Chi compra si è spostato nella sala del consiglio. La maggior parte degli MSP parla ancora con la sala server.

Dopo un recente evento per i managed service provider, un esperto direttore della sicurezza di un distributore europeo mi ha fatto una domanda che mi è rimasta impressa. Non come funziona la piattaforma. Non quali funzionalità contano. Mi ha chiesto come un MSP costruisce un servizio attorno alla compliance nei primi novanta giorni. Come trasformi un grattacapo normativo in una proposta che puoi davvero vendere.

Quella domanda rivela più di quanto sembri. Segnala un cambiamento che la maggior parte degli MSP percepisce ma non ha ancora tradotto nel proprio modello di business. La persona che compra cybersecurity è cambiata. La domanda che pone è cambiata. E gli MSP che non si muovono con quel cambiamento non perderanno clienti perché la loro ingegneria era debole. Perderanno clienti perché un concorrente ha avuto una conversazione che loro non erano in grado di avere.

Chi compra non è più il responsabile IT

Per quasi tutto l’ultimo decennio, la persona che comprava sicurezza da un MSP era il responsabile IT. La conversazione era tecnica. Il budget stava dentro l’IT. La domanda era una qualche versione di “siamo aggiornati con le patch, siamo coperti, siamo monitorati”.

Quella persona non è più l’unica a comprare, e sempre meno è quella decisiva. La cybersecurity è salita di piano nell’edificio, fino alla sala del consiglio, e ce l’ha messa la legge. Con la direttiva NIS2, la responsabilità della gestione del rischio cyber è esplicitamente in capo all’organo direttivo, e gli amministratori possono essere ritenuti personalmente responsabili se non lo governano. NIS2 va oltre: obbliga gli Stati membri a garantire che i membri del consiglio seguano una formazione sul rischio cyber, un dovere che ora raggiunge gli amministratori in tutta l’Unione Europea. ENISA, l’agenzia dell’UE per la cybersecurity, ha pubblicato nel giugno 2025 delle linee guida su questi ruoli e responsabilità, e i recepimenti nazionali stanno trasformando il principio in legge cogente a velocità diverse. La Germania si è mossa per prima e in modo deciso: la NIS2-Umsetzungsgesetz, la legge di attuazione tedesca, è entrata in vigore il 6 dicembre 2025 senza periodo transitorio, il che significa che le organizzazioni che avevano aspettato indicazioni operative sull’applicazione erano già non conformi dal primo giorno. I Paesi Bassi seguono a ruota. Il loro parlamento ha adottato la Cyberbeveiligingswet, la legge olandese di attuazione della NIS2, il 15 aprile 2026, e si prevede che la legge entri in vigore il 1 luglio 2026. Il decreto di accompagnamento che dettaglia gli obblighi, la Cyberbeveiligingsbesluit, rende esplicito il dovere di formazione degli amministratori.

Rileggi quest’ultimo punto. In tutta Europa, e ora scritto nella legge nazionale paese per paese, i membri del consiglio sono tenuti a essere formati sul rischio cyber. Quando il legislatore scrive un dovere di formazione per gli amministratori dentro una legge cogente, il tema ha lasciato senza alcun dubbio la sala server.

Quindi la domanda che il consiglio del tuo cliente pone adesso non è “siamo aggiornati con le patch”. È “possiamo dimostrare di essere resilienti e conformi”. E quell’unica parola, dimostrare, cambia tutto per te come loro MSP.

Perché “dimostrare” cambia tutto?

C’è un mondo di differenza tra essere sicuri ed essere in grado di dimostrarlo. Dire “prendiamo la sicurezza sul serio” bastava a rinnovare una polizza cyber o a soddisfare l’ufficio acquisti di un cliente. Non basta più.

L’assicurazione cyber è l’esempio più chiaro. La sottoscrizione si è silenziosamente trasformata in un audit tecnico. Secondo il rapporto sul mercato cyber 2026 di Aon, “circa tre assicuratori su quattro effettuano ora una scansione esterna della superficie d’attacco durante la sottoscrizione” invece di affidarsi all’autocertificazione. La posta finanziaria è significativa: controlli documentati possono spostare un premio del venti/quaranta percento al rinnovo, e S&P Global Ratings prevede premi cyber in crescita del quindici/venti percento nel 2026 dopo due anni di ribasso. Un’organizzazione che non riesce a produrre prove non paga solo di più. Può ritrovarsi senza copertura disponibile a nessun prezzo.

Lo stesso schema si presenta nei questionari ai fornitori. Le aziende del mid-market e le PMI ne ricevono ormai a dozzine, ognuno dei quali chiede non se i controlli esistono ma la prova che esistano. Come la stessa comunità di distributori e MSP ha documentato, l’attestazione di una pagina ha lasciato il posto a questionari dettagliati e, in alcuni casi, a valutazioni esterne prima che una polizza venga stipulata. La prova continua batte l’istantanea annuale, perché chi compra dall’altra parte ha imparato che un’attestazione a un dato momento gli dice molto poco.

Questo è il cuore del cambiamento. Il mercato è passato dall’affermare al dimostrare. E dimostrare è un lavoro continuo, strutturato e dispendioso in termini di tempo. Ed è proprio lì che stanno l’opportunità, e il problema, per gli MSP.

Perché la maggior parte degli MSP non si muove con chi compra

Ecco la parte scomoda. La maggior parte degli MSP oggi non è in grado di avere la conversazione da sala del consiglio. Non perché siano incapaci nel loro lavoro. A causa di due cose che non hanno nulla a che vedere con la qualità della loro ingegneria.

La prima sono gli strumenti. Un tipico ambiente cliente ha protezione degli endpoint, sicurezza di Microsoft 365, strumenti di identità, un password manager e backup. Ognuno di questi strumenti è eccellente nel proprio compito. Ma ognuno parla la propria lingua, produce il proprio report e vive nella propria dashboard. Quando il CFO entra e chiede “possiamo dimostrare di essere conformi alla NIS2”, non c’è un unico posto che risponda alla domanda. Qualcuno deve aprire una console dopo l’altra e assemblare la risposta a mano, mappando i risultati tecnici sui controlli di compliance in un foglio di calcolo. Più console, report sparsi, nessuna risposta unica.

La seconda ragione è il team, ed è la più grave delle due. Anche se gli strumenti riuscissero ad assemblare il quadro, l’MSP non ha le ore. I buoni ingegneri sono scarsi e costosi, e quelli che hai sono fatturabili sul lavoro che paga oggi: cicli di patch, incident response, onboarding. Il lavoro sulle prove che la sala del consiglio ora richiede non trova posto da nessuna parte. È troppo strategico per l’help desk e troppo dettagliato per il management, e nessuno ha una settimana libera per cliente da dedicargli a mano. Così anche gli MSP che vedono chiaramente l’opportunità spesso non riescono a metterla in pratica, perché il lavoro non scala con il team che hanno.

Due lacune, quindi. Gli strumenti non sanno tradurre, e il team non riesce a stare al passo. Insieme spiegano perché così tanti MSP capaci sono bloccati a fornire un lavoro tecnico eccellente a un cliente che ha silenziosamente lasciato la stanza.

La compliance non è un costo. È la tua più grande opportunità di margine in un decennio.

La maggior parte del mercato tratta NIS2, DORA e il resto come un peso. Un costo. Un obbligo da spuntare che qualcuno, da qualche parte, deve assorbire. Quell’inquadratura è comprensibile, ed è anche il motivo per cui l’opportunità viene lasciata sul tavolo.

Ribalta l’inquadratura. Ogni normativa che cade addosso al tuo cliente è un motivo per cui gli serve un partner in grado di tradurla in qualcosa su cui il consiglio possa agire. Questo non è un costo per te. È una linea di servizio. E si accumula in diversi flussi di margine contemporaneamente.

C’è ricavo ricorrente dalla piattaforma che rende possibile la prova continua, venduta con margine incorporato e in crescita man mano che l’ambiente del cliente cresce. C’è un nuovo strato di servizi di consulenza fatturati a tariffe da consulenza anziché da ingegneria: reportistica trimestrale al consiglio, revisioni di prontezza NIS2, supporto sui questionari ai fornitori, preparazione agli audit. C’è fidelizzazione, perché una volta che sei il partner che produce la dashboard su cui il consiglio si affida, sei strutturalmente incorporato e molto difficile da sostituire. E c’è nuovo business, perché l’MSP che sa entrare da un potenziale cliente e aprire con la conversazione sulla compliance entra a un livello in cui il prezzo non è la prima domanda.

Molti vendor a quell’evento parlavano di funzionalità. La conversazione che conta davvero per il titolare di un MSP riguarda il margine, la differenziazione, le relazioni con i clienti e il valore a lungo termine del business. La compliance, reinquadrata, è dove vivono tutti e quattro.

Come costruisci tutto questo nei primi novanta giorni?

Questa era la domanda del distributore, e merita una risposta concreta anziché uno slogan.

Non partire con un grande programma di trasformazione. Parti da una manciata di clienti esistenti di cui conosci già l’ambiente e con cui il rapporto è buono. Produci una cosa che non hanno mai avuto prima: un’unica vista leggibile dal consiglio di dove si trovano rispetto ai framework che li riguardano, con i rischi più importanti prioritizzati e un piano per affrontarli. Quell’artefatto, la cosa che il consiglio può davvero leggere, è ciò che trasforma un rapporto tecnico in uno di consulenza.

Poi lascia che sia il calendario a vendere. La maggior parte dei tuoi clienti ha un rinnovo dell’assicurazione cyber in arrivo, e la comunità dei broker è esplicita nel dire che la preparazione dovrebbe iniziare circa novanta giorni prima del rinnovo. Molti di loro hanno un questionario fornitore fermo in una casella di posta che nessuno sa come gestire in modo efficiente. Ognuno di questi è un motivo naturale, con una scadenza, perché il cliente dica sì ora anziché dopo. Non stai inventando la domanda. Stai andando incontro a una scadenza che il cliente ha già, con un servizio che non sapeva potessi offrire.

Costruisci il servizio ricorrente attorno a quel ritmo: monitoraggio continuo sotto, un report periodico al consiglio sopra, ore di consulenza quando qualcosa va interpretato o rimediato. Novanta giorni bastano a validare il modello con qualche cliente. Non bastano a estenderlo a tutta la tua base, e non dovresti provarci.

Non tutti gli MSP devono diventare società di consulenza

In tutta onestà, questa non è l’unica strada percorribile. Alcuni MSP sono operatori tecnici eccezionali, sono felici in quel ruolo, e continuerà a esserci reale domanda di pura erogazione tecnica. Se è una scelta strategica deliberata, fatta a occhi aperti, è del tutto difendibile.

Il rischio non sta nello scegliere di restare tecnici. Il rischio sta nel non scegliere affatto, e scoprire tra diciotto mesi che il rapporto di consulenza con i tuoi migliori clienti è stato silenziosamente preso da qualcun altro. Un MSP concorrente che ha iniziato due anni prima. Uno specialista di sicurezza regionale che ora ti sottrae i clienti mid-market perché sa rispondere alla domanda della sala del consiglio. Oppure una società di consulenza che scende di fascia, che non toccherà il lavoro tecnico ma sarà ben felice di possedere la conversazione con il CFO, e poi deciderà quale MSP ottiene l’implementazione, e a quali condizioni.

La scelta

I tuoi clienti avranno la conversazione su resilienza e compliance. Quella parte non dipende più da te; i regolatori, gli assicuratori e i loro stessi clienti più grandi l’hanno stabilito. L’unica domanda aperta è se avranno quella conversazione con te, o con qualcun altro.

Per trasparenza: la mia azienda, Guardian360, è un fornitore di software indipendente in questo settore. Costruiamo la piattaforma Lighthouse e vendiamo solo tramite partner, mai direttamente, quindi ho un chiaro interesse a che gli MSP vincano questo cambiamento. Ma l’argomentazione regge anche senza di noi. Gli MSP che scompariranno nei prossimi anni non scompariranno perché la loro ingegneria era carente. Scompariranno perché un concorrente ha avuto una conversazione che loro non erano in grado di avere.

Quindi vale la pena porti la domanda in modo diretto. Sei nel business delle funzionalità, o sei nel business di rendere felici i tuoi clienti? Uno dei due è facile da copiare entro tre anni. L’altro no.