Non puoi vendere ciò che non hai costruito

A una recente tavola rotonda di settore sul posto di lavoro del 2030, Ewoud Melis, CEO di Trustteam, ha detto qualcosa che la maggior parte degli MSP sta silenziosamente evitando. Metti prima in ordine i tuoi dati. Ottimizza prima i tuoi flussi di lavoro. Solo allora vai dai tuoi clienti con il discorso sull’IA. Sembra ovvio. Non è ciò che sta accadendo.

L’osservazione ha colpito perché ha dato un nome a un divario che il mercato si affanna a coprire. Gli MSP in tutta Europa vendono deployment di Copilot, strumenti di produttività IA e valutazioni di AI-readiness ai clienti mentre la loro stessa postura di sicurezza, gli obblighi di conformità e le disposizioni di resilienza restano cantieri aperti. Non è solo un problema di credibilità. È una vulnerabilità. E NIS2 sta per trasformarla in una responsabilità legale.

Il divario di credibilità che nessuno mette a bilancio

Uno studio recente di AvePoint e Omdia, basato su 333 MSP, ha rilevato che più della metà degli intervistati ha identificato le questioni di governance e conformità come il principale ostacolo che impedisce ai loro clienti di adottare l’IA. Non la sicurezza dei dati. Non la carenza di competenze. Non il ritorno sull’investimento. Governance e conformità. L’ironia è che all’MSP viene chiesto di risolvere un problema che non ha risolto per sé stesso.

Il report Omdia sui trend degli MSP per il 2026 è ancora più diretto: gli MSP di maggior successo adottano l’IA prima internamente, per automatizzare le operazioni del service desk, potenziare la gestione della conoscenza e rafforzare le security operations, prima di monetizzare i servizi abilitati dall’IA all’esterno. Quella sequenza non è un optional. È la differenza tra un MSP che può dimostrare qualcosa e uno che può solo descriverlo.

Ciò che rende pericoloso questo divario è che i clienti stanno diventando più sofisticati. Robin Ody, practice leader per l’analisi MSP di Omdia, lo ha detto chiaramente: gli MSP che adottano approcci basati su soluzioni di business e specifici per verticale saranno nella posizione migliore per intercettare questa domanda. Vale anche l’inverso. Gli MSP che non riescono a dimostrare la propria postura di governance faticheranno a sostenere quel discorso a livello di consiglio di amministrazione, dove sempre più spesso deve avvenire.

‘Weerbaarheid’ e ‘veerkracht’: due parole che gli MSP olandesi continuano a confondere

Il dibattito in lingua olandese in questo mercato spesso confonde due concetti che meritano di essere tenuti distinti. Weerbaarheid, o resilienza nel senso di robustezza, riguarda l’impedire che gli incidenti accadano in primo luogo. Controlli di accesso solidi, vulnerability scanning continuo, discipline di patching, configurazioni irrobustite. Veerkracht, più vicina alla capacità di recupero, riguarda ciò che accade dopo che qualcosa è andato storto. Risposta agli incidenti, continuità operativa, integrità dei backup, la capacità di ripristinare rapidamente le operazioni.

Contano entrambe. Ma richiedono investimenti diversi, domande diverse e conversazioni diverse con i clienti. Un MSP che non ha fatto quella distinzione internamente le confonderà anche nelle conversazioni con i clienti, e quella confusione tende a produrre organizzazioni che non sono né particolarmente robuste né particolarmente brave a recuperare.

NIS2 non le confonde. La direttiva richiede esplicitamente agli enti interessati di affrontare sia la gestione del rischio sia le misure di resilienza, e impone obblighi di segnalazione che presuppongono una capacità di risposta agli incidenti funzionante. Per gli MSP che operano nei Paesi Bassi, la Cyberbeveiligingswet, l’attuazione olandese di NIS2, dovrebbe entrare in vigore nel secondo trimestre del 2026, sostituendo l’attuale Wbni. Questo non è più un obbligo futuro. Sta arrivando ora.

Cosa richiede davvero NIS2 all’MSP stesso

C’è un equivoco persistente secondo cui NIS2 sarebbe principalmente un problema del cliente, qualcosa con cui gli MSP aiutano i loro clienti. È vero solo in parte. Gli MSP rientrano essi stessi nell’ambito di NIS2 come fornitori di servizi ICT gestiti, che è elencato esplicitamente come categoria interessata. ENISA ha pubblicato una guida tecnica specifica per l’implementazione destinata agli MSP ai sensi del Regolamento di esecuzione (UE) 2024/2690.

Gli obblighi non sono astratti. Includono valutazioni periodiche del rischio, controlli di accesso e identità, rilevamento e segnalazione degli incidenti, misure di sicurezza della supply chain e strutture di governance con una responsabilità esplicita del management. In Germania, dove la legge di attuazione di NIS2 è entrata in vigore il 5 dicembre 2025, gli organi direttivi sono personalmente responsabili delle inadempienze in materia di conformità. Il numero di enti regolamentati nella sola Germania dovrebbe aumentare da circa 4.500 a circa 29.000. La responsabilità a livello di consiglio di amministrazione è l’intento in tutta l’UE, non una specificità tedesca.

Un MSP che consiglia i clienti sulla conformità a NIS2 mentre i propri obblighi ai sensi della stessa direttiva restano irrisolti si trova in una posizione che non reggerà. Non commercialmente, e sempre meno legalmente.

Perché l’IA rende il divario pericoloso, non solo imbarazzante

Il contesto delle minacce è cambiato più velocemente della maggior parte dei framework di governance. Una ricerca di Flashpoint, pubblicata a marzo 2026, ha rilevato che il cybercrime potenziato dall’IA è aumentato del 1.500% nel 2025. Gli attaccanti usano gli stessi large language model e strumenti di automazione che gli MSP vendono ai clienti come potenziatori di produttività. Lo Shadow AI, dove i dipendenti usano strumenti di IA non verificati al di fuori dei canali approvati, sta emergendo come vettore primario di fuga di dati, secondo il report Omdia 2026 sui trend degli MSP.

La conseguenza pratica è questa. Un MSP che introduce strumenti di IA in un ambiente cliente senza prima comprendere la propria esposizione alle minacce abilitate dall’IA, e senza aver irrobustito di conseguenza il proprio ambiente, sta estendendo la propria superficie di attacco a ogni cliente che tocca. Gli MSP sono bersagli di alto valore proprio a causa del loro accesso privilegiato. L’avversario non ha bisogno di compromettere ogni cliente singolarmente se l’MSP è il punto di accesso comune.

Weerbaarheid, in questo contesto, significa capire come si presentano davvero gli attacchi abilitati dall’IA, monitorare continuamente la propria infrastruttura alla ricerca delle vulnerabilità che li rendono possibili, ed essere in grado di dimostrare quel monitoraggio a clienti e regolatori. Non è una capacità futura. È un requisito attuale.

Come si presenta davvero il dare l’esempio?

Comincia dall’ambiente stesso dell’MSP. Non una casella da spuntare in un’autovalutazione, ma un programma continuo e misurabile. Significa scanning quotidiano della propria superficie di attacco, non solo degli ambienti dei clienti. Significa una postura di conformità documentata e testata rispetto alle norme che l’MSP vende agli altri, NIS2, ISO 27001, e qualsiasi framework specifico di settore si applichi alla base clienti dell’MSP. Significa essere in grado di mostrare a un cliente, in modo concreto e verificabile, che l’MSP ha percorso la strada che sta raccomandando.

In Guardian360, dove ho fondato l’azienda nel 2015, abbiamo costruito la piattaforma Lighthouse per dare agli MSP e ai loro clienti una visibilità continua sulla propria superficie di attacco e postura di conformità. Dirò apertamente che abbiamo un interesse commerciale a che gli MSP prendano questo sul serio. Ma l’argomento non dipende da quell’interesse. Dipende da ciò che Ewoud ha detto a quella tavola rotonda, e da ciò che i dati confermano: governance e conformità sono il principale ostacolo all’adozione dell’IA, e l’MSP che non ha costruito questo internamente non può venderlo in modo credibile all’esterno.

La domanda su cui vale la pena soffermarsi

Se i tuoi clienti ti chiedessero oggi di aprire la tua dashboard di conformità e di guidarli attraverso la tua postura di sicurezza, cosa mostreresti loro? Non ciò che potresti mostrare loro tra sei mesi con un po’ di preparazione. Ciò che potresti mostrare loro domani mattina.

Quella risposta è la tua vera proposta di valore.

Fonti

1. Studio AvePoint e Omdia: “The MSP AI gap is about governance, not skills”. Channel Dive, aprile 2026. channeldive.com
2. Omdia “MSP Trends and Predictions 2026”, citato nel blog di Acronis, febbraio 2026. acronis.com
3. Kennedy Van der Laan: “Cyber in 2026: NIS2 on the way”. Gennaio 2026. kvdl.com
4. ENISA: “NIS2 Technical Implementation Guidance” (Regolamento di esecuzione (UE) 2024/2690). enisa.europa.eu
5. Ricerca Flashpoint citata in Channel Insider: “Managed Security Services Shift as AI Reshapes Risk”. Aprile 2026. channelinsider.com
6. Reed Smith: “EU Cybersecurity Regulatory Update for 2026 and Beyond”. Aprile 2026. reedsmith.com