quest'ultimo necessaria dipende da ciò che è già in vigore.
Il terzo fattore è la domanda se ingaggiate una società di consulenza per l'intero percorso, o solo per parti specifiche. Una guida completa costa più dell'aiuto mirato su punti specifici, ma consente di risparmiare tempo internamente. La scelta che è più conveniente varia da azienda ad azienda e non è una questione che possa essere risolta in senso generale. Chi desidera prima vedere quali componenti sono rilevanti per la propria azienda può verificarlo da sé con poche brevi domande.
Costi spesso dimenticati
Al di là dei costi diretti delle misure e della consulenza, ci sono costi che diventano visibili solo in seguito. Prove come un'analisi dei rischi o una panoramica dei diritti di accesso hanno spesso una validità limitata e devono essere aggiornate periodicamente. Non si tratta di una spesa una tantum ma di un compito ricorrente, e il tempo che ciò richiede conta nella prospettiva complessiva.
Si aggiunge a ciò che i clienti sempre più spesso inviano questionari sulla sicurezza informatica, e che ogni cliente utilizza il proprio formato e portale. Compilare ripetutamente gran parte delle stesse informazioni richiede tempo che viene facilmente sottovalutato. Una panoramica degli argomenti che ricorrono al riguardo è individuata nella knowledge base a seconda della situazione.
Cosa supplia fa e non fa in questo processo
Supplia.eu non costruisce certificazioni e non fornisce una valutazione del vostro livello di sicurezza; ciò rimane responsabilità vostra, del vostro consulente e dell'autorità di vigilanza competente. Ciò che la piattaforma fa, invece, è aiutare le risposte che avete già documentato a ripetersi in modo coerente nei questionari che i vostri clienti vi inviano. Questo non consente di risparmiare un euro sulle misure sottostanti, ma bensì sul tempo necessario per documentarle e fornirle ripetutamente.
Le informazioni di base su NIS2 e gli altri concetti che ricorrono nei questionari sono disponibili gratuitamente per la consultazione, inclusa la fonte nel testo ufficiale. Ciò che un abbonamento aggiunge è la definizione per ogni obbligo con i relativi termini e modelli, e una notifica non appena cambia qualcosa che interessa la vostra situazione. Le differenze tra versione gratuita e a pagamento sono elencate chiaramente nella pagina dei prezzi.
Come arrivare a una stima realistica
Poiché l'importo dipende dalla vostra situazione di partenza, il primo passo più utile non è cercare una tariffa media, ma stabilire dove vi trovate attualmente. Solo dopo, una conversazione con un fornitore IT, uno studio di consulenza o l'autorità di vigilanza competente ha senso, perché possono dire qualcosa sui costi solo quando è noto ciò che è già presente e ciò che manca ancora. Per domande che riguardano specificamente la vostra azienda, un avvocato o uno studio di consulenza specializzato rimane il punto di contatto appropriato; questo articolo descrive la linea generale, non una consulenza per una situazione individuale.
Volete prima vedere quali elementi sono rilevanti per la vostra azienda prima di iniziare a confrontare i costi? Eseguite la scansione rapida gratuita o sfogliate gli argomenti nella banca dati delle conoscenze per vedere dove vi trovate.