Il mercato della consulenza NIS2 e esploso. Studi legali, societa IT, consulenti freelance, grandi firm: tutti offrono servizi di adeguamento NIS2. Ma la qualita varia enormemente. Ho visto aziende pagare 50.000 euro per un pacco di documenti template che potevano scaricare da internet, e altre ottenere un adeguamento serio per 15.000 euro da un professionista competente.
Come distinguere il consulente valido dal venditore di fumo? Ecco i criteri che contano.
Le competenze da cercare
- Conoscenza normativa — deve conoscere la NIS2, il D.Lgs. 138/2024 e il contesto normativo (GDPR, DORA, Perimetro Cibernetico)
- Competenza tecnica — deve capire di cybersecurity, non solo di compliance documentale
- Esperienza settoriale — un consulente che conosce il manifatturiero e diverso da uno specializzato in finanza
- Capacita di comunicazione — deve saper parlare al management, non solo al team IT
- Pragmatismo — soluzioni proporzionate alla dimensione e al rischio, non gold-plating
Certificazioni rilevanti
Le certificazioni non sono tutto, ma aiutano a filtrare. Le piu rilevanti per un consulente NIS2: CISSP (la piu completa), CISM (orientata al management della sicurezza), ISO 27001 Lead Auditor/Implementer (per la componente ISMS), OSCP (se fa anche pentest). Diffida di chi ha solo certificazioni commerciali senza esperienza pratica.
Red flag: quando scappare
- "Compliance in 30 giorni" — un adeguamento serio richiede mesi, non settimane
- Solo documenti, zero tecnica — la NIS2 richiede misure tecniche, non solo policy su carta
- Nessuna referenza verificabile — chiedi casi studio e contatti di clienti precedenti
- Prezzo troppo basso — un adeguamento completo per una PMI non puo costare 2.000 euro
- Prezzo troppo alto — un adeguamento per una PMI non dovrebbe costare 200.000 euro
- Conflitto di interessi — il consulente che vende anche i prodotti che consiglia ha un interesse a gonfiare le soluzioni
Domande da fare al consulente
Prima di ingaggiare un consulente, fai queste domande: Quanti adeguamenti NIS2 hai completato? In quale settore? Puoi fornire referenze? Come strutturi il progetto? Quali deliverable produrrai? Chi sara il referente operativo? Come gestisci il trasferimento di conoscenze al team interno? Qual e il tuo approccio al risk assessment? Le risposte ti diranno molto piu delle slide commerciali.