NIS2 per l'assistenza IT gestita: cosa serve prima di ottobre 2026

Dal recepimento della direttiva NIS2, il perimetro di chi deve occuparsi di sicurezza e gestione del rischio informatico si è allargato oltre le grandi infrastrutture critiche. Ci sono dentro anche fornitori di servizi IT gestiti, sopra certe soglie dimensionali, con misure di base da adottare entro ottobre 2026. Questo è un inquadramento generale per chi fa assistenza IT gestita, con un angolo specifico su cosa c’entra il gestionale con cui segui le tue commesse: non sostituisce una consulenza di conformità, che va fatta con chi se ne occupa di mestiere.

Cosa introduce NIS2, in breve

NIS2 chiede alle organizzazioni che rientrano nel suo perimetro di adottare misure di gestione del rischio informatico, procedure per notificare gli incidenti, controlli sulla sicurezza della catena di fornitura, e una responsabilità esplicita del vertice aziendale su queste materie. Non è più solo un tema per chi gestisce reti elettriche o ospedali: il perimetro comprende anche una parte dei servizi digitali e IT, con soglie legate a dimensione e settore.

Le misure di base vanno messe in campo entro ottobre 2026 per i soggetti che rientrano nel perimetro. Quali obblighi si applichino esattamente al tuo caso, e con quali scadenze specifiche, è una valutazione da fare con un legale o un consulente di sicurezza che conosca la tua situazione: qui ci fermiamo all’inquadramento generale.

Perché riguarda chi fa assistenza IT gestita

Chi fornisce servizi IT gestiti (monitoraggio, manutenzione, sicurezza, gestione di reti e sistemi per conto di altre aziende) rientra tra le categorie che la direttiva nomina esplicitamente, quando supera le soglie dimensionali previste. Ma anche un MSP che resta sotto quelle soglie sente la pressione indirettamente: se i tuoi clienti sono soggetti alla direttiva, cominceranno a chiedere ai propri fornitori, te compreso, garanzie sulla sicurezza della catena di fornitura. Il perimetro diretto e quello di fatto non coincidono sempre.

Cosa succede se lo ignori

Ignorare NIS2 perché “non sono nel perimetro diretto” è un ragionamento che regge solo fino al primo cliente strutturato che te lo chiede. Un’azienda soggetta alla direttiva, quando verifica i propri fornitori critici, non distingue tra “il mio MSP è formalmente obbligato” e “il mio MSP mi dà le garanzie che mi servono per rispondere ai miei obblighi”: se non puoi rispondere alle sue domande, il problema diventa suo quanto tuo, e la conseguenza più probabile non è una sanzione, è perdere quel cliente a favore di un fornitore che sa rispondere.

È lo stesso meccanismo già visto con altri standard di sicurezza richiesti a cascata lungo la catena di fornitura: non serve essere il soggetto direttamente regolato per sentirne l’effetto, basta essere il fornitore di chi lo è.

Cosa c’entra il gestionale

NIS2 non si affronta con un software di gestione commesse. Ma dentro le misure che la direttiva chiede, gestione del rischio, tracciabilità, responsabilità, c’è un pezzo che un gestionale strutturato copre quasi come effetto collaterale: sapere chi ha fatto cosa, quando, su quale cliente e su quale commessa.

In un MSP che lavora tra ticket sparsi, fogli Excel e chat, ricostruire chi è intervenuto su un sistema di un cliente in una data precisa è un lavoro manuale, spesso impreciso. In un gestionale dove ogni intervento è registrato su una commessa, con orario, persona e attività, quella tracciabilità esiste già, senza bisogno di costruirla apposta per un audit. È ordine nei processi, non conformità a NIS2: ma è ordine che, quando qualcuno chiede conto di cosa è successo su un cliente, non lascia a caccia di risposte.

Quando un cliente, sotto i propri obblighi, chiede di dimostrare chi ha avuto accesso ai suoi sistemi negli ultimi mesi e cosa ha fatto, la differenza si vede subito: ricostruirlo dalle chat e dalla memoria dei tecnici non è la stessa cosa di un’estrazione da un sistema che registra ogni attività per commessa e cliente.

Da dove iniziare, senza allarmismo

Il primo passo non è tecnico, è una mappatura: quali tra i tuoi clienti operano in settori che la direttiva nomina esplicitamente (energia, sanità, trasporti, finanza, pubblica amministrazione, infrastrutture digitali, tra gli altri), e quali di questi ti chiederanno, prima o poi, garanzie formali sulla sicurezza dei servizi che fornisci. Da lì si costruisce un percorso con chi segue la conformità, proporzionato a quello che offri e a chi lo offri.

Un buon punto di partenza è anche guardare a ritroso: se dovessi ricostruire oggi, per gli ultimi tre mesi, chi ha lavorato su quale cliente e cosa ha fatto, quanto tempo ci vorrebbe? Se la risposta è giorni invece che minuti, mettere ordine nella tracciabilità è una mossa che conviene comunque, a prescindere da come si chiuderà la tua posizione formale rispetto a NIS2: è la base su cui poggia qualsiasi richiesta di garanzie che arriverà, dalla direttiva o semplicemente da un cliente più attento.

Il punto

NIS2 è una materia di sicurezza e gestione del rischio, non di gestionale: le scadenze e gli obblighi veri vanno verificati con chi segue la conformità. Quello che un gestionale strutturato può dare, come effetto collaterale di come già lavora, è la tracciabilità delle attività per cliente e commessa che rende più semplice rispondere quando qualcuno chiede conto di un intervento. Talete porta questa tracciabilità dentro Microsoft Dynamics 365 Business Central, sulle stesse commesse con cui il tuo team già lavora.

Per il quadro su come Talete si adatta a chi fa assistenza gestita, guarda gestionale per MSP o la pagina dedicata a MSP. Per vedere il sistema sui tuoi processi, prova la demo.