Consulente TISAX® e NIS 2: 8 domande prima di firmare

Il cliente automotive ha richiesto un label TISAX®, oppure l'azienda ha scoperto di rientrare nella NIS 2. In entrambi i casi serve un accompagnamento, e le offerte non mancano.

Il problema è che, dall'esterno, i consulenti si somigliano: stesse parole chiave, stesse promesse. Per capire chi si ha di fronte servono le domande giuste. Prima, però, un chiarimento che evita il primo errore.

Non esiste un "consulente TISAX certificato"

TISAX è un marchio registrato di ENX Association. ENX gestisce il meccanismo e accredita gli audit provider, cioè gli enti che svolgono l'assessment. Non esiste invece un albo o una certificazione per i consulenti.

Chi si presenta come "consulente TISAX certificato" usa quindi un'espressione priva di riscontro ufficiale. Lo stesso vale per la "certificazione TISAX": TISAX non è una certificazione. L'esito è un assessment che porta a un label (AL2 o AL3), valido tre anni e condiviso con i clienti tramite il portale ENX.

Un consulente serio usa questi termini correttamente: è il primo segnale da osservare. Contano le competenze verificabili, come qualifiche di auditor ISO/IEC 27001, formazione specifica su TISAX e sul catalogo VDA ISA, esperienza pratica con sistemi di gestione e con la filiera di riferimento.

Le 8 domande

1. Quali qualifiche possiede, e come si verificano?

Servono titoli precisi, non etichette generiche: una qualifica di auditor ISO/IEC 27001 o una formazione specifica TISAX risultano verificabili. Sigle inventate o "certificazioni" non riconducibili a un ente rappresentano un segnale d'allarme.

2. Quale versione del catalogo VDA ISA considera?

Il catalogo dipende dalla data di ordine dell'assessment: la versione 6 per gli assessment ordinati entro il 2026, il catalogo VDA ISA2027 per quelli ordinati dal 1° gennaio 2027. Un consulente aggiornato pianifica le attività di conseguenza; una risposta vaga è un campanello d'allarme.

3. Quale livello di assessment serve, e perché?

Il livello dipende dai label richiesti dal cliente, in base alle informazioni affidate. Un buon consulente aiuta a leggere la richiesta e a individuare gli obiettivi di assessment corretti. Proporre un livello senza aver chiesto chi è il cliente e quali informazioni vengono trattate indica scarsa attenzione.

4. Quali attività svolge il consulente e quali l'azienda?

Nessun consulente può costruire un sistema di gestione senza l'azienda. Servono il Responsabile IT, l'eventuale fornitore IT esterno, il Responsabile qualità. Chi promette di "pensare a tutto" vende un faldone, non un sistema funzionante. Conviene pretendere una divisione chiara dei compiti.

5. La proposta descrive attività e tempi?

Una proposta seria elenca le attività previste (politiche e procedure, raccolta delle evidenze, valutazione interna, supporto durante l'assessment) e i tempi. Le offerte generiche, prive di questo dettaglio, meritano cautela.

6. È previsto un audit interno prima dell'assessment?

Affrontare l'assessment senza una prova generale è un rischio. Un audit interno ben condotto simula la verifica di terza parte: controlla i requisiti, verifica l'applicazione delle misure, intervista i responsabili e fa emergere non conformità e rischi residui prima dell'audit provider.

7. È prevista la presenza del consulente durante l'assessment?

Avere al fianco chi ha costruito il sistema aiuta a rispondere con precisione e a gestire le richieste di evidenze. Il consulente affianca l'azienda ma non può coincidere con chi svolge l'assessment, per ragioni di indipendenza.

8. Conosce anche la NIS 2, e come la integra con TISAX?

Per un'azienda in perimetro, gli obblighi derivano dalla Direttiva (UE) 2022/2555, recepita con il D.Lgs. 138/2024, sotto la vigilanza dell'ACN. Molte misure si sovrappongono a quelle TISAX: gestione dei rischi, gestione degli incidenti, sicurezza dei fornitori. Un consulente che conosce entrambi i quadri evita due sistemi paralleli.

Vale la pena verificare anche la conoscenza degli aspetti pratici: registrazione sulla piattaforma ACN, misure di base della determinazione ACN n. 379907/2025, tempi di notifica degli incidenti significativi (preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese), responsabilità e formazione degli organi di amministrazione.

Altri segnali da osservare

• Promesse di esito certo. Nessuno può assicurare il risultato di un assessment: lo stabilisce l'audit provider.
• Pacchetti identici per tutti. Un'azienda di venti persone e una di duecento non hanno lo stesso punto di partenza.
• Terminologia errata. "Certificazione TISAX" o "consulente certificato TISAX" indicano una conoscenza superficiale del tema.
• Nessuna domanda sull'azienda. Senza conoscere l'organizzazione non è possibile formulare una proposta sensata.

Il profilo di General Tech di Rosario Zappalà

General Tech di Rosario Zappalà è l'attività di un consulente indipendente, non una società: ogni incarico è seguito personalmente da Rosario Zappalà, prevalentemente per aziende della filiera automotive e manifatturiera, da remoto in tutta Italia e in presenza quando servono sopralluoghi o audit.

Le qualifiche: auditor interno ISO/IEC 27001:2022, formazione specifica TISAX, competenze Red Team e Blue Team.

La consulenza TISAX imposta un sistema di gestione ispirato alla ISO/IEC 27001 e strutturato sui requisiti del VDA ISA applicabile, con politiche, evidenze, valutazione interna e affiancamento durante l'assessment. La consulenza NIS 2 comprende piano di adeguamento, politiche e procedure e valutazione interna rispetto ai requisiti. Il processo prevede una call gratuita di 30 minuti, una proposta scritta personalizzata con attività e tempi e l'avvio solo dopo l'accettazione.

Domande frequenti

Il consulente può svolgere anche l'assessment TISAX?

No. L'assessment è svolto da un audit provider accreditato da ENX. Il consulente prepara l'azienda e la affianca, ma non può valutare un sistema che ha contribuito a costruire.

Servono consulenti diversi per TISAX e NIS 2?

Non necessariamente. Le due discipline condividono molte misure e un unico consulente che le conosce entrambe può aiutare a costruire un solo sistema coerente.

Il consulente rilascia un attestato di conformità?

No. Il label TISAX deriva dall'assessment dell'audit provider; per la NIS 2 la vigilanza spetta all'ACN. Il consulente prepara l'azienda e ne verifica lo stato con un audit interno.

Quanto tempo serve per la preparazione all'assessment?

Dipende dal punto di partenza, dalle dimensioni e dal livello richiesto. Per questo i tempi vengono indicati solo nella proposta, dopo l'analisi della situazione.