Se i sistemi dei tuoi clienti li gestisci tu

Chi ha ricevuto il questionario da un cliente, o la comunicazione di inserimento in elenco, quasi mai amministra i propri sistemi: chiama te. Sei tu che sai quanti sottodomini esistono davvero, chi ha pubblicato quel server tre anni fa e quale certificato scade. Il documento serve al tuo cliente, ma la persona che lo sa leggere sei tu.

E spesso sei anche tu dentro il perimetro: i fornitori di servizi gestiti e i fornitori di servizi ICT compaiono nell'allegato I della direttiva. Nel qual caso il questionario arriva a te per primo.

È stata una decisione esplicita, presa il 17 agosto 2026 e scritta perché non si torni indietro senza accorgersene: Privateer non diventa una società di consulenza NIS2. Le ragioni ci riguardano, ma quella che interessa te è la quarta.

Le altre tre, per completezza: la consulenza si vende in ore proprie e smette di produrre quando si smette di lavorare; vendere adeguamento significa assumersi la conformità altrui dove le sanzioni arrivano a 7-10 milioni di euro; e tutto il prodotto è costruito sul non affermare la conformità di nessuno.

• Verifica esterna ricorrente di un dominio e di tutto ciò che ci sta sotto: sottodomini scoperti da fonti passive, porte, servizi, TLS e certificati, record DNS e postura della posta, vulnerabilità note, percorsi lasciati accessibili, credenziali finite nel JavaScript pubblico. Nessun agente da installare, nessun accesso ai sistemi del tuo cliente.
• Un PDF in italiano organizzato per domanda a cui risponde, non per strumento che ha prodotto il dato: la pagina per chi decide, il confronto con la verifica precedente, l'inventario, i rilievi per gravità, la checklist dell'art. 21(2) con i codici delle misure di base ACN, e l'allegato tecnico per chi mette le mani.
• Il confronto fra due verifiche, con i nomi: cosa è nuovo, cosa è risolto, cosa è ancora aperto. È la differenza fra dire a un cliente che hai lavorato e mostrarglielo.
• La copertura dichiarata voce per voce, anche quando è parziale. Se una verifica non è partita, le misure che dipendevano da quella verifica si declassano da sole invece di comparire come verificate.
• Un'impronta SHA-256 sul file di dati da cui il documento è costruito, stampata in copertina.

Il documento completo è pubblicato qui, su un'azienda inventata, con il PDF scaricabile. È il modo più onesto di valutarlo: guardandolo.

Tutto ciò che una verifica esterna non può vedere, e che è la parte che il cliente paga di più: le misure organizzative, la governance, la formazione, la gestione degli incidenti e la continuità operativa; la categorizzazione dei servizi sul portale ACN; la decisione su cosa correggere per primo e chi la esegue; e il rapporto con il cliente.

Il report ti dà l'attacco della conversazione — un inventario che quasi nessuno ha aggiornato, e un elenco di cose vere in ordine di gravità — e la prova, un mese dopo, che il lavoro che hai fatturato ha prodotto un effetto misurabile.

Sono le tre cose che non puoi dedurre da questa pagina, e su cui in questa fase decidiamo parlando invece di pubblicare una tabella che poi non reggerebbe:

1. Il prezzo per cliente, su richiesta. Il listino pubblico che vedi in homepage è quello per l'azienda singola. Le condizioni per chi rivende — a quanti domini, con quale frequenza di verifica — si definiscono insieme.
2. Come il documento si presenta ai tuoi clienti. Oggi il PDF esce con il nostro nome in testata. Se il documento deve arrivare al tuo cliente come tuo, è la richiesta che ci aspettiamo per prima e la stiamo definendo adesso con i primi partner: dircelo la mette in cima.
3. Cosa ti manca. È letteralmente la domanda che stiamo facendo in giro: cosa ti manca per poterlo rivendere ai tuoi clienti? In questa fase la risposta di chi arriva per primo pesa più di qualunque nostra ipotesi.