Nota metodologica (fonti certe). Le capacità di Evix/NIS2 Agile riportate sono verificate sul codice sorgente del prodotto (feature realmente implementate al 2026-05-29, v1.7.0). Le capacità dei concorrenti riflettono posizionamenti generali di pubblico dominio e vanno verificate prima di qualsiasi uso commerciale: le celle marcate [da verificare] richiedono una fonte primaria (sito vendor, demo, analyst report). Questo è un documento interno, non un materiale di marketing.

## 1. La suite Evix come insieme di moduli Evix = brand-ombrello; ciascun prodotto Agile è un "modulo" della suite, integrabile via API condivise (agile-services) e SSO centralizzato.

#### NIS2 Agile

Maturo

- Compliance Direttiva (UE) 2022/2555 + D.Lgs. 138/2024
- Oggetto principale di questa analisi

#### 231 Agile

In suite

- Modello Organizzativo 231
- Integrato con NIS2 via Services API (mapping NIS2→MOG)

#### SustainAI Agile

In suite

- Sostenibilità / ESG / CSRD
- Stesso stack UI/RAG

#### TRPG Agile

In suite

- Risk & privacy / governance
- Allineamento Auth/SSO/Sessions in corso

Il vantaggio competitivo di suite (non del singolo modulo) è l'integrazione cross-prodotto + motore AI/RAG condiviso + multi-tenancy e white-label per studi di consulenza. Sotto, il dettaglio modulo-per-modulo del prodotto NIS2 (il più maturo); gli altri prodotti richiedono un audit analogo dedicato.

## 2. Scorecard Best-of-Breed — moduli di NIS2 Agile Verde = già best-of-breed nel segmento NIS2 Italia · Giallo = competitivo, gap colmabili · Rosso = gap rilevante vs leader di categoria

#### Gap Analysis Art.21

Best-of-breed (IT)

- 80 domande su 10 categorie Art.21, scoring + analisi AI
- Mapping ISO 27001 + ora NIST CSF 2.0 (43 controlli)

- Gap: benchmark settoriale anonimizzato assente

#### Asset & Sistemi Rilevanti

Best-of-breed (IT)

- Scoring rilevanza 0-100 a 6 criteri (GV.OC-04)
- Registro formale stampabile + classi critico/alto/medio
- NEW: import bulk CMDB/cloud/CSV (POST /assets/import) con scoring GV.OC-04 automatico

- Gap residuo: auto-discovery attiva (agent/scan) — l'import e gia disponibile

#### Gestione Incidenti

Best-of-breed (IT)

- Art.23 24h/72h/30g + tassonomia IS-1..4 (Determina ACN 164179/2025)
- PIR 5-Whys + metriche TTD/TTC/TTR; regime essenziale/importante
- NEW: ingestion automatica SIEM/SOC/EDR (POST /services/incidents-ingest) con classificazione AI

#### Risk Management

Best-of-breed (IT)

- Registro rischi, matrice 5×5 ISO 27005, AI suggest
- NEW: analisi quantitativa FAIR (Monte Carlo, ALE EUR P10/P50/P90) + dashboard KRI con semafori

#### Audit & Evidence

Differenziante

- Hash-chain SHA-256 immutabile (integrità forense) + export certificato
- Mapping ISO27001 e NIST CSF 2.0

- Gap: raccolta evidenze automatica (connettori) assente

#### Policy Management

Competitivo

- Generazione bozze AI + workflow approvazione

- Gap: versioning/diff avanzato, attestation dipendenti

#### Supply Chain

Competitivo

- Valutazione fornitori + risk scoring + Art.21.2(d)

- Gap: questionari self-assessment al fornitore, rating esterni

#### AI / Knowledge Base

Differenziante

- RAG multi-livello (SYSTEM/FIRM/ORG) su Qdrant + Voyage
- Grounding su testi normativi ufficiali con citazioni (fonti certe)

- Gap: nessun gap critico; estendere copertura KB normativa

#### Continuous Monitoring

Competitivo (backend)

- NEW: Evidence Automation (POST /services/evidence-ingest) + Continuous Control Monitoring con semafori freschezza healthy/warning/stale/failing
- UI "Monitoraggio Continuo" in Audit & Report

- Gap residuo: connettori per-vendor live (richiedono OAuth/credenziali) — il framework di ingestion e pronto

#### Integrazioni / Connettori

Competitivo (backend)

- Services API + Webhook HMAC + NEW endpoint inbound: incidents-ingest, evidence-ingest, assets-ingest (scope dedicati ingest:*)
- Catalogo connettori predisposto in area provider (M365/Google/AWS/Azure/IdP/EDR/SIEM/Ticketing)

- Gap residuo: client per-vendor con OAuth (le credenziali/app registration sono lato cliente)

## 3. Matrice comparativa NIS2 Agile (Evix) vs categorie concorrenti. Confronto sul caso d'uso "compliance NIS2 per PMI/Enterprise e studi di consulenza in Italia".

Sì / forte Parziale No / debole [dv] = dato concorrente da verificare

Capacità | NIS2 Agile (Evix) | GRC internazionali (ServiceNow, OneTrust, Archer) | Compliance automation (Vanta, Drata) | Soluzioni NIS2 IT [da verificare] | Consulenza + Excel
--- | --- | --- | --- | --- | ---
NIS2 / D.Lgs.138 nativo + Determine ACN 2025 | Sì — aggiornato Determine 2025 | Parziale, framework generici [dv] | Debole (focus SOC2/ISO) [dv] | Variabile [dv] | Dipende dal consulente
AI nativa (gap, policy, classificazione incidenti) con grounding su fonti certe | Sì — RAG citante testi ufficiali | In crescita [dv] | In crescita [dv] | Raro [dv] | No
Audit trail immutabile (hash-chain) | Sì — SHA-256 chain | Sì [dv] | Parziale [dv] | Raro [dv] | No
Continuous control monitoring + evidence automation | Si (backend) — evidence-ingest + CCM semafori; connettori live in roadmap | Sì [dv] | Sì — core [dv] | No [dv] | No
Catalogo connettori/integrazioni (cloud, IdP, EDR, ticketing) | Endpoint inbound ingest:* + catalogo predisposto; client per-vendor in roadmap | Sì [dv] | Sì — molti [dv] | Raro [dv] | No
Multi-tenant + white-label per studi di consulenza | Sì — firm + branding + KB FIRM | Parziale/costoso [dv] | Programmi partner [dv] | Variabile [dv] | No
Integrazione cross-compliance (NIS2 ↔ 231 ↔ ESG) | Sì — suite Evix + Services API | Moduli separati [dv] | No [dv] | No [dv] | No
Costo / time-to-value per PMI italiana | Basso — onboarding guidato + visura | Alto / enterprise [dv] | Medio [dv] | Variabile [dv] | Alto in ore uomo
Reporting/dashboard enterprise & analytics | Parziale — report esecutivo + CSV | Forte [dv] | Forte [dv] | Variabile [dv] | No

## 4. Dove siamo già Best-of-Breed Vantaggi difendibili, radicati su feature reali del prodotto.

#### 🇮🇹 Aderenza normativa italiana

- Unico a coprire Determina ACN 164179/2025 (IS-1..4, Allegati 3/4) e 333017/2025 a livello di workflow, non solo testo.

#### 🤖 AI con fonti certe

- Risposte AI ancorate ai testi normativi ufficiali con citazione esplicita e divieto di riferimenti inventati.

#### 🔗 Integrità audit

- Hash-chain SHA-256 + export certificato: integrità forense delle evidenze.

#### 🏢 Modello consulenza/white-label

- Multi-tenant, KB a 3 livelli, branding per studio: pensato per i consulenti, non solo l'azienda finale.

#### 🧩 Suite integrata

- NIS2 ↔ 231 ↔ ESG via Services API condivise: i competitor sono single-domain.

## 5. Gap → Roadmap per chiudere il "best-of-breed" su ogni modulo Priorità per impatto competitivo. Le voci P1 sono quelle che oggi ci fanno perdere confronti vs Vanta/Drata e GRC enterprise.

✅ FATTO (2026-05-30) · P1 compliance automation
Continuous Control Monitoring + Evidence Automation. Implementato backend: POST /services/evidence-ingest (M365/Google/AWS/Azure/IdP/EDR/SIEM) + ricalcolo semafori freschezza + UI "Monitoraggio Continuo". Restano da attivare i client per-vendor con OAuth (credenziali lato cliente).
✅ FATTO (2026-05-30) · P1 ingestion incidenti
Integrazione SIEM/SOC/EDR implementata: POST /services/incidents-ingest apre automaticamente incidenti Art.23 con dedup e classificazione AI. Modulo incidenti ora proattivo.
✅ FATTO (2026-05-30) · P2 asset import + P2 risk quantitativo
Import CMDB/cloud (POST /assets/import) con scoring GV.OC-04 automatico, e Risk quantitativo FAIR (Monte Carlo, ALE EUR) + dashboard KRI. Restano: auto-discovery attiva asset; benchmark settoriale (P2 reporting).
P2 · Asset
Auto-discovery asset + import CMDB/cloud per alimentare automaticamente lo scoring di rilevanza GV.OC-04 appena introdotto.
P2 · Risk quantitativo
Risk analysis quantitativa (FAIR) + dashboard KRI, per competere con i GRC enterprise sul risk management.
P2 · Reporting
Dashboard analytics e benchmark settoriale anonimizzato (già nei TODO di progetto) — chiude il gap su reporting e aggiunge un dato che i competitor non hanno (rete multi-tenant).
P3 · Supply chain & policy
Portale self-assessment fornitori e attestation/versioning policy per completare i due moduli "competitivi" verso il best-of-breed.
Fonti & verificabilità. Capacità Evix/NIS2 Agile: codice sorgente del prodotto (v1.7.0, 2026-05-29) e documentazione di progetto. Riferimenti normativi: Direttiva (UE) 2022/2555, D.Lgs. 138/2024, Determine ACN 164179/2025 e 333017/2025 (registro `application/config/nis2_sources.php`). Dati concorrenti marcati [da verificare]: posizionamenti generali di pubblico dominio, da confermare con fonte primaria prima di ogni uso esterno. I nomi dei vendor sono citati a scopo di benchmarking interno.