La quota del budget IT nelle spese complessive delle aziende francesi aumenta ogni anno, ma i risultati non seguono sempre. Tra parchi macchine invecchiati, contratti di manutenzione mal calibrati e una regolamentazione europea che inasprisce le sue richieste in materia di cybersicurezza, il semplice fatto di “far funzionare l’informatica” non basta più. Il tema non è più tecnico: è strutturale.
Cyber Resilience Act: la nuova costrizione normativa che cambia le regole per i servizi informatici
Il Cyber Resilience Act (regolamento UE 2024/2847), entrato in vigore il 10 dicembre 2024, impone requisiti di cybersicurezza obbligatori per tutti i prodotti contenenti elementi digitali venduti nell’Unione europea. Hardware, software, oggetti connessi: la copertura è ampia.
A partire dall’11 settembre 2026, i produttori devono segnalare entro 24 ore qualsiasi vulnerabilità attivamente sfruttata e qualsiasi incidente grave che influisca sulla sicurezza dei loro prodotti. Queste segnalazioni passano attraverso piattaforme centralizzate gestite dall’ENISA e dai CSIRT nazionali.
Per un’azienda che esternalizza tutto o parte dei suoi servizi informatici, questo regolamento ha conseguenze dirette. Il fornitore IT diventa un anello della catena di conformità. Un software aziendale distribuito senza monitoraggio delle vulnerabilità espone l’azienda cliente a un rischio normativo, non solo tecnico.
I contratti di outsourcing firmati prima di questa scadenza meritano una rilettura attenta. La gestione delle vulnerabilità e la notifica degli incidenti devono essere esplicitamente incluse, pena ritrovarsi con un fornitore che non ha alcun obbligo contrattuale di segnalare una falla sfruttata su uno strumento che amministra. Tra i servizi informatici di Digiterio, questa dimensione normativa fa parte degli assi di lavoro strutturanti per le aziende che vogliono allineare il loro SI alle nuove obbligazioni europee.
Outsourcing e esternalizzazione IT: ciò che i contratti non dicono sempre
Esternalizzare la gestione della propria informatica sembra semplice sulla carta. Un fornitore si occupa della manutenzione, del supporto tecnico, a volte dell’hosting cloud. In pratica, la qualità del servizio dipende da ciò che è scritto (o meno) nel contratto.
Le zone grigie contrattuali da verificare
- La reversibilità dei dati: in caso di cambio di fornitore, entro quale termine e in quale formato si recuperano i propri dati? Alcuni contratti non specificano nulla, creando una dipendenza di fatto.
- Il perimetro esatto del supporto: un contratto di manutenzione può coprire l’hardware ma escludere gli aggiornamenti software critici, o includere un numero limitato di interventi al mese senza che questo limite sia chiaramente annunciato.
- La localizzazione dei dati ospitati: con il GDPR e le evoluzioni del Cloud Act americano, sapere se i server sono in Francia, nell’UE o altrove non è un dettaglio. I feedback sul campo divergono sulla reale trasparenza dei fornitori a questo riguardo.
- Gli impegni di livello di servizio (SLA): un tasso di disponibilità annunciato in aumento non vale nulla senza penali contrattuali in caso di mancato rispetto.
Un contratto di outsourcing ben negoziato protegge tanto quanto un buon firewall. Un contratto vago espone l’azienda a costi nascosti e a una perdita di controllo progressiva sul proprio sistema informativo.
DSI internalizzata o fornitore esterno: decidere in base alla dimensione e agli obiettivi
La domanda torna sistematicamente: è necessario reclutare un responsabile IT interno o affidare la gestione a un fornitore? La risposta dipende meno dalla dimensione dell’azienda che dalla criticità del SI nella sua attività.
Una PMI il cui core business si basa su un’applicazione web ha maggiore bisogno di una competenza IT internalizzata rispetto a un’agenzia di consulenza di 200 persone che utilizza esclusivamente una suite di produttività cloud. La criticità del SI determina il modello, non il numero di dipendenti.
Ciò che l’internalizzazione porta (e ciò che costa)
Un DSI o un responsabile IT interno conosce i processi aziendali, gli utenti, le specifiche vincoli. Questa vicinanza accelera la risoluzione degli incidenti e permette di anticipare le evoluzioni. Tuttavia, il costo salariale, la formazione continua e il monitoraggio tecnologico pesano su strutture di dimensioni modeste.
Ciò che l’esternalizzazione consente (e ciò che nasconde)
Un fornitore esterno condivide le proprie competenze su più clienti. Generalmente dispone di una superficie tecnica più ampia (sicurezza, cloud, rete). Il rischio: una conoscenza superficiale del settore cliente e tempi di risposta che dipendono dal carico globale del fornitore. L’esternalizzazione funziona quando il capitolato è preciso e il monitoraggio regolare.
Automazione dei processi IT: separare i guadagni reali dal discorso di marketing
L’automazione è diventata un argomento commerciale onnipresente nelle offerte di servizi informatici. Distribuzione automatizzata degli aggiornamenti, gestione dei ticket tramite intelligenza artificiale, provisioning cloud in self-service: le promesse sono numerose.
I guadagni reali esistono, ma sono condizionati. Automatizzare un processo mal definito equivale a industrializzare un malfunzionamento. Prima di implementare uno strumento di automazione, è necessario mappare i flussi esistenti, identificare le attività realmente ripetitive e misurare il tempo effettivamente perso.
Alcuni casi in cui l’automazione produce risultati misurabili:
- La gestione dei diritti di accesso durante gli arrivi e le partenze dei collaboratori, che spesso richiede diverse ore in trattamento manuale.
- Il deployment delle patch di sicurezza su un parco di postazioni, dove il tempo tra la pubblicazione di una patch e la sua applicazione è un fattore di rischio diretto.
- La supervisione proattiva dei server e delle attrezzature di rete, che consente di rilevare un’anomalia prima che diventi un guasto.
I dati disponibili non consentono di generalizzare un tasso di guadagno di produttività. I risultati dipendono dal contesto tecnico, dalla maturità dei team e dalla qualità dell’integrazione. Un fornitore che annuncia una percentuale di riduzione dei costi senza un audit preliminare merita una certa cautela.
La scelta di un fornitore informatico impegna l’azienda per diversi anni. I criteri tecnici contano, ma la capacità di accompagnare le evoluzioni normative (come il Cyber Resilience Act), la trasparenza contrattuale e la qualità del monitoraggio umano fanno la differenza tra un servizio che funziona e un servizio che protegge.
