La sicurezza ha bisogno di un leader
Il Chief Information Security Officer (CISO) è la figura che definisce la strategia di sicurezza, gestisce il rischio cyber e garantisce la conformità normativa. Nelle grandi aziende è un C-level con team dedicato. Nelle PMI, spesso non esiste — e questa assenza si paga cara.
Il gap delle PMI italiane
Secondo il Cyber Index PMI 2025, solo il 14% delle PMI italiane ha una figura dedicata alla cybersecurity. Il restante 86% delega la sicurezza all'IT manager (che ha altre priorità), a un consulente occasionale o — nel caso peggiore — a nessuno. Il risultato: decisioni di sicurezza prese senza strategia, budget speso in modo inefficiente, compliance non raggiunta.
Cosa fa un CISO (che l'IT manager non fa)
- Strategia di sicurezza: non solo "quale antivirus comprare" ma "come proteggere il business in modo proporzionato al rischio"
- Risk management: tradurre il rischio cyber in termini di business per il CdA
- Compliance: gestire NIS2, GDPR, ISO 27001 come un programma integrato
- Vendor management: valutare fornitori di sicurezza con competenza, evitando acquisti inutili
- Incident management: coordinare la risposta quando qualcosa va storto
- Formazione: creare una cultura della sicurezza nell'organizzazione
Il modello vCISO
Il virtual CISO (vCISO) è un professionista senior di cybersecurity che lavora part-time per più aziende. Non è un consulente che fa un assessment e sparisce: è una figura continuativa che conosce la vostra azienda, partecipa alle decisioni e guida la strategia. La differenza:
- CISO in-house: 100.000-150.000€/anno RAL + benefit. Necessario per aziende 500+ dipendenti.
- Consulente occasionale: 1.000-2.500€/giorno. Fa assessment puntuali, manca la continuità.
- vCISO: 2.000-5.000€/mese per 2-4 giornate. Continuità, strategia, competenza senior.
Cosa aspettarsi da un vCISO
Un vCISO efficace per una PMI deve fornire:
- Assessment iniziale con gap analysis e roadmap di sicurezza
- Reporting mensile al management con KPI di sicurezza in linguaggio business
- Gestione del programma NIS2/GDPR con milestone e deliverable chiari
- Disponibilità per incidenti come punto di coordinamento e decisione
- Review trimestrale della strategia con aggiornamento del risk register
NIS2 lo rende quasi obbligatorio
La NIS2 impone che il management approvi e supervisioni le misure di cybersecurity. Questo richiede qualcuno che traduca la sicurezza in termini di business e prepari i documenti per il CdA. Senza un CISO — virtuale o fisico — è quasi impossibile soddisfare questo requisito. Il vCISO è la soluzione più pragmatica per le PMI: competenza enterprise a costi sostenibili.