Il documento
Un report di esempio, per intero
Il prodotto è questo documento. Qui c’è per intero, su un’azienda inventata, con il PDF scaricabile: si valuta guardandolo, non leggendo cosa promettiamo che contenga.
Aggiornato al 18 agosto 2026
Cosa stai guardando
Le pagine qui sotto vengono da un report reale nella forma e inventato nel contenuto. Il dominio esempio-srl.it non esiste e non è mai stato scansionato; gli indirizzi IP appartengono alla rete 203.0.113.0/24, che la RFC 5737 riserva alla documentazione proprio perché non corrisponda a nessuno; i fornitori sono descritti per quello che fanno, senza nominare aziende reali.
Il motivo è lo stesso che regge il prodotto: un esempio pubblico non può contenere la superficie di attacco di un cliente. Un report vero dice quali porte sono aperte e su quale indirizzo, ed è esattamente l’informazione che non si pubblica sul sito di chi te l’ha fornita.
Il documento completo
Dieci pagine, in italiano. Scarica il PDF di esempio — non serve registrarsi e non chiediamo l’indirizzo email in cambio.
Le pagine
Com’è ordinato, e perché così
Il documento è organizzato per domanda a cui risponde, non per strumento che ha prodotto il dato. Nessuno si sveglia chiedendosi come sta il proprio TLS: si chiede cosa deve fare, cosa è cambiato, e cosa risponde al cliente che gliel’ha chiesto.
- Copertina, con la data e l’impronta del report.
- Una pagina per la direzione: esposizione, le tre cose da fare, cosa è cambiato.
- Il confronto con la verifica precedente, con i nomi dei rilievi nuovi e risolti.
- L’inventario della superficie esterna: nomi, indirizzi, fornitori tecnici.
- I rilievi in ordine di gravità, e gli indirizzi che non sono a uso esclusivo.
- L’inquadramento normativo e la copertura effettiva della scansione.
- La checklist dell’art. 21(2) con i codici delle misure ACN.
- L’allegato tecnico, per intero.
La pagina che di solito non c’è
La copertura della scansione dice, strumento per strumento, cosa è stato eseguito e cosa no — e quando qualcosa non è stato eseguito ne dà il motivo. Se una verifica salta, le lettere dell’art. 21(2) che dipendevano da quella verifica si declassano da sole: il documento non può dire «crittografia: verificata» se l’analisi TLS non è partita.
È la parte che conviene guardare per prima, se stai confrontando due fornitori. Un report che non dichiara la propria copertura non permette a nessuno di valutarlo, e nella stessa pagina in cui elenca zero rilievi può voler dire due cose opposte.
Cosa resta da coprire a te
Il documento riporta ciò che era osservabile dall’esterno, senza intrusione, alla data indicata in copertina. Non è una certificazione, non attesta la conformità dell’organizzazione, e non copre governance, formazione, gestione degli incidenti e continuità operativa: sono misure organizzative interne, e nessuno strumento esterno le vede.
Le lettere (b), (c) e (j) dell’art. 21(2) risultano non coperte in ogni report che produciamo, anche quando la scansione è completa. È scritto nel documento perché chi lo riceve deve saperlo prima di allegarlo a una risposta.
Domande frequenti
Il report di esempio è di un cliente vero?
No. Il dominio esempio-srl.it è inventato e non è mai stato scansionato, e gli indirizzi IP appartengono alla rete 203.0.113.0/24 che la RFC 5737 riserva alla documentazione. La forma del documento è quella reale, il contenuto no: pubblicare la superficie di attacco di un cliente sarebbe il contrario di quello che vendiamo.
Cos’è l’impronta SHA-256 in copertina?
È il codice calcolato sul file di dati da cui il documento è costruito. Serve a chi riceve il report: due copie dello stesso documento hanno lo stesso codice, una copia modificata no. Nel PDF di esempio l’impronta è visibilmente finta, perché non esiste un file di dati corrispondente da verificare.
Posso allegare questo documento alla risposta a un questionario fornitori?
Il report è pensato per quello: porta evidenza tecnica datata sulla superficie esterna, con la mappatura sulle lettere dell’art. 21(2) e sui codici delle misure di base ACN. Non sostituisce le risposte sulle misure organizzative — governance, formazione, incidenti, continuità — che nessuna verifica esterna può documentare al posto tuo.
Il documento è sempre di dieci pagine?
No, la lunghezza dipende da quanto c’è da dire: l’inventario, i rilievi e l’allegato tecnico crescono con la superficie esterna del dominio. La struttura invece è sempre questa, e le sezioni che non hanno dati non vengono stampate vuote.
Da leggere dopo
Un cliente ti chiede conto della sicurezza
Il questionario arriva perché il tuo cliente è soggetto NIS2 e la norma lo obbliga a valutare i suoi fornitori. Non devi certificarti: devi portare evidenza.
Art. 21(2) della direttiva NIS2, lettera per lettera
Le dieci misure minime di gestione del rischio, cosa chiede ciascuna, il codice della misura ACN corrispondente, e quali si possono verificare dall’esterno.
Questa pagina ha finalità informative e non costituisce un parere legale. Le norme citate — direttiva (UE) 2022/2555, d.lgs. 138/2024, determinazioni ACN, Regolamento (UE) 2016/679 — possono essere modificate e la loro applicazione dipende dal caso concreto. Per una valutazione vincolante rivolgiti a un professionista qualificato. Le date e i riferimenti riportati sono verificati sulle fonti alla data di aggiornamento indicata sopra.
Lo stesso documento sul tuo dominio
La verifica gira sul dominio che indichi tu e produce questo documento con i tuoi dati: inventario, rilievi in ordine di gravità, confronto con la verifica precedente e checklist dell’art. 21(2) con i codici ACN. Scrivici e ti rispondiamo con il documento sul tuo dominio.
Richiedi una verifica sul tuo dominio