Managed service provider (MSP): cos'è e come sceglierlo

Un managed service provider (MSP) è un fornitore esterno che gestisce in modo continuativo una parte dell'IT di un'azienda: server, rete, postazioni, cloud, backup, aggiornamenti, help desk. Lavora a canone ricorrente e con livelli di servizio concordati, in sede o da remoto. Non va confuso con l'MSSP, che è un MSP specializzato nella sicurezza. Dal 2024 la legge italiana lo definisce in modo esplicito e la NIS2 lo tratta come un fornitore critico.

Qui trovi cosa fa un MSP in pratica, dove finisce il suo lavoro e dove comincia quello di un MSSP, cosa cambia con la NIS2 e quali domande fare prima di firmare un contratto. Una nota sulla sigla: MSP ha altri significati in altri ambiti, in questa pagina indica solo il fornitore di servizi IT gestiti.

Cos'è un managed service provider

La definizione più utile è quella di legge. Il D.Lgs. 138/2024, che recepisce la NIS2 in Italia, all'art. 2, comma 1, lettera iii) definisce il fornitore di servizi gestiti come «un soggetto che fornisce servizi relativi all'installazione, alla gestione, al funzionamento o alla manutenzione di prodotti, reti, infrastrutture, applicazioni TIC o di qualsiasi altro sistema informativo e di rete, tramite assistenza o amministrazione attiva effettuata nei locali dei clienti o a distanza». Ricalca la definizione dell'art. 6, punto 39, della Direttiva (UE) 2022/2555.

Due parole della definizione contano più delle altre. La prima è gestione: l'MSP non vende un prodotto e se ne va, si prende in carico il funzionamento di qualcosa nel tempo. La seconda è amministrazione attiva: per fare quel lavoro ha accessi, spesso con privilegi elevati, ai sistemi del cliente. È ciò che lo rende utile ed è anche ciò che lo rende un punto delicato, come vedremo.

Cosa gestisce, di solito

Il perimetro cambia da contratto a contratto. I servizi che si incontrano più spesso sono questi:

• Infrastruttura: server fisici e virtuali, storage, ambienti on premise e cloud.
• Rete: firewall, switch, wi-fi, VPN e connettività tra le sedi.
• Postazioni e utenti: configurazione dei PC, help desk, gestione degli account.
• Aggiornamenti: patch di sistemi operativi e applicazioni, secondo un calendario concordato.
• Backup e ripristino: esecuzione dei backup, verifica che siano ripristinabili, prove periodiche.
• Cloud e collaboration: gestione di tenant, licenze, migrazioni e costi cloud.
• Monitoraggio della disponibilità: allarmi su servizi fermi, dischi pieni, risorse in sofferenza.

Come funziona il modello

Il tratto che distingue un MSP da un fornitore a chiamata è il modello economico. Nel modello a intervento (il cosiddetto break-fix) si paga quando qualcosa si rompe, e il fornitore guadagna di più quando le cose vanno male. Nel modello gestito si paga un canone per un perimetro definito, e il fornitore ha interesse a prevenire i guasti invece di ripararli.

Il canone è legato a un contratto con livelli di servizio (SLA): tempi di presa in carico e di risoluzione per gravità, finestre di manutenzione, orari coperti. Il lavoro quotidiano passa da strumenti di gestione e monitoraggio remoto, che permettono all'MSP di vedere e amministrare i sistemi di più clienti dalla stessa console.

MSP e MSSP: dove passa il confine

La sigla con una S in più indica il managed security service provider. Il D.Lgs. 138/2024 lo definisce alla lettera lll) come «un fornitore di servizi gestiti che svolge o fornisce assistenza per attività relative alla gestione dei rischi di sicurezza informatica». Quindi, per legge, un MSSP è un MSP che si occupa di sicurezza: tutti gli MSSP sono MSP, non tutti gli MSP sono MSSP.

Nella pratica la differenza è di obiettivo e di competenze:

• L'MSP tiene in piedi i sistemi. La domanda a cui risponde è: funziona? Il suo presidio tipico è la disponibilità, con un approccio da NOC (network operations center).
• L'MSSP sorveglia le minacce. La domanda è: qualcuno ci sta attaccando, e cosa facciamo? Il suo presidio tipico è un SOC con detection e response, spesso 24 ore su 24.

Molti MSP offrono anche servizi di sicurezza di base, come antivirus gestito o configurazione del firewall, e il confine nel mercato è meno netto che sulla carta. Una domanda aiuta a fare chiarezza: chi gestisce i sistemi è anche chi li sorveglia? Quando sono la stessa persona, nessuno controlla il lavoro di chi amministra. Per questo molte aziende tengono le due funzioni separate, oppure chiedono che dentro lo stesso fornitore siano team diversi. Se il tema è la copertura di sicurezza, il confronto tra le strade possibili è in SOC interno o SOC gestito.

La NIS2 dedica agli MSSP un'attenzione in più. Il considerando 86 della direttiva osserva che «a causa della loro stretta integrazione nelle attività dei soggetti, presentano un particolare rischio» e chiede ai soggetti essenziali e importanti una maggiore diligenza nella loro selezione. Lo stesso ragionamento vale, in misura diversa, per qualsiasi MSP che amministri sistemi critici.

MSP e NIS2: due modi in cui la norma ti riguarda

Se sei tu l'MSP

L'allegato I del D.Lgs. 138/2024, al numero 9, elenca tra i settori ad alta criticità la gestione dei servizi TIC (business-to-business), con due tipologie di soggetto: i fornitori di servizi gestiti e i fornitori di servizi di sicurezza gestiti. Il decreto si applica a chi supera i massimali per le piccole imprese della raccomandazione 2003/361/CE (art. 3, comma 2). Chi supera anche i massimali delle medie imprese è soggetto essenziale (art. 6, comma 1, lettera a), gli altri sono soggetti importanti. Come leggere le soglie nel tuo caso è spiegato in a chi si applica la NIS2.

Per questa categoria c'è un livello di dettaglio in più. Il Regolamento di esecuzione (UE) 2024/2690 della Commissione fissa i requisiti tecnici e metodologici delle misure di sicurezza e i criteri per cui un incidente è considerato significativo per alcune tipologie di soggetti, tra cui i fornitori di servizi gestiti e di servizi di sicurezza gestiti. È un regolamento, quindi si applica direttamente senza bisogno di recepimento.

Se l'MSP è un tuo fornitore

È il caso più frequente nel mid-market. Se la tua azienda è soggetto NIS2, l'art. 24, comma 2, lettera d) del D.Lgs. 138/2024 include tra gli elementi minimi delle misure di sicurezza la «sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi». L'MSP che amministra i tuoi server è con ogni probabilità il fornitore più critico che hai: va censito, valutato, contrattualizzato con requisiti di sicurezza e verificato nel tempo. Come si imposta questo lavoro è in TPRM: il third party risk management.

Per le entità finanziarie il riferimento è DORA: un MSP che gestisce sistemi ICT è un fornitore terzo di servizi ICT, e ricade negli obblighi del Capo V del Regolamento (UE) 2022/2554: due diligence prima del contratto, requisiti contrattuali e, per i servizi a supporto di funzioni essenziali o importanti, strategie di uscita. Il dettaglio è in gestione del rischio ICT e registro dei fornitori.

Perché un MSP è anche un punto di rischio

Un MSP ha accesso amministrativo a molti clienti, spesso dalla stessa piattaforma. Per un attaccante è un bersaglio efficiente: compromesso il fornitore, ha una strada verso tutti i suoi clienti. Lo hanno scritto le agenzie di cybersecurity di Stati Uniti, Regno Unito, Australia, Canada e Nuova Zelanda nell'avviso congiunto Protecting Against Cyber Threats to Managed Service Providers and their Customers (CISA, AA22-131A, 11 maggio 2022), che descrive l'MSP vulnerabile come un vettore di accesso iniziale verso più reti di vittime, con effetti a cascata.

Lo stesso avviso elenca le misure di base per gli MSP e per i loro clienti. Lette dal lato del cliente, sono poche e concrete:

• MFA sull'accesso remoto e su tutti gli account del fornitore che entrano nel tuo ambiente, trattati come account privilegiati.
• Minimo privilegio: gli account dell'MSP limitati ai sistemi che gestisce, non inseriti di default nei gruppi di amministratori.
• Log conservati: le agenzie raccomandano di tenere i log più importanti per almeno sei mesi, perché un incidente può emergere dopo mesi.
• Account obsoleti eliminati, compresi quelli di tecnici che non lavorano più sul tuo contratto.
• Backup verificati e piani di risposta agli incidenti provati.
• Contratto chiaro su responsabilità, misure di sicurezza e su come e quando l'MSP ti avvisa di un incidente che tocca il tuo ambiente.

Come scegliere un MSP: le domande da fare

Il prezzo del canone si confronta facilmente. Quello che pesa davvero emerge dopo, quindi conviene chiederlo prima. Queste sono le domande che separano un contratto solido da uno fragile:

1. Cosa è dentro il perimetro e cosa no? Elenco puntuale di sistemi, sedi e servizi. Ciò che non è scritto, in caso di problema, non è di nessuno.
2. Quali SLA, per quale gravità? Tempi di presa in carico e di risoluzione distinti, orari coperti, penali. Un SLA solo sulla presa in carico dice poco.
3. Come accedete ai nostri sistemi? Strumenti usati, MFA, account nominativi e non condivisi, tracciamento delle sessioni.
4. Chi controlla gli accessi del fornitore? Se il monitoraggio di sicurezza è in casa dello stesso MSP, va capito chi sorveglia i suoi tecnici.
5. In quanto tempo ci avvisate di un incidente? Per un soggetto NIS2 il tempo deve essere compatibile con i propri obblighi di notifica.
6. Lavorate con subappaltatori? Chi sono, dove stanno, cosa vedono dei tuoi dati.
7. Quali certificazioni, e con quale campo di applicazione? Una ISO/IEC 27001 vale per il perimetro che dichiara: si legge lo scope, non solo il logo.
8. Come si esce? Documentazione aggiornata, credenziali restituite, dati recuperati, affiancamento al fornitore successivo. È la clausola che si negozia meglio all'inizio.

Un criterio più generale per valutare un fornitore tecnico, al di là del caso MSP, è in come scegliere un'azienda di cybersecurity.

Quando ha senso affidarsi a un MSP

Non esiste una risposta valida per tutti, ma alcuni segnali ricorrono:

• il team IT interno è piccolo e passa la giornata sulle urgenze, senza tempo per manutenzione e aggiornamenti;
• servono competenze specifiche (cloud, rete, backup) che non giustificano un'assunzione a tempo pieno;
• si sta migrando al cloud e manca chi conosca la piattaforma di destinazione;
• la continuità dipende da una o due persone, e una loro assenza ferma tutto.

Spesso il modello più realistico è quello misto: l'IT interno conserva le decisioni, la conoscenza del business e il rapporto con gli utenti, l'MSP prende in carico l'esecuzione ricorrente. In entrambi i casi la responsabilità verso clienti e autorità resta all'azienda, il fornitore cambia solo chi fa il lavoro.

Come lavora AmagisTech sul cloud

Sul cloud lavoriamo come fornitore di servizi gestiti su Google Cloud: progettiamo l'architettura, migriamo i carichi, gestiamo reti e Google Workspace e teniamo sotto controllo i costi con il FinOps, poi seguiamo l'ambiente nel tempo con un referente dedicato. La sorveglianza di sicurezza è un servizio separato, il SOC gestito. Se vuoi capire da dove partire nel tuo caso, trovi come lavoriamo nella pagina cloud e infrastruttura gestita.

In sintesi: un MSP gestisce a canone una parte dell'IT, un MSSP è un MSP che si occupa di sicurezza. Il D.Lgs. 138/2024 li definisce entrambi e li mette tra i settori ad alta criticità, e per chi è soggetto NIS2 l'MSP è un fornitore da valutare con cura, perché ha le chiavi dei sistemi. Perimetro, SLA, accessi, notifica degli incidenti e uscita sono i cinque punti da chiarire prima di firmare.