L’inventario degli asset IT non può più essere un semplice file Excel con server, PC e software installati. In ottica NIS2, deve diventare uno strumento di governo: una mappa che collega tecnologie, persone, fornitori e processi aziendali, così da capire dove sono i rischi e quali interruzioni avrebbero davvero un impatto sul business.
La novità ti riguarda anche se non sei un’azienda “tecnologica”. Se la tua attività dipende da gestionale, posta elettronica, cloud, backup, accessi remoti, stampanti di rete o fornitori esterni, un inventario fatto bene è la base per decidere priorità, investimenti e misure di protezione.
Perché la NIS2 cambia il significato di “inventario IT”
Il punto centrale richiamato dall’analisi pubblicata il 4 agosto 2026 su Cyber Security 360 è molto chiaro: l’errore più comune è trattare l’inventario come un adempimento puramente tecnico. Una lista di apparati, applicazioni, database, endpoint, servizi cloud e account amministrativi può essere utile al reparto IT, ma da sola non aiuta a gestire il rischio.
Con la NIS2, invece, l’inventario deve rispondere a domande manageriali prima ancora che informatiche:
- quali sistemi sostengono le attività critiche dell’azienda;
- chi ne è responsabile;
- da quali fornitori o servizi terzi dipendono;
- quali relazioni esistono tra un sistema e l’altro;
- cosa succede al business se uno di questi elementi si ferma, viene compromesso o diventa indisponibile.
Questo cambio di prospettiva è importante perché porta la sicurezza fuori dalla sola area tecnica. Un server non è solo un server: può essere il nodo da cui dipendono la contabilità, la produzione, il CRM, il magazzino o la fatturazione. Un account amministrativo non è solo una credenziale privilegiata: può essere la chiave d’accesso a più ambienti, locali e cloud, con un effetto a catena in caso di compromissione.
Una lista di beni non basta: serve una mappa delle dipendenze
Nella pratica, molte aziende hanno già un inventario. Il problema è che spesso è incompleto, non aggiornato oppure separato dalla realtà operativa. Magari esiste un elenco dei PC aziendali, ma non dei servizi SaaS acquistati dai reparti. Oppure si censiscono i firewall e i server, ma non i collegamenti con i fornitori, le VPN, i backup, gli account privilegiati o i flussi di dati tra sedi e cloud.
Un inventario utile alla gestione del rischio deve invece far emergere le dipendenze. Alcuni esempi:
- il gestionale dipende da un database, da un server, da connettività stabile e da credenziali amministrative;
- la posta elettronica dipende da un provider esterno, dall’autenticazione degli utenti e spesso da dispositivi mobili non sempre governati bene;
- il backup dipende non solo dal software, ma anche dalla capacità di ripristino, dalla conservazione delle copie e dall’isolamento rispetto all’infrastruttura principale;
- un servizio cloud può dipendere da configurazioni corrette, contratti con fornitori, ruoli di accesso e procedure interne.
Quando queste relazioni non sono visibili, i rischi vengono sottostimati. Ecco perché, in un audit o in una valutazione interna, la domanda giusta non è “quanti asset abbiamo?”, ma “quali asset sono davvero critici e da cosa dipendono?”.
Gli elementi che un inventario moderno dovrebbe contenere
L’idea di fondo non è creare un documento più lungo, ma un documento più utile. Un buon inventario, in chiave NIS2, dovrebbe includere almeno alcuni livelli informativi essenziali.
1. Asset tecnici
Sono gli elementi più tradizionali: server, PC, notebook, dispositivi mobili, apparati di rete, firewall, applicazioni, database, servizi cloud, caselle email, account privilegiati.
2. Owner e responsabilità
Per ogni sistema importante dovrebbe essere chiaro chi è il referente: non solo chi lo gestisce tecnicamente, ma anche chi lo usa per il business e decide priorità, modifiche, rinnovi o dismissioni.
3. Criticità operativa
Non tutto ha lo stesso peso. Un laptop sostitutivo e il server che ospita il gestionale non hanno lo stesso impatto. Classificare gli asset per criticità consente di allocare risorse e controlli dove servono davvero.
4. Dipendenze
Qui si gioca la parte più utile del lavoro. Bisogna capire quali servizi si appoggiano ad altri sistemi, quali processi aziendali dipendono da un’applicazione e quali fornitori esterni sono coinvolti.
5. Fornitori e terze parti
Molti rischi oggi transitano dalla supply chain digitale: software in outsourcing, servizi gestiti, provider cloud, consulenti con accessi remoti, backup in data center esterni. Se non compaiono nell’inventario, resta cieca una parte rilevante del rischio.
6. Impatto sul business
Per ogni asset critico è utile indicare, anche in modo sintetico, quali conseguenze si avrebbero in caso di indisponibilità, perdita dei dati o compromissione.
Il vero vantaggio: decidere meglio, non solo “essere conformi”
L’approccio corretto all’inventario non serve solo a rispondere a un requisito normativo. Serve soprattutto a prendere decisioni migliori.
Un’azienda che conosce bene i propri asset e le relative dipendenze riesce con più facilità a:
- definire le priorità di protezione;
- capire dove investire prima;
- costruire procedure di continuità operativa più realistiche;
- ridurre i tempi di risposta in caso di incidente;
- evitare zone d’ombra create da servizi attivati senza controllo centrale.
In altre parole, l’inventario diventa la base del risk management. Senza questa base, anche le misure tecniche più costose rischiano di essere distribuite male.
Gli errori più comuni nelle PMI
Nelle piccole e medie imprese italiane vediamo spesso alcuni problemi ricorrenti.
Il primo è l’inventario “fotografico”: un documento creato una volta e poi lasciato invecchiare. In pochi mesi cambiano utenti, licenze, notebook, fornitori, accessi remoti e servizi cloud.
Il secondo è la frammentazione. Un pezzo di inventario sta nel gestionale, un altro nei documenti dell’amministrazione, un altro nella testa del fornitore IT. Quando serve una visione d’insieme, nessuno ce l’ha.
Il terzo è concentrarsi solo sull’hardware visibile. Oggi il rischio spesso non nasce dal server in sala macchine, ma da un account privilegiato, da un servizio SaaS non presidiato, da una sincronizzazione cloud o da un accesso remoto con controlli deboli.
Il quarto è ignorare il legame con backup e ripristino. Sapere che esiste un server non basta: bisogna sapere se i suoi dati sono copiati correttamente, con quali tempi di ripartenza e con quali responsabilità. Qui entrano in gioco anche scelte concrete come un servizio di backup remoto ben progettato.
Come iniziare senza trasformarlo in un progetto infinito
La buona notizia è che non serve partire da un modello perfetto. Serve partire da ciò che conta davvero.
Un percorso sostenibile per una PMI può essere questo:
- identificare i processi aziendali più importanti, ad esempio contabilità, vendite, produzione, logistica, documenti, email;
- collegare a ogni processo i sistemi e i servizi che lo rendono possibile;
- individuare per ciascuno owner, fornitore, dipendenze e livello di criticità;
- verificare account amministrativi, accessi remoti, servizi cloud e dispositivi mobili;
- associare a ogni elemento critico una misura minima di protezione, backup e continuità operativa;
- stabilire chi aggiorna l’inventario e con quale frequenza.
È un lavoro che richiede metodo più che complessità tecnologica. In molte realtà, il valore maggiore nasce proprio dal confronto tra direzione, amministrazione, operations e IT: solo così si capisce quali sistemi “reggono” davvero l’azienda.
Cosa significa per la tua azienda
Se sei una PMI, il messaggio pratico è semplice: non aspettare un audit, un incidente o una richiesta formale per scoprire di non sapere davvero da cosa dipende la tua operatività.
Ecco quattro azioni concrete da fare subito:
- Parti dai servizi essenziali: email, file condivisi, gestionale, backup, accessi remoti, firewall, ERP, CRM. Non cercare di censire tutto in un giorno.
- Assegna un responsabile per ogni asset critico: non basta il nome del fornitore IT. Serve anche un referente interno che sappia dire se quel sistema è indispensabile, sostituibile o rimandabile.
- Verifica dipendenze e fornitori: per ogni servizio importante chiediti da quali account, contratti, connessioni o piattaforme esterne dipende.
- Collega l’inventario alla protezione reale: se un asset è critico, deve avere misure coerenti di sicurezza, aggiornamento, monitoraggio e ripristino. In questo senso possono essere utili una revisione della sicurezza informatica e una gestione strutturata del parco macchine tramite desktop IT management.
Il punto chiave è questo: un inventario ben fatto non è burocrazia. È uno strumento per evitare fermi operativi, ridurre confusione nelle emergenze e rendere più chiaro dove intervenire prima.
Domande frequenti
L’inventario NIS2 riguarda solo server e dispositivi?
No. Deve includere anche applicazioni, servizi cloud, account amministrativi, fornitori esterni, dipendenze e impatti sul business.
Una PMI deve davvero fare questo lavoro in modo formale?
Sì, perché anche senza grandi infrastrutture la continuità aziendale dipende da sistemi digitali critici. Formalizzare aiuta a gestire rischi, responsabilità e priorità.
Ogni quanto va aggiornato l’inventario?
Non basta farlo una volta. Va rivisto periodicamente e ogni volta che cambiano fornitori, software, accessi, dispositivi o processi aziendali rilevanti.