NIS2 inventario asset IT PMI: censimento entro ottobre

21 agosto 2026 · 11 min di lettura · Redazione Snoda

NIS2 inventario asset IT PMI: perché serve e cosa censire

Se la tua azienda rientra nel perimetro NIS2, entro il 31 ottobre 2026 devi avere un inventario completo degli asset IT. Non un elenco decorativo da mostrare a un auditor: un registro vivo di ogni dispositivo, software e servizio cloud che tocca i tuoi dati. Il tema NIS2 inventario asset IT PMI riguarda migliaia di imprese italiane tra 10 e 100 dipendenti — molte delle quali non hanno mai censito in modo strutturato ciò che usano ogni giorno.

La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, chiede alle imprese soggette di adottare misure minime di sicurezza informatica entro ottobre 2026. Tra queste, l'inventario degli asset è il punto di partenza: senza sapere cosa hai in casa, non puoi proteggere nulla.

Cosa si intende per asset IT nella NIS2

La parola "asset" non copre solo i PC sulla scrivania. Come chiarisce Cybersecurity360, l'inventario deve includere tutti i sistemi informativi e di rete utilizzati dall'organizzazione. In pratica, per una PMI questo significa tre categorie.

Hardware

• PC desktop e portatili dei dipendenti
• Server fisici (anche quel server nel sottoscala che "funziona ancora")
• Dispositivi di rete: router, switch, firewall, access point Wi-Fi
• Stampanti di rete, scanner, dispositivi multifunzione
• Smartphone e tablet aziendali
• Dispositivi IoT: sensori in produzione, telecamere IP, sistemi di controllo accessi
• NAS e dispositivi di backup locali

Software

• Sistemi operativi installati (versione e stato delle patch)
• Gestionali, ERP, CRM — qualsiasi applicazione di business
• Software di produttività (suite office, email client)
• Antivirus, VPN, strumenti di sicurezza
• Software custom sviluppato internamente o su commissione
• Firmware di dispositivi di rete e IoT

Servizi cloud e SaaS

• Piattaforme cloud (IaaS, PaaS)
• Applicazioni SaaS: fatturazione elettronica, contabilità, project management, storage
• Servizi di posta elettronica e collaborazione
• Integrazioni API con fornitori e clienti

Un errore comune: dimenticare i servizi che "non sembrano IT". Il gestionale paghe in cloud è un asset. La piattaforma di invio newsletter è un asset. Qualsiasi sistema che tratta dati aziendali va censito.

Perché un inventario asset NIS2 non è un foglio Excel qualsiasi

Molte PMI hanno già un elenco di computer da qualche parte — nel contratto di assistenza IT, in un foglio condiviso, nella testa del responsabile tecnico. Non basta.

L'inventario richiesto dalla NIS2 ha caratteristiche precise. Secondo Xion IT Group, un inventario utile alla gestione del rischio deve essere:

• Completo: ogni asset, nessuno escluso. Anche quelli dismessi ma ancora collegati alla rete.
• Aggiornato: non una fotografia statica, ma un registro che riflette lo stato reale. Un portatile venduto tre mesi fa non deve risultare attivo.
• Classificato per criticità: non tutti gli asset hanno lo stesso peso. Il server che ospita il gestionale ordini conta più della stampante del secondo piano.
• Collegato ai processi di business: ogni asset va legato alla funzione aziendale che supporta. Se il server X si ferma, quale reparto si blocca?

Un foglio Excel può andare bene per una micro-impresa con 10 postazioni. Sopra le 30-40 postazioni, senza automazione diventa un documento che nasce già vecchio.

Censimento software hardware NIS2: i passi operativi

Ecco un percorso concreto per completare il censimento entro la scadenza di ottobre. Non servono mesi, ma serve metodo.

Passo 1 — Definire il perimetro

Prima di contare qualsiasi cosa, chiarisci i confini. Hai più sedi? Magazzini esterni? Dipendenti in smart working con dispositivi personali? Fornitori che si collegano alla tua rete?

Scrivi una lista di tutte le "zone" da esplorare: sede principale, filiali, cloud, dispositivi mobili, connessioni di terze parti. Se operi nel manifatturiero o nella logistica, probabilmente hai anche dispositivi OT (PLC, sensori, sistemi SCADA) che rientrano nel perimetro.

Passo 2 — Scansione automatica della rete

Non affidarti alla memoria. Usa uno strumento di network discovery per individuare ogni dispositivo connesso alla rete aziendale. Esistono soluzioni open source e commerciali che fanno questo lavoro in poche ore.

Il risultato ti sorprenderà. In quasi tutte le PMI emergono dispositivi dimenticati: un vecchio NAS, un access point installato da un tecnico esterno, un Raspberry Pi usato per un progetto pilota mai smontato. Ogni dispositivo sconosciuto è una superficie di attacco non gestita.

Passo 3 — Censire il software installato

Per ogni macchina, registra il software presente. Anche qui, strumenti di inventory management automatizzano il grosso del lavoro. Quello che cerchi:

• Nome e versione del software
• Stato della licenza (regolare, scaduta, trial)
• Data dell'ultimo aggiornamento o patch
• Se il software è ancora supportato dal produttore

Software non aggiornato o fuori supporto è il primo bersaglio di un attacco. Censirlo è il primo passo per decidere cosa aggiornare, sostituire o dismettere.

Passo 4 — Mappare i servizi cloud

Qui il discovery automatico aiuta meno. Serve un lavoro manuale: intervistare i responsabili di reparto, controllare le fatture dei fornitori cloud, verificare le carte di credito aziendali per abbonamenti SaaS.

Lo shadow IT — servizi attivati dai dipendenti senza passare dall'IT — è un problema reale. Un commerciale che usa un CRM gratuito per conto suo sta creando un punto cieco nel tuo inventario e un rischio di cui non sai nulla.

Passo 5 — Classificare e collegare ai processi

Con l'elenco completo in mano, assegna a ogni asset:

1. Un proprietario: la persona o il reparto responsabile
2. Un livello di criticità: alto, medio, basso — in base all'impatto sul business se l'asset si ferma o viene compromesso
3. I processi supportati: produzione, vendite, amministrazione, logistica
4. Le dipendenze: da quali altri asset o servizi dipende

Questa classificazione è ciò che trasforma un elenco in uno strumento di gestione del rischio. Se domani un ransomware colpisce il server contabilità, sai subito cosa è a rischio, chi avvisare e quali processi si fermano. È anche la base per costruire il piano di continuità operativa richiesto dalla NIS2.

Passo 6 — Definire la frequenza di aggiornamento

Un inventario fatto una volta e dimenticato perde valore in settimane. Stabilisci una cadenza di aggiornamento: trimestrale è il minimo ragionevole, mensile è meglio. Automatizza dove puoi: scansioni di rete programmate, alert quando un nuovo dispositivo si collega, controlli periodici sulle licenze software.

NIS2 misure sicurezza ottobre 2026: il calendario da rispettare

L'inventario asset non è un obbligo isolato. Rientra in un pacchetto più ampio di misure di sicurezza che le PMI soggette devono implementare entro il 31 ottobre 2026. Tra queste:

• Politiche di analisi dei rischi e sicurezza dei sistemi informativi
• Gestione degli incidenti (rilevazione, risposta, notifica)
• Continuità operativa e gestione delle crisi
• Sicurezza della catena di approvvigionamento
• Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi
• Formazione e igiene informatica di base

L'inventario è propedeutico a quasi tutte le altre misure. Non puoi fare analisi del rischio se non sai quali asset hai. Non puoi gestire un incidente se non conosci la topologia della tua rete. Non puoi valutare la sicurezza della supply chain se non hai mappato le dipendenze da fornitori esterni.

Per chi opera con prodotti connessi, il Cyber Resilience Act aggiunge un ulteriore livello di attenzione sui dispositivi IoT e sul software embedded — un motivo in più per avere l'inventario in ordine.

Asset management PMI cybersecurity: errori da evitare

Dopo aver visto decine di PMI alle prese con questo adempimento, alcuni errori ricorrono.

Ignorare i dispositivi personali

Se i dipendenti usano il proprio smartphone per leggere la mail aziendale, quello smartphone è un asset rilevante. Non serve censire il modello esatto del telefono personale, ma serve sapere che c'è un accesso ai dati aziendali da dispositivi non gestiti — e decidere come trattare quel rischio.

Delegare tutto al fornitore IT esterno

Il tecnico che vi segue la rete conosce i server e i firewall, ma probabilmente non sa che il reparto marketing ha attivato tre SaaS il mese scorso. L'inventario richiede collaborazione tra IT e ogni funzione aziendale.

Fermarsi alla lista

Elencare 150 dispositivi senza classificarli per criticità è lavoro sprecato. La NIS2 chiede una gestione del rischio proporzionata. Senza classificazione, non puoi stabilire priorità.

Non documentare le dismissioni

Un PC dismesso che finisce in un cassetto con il disco ancora pieno di dati è un rischio. Registra anche le uscite dall'inventario: data di dismissione, come è stato cancellato il disco, dove è finito il dispositivo.

Come strutturare l'inventario: campi essenziali

Indipendentemente dallo strumento che usi, ogni record del tuo inventario dovrebbe contenere almeno questi campi.

Come sottolinea Cybersecurity360, l'inventario diventa realmente utile quando non è solo un elenco ma uno strumento collegato alla gestione del rischio. Ogni asset con criticità alta dovrebbe avere un piano di risposta associato: cosa fai se quel sistema va giù?

Automatizzare per mantenere vivo l'inventario

La sfida vera non è costruire l'inventario. È mantenerlo aggiornato. In una PMI con 50 dipendenti, tra nuove assunzioni, cambi di ruolo, acquisti di hardware e attivazione di servizi cloud, l'inventario cambia ogni settimana.

Tre azioni concrete per non restare indietro:

• Scansioni di rete automatiche: programmate settimanalmente, con alert per dispositivi nuovi o sconosciuti
• Procedura di onboarding/offboarding: ogni nuova assunzione o uscita aggiorna automaticamente l'inventario asset assegnati
• Revisione trimestrale con i responsabili di reparto: 30 minuti a trimestre per verificare che l'elenco dei software e servizi cloud usati dal reparto sia ancora corretto

Se il tuo gestionale attuale non dialoga con gli strumenti di IT asset management, valuta seriamente di collegare i sistemi. Un inventario separato da tutto il resto diventa presto un peso morto. Le soluzioni di automazione dei processi possono ridurre il lavoro manuale di aggiornamento a quasi zero.

Da inventario a gestione del rischio

L'inventario non è il traguardo. È la base su cui costruisci tutto il resto della compliance NIS2. Una volta che sai cosa hai, puoi:

• Identificare gli asset più esposti e dare priorità alle contromisure
• Mappare le dipendenze critiche nella supply chain digitale (il tuo gestionale dipende da un cloud provider? Quel provider è affidabile?)
• Pianificare la risposta agli incidenti sapendo esattamente cosa è coinvolto
• Dimostrare alle autorità competenti che hai una visione chiara della tua superficie di attacco

Per le PMI nei settori dei servizi, dove spesso l'infrastruttura è quasi interamente cloud, l'inventario sarà più sbilanciato verso SaaS e meno verso hardware — ma non per questo più semplice. Ogni integrazione tra servizi cloud è un punto da documentare.

Prossimi passi

Ottobre non è lontano. Se non hai ancora iniziato, questa è la sequenza minima:

1. Settimana 1: definisci il perimetro e lancia la scansione di rete
2. Settimana 2: censisci software e servizi cloud con l'aiuto dei responsabili di reparto
3. Settimana 3: classifica per criticità e collega ai processi di business
4. Settimana 4: definisci la procedura di aggiornamento continuo

Un mese di lavoro concentrato, non a tempo pieno. Rimandare significa arrivare alla scadenza con un documento affrettato che non protegge l'azienda e non regge davanti a un controllo.

Se stai valutando uno strumento su misura per tenere insieme inventario asset, stato delle patch e gestione del rischio — senza incastrarti in piattaforme sovradimensionate — puoi verificare fattibilità, tempi e range di costo in 90 secondi su Fattibile?. Nessuna email richiesta, nessun commerciale. Oppure scrivici direttamente.

Domande frequenti

Quali aziende devono fare l'inventario asset IT per la NIS2?

Tutte le imprese classificate come soggetti essenziali o importanti dalla NIS2, incluse PMI in settori come manifattura, trasporti, energia, servizi digitali e filiera alimentare. Il criterio principale è il settore di attività combinato con la dimensione aziendale. Se hai dubbi sull'applicabilità, verifica con il tuo consulente legale o sulla guida Nexsys agli obblighi NIS2 per PMI.

Entro quando va completato l'inventario asset NIS2?

Le misure minime di sicurezza, tra cui l'inventario degli asset, devono essere operative entro il 31 ottobre 2026 secondo il calendario di recepimento italiano della direttiva NIS2.

Basta un foglio Excel per l'inventario asset NIS2?

Può funzionare come punto di partenza per PMI molto piccole. Oltre le 30-40 postazioni diventa ingestibile: manca di aggiornamento automatico, non ha storico delle modifiche, si corrompe facilmente. Per restare conformi nel tempo serve un sistema strutturato che si aggiorni almeno in parte da solo.

L'inventario deve includere anche i servizi cloud e SaaS?

Sì. La NIS2 richiede di censire tutti i sistemi informativi e di rete utilizzati, compresi servizi cloud, applicazioni SaaS, piattaforme PaaS e qualsiasi risorsa esterna che tratti dati aziendali.

Cosa succede se non si completa l'inventario entro la scadenza?

Le sanzioni NIS2 possono essere significative. Ma il rischio più concreto per una PMI è operativo: senza inventario, non riesci a gestire un incidente di sicurezza perché non sai cosa hai in rete, cosa è stato compromesso e quali processi sono a rischio. Il danno di un attacco non gestito supera di gran lunga il costo del censimento.

Questo articolo è stato generato da un sistema di intelligenza artificiale e sottoposto a un controllo automatico di qualità e di verifica delle fonti prima della pubblicazione, senza revisione editoriale umana. Informazione resa ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 (AI Act). I contenuti hanno finalità informativa e non sostituiscono un parere professionale.