Quanto costa un fractional CISO in Italia

La tariffa secca, senza giri di parole

Vado dritto al numero, che e quello che cerchi. Un fractional CISO (Chief Information Security Officer) in Italia costa tra 2.000 e 8.000 euro al mese. Tradotto in fee giornaliera, parliamo di 1.200-2.500 euro al giorno a seconda della seniority e della complessita del tuo ambiente.

In pratica: mezza giornata a settimana per tenere la regia sulla sicurezza e presidiare le decisioni chiave parte da circa 2.000 euro al mese. Uno o due giorni, quando devi costruire da zero un programma di security o prepararti a una certificazione, salgono verso i 5.000-8.000 euro. Sopra non e piu fractional: e un direttore quasi a tempo pieno, e a quel punto ha senso ragionare su un'assunzione.

La forbice sulla sicurezza e piu alta di altri ruoli fractional per un motivo preciso: la seniority pesa piu del solito. Un CISO junior non ti serve, perche il valore di questa figura sta nel saper distinguere il rischio reale dal rischio teorico, nel parlare al consiglio senza allarmismi e nel dire no quando un progetto ti espone. Chi ti spara una cifra bassa spesso ti sta vendendo un tecnico, non un direttore della sicurezza.

Cosa fa davvero, e perche non e il tuo sistemista

Qui casca la maggior parte degli imprenditori. Pensano che la sicurezza informatica sia una questione da IT: firewall, antivirus, backup. Quella e la parte tecnica, e la gestisce il tuo sistemista o il fornitore esterno. Il fractional CISO lavora un piano sopra: si occupa di governance del rischio, non di configurare macchine.

Ecco le cose concrete che un Manager Indipendente sulla sicurezza mette a posto, incarico dopo incarico:

• Analisi del rischio e priorita. Non tutte le minacce contano uguale. Lui mappa cosa puo davvero fermarti (un ransomware sul gestionale, un data breach sui dati clienti) e dove investire per primo, invece di spendere a pioggia.
• Compliance NIS2 e GDPR. Se rientri nel perimetro della direttiva NIS2, hai obblighi precisi su misure e notifica degli incidenti. Il CISO traduce la norma in cose fatte, non in un faldone che nessuno legge.
• Gestione degli incidenti. Cosa succede il giorno in cui ti bloccano i sistemi. Chi chiama chi, cosa comunichi, come limiti il danno. Un piano scritto prima, non improvvisato durante la crisi.
• Rapporto con i fornitori IT. Detta i requisiti di sicurezza ai tuoi fornitori e ne verifica il rispetto. Tiene il tecnico onesto senza doverne diventare uno.
• Sicurezza per il consiglio. Traduce il rischio cyber in linguaggio da imprenditore: quanto ti costa un incidente, cosa stai coprendo, dove sei ancora scoperto. Numeri, non paura.

Il vero confronto: fractional contro CISO assunto

Qui si capisce perche il modello esiste. Un CISO dipendente vero, con esperienza, in Italia costa tra 90.000 e 160.000 euro l'anno di costo aziendale, prima di bonus e premi. Detto in modo che resta in testa: un direttore della sicurezza che porta a casa 90.000 euro netti costa all'azienda intorno ai 200.000 euro l'anno. E lo paghi 12 mesi su 12, anche nei mesi in cui non hai progetti aperti e la sicurezza gira senza scossoni.

Un Fractional Manager sulla sicurezza, invece, lo paghi solo per la frazione di tempo che usi. La cifra esatta dipende da settore, superficie di attacco e stato attuale dei tuoi controlli, ma l'ordine di grandezza e questo:

Ma il prezzo piu basso e solo meta del punto. L'altra meta e che la spesa diventa variabile. Aumenti i giorni quando c'e un progetto grosso, tipo la messa in regola per NIS2 o una due diligence prima di un round, li riduci quando la fase finisce e serve solo mantenere la regia. Una competenza che prima era un costo fisso enorme diventa un costo che accendi e spegni. Per la sicurezza, che vive di picchi legati a progetti e audit, questo conta piu del listino.

Quando ti serve davvero (i segnali)

Non tutte le aziende hanno bisogno di un CISO, nemmeno fractional. Prima di spendere, guarda se ti riconosci in almeno un paio di questi segnali. Se si, la sedia vuota ti sta gia costando piu della parcella.

1. 01Sei entrato nel perimetro NIS2. Manifatturiero, energia, sanita, digitale, trasporti, alimentare: se rientri, hai obblighi legali con sanzioni pesanti. Servono governance e misure documentate, non un fornitore che ti vende scatole.
2. 02Un cliente enterprise ti chiede un questionario di sicurezza. Ti sei accorto che senza una certificazione o un programma di security serio perdi gare che valgono molto piu della parcella del CISO. La sicurezza e diventata un requisito commerciale.
3. 03Stai raccogliendo capitali o vendendo l'azienda. In due diligence la security e una voce che sposta la valutazione. Un buco scoperto tardi diventa uno sconto sul prezzo o un deal che salta.
4. 04Hai gia preso una botta. Un ransomware, una mail compromessa, dati usciti. Hai capito sulla tua pelle che rimandare costa piu che prevenire, e ora vuoi una regia vera.
5. 05Gestisci dati sensibili sul serio. Dati sanitari, finanziari, tanti dati personali. Il rischio reputazionale e legale di un breach vale ordini di grandezza sopra la tariffa mensile.

Come si struttura l'incarico e cosa sposta il prezzo

Un incarico da fractional CISO di solito parte con una fase di assessment piu intensa, un mese o due a ritmo alto per fotografare rischi e falle, e poi scende a un ritmo di mantenimento fatto di mezza giornata o un giorno a settimana. La forma tipica e un pacchetto mensile di giorni, non un abbonamento a scatola chiusa: paghi il tempo, e i giorni salgono e scendono con i progetti.

Quando chiedi un preventivo, queste sono le leve che spostano davvero la tariffa. Sapere quali sono ti fa capire se la cifra che ti propongono e onesta.

Cosa non dovrebbe spostare il prezzo: la paura. Diffida di chi ti vende sicurezza spaventandoti con scenari catastrofici per gonfiare la parcella, o di chi lega il compenso al numero di alert e strumenti che ti fa comprare. Il fractional CISO ti vende tempo, giudizio e capacita di dire di no, non una lista della spesa di software.

Nel metodo del Manager Indipendente la regola e semplice: la sicurezza serve a proteggere il business, non a bloccarlo. Un buon CISO non e quello che dice sempre no a tutto, ma quello che ti dice quali rischi puoi correre e a che condizioni, cosi tu decidi con i numeri in mano invece che a sensazione. La visibilita sul rischio viene prima di ogni acquisto di tecnologia.

Domande frequenti