Cosa si compra · Tre formule, un costo che resta modulabile
Tre formule. L'impegno si dimensiona sul fabbisogno, e si rivede ogni trimestre.
Avere una direzione tecnologica stabile senza assumerla.
Vi è arrivato il questionario di sicurezza del vostro cliente più grande?
Succede a quasi una PMI lombarda su due: il 48% è fornitrice di multinazionali o di imprese sopra i 1.000 addetti, e il 41% dei committenti ha già definito policy di sicurezza verso i propri fornitori di filiera.[1]
Due giornate: si compila, si mappa che cosa manca davvero dietro le risposte, si consegna il piano di rientro a dodici mesi con i costi accanto.
Cosa resta in mano
- Il questionario compilato, e difendibile in una verifica
- L'elenco di ciò che non regge, in ordine di gravità e non alfabetico
- Il piano a dodici mesi, con il budget accanto a ogni voce
Assessment
Incarico spot · 2-3 settimaneCapire dove siete su rischio, filiera e spesa informatica.
Cosa resta in mano
- Un report per il vertice, scritto per chi decide e non per chi amministra i sistemi
- La mappa dei rischi, ordinata per priorità e non in ordine alfabetico
- Il piano d’azione, con che cosa affrontare prima e che cosa può aspettare
Fractional CIO / CISO
Presidio ricorrente · 1-3 giorni a settimanaAvere una direzione tecnologica stabile senza assumerla.
Cosa resta in mano
- La roadmap a dodici mesi, con le priorità e il budget accanto
- Il governo della spesa informatica, e i capitolati per i vostri fornitori
- Il presidio dei fornitori: questionari, evidenze, e chi risponde quando arrivano
- Un riferimento trimestrale al vertice, in linguaggio di business
Progetto mirato
Su progettoPortare a casa una singola iniziativa complessa — IoT, intelligenza artificiale, conformità.
Cosa resta in mano
- L’architettura della soluzione, e i capitolati per chi la realizza
- Il rilascio, seguito fino in produzione
- Il trasferimento di competenza a chi resta: l’obiettivo è che non serva più io
In che fascia siete
Il Cyber Index misura le PMI su cento punti, in quattro fasce. Questa è la Lombardia.
| Quota | Fascia | Che cosa significa |
|---|---|---|
| 28% | Mature80–100 | Presidio interno, monitoraggio periodico del rischio, controlli estesi ai partner di filiera. Non avete bisogno di me. |
| 28% | Consapevoli60–79 | La direzione è coinvolta e i fondi ci sono, ma l'identificazione dei rischi è sporadica. |
| 35% | Informate30–59 | Consapevolezza diffusa, gestione del rischio spesso già esternalizzata, attività di identificazione assenti. |
| 9% | Principianti0–29 | Consapevolezza limitata, fondi quasi assenti. |
Le due fasce centrali sono, sommate, il 63% delle PMI lombarde. È lì che lavoro: sopra c'è chi se lo fa già in casa, sotto c'è chi non ha il budget per farlo fare a nessuno.
Fonte: Cyber Index PMI — Rapporto Lombardia 2025, slide 12. Il 63% è la somma delle due fasce centrali, non un dato del rapporto.
Filiera sicura
Si vende a monte — paga il capofila, non il fornitore
È l'unico dei quattro che non si vende alla PMI. Serve a un soggetto NIS che ha una filiera di fornitori da governare, e che dovrà dimostrare di averlo fatto. Il lavoro è leggere le risposte dei fornitori e trasformarle in qualcosa che si può esibire.
Per ogni fornitore incluso
- Un questionario di assessment standardizzato sulle misure ACN, compilato e verificato
- La scheda di rischio del fornitore, con semaforo e le tre azioni minime di rimedio
- Un attestato riconoscibile dal capofila
- Il registro di filiera consolidato e aggiornato, pronto da esibire
Valutare la sicurezza di un fornitore terzo e rispondere della parte di sicurezza in una gara sono le due cose che ho dovuto fare, con firma, per ottenere la qualifica Red Belt.[2] Non è un servizio che ho immaginato: è quello che facevo dall'altra parte del tavolo.
Quanto costa
L'assessment ha una quota fissa concordata prima dell'avvio; il presidio si dimensiona dopo.
Non è una risposta evasiva, ed è più di quello che di solito si ottiene: dice che c'è un tetto, che lo conoscete prima di cominciare, e che il resto si decide quando si è visto com'è fatta l'azienda. Un canone stabilito prima di guardare è un canone sbagliato per qualcuno — di solito per voi.
Da cosa dipende:
- Numero di siti produttivi
- Perimetro NIS2: diretto, oppure come fornitore
- Numero di clienti che richiedono evidenze di sicurezza
- Stato del parco impianti e dei sistemi
Nessun listino pubblicato: le fasce che circolano nel mercato del fractional management misurano giornate, e le giornate non sono quello che vi consegno. Il prezzo si fa sul perimetro, e il perimetro si vede in mezz'ora di telefonata.
Che cosa ci guadagno io
Non rivendo licenze, non ho accordi con fornitori, non prendo margine su ciò che consiglio.
È la ragione per cui potete prendere sul serio una raccomandazione di non comprare. Se la risposta giusta è che il prodotto che state valutando non vi serve, quella è la risposta che ricevete: non ci perdo niente.
E vale anche al livello sopra: se dopo la fase 1 la risposta è che non vi serve un fractional CIO, ve lo dico e ci fermiamo.
Come si svolge
Quattro fasi, e per ognuna un artefatto che resta a voi invece di un'attività che vi viene fatturata: il metodo, in dettaglio.