D.Lgs. 138/2024
Conformità NIS 2
Un presidio che porta l'organizzazione dalla verifica dell'ambito agli obblighi in esercizio: registrazione, misure di base, notifica degli incidenti e responsabilità degli organi di vertice.
Cybersecurity · Digital forensics · AI governance
Sistemi sicuri. Prove che reggono. IA in regola.
Aiuto aziende e tribunali a proteggere i sistemi, ricostruire cosa è accaduto e usare l'intelligenza artificiale in modo conforme, con metodo verificabile e responsabilità chiare.
Ingegnere informatico e biomedico, auditor di terza parte ISO e CTU di informatica forense.
80+
organizzazioni seguite fra consulenza, sistemi di gestione e audit.
20
organizzazioni verificate come auditor di terza parte.
20+
strutture sanitarie: ospedali, case di cura, laboratori e IRCCS.
10+
enti pubblici e società in house: aziende sanitarie, amministrazioni regionali, stazioni appaltanti.
3
organismi di certificazione per cui conduco audit di terza parte: CSQA, SIET e DNV.
10
norme ISO su cui lavoro, dalla 9001 alla 27001 con 27017 e 27018, alla 42001 e alla 20000-1.
40+
organizzazioni seguite su ISO/IEC 27001, in consulenza o in audit.
2024
l'anno del primo incarico come CTU del Tribunale di Crotone, in cybersicurezza e digital forensics.
186
il mio numero nell'Albo degli innovation manager del MISE.
796
il mio numero all'Ordine degli Ingegneri di Crotone, Sezione A, dal 2018.
15.000
campioni gestiti nella ricerca del CNR-ISOF sullo screening oncologico con l'IA.
10+ anni
di direzione tecnica IT e R&D in sanità: infrastruttura, sicurezza informatica e ricerca.
Governance continua e modulare
CISO as a Service.
Una funzione CISO esterna che affianca Direzione, IT e funzioni operative, proporzionata alla maturità e al profilo di rischio dell'organizzazione.
- Mandato, governance, ruoli e reporting alla Direzione.
- Registro dei rischi, priorità e piano di trattamento.
- Policy, conformità e preparazione alle verifiche.
Cloud, PA e dati strategici
Qualificazione cloud ACN.
Un presidio unico per trasformare requisiti, attività tecniche ed evidenze in un percorso governato verso la qualificazione dei servizi cloud destinati alla PA.
- Assessment iniziale, perimetro e roadmap di adeguamento.
- Mappatura dei requisiti e controllo delle evidenze.
- PMO, SAL, responsabilità, rischi e azioni correttive.
Presìdi
Obblighi che durano nel tempo.
NIS 2, sistemi di gestione e sicurezza sul lavoro chiedono qualcuno che li segua tutto l'anno, anche lontano dalle visite.
ISO 9001 e sistemi integrati
Qualità e sistemi di gestione
Sistemi di gestione costruiti sui processi reali dell'organizzazione, snelli quanto basta e pronti per la verifica dell'organismo di certificazione.
D.Lgs. 81/2008
RSPP e sicurezza sul lavoro
Il servizio di prevenzione e protezione affidato a un ingegnere che conosce le strutture sanitarie, gli impianti e i rischi delle nuove tecnologie, compresa l'intelligenza artificiale.
Quattro mestieri, una sola disciplina: dimostrare.
Tutti i servizi01
Sicurezza delle informazioni
Trovo le falle prima di chi attacca, e costruisco la conformità che regge l'audit.
02
Digital forensics e supporto legale
Ricostruisco cosa è successo, con prove che tengono in tribunale.
03
Governance dell'IA e data science
Porto l'intelligenza artificiale in regola e la faccio funzionare: l'ho costruita, non solo normata.
04
Auditing e conformità
Conduco gli audit dall'altra parte, come valutatore di terza parte per organismi accreditati.
Pochi uniscono tre prospettive.
Chi costruisce i sistemi, chi li verifica da indipendente e chi ricostruisce le prove quando qualcosa va storto guardano lo stesso oggetto da lati diversi. Io lavoro su tutti e tre.
01, l'ingegnere
Costruisco
Architetture sicure, infrastrutture ospedaliere, modelli di IA addestrati su dati reali. So come è fatto un sistema dall'interno, e quindi dove cede.
02, l'auditor
Verifico
Audit di terza parte su ISO/IEC 27001, 27017, 27018, ISO/IEC 42001 e ISO 9001. So che cosa cerca chi controlla e che cosa non basta mostrargli.
03, il CTU
Dimostro
Perizie di informatica forense per l'Autorità Giudiziaria. So quale prova regge davanti a un giudice e quale si perde per un passaggio non documentato.
Metodo
Cinque passi, ognuno verificabile.
Lo stesso rigore della forensics applicato alla consulenza: ogni fase lascia una traccia.
01
01
Analisi
Esame dei sistemi e dei processi; gap analysis rispetto a norme e minacce reali.
Cosa ottieni
- Assessment iniziale
- Gap analysis
- Registro dei rischi
02
Progettazione
Architettura, policy e documentazione. Ruoli e responsabilità chiari.
Cosa ottieni
- Policy
- RACI
- Roadmap di adeguamento
03
Implementazione
Hardening, applicazione sul campo, formazione e supporto operativo.
Cosa ottieni
- Hardening
- Formazione
- Supporto operativo
04
Verifica
Test, audit interni e simulazioni; preparazione alle visite di certificazione.
Cosa ottieni
- Audit interni
- Test e simulazioni
- Preparazione alla certificazione
05
Evidenza
Tracciabilità di ogni passaggio. Il risultato resta, e si dimostra.
Cosa ottieni
- Matrice requisiti
- Dossier delle evidenze
- Cruscotto direzionale
Settori
Dove lavoro.
Le stesse norme pesano in modo diverso secondo il settore. Questi sono i quattro in cui lavoro ogni settimana.
Sanità
Strutture pubbliche e private accreditate, laboratori, case di cura. La NIS 2 qui si decide sugli allegati del D.Lgs. 138/2024 e sul conteggio delle dimensioni, non sull'accreditamento; il fermo di un sistema informativo è insieme un incidente e un'interruzione dell'assistenza.
- Perimetro NIS 2 e responsabilità della direzione
- IA nei software clinici e ISO/IEC 42001
- Accreditamento istituzionale e rischio clinico
- Funzione CISO esterna
Pubblica amministrazione
Regioni, comuni, aziende sanitarie e società in house. Alla Legge 90/2024 si sommano, per molti enti, gli obblighi del D.Lgs. 138/2024: ruoli e canali di notifica vanno letti insieme, altrimenti una nomina copre una norma e lascia scoperta l'altra.
- Referente e struttura per la cybersicurezza
- Servizi cloud qualificati ACN
- GDPR negli atti e negli albi
- ISO/IEC 20000-1 per i servizi IT
Industria e manifattura
Chi fabbrica macchinari, elettronica o componenti rientra spesso nella NIS 2 come soggetto importante, e lo scopre dal cliente. Il rischio vero sta in reparto: PLC, SCADA, macchine collegate per la teleassistenza.
- NIS 2 come norma di continuità produttiva
- Sicurezza della catena di fornitura
- Sistemi integrati qualità, ambiente, sicurezza
- IA nella valutazione dei rischi (D.Lgs. 179/2026)
ICT e cloud
Software house, fornitori di servizi gestiti e cloud provider. I servizi destinati alla PA si qualificano presso l'ACN uno per uno; le certificazioni ISO/IEC 27001 con 27017 e 27018 sono spesso il primo requisito chiesto in gara.
- Qualificazione dei servizi cloud per la PA
- ISO/IEC 27001, 27017 e 27018
- Responsabile del trattamento (art. 28 GDPR)
- Gestione delle vulnerabilità
Dal campo.
Note brevi su casi, norme e scadenze, pubblicate su LinkedIn e raccolte qui.
Cybersicurezza e vulnerabilità
PHP2Shell: 285.149 servizi italiani potenzialmente vulnerabili
Quattro giorni dopo le patch, 285.149 servizi PHP esposti in Italia risultano ancora potenzialmente vulnerabili a PHP2Shell. Sono l'81,9% di quelli di cui si conosce la versione, secondo i…
Sintesi riepilogativa delle campagne malevole nella settimana del 17–23 ottobreCERT-AGID: otto campagne malevole su dieci verso l'Italia
Nella settimana dal 17 al 23 ottobre il CERT-AGID ha analizzato 202 campagne malevole. Di queste, 162 avevano obiettivi italiani, ossia otto su dieci.
GDPRGDPR, articolo 25: la software house entra dal contratto
Una software house che vende un gestionale a una struttura sanitaria non è destinataria dell'articolo 25 del GDPR. Lo è il cliente. Al produttore l'obbligo arriva per un'altra strada.
Cybersicurezza e vulnerabilitàPHP2Shell: aggiornare PHP e sapere dove gira
Il 21 ottobre il progetto PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, che correggono due vulnerabilità critiche nel nucleo del linguaggio: CVE-2026-109618 e…
Compliance multi-frameworkIBAN cambiato in fattura: la telefonata mancata
Il fornitore telefona per sollecitare una fattura che risulta già pagata. Il bonifico è partito tre settimane prima, verso un IBAN che quel fornitore non ha mai avuto.
ISO/IEC 27001Multifunzione a noleggio: il disco che esce dall'azienda
A fine contratto la multifunzione a noleggio è tornata al fornitore. Dentro c'erano anni di scansioni: buste paga, documenti d'identità, contratti. Nessuno sapeva che avesse un disco.
AI ActD.Lgs. 179/2026 dal 23 ottobre: chi deve muoversi
Fra undici giorni, il 23 ottobre 2026, entra in vigore il D.Lgs. 179/2026, e l'intelligenza artificiale usata in azienda diventa materia della valutazione dei rischi sul lavoro.
ISO/IEC 27001Password del fornitore: un accesso letto da tre lati
Secondo quanto rivendica un attaccante, è bastata una password "123456", su un'utenza legata a un fornitore di servizi IT, per arrivare al registro anagrafico nazionale danese e a circa 8,8…
Percorso
Dieci anni tra laboratorio, ospedale e tribunale.
La parte che non si vede dal titolo: ricerca applicata, infrastrutture reali, incarichi pubblici.
- dal 2024
CTU, Tribunale di Crotone
Perizie di informatica forense per l'Autorità Giudiziaria: analisi di dispositivi, data breach, frodi, malware, recupero dati. Iscritto all'albo con delibera del 13/07/2023.
- dal 2024
Auditor di terza parte
Verifiche ISO/IEC 27001 e cloud (27017 e 27018), ISO/IEC 42001 e ISO 9001 per CSQA Certificazioni e SIET; dal 2026 anche per DNV.
- dal 2025
Speaker e docente, IKN Italy
Formazione e conferenze su framework di sicurezza, NIS 2, incident response, digital forensics e AI governance.
- 2022-23
Research Fellow, CNR-ISOF, Bologna
Healthcare AI per lo screening oncologico precoce: gestione end-to-end di oltre 15.000 campioni, modelli di machine learning e reti neurali su pattern lipidomici.
Domande
Domande frequenti.
Da dove si comincia?
Da una conversazione sul problema concreto e da un'analisi della situazione: sistemi, processi, documenti esistenti e obblighi che si applicano davvero all'organizzazione. Ne esce una gap analysis con le priorità, e da lì si decide se basta un intervento puntuale o se serve un presidio continuativo.
La NIS 2 riguarda la mia organizzazione?
La risposta sta negli allegati del D.Lgs. 138/2024 e in un conteggio. Il settore indica se l'attività è fra quelle elencate; la dimensione, calcolata con i parametri europei di media e grande impresa e tenendo conto delle imprese collegate e associate, dice se si è dentro e con quale qualifica. Chi resta fuori per dimensione riceve spesso le stesse misure per via contrattuale, come fornitore di un soggetto in perimetro.
La ISO/IEC 42001 è obbligatoria?
No. È una norma volontaria che offre un metodo per governare l'intelligenza artificiale che l'organizzazione sviluppa o usa: sapere quali sistemi sono in uso, con quale scopo e sotto la responsabilità di chi, e valutarne l'impatto sulle persone. Gli obblighi vengono invece dall'AI Act e, per chi usa l'IA nell'organizzazione del lavoro, dal D.Lgs. 179/2026.
Fai perizie anche per le parti?
Sì. Sono iscritto all'albo dei CTU del Tribunale di Crotone e lavoro anche come consulente tecnico di parte e per incarichi privati: account compromessi, conversazioni di messaggistica da produrre in giudizio, frodi via email.
Lavori solo in Calabria?
La sede è a Crotone, gli incarichi sono su scala nazionale. Audit, assessment e incarichi forensi si organizzano in presenza o a distanza secondo lo schema e gli accordi.
Contatti
Parliamo del tuo problema.
Per una valutazione di sicurezza, un incarico forense, un presidio continuativo o una certificazione. Rispondo io, direttamente.
- info@fortibyte.it
- antonio-silvestro-amodeo
- Dove
- Crotone, incarichi su scala nazionale