Serve un software di inventario per iniziare?

No. I passaggi che producono più informazione sono documentali e fisici: raccolta dei documenti d'acquisto e di manutenzione, ricognizione in reparto, interviste a chi usa gli impianti. Un foglio di calcolo tenuto aggiornato è più utile di una piattaforma di asset management non popolata.

Posso usare uno strumento di scansione di rete per censire tutto in un colpo?

Non sui segmenti che ospitano sistemi di produzione con impianto in marcia. Le scansioni attive possono causare malfunzionamenti o blocchi su dispositivi di automazione, che rispondono a logiche di comunicazione deterministiche. In ufficio il rischio è basso, in produzione no: se serve una discovery strumentale, va eseguita in finestra di fermo concordata e con il costruttore informato.

La mia azienda non rientra nella NIS2: l'inventario mi riguarda?

L'obbligo no, la questione sì. Un'azienda che non sa cosa ha collegato non è in grado di valutare l'impatto di un fermo, né di rispondere a un cliente o a un assicuratore che glielo chiede. Per chi non rientra nell'ambito di applicazione del D.lgs. 138/2024 l'inventario resta una misura di prudenza organizzativa.

Chi deve fare l'inventario in un'azienda piccola?

Non esiste una figura obbligata. Nella pratica funziona quando c'è una persona identificata che lo tiene aggiornato e un riferimento in direzione che ne risponde. Se la responsabilità è di tutti, l'inventario muore in pochi mesi.

I macchinari con software vecchio vanno aggiornati?

Non è una decisione da prendere in autonomia. Intervenire sul software di un sistema di comando può incidere sulla conformità del macchinario e sui rapporti con il costruttore, comprese le condizioni di garanzia e di assistenza. Il primo passo è censire quali sono e stabilire con chi va concordato ogni intervento.

Quanto tempo richiede?

Dipende dal numero di impianti e da quanta documentazione esiste già. La parte più lunga non è tecnica: è ricostruire informazioni che non sono mai state scritte, chiedendole a chi le ha in testa.

Ogni quanto va aggiornato?

A eventi, non a calendario: nuovo impianto, nuovo fornitore, cessazione di un contratto di assistenza, modifica dell'infrastruttura di rete. L'inventario è vivo se qualcuno lo aggiorna quando entra qualcosa in azienda, morto se lo si aggiorna quando qualcuno lo chiede.

Inventario degli asset di rete per PMI: come censire cosa c'è davvero collegato

di Daniele Curto — Fondatore e Amministratore, DC Consult SRL · 22 agosto 2026 · lettura 12 min

Il problema: nessuno ha deciso quella rete

Nelle PMI la rete non nasce da un progetto: si stratifica. Ogni intervento aggiunge un pezzo — un macchinario nuovo che va collegato al gestionale, un manutentore che chiede una linea per l'assistenza remota, una stampante di reparto, un lettore di badge, un registratore per le telecamere. Ogni aggiunta è ragionevole nel momento in cui avviene. Nessuna viene registrata.

Il risultato non è una rete mal progettata: è una rete mai progettata. E la prima conseguenza non è tecnica, è conoscitiva: l'azienda non sa cosa possiede.

Una precisazione sul taglio di questa guida: qui non si parla di come mettere in sicurezza la rete. Si parla del passaggio precedente, che quasi nessuno tratta come attività a sé stante: sapere cosa c'è. Non si protegge, non si segmenta e non si assicura ciò che non si è censito.

Cosa sfugge sistematicamente all'inventario

Se un inventario esiste, in genere copre PC, server e stampanti, cioè gli oggetti che passano dall'ufficio acquisti. Sfugge tutto ciò che è entrato per altre vie.

Router e modem nei quadri elettrici a bordo macchina, spesso installati da chi ha fornito il macchinario, con connettività propria e indipendente da quella aziendale.
Punti di accesso wireless aggiunti in reparto per coprire un terminale o un palmare.
Convertitori seriale-Ethernet, gateway di campo, adattatori installati per far dialogare macchinari vecchi con sistemi nuovi.
PC di engineering o notebook di configurazione lasciati collegati dopo un collaudo, spesso con software di programmazione e credenziali salvate.
Pannelli operatore e interfacce uomo-macchina, che sono computer a tutti gli effetti.
Dispositivi di edificio: controllo accessi, videosorveglianza, climatizzazione, allarmi, contatori.
Apparecchiature di misura o collaudo con interfaccia di rete.

Il punto è questo: questi oggetti non sono "IT". Non li ha comprati l'IT, non li gestisce l'IT, spesso l'IT non sa che esistono. Ma sono sulla rete.

Perché in produzione non si può fare come in ufficio

Il tema è approfondito nella guida La rete della produzione non è la rete dell'ufficio.

In ufficio la priorità è la riservatezza del dato. In produzione sono la continuità e la sicurezza fisica delle persone: un sistema che si blocca non causa un disservizio, causa un fermo linea o un rischio.
Il ciclo di vita è diverso. Un PC si sostituisce in pochi anni, un macchinario resta in servizio per decenni con il software con cui è stato collaudato.
L'aggiornamento non è una decisione autonoma dell'azienda: toccare il software di un sistema di comando può incidere sulla conformità del macchinario e sulle condizioni di garanzia o di assistenza del costruttore.

I riferimenti tecnici in materia — la serie IEC 62443 per la sicurezza dei sistemi di automazione industriale e la NIST SP 800-82 per i sistemi di controllo — sono standard e linee guida tecniche, non obblighi di legge in sé: valgono come buona pratica riconosciuta, non come adempimento.

Il metodo: cinque passaggi, nessuno strumento da acquistare

È una procedura eseguibile internamente, nell'ordine indicato.

Passo 1 — Partire dalla carta, non dalla rete

Raccogliere fatture e documenti di trasporto dei macchinari, contratti di manutenzione e assistenza, manuali e schemi elettrici, verbali di collaudo, elenco dei fornitori attivi. Ogni documento che riguarda un impianto dice qualcosa su cosa quell'impianto ha collegato.

Passo 2 — Camminare l'azienda

Ricognizione fisica reparto per reparto, quadro per quadro. Fotografare etichette, targhe e apparati installati. Annotare ogni cavo di rete che entra in un quadro e chiedersi dove va. Questo passaggio non è sostituibile con nessuno strumento software: gli oggetti non censiti sono per definizione quelli che nessun sistema conosce.

Passo 3 — Intervistare chi usa gli impianti

Capi reparto, manutentori interni, operatori. Le domande utili sono concrete: chi chiami quando questa macchina si ferma, come fa a entrare, questa apparecchiatura manda dati da qualche parte, c'è qualcosa che si aggiorna da solo.

Passo 4 — Ricostruire i collegamenti verso l'esterno

Per ogni fornitore o costruttore: ha un accesso remoto attivo, su quale impianto, con quale strumento, chi glielo ha autorizzato e quando, come si revoca. Nella pratica è la parte più scoperta.

Passo 5 — Osservazione passiva della rete

Solo dopo i passaggi precedenti, e solo con tecniche che non generano traffico verso i dispositivi: lettura delle tabelle degli apparati di rete già presenti — tabelle ARP e MAC degli switch, assegnazioni DHCP, log del firewall — che mostrano cosa comunica senza interrogare nulla. Dove serve una visibilità continuativa sui segmenti di produzione esiste un servizio dedicato: monitoraggio delle reti di produzione.

Cosa registrare per ogni asset

Campi minimi della scheda di censimento di un asset di rete
Campo	Perché serve
Identificativo e ubicazione fisica	Permette di ritrovarlo: in produzione la posizione fisica conta più del nome host.
Funzione e impianto servito	Distingue ciò che può fermarsi da ciò che non può fermarsi.
Costruttore e fornitore di riferimento	Definisce chi va contattato prima di qualunque intervento.
Presenza di accesso remoto e da parte di chi	È l'informazione più critica e, nella pratica, la meno documentata.
Criticità per la continuità operativa	Serve a stabilire le priorità: non tutto va trattato allo stesso modo.
Vincoli di intervento	Finestre di fermo, condizioni di garanzia, necessità di presenza del costruttore.
Chi risponde di quell'asset	Attribuzione formale della responsabilità: senza un nome, l'inventario non produce decisioni.

Una nota sullo strumento: un foglio di calcolo tenuto aggiornato vale più di una piattaforma di asset management non popolata. Lo strumento non è il problema.

Quando l'inventario è finito (e quando non lo è)

Un inventario non è un documento, è un processo: si disallinea al primo macchinario nuovo. Va quindi definito il momento di aggiornamento, non la data di scadenza — nuovo impianto, nuovo fornitore, fine di un contratto di assistenza, modifica dell'infrastruttura di rete.

Il criterio pratico è semplice: l'inventario è vivo se qualcuno lo aggiorna quando entra qualcosa in azienda, morto se lo si aggiorna quando qualcuno lo chiede. Lo stesso vale per le copie di sicurezza: l'inventario definisce cosa va protetto, ed è il presupposto di una strategia di backup 3-2-1-1-0 che copra davvero i sistemi che contano.

Chi risponde di cosa: governance e ruoli di accesso

L'inventario produce una conseguenza che spesso non è gradita: rende evidente che di alcuni asset non risponde nessuno. Va quindi chiuso con l'attribuzione formale delle responsabilità.

Governance

Per i soggetti che rientrano nell'ambito di applicazione del D.lgs. 4 settembre 2024, n. 138 (recepimento della direttiva NIS2), l'art. 23 attribuisce agli organi di amministrazione e direttivi il compito di approvare le misure di gestione dei rischi e di vigilarne l'attuazione, con responsabilità per le violazioni. La conoscenza degli asset non è quindi una questione delegabile al livello tecnico: è presupposto di una decisione che la norma assegna al vertice.

Non tutte le imprese rientrano nell'ambito di applicazione del decreto. La verifica del proprio inquadramento va fatta caso per caso, sulla base dei criteri dimensionali e settoriali previsti dalla normativa e delle determinazioni dell'Agenzia per la Cybersicurezza Nazionale; su questo passaggio interviene la nostra consulenza per l'adeguamento NIS2. Per chi non rientra, l'inventario resta una misura di prudenza organizzativa, non un adempimento.

Trattamento dei dati personali

Quando gli asset censiti trattano dati personali — controllo accessi, videosorveglianza, sistemi che registrano l'attività degli operatori — rilevano le previsioni del Regolamento (UE) 2016/679, su cui si innesta la consulenza GDPR:

art. 32, che impone misure tecniche e organizzative adeguate al rischio, valutazione che presuppone di sapere quali sistemi esistono e cosa trattano;
art. 29, che vincola chi tratta i dati per conto del titolare a operare solo su istruzione documentata di quest'ultimo.

L'art. 29 ha una ricaduta diretta sul passo 4 del metodo: un fornitore che accede a un sistema aziendale non è un soggetto neutro. Se in quell'accesso tratta dati personali, il rapporto va inquadrato e istruito, non semplicemente tollerato perché "serve per l'assistenza".

Accessi remoti dei fornitori

Per ciascun accesso, l'inventario deve permettere di rispondere a: chi lo ha autorizzato, con quale finalità, per quale durata, con quale tracciamento, e con quale procedura si revoca alla cessazione del rapporto. Un accesso attivo di cui nessuno ricorda l'origine non è un problema tecnico: è un problema di governo.

Cosa si può fare da soli e cosa no

Fattibile internamente: i passi 1, 2 e 3 e la compilazione della scheda asset. Sono attività di conoscenza dell'azienda, e nessun esterno le fa meglio di chi ci lavora dentro.

Dove serve supporto esterno: la lettura tecnica degli apparati di rete, la valutazione dei rischi che emergono dal censimento e l'eventuale discovery strumentale su reti di produzione, che va fatta da chi sa cosa non toccare.

Inventario degli asset di rete: come sapere cosa c'è davvero collegato