Fornitori a confronto
Come scegliere un fornitore di servizi IT a Roma: servizi, credenziali e contratto
Guida per imprese romane: quali servizi IT chiedere, quali credenziali verificare (Accredia, ACN, NIS2), che cosa deve dire il contratto e come controllare il fornitore al Registro Imprese.
Cosa tenere a mente
- Nessun elenco ordinato per recensioni.Le valutazioni di una mappa online non dicono se un fornitore sa gestire una rete, un backup o un incidente. Questa guida non nomina aziende: spiega come verificarle da sé con fonti ufficiali.
- La certificazione ISO/IEC 27001 si controlla.È volontaria e viene rilasciata da organismi accreditati. La banca dati di Accredia si può interrogare per partita IVA, ambito e stato, ma può contenere anche certificati sospesi.
- La qualificazione cloud dell'ACN riguarda la pubblica amministrazione.Il regolamento (decreto 21007/24 del 27 giugno 2024, in vigore dal 1° agosto 2024) disciplina i servizi cloud acquistabili dalle PA. Per un'impresa privata è un indizio utile, non un requisito.
- La NIS2 non si estende da sola ai fornitori.Il D.Lgs. 138/2024 è in vigore dal 16 ottobre 2024. Secondo l'ACN i fornitori non rientrano automaticamente nell'ambito, ma i soggetti coperti devono imporre loro obblighi contrattuali.
- Per il cloud il contratto ha contenuti minimi di legge.Il Data Act prevede preavviso massimo di due mesi, periodo transitorio fino a 30 giorni e almeno 30 giorni per recuperare i dati. Le tariffe di passaggio sono vietate dal 12 gennaio 2027.
- La visura camerale costa poco.Secondo la pagina del Registro Imprese la visura ordinaria costa 3,00 euro per le imprese individuali, 3,50 per le società di persone e 5,00 per le società di capitali; la storica da 4,00 a 6,00 euro. È gratuita per il titolare o legale rappresentante dell'impresa che accede con SPID o CNS.
Quali servizi chiedere
Un progetto digitale o di automazione appoggia su quattro basi. La tabella indica che cosa mettere nel preventivo e quale prova chiedere. È una traccia editoriale, da adattare alla propria impresa.
| Area | Che cosa chiedere | Prova da chiedere |
|---|---|---|
| Servizi gestiti | Assistenza, monitoraggio, aggiornamenti, inventario di dispositivi e licenze | Esempio di report mensile, elenco degli orari coperti |
| Rete | Cablaggio, Wi-Fi, separazione delle reti, accessi da remoto | Schema della rete consegnato a fine lavori |
| Sicurezza | Gestione di account e permessi, protezione dei dispositivi, aggiornamenti | Politica sugli accessi, procedura per un incidente |
| Backup e ripristino | Copie automatiche, copia fuori sede, prova di ripristino periodica | Esito dell'ultima prova di ripristino |
Se l'impresa collega macchine di produzione, il fornitore deve conoscere anche il confine tra rete d'ufficio e rete di fabbrica: si veda l'articolo su cobot e criteri di integrazione. Se l'obiettivo è introdurre strumenti generativi, contano dati ordinati e accessi sicuri; i criteri sono nell'articolo su governance e rischi degli strumenti generativi. Per il costo totale (assistenza, licenze, aggiornamenti) si usa il metodo di costi e payback dell'automazione.
Credenziali: che cosa attestano e dove si verificano
| Credenziale | Che cosa attesta | Dove verificare | Limite |
|---|---|---|---|
| ISO/IEC 27001 | Un sistema di gestione della sicurezza delle informazioni, per un ambito dichiarato | Banca dati Accredia | Non certifica ogni servizio: leggere ambito, sede e stato |
| Qualificazione cloud ACN | Un servizio cloud qualificato per le PA, con un livello | Catalogo ACN, descritto nella pagina del regolamento | Valida 36 mesi; pensata per la PA |
| Iscrizione al Registro Imprese | Esistenza legale, sede, amministratori, attività | Registro Imprese | La visura è informativa |
Accredia spiega che la certificazione ISO/IEC 27001 è volontaria e che gli organismi sono accreditati secondo le norme ISO/IEC 17021-1 e 27006 (Accredia). La banca dati consente di cercare per numero di certificato, partita IVA, ambito, stato, organismo e settore. Accredia avverte che i dati sono caricati dagli organismi di certificazione, che ne rispondono, e che la banca dati può contenere certificati sospesi.
Come leggere una voce, in ordine:
- La ragione sociale e la partita IVA coincidono con quelle del contratto?
- L'ambito comprende il servizio che si compra, per esempio la gestione di sistemi di clienti e non solo la sede interna?
- Lo stato è valido e la data è recente?
- L'organismo che ha emesso il certificato è accreditato?
Suggerimento della redazione: in caso di dubbio, chiedere conferma anche all'organismo che ha emesso il certificato.
NIS2 e catena di fornitura
L'ACN precisa che le imprese che non rispettano i criteri dell'articolo 3 del decreto NIS non rientrano automaticamente nell'ambito solo perché forniscono un soggetto coperto. Non c'è propagazione diretta, ma i soggetti NIS devono imporre obblighi contrattuali ai fornitori (FAQ ACN). Nelle stesse FAQ i servizi gestiti TIC compaiono tra le tipologie che possono rientrare nell'ambito, se rispettano i criteri di dimensione. La registrazione dei soggetti avviene ogni anno dal 1° gennaio al 28 febbraio sulla piattaforma dell'ACN (ACN).
Per l'impresa cliente questo significa due cose. Se è un soggetto NIS, il contratto con il fornitore IT dovrà contenere obblighi di sicurezza. Se non lo è, può comunque usare gli stessi criteri.
L'ENISA, nella guida tecnica di giugno 2025 sul regolamento di esecuzione (UE) 2024/2690, riporta i criteri con cui i soggetti coperti devono scegliere i fornitori: pratiche di cybersicurezza del fornitore, capacità di rispettare le specifiche richieste, qualità e resilienza dei servizi, capacità di diversificare le fonti e limitare la dipendenza da un solo fornitore. Tra gli elementi da considerare la guida cita la giurisdizione, la proprietà, la capacità di garantire la fornitura, le certificazioni, lo storico di incidenti e gli ostacoli al cambio di fornitore, come formati aperti e funzioni proprietarie (ENISA). La guida è non vincolante e si rivolge a categorie definite di soggetti, ma l'elenco funziona come domande di un questionario al fornitore.
Contratto: SLA, dati e uscita
SLA. Suggerimento della redazione: chiedere per iscritto orari di servizio, tempi di presa in carico e di ripristino per ogni livello di priorità, come si misurano, penali o crediti di servizio, report periodico, esclusioni e catena di escalation. Un SLA senza misura e senza conseguenze è una promessa.
Dati personali. Se il fornitore tratta dati personali per conto dell'impresa, l'articolo 28 del GDPR richiede un contratto che preveda, tra l'altro, trattamento su istruzione documentata, riservatezza, misure di sicurezza, regole per i sub-fornitori, assistenza per i diritti degli interessati, cancellazione o restituzione dei dati a fine servizio e collaborazione alle verifiche.
Cloud e uscita. Per i servizi di trattamento dati, cioè i servizi cloud, il Data Act all'articolo 25 richiede un contratto scritto con diritti e obblighi per il passaggio ad altro fornitore. Il contenuto minimo comprende:
- un preavviso massimo non superiore a due mesi;
- un periodo transitorio massimo di 30 giorni di calendario dopo il preavviso, con assistenza e continuità del servizio;
- un periodo minimo di 30 giorni per il recupero dei dati;
- l'elenco delle categorie di dati e risorse digitali trasferibili.
L'articolo 29 prevede che dal 12 gennaio 2027 i fornitori non impongano tariffe di passaggio. Dall'11 gennaio 2024 a quella data possono applicare tariffe ridotte, non superiori ai costi direttamente connessi al passaggio. Prima del contratto devono informare il cliente su spese standard, penali di risoluzione anticipata e tariffe ridotte.
Suggerimento della redazione: aggiungere clausole su consegna di documentazione di rete, credenziali amministrative e inventario a fine incarico. Sono la parte più spesso dimenticata e la più utile al successore.
Due diligence al Registro Imprese
Il Registro delle imprese conserva i dati giuridici dell'impresa. La visura ordinaria ne riporta, secondo la pagina ufficiale, denominazione, forma giuridica, sede, codice fiscale e partita IVA, codici di attività, capitale sociale, amministratori, soci e quote, unità locali e dati sul personale. La visura storica aggiunge la storia delle modifiche. Non ha valore di certificazione e non è opponibile a terzi; il certificato camerale, invece, ha valore legale. Chiunque può richiedere una visura; la Camera di Commercio di Roma rimanda al portale e indica la gratuità per il titolare o legale rappresentante in possesso di SPID o CNS (Camera di Commercio di Roma).
Una lista di controllo, in ordine:
- Visura ordinariae confronto dei dati con l'offerta: ragione sociale, sede, partita IVA, attività dichiarata.
- Amministratori e soci:chi risponde dell'impresa e se ci sono cambiamenti recenti.
- Visura storica, se la società è giovane o ha cambiato più volte forma o sede.
- Certificazioni:controllo in Accredia e, per le qualificazioni cloud, nel catalogo ACN.
- Referenze verificabili:chiedere nomi di clienti disposti a rispondere, in un settore simile al proprio.
- Prova limitata:un servizio ristretto per alcuni mesi prima di un accordo quadro.
Fonti
- Accredia, banca dati delle certificazioni
- Accredia, sistemi di gestione per la sicurezza delle informazioni (ISO/IEC 27001)
- ACN, regolamento cloud per la PA
- ACN, domande frequenti NIS: ambito
- ACN, ambito e registrazione NIS
- ENISA, guida tecnica all'attuazione NIS2 (giugno 2025)
- Registro Imprese, visura camerale e certificato
- Camera di Commercio di Roma, certificati e visure on line
- Regolamento (UE) 2016/679 (GDPR)
- Regolamento (UE) 2023/2854 (Data Act)
