Un fornitore unico IT è un partner che fornisce e gestisce connettività, servizi cloud e sicurezza informatica di un’azienda, e ne risponde come unico interlocutore lungo tutta la catena.
Per una PMI significa meno coordinamento e tempi più brevi quando c’è un guasto. Per le aziende senza un reparto IT strutturato è spesso l’opzione più conveniente; in alcune circostanze, però, tenere separati i fornitori resta la scelta più prudente.
Lo scriviamo da operatore che propone esattamente questo modello. Proprio per questo, accanto ai vantaggi, mettiamo sul tavolo i rischi e i casi in cui conviene lasciare qualcosa fuori dal perimetro.
Cosa significa davvero affidarsi a un fornitore unico IT
Sotto la stessa etichetta convivono modelli diversi, riconducibili a tre.
| Modello | Chi risponde quando qualcosa si ferma | Chi controlla l’infrastruttura | Cosa verificare |
|---|---|---|---|
| Più fornitori specializzati | Ciascuno per il proprio servizio; il coordinamento resta all’azienda | Ogni fornitore la propria | Chi gestisce i problemi che stanno a cavallo tra due servizi |
| Fornitore unico che rivende servizi di terzi | Il fornitore, che però dipende dai tempi dei suoi fornitori | In larga parte soggetti terzi | Quanta parte della filiera controlla direttamente |
| Fornitore unico con infrastruttura propria | Il fornitore, dalla rete al data center | Il fornitore, per la parte di sua proprietà | Dove finisce la parte proprietaria e quali tratti restano di terzi |
Una precisazione: fornitore unico non vuol dire tecnologia unica. Un partner serio lavora con più produttori, per esempio un marchio per i firewall e un altro per il backup, e si prende in carico l’integrazione.
Inoltre, quelle in tabella non sono suddivisioni a tenuta stagna e per alcuni aspetti possono sconfinare l’una nell’altra. Ciò che conta è quello che viene definito in trattativa e scritto nel contratto.
Perché la domanda riguarda soprattutto le PMI
Nelle grandi aziende c’è quasi sempre un reparto IT strutturato che fa da regista tra i fornitori. Nelle PMI spesso manca. Secondo l’Istat (Imprese e ICT, rilevazione 2024) impiega specialisti ICT l’11,3% delle imprese tra 10 e 249 addetti, contro il 74,5% delle grandi. Intanto il digitale delle PMI si è fatto più articolato: nel 2025 il 75,3% di loro acquista servizi di cloud computing (Istat, Imprese e ICT 2025).
Sulla sicurezza, inoltre, la distanza tra consapevolezza e capacità operativa resta ampia. Il Cyber Index PMI 2025, presentato a marzo 2026, assegna alle PMI italiane un punteggio medio di 55 su 100 e considera mature solo il 16% di loro. Il rapporto è promosso da Confindustria e Generali, con gli Osservatori Digital Innovation del Politecnico di Milano come partner scientifico e ACN come partner istituzionale.
In molte aziende, quindi, il coordinamento tra operatore di rete, provider cloud, consulente di sicurezza e software house ricade su chi ha già un altro lavoro, spesso il titolare o uno dei vari responsabili. È questa la criticità che un fornitore unico promette di togliere.
I vantaggi concreti di un fornitore unico IT
Un solo responsabile quando il problema sta nel mezzo
Il caso tipico: il gestionale in cloud non risponde. L’operatore di rete vede la linea attiva e rimanda al provider cloud, il provider vede i server regolari e rimanda alla rete, e nel frattempo il firewall, gestito da un terzo, ha appena ricevuto un aggiornamento. Ognuno ha ragione sul proprio pezzo e il problema resta lì. Con un fornitore unico il ticket è uno, e chi lo prende in carico ha accesso a tutti gli elementi per seguirlo fino alla soluzione.
Un unico SLA al posto di tanti accordi separati
I livelli di servizio di più fornitori non si sommano a favore del cliente. Se connettività, piattaforma cloud e sicurezza perimetrale lavorano in serie e ciascuna garantisce il 99,95% di disponibilità annua, la disponibilità del servizio che l’azienda usa davvero scende a circa il 99,85%. In ore di fermo teorico si passa da circa 4 ore e 23 minuti all’anno a poco più di 13.
Il calcolo resta identico anche quando i tre servizi li eroga un solo operatore: cambia chi ne risponde. Un unico fornitore ha titolo e interesse a progettare la ridondanza tra un livello e l’altro, per esempio con un collegamento dedicato tra sede e data center affiancato da una linea di backup su un mezzo diverso, e ne risponde con un solo accordo sui livelli di servizio e un’unica escalation.
Nel nostro glossario sulla connettività spieghiamo come leggere disponibilità e tempi di ripristino senza farsi ingannare dalle percentuali.
Chi conosce l’intera infrastruttura fa la diagnosi prima
Un fornitore che gestisce sia la rete sia i server vede gli eventi nello stesso posto. Un picco di traffico anomalo sulla linea e un tentativo di accesso respinto dal firewall, letti insieme, raccontano una storia che due fornitori separati faticano a ricostruire in tempo. Succede con i guasti e ancora di più con la sicurezza: un SOC che monitora H24 è tanto più efficace quante più fonti riesce a correlare.
Meno contratti da gestire e meno fornitori da censire
Avere un unico provider IT significa ridurre scadenze, rinnovi, fatture, referenti e procedure di escalation, che altrimenti si moltiplicherebbero per il numero dei fornitori. I nuovi progetti, inoltre, partono senza dover allineare più interlocutori. E poi c’è la compliance. Il d.lgs. 138/2024, che recepisce la NIS2, inserisce la sicurezza della catena di approvvigionamento tra le misure di gestione del rischio (art. 24, comma 2, lett. d). La Determinazione ACN n. 127437 del 13 aprile 2026 chiede inoltre ai soggetti NIS di comunicare ogni anno, tra il 15 aprile e il 31 maggio, l’elenco dei propri fornitori rilevanti.
Meno fornitori significa meno valutazioni da fare e da documentare. C’è un però: il fornitore unico diventa per forza rilevante e merita un esame più accurato. Ne parliamo nella nostra guida alla NIS2.
Sul prezzo del singolo servizio, invece, un fornitore unico non è automaticamente il più conveniente. Il risparmio concreto sta nel tempo che il personale smette di dedicare ai fornitori e ai problemi di integrazione, e che torna alla propria mansione.
Progetti che nascono già integrati
Quando la stessa squadra disegna cablaggio, rete, telefonia e sicurezza, le scelte di un’area tengono conto delle altre fin dall’inizio, dalle VLAN per la fonia alle regole del firewall per l’accesso remoto. In pratica, affidarsi a un fornitore unico riduce il lavoro di adattamento a valle, che nella nostra esperienza è tra le cause più frequenti di ritardi nei progetti con provider diversi.
I rischi reali di un fornitore unico IT e come si gestiscono
Ogni modello ha un rovescio della medaglia. Questi sono i rischi da mettere in conto prima di scegliere un fornitore unico, con le contromisure che li riducono.
Rischio di concentrazione: se si ferma il fornitore, si ferma molto
È probabilmente l’obiezione più seria, perché gli outage capitano anche ai grandi operatori. Secondo l’Annual Outage Analysis 2026 di Uptime Institute, in quasi un decennio di monitoraggio circa due terzi degli outage pubblicamente noti sono riconducibili a fornitori terzi di servizi IT e data center, cioè cloud, telecomunicazioni e colocation. Nel 2025 quelli che hanno coinvolto operatori di telecomunicazioni sono stati nettamente sopra la media del periodo 2020-2025.
Avere più fornitori distribuisce questa dipendenza, senza eliminarla. Concentrarla rende decisiva la solidità di chi la regge. Il regolamento DORA (art. 29), in tal senso, chiede alle entità finanziarie di valutare il rischio di concentrazione prima di affidare funzioni essenziali o importanti a un fornitore difficilmente sostituibile o di accumulare più contratti con lo stesso soggetto.
Si gestisce con una ridondanza progettata dentro il perimetro del fornitore: data center diversi e distanti tra loro, percorsi di rete separati, una linea di backup su un mezzo fisico diverso (come la radio o la rete mobile), copie di backup isolate e un piano di continuità scritto e testato periodicamente.
Un bersaglio più interessante per gli attaccanti
Un fornitore che amministra da remoto i sistemi di molti clienti custodisce accessi privilegiati di grande valore. Un caso ancora molto citato è quello di luglio 2021. Sfruttando una vulnerabilità della piattaforma di gestione remota VSA di Kaseya, il gruppo REvil compromise meno di 60 clienti diretti dell’azienda, in gran parte managed service provider. Attraverso di loro l’attacco arrivò a un numero di imprese che la stessa Kaseya stimò tra 800 e 1.500.
Il problema si gestisce chiedendo al fornitore come protegge i propri strumenti di amministrazione, a partire da autenticazione a più fattori e account privilegiati tracciati, e quali certificazioni lo attestano, come la ISO/IEC 27001. Le copie di backup vanno tenute isolate, con credenziali diverse da quelle della produzione.
Lock-in e minore potere negoziale
Con tutto in mano a un solo partner, cambiare costa di più, tra migrazioni e configurazioni da ricostruire. E senza un confronto periodico con il mercato si perde il riferimento sui prezzi.
Sul cloud la normativa europea ha abbassato una parte di questa barriera. Il Data Act (Regolamento UE 2023/2854) disciplina dal 12 settembre 2025 il passaggio da un fornitore di servizi di trattamento dati a un altro e, dal 12 gennaio 2027, vieta qualsiasi costo di switching, compresi quelli per l’uscita dei dati. Fino ad allora sono ammessi solo costi ridotti, entro quelli effettivamente sostenuti dal fornitore per il passaggio. Restano possibili, invece, le penali per il recesso anticipato dai contratti a durata determinata, che il fornitore deve indicare prima della firma. La norma non riguarda i contratti di connettività, e nessun regolamento trasferisce la conoscenza che il fornitore ha accumulato sui tuoi sistemi.
Di fronte a questo scenario conviene assicurarsi che i prezzi siano esposti servizio per servizio anche dentro un contratto unico, che la documentazione delle configurazioni consegnata al cliente sia aggiornata, che l’azienda resti titolare delle credenziali amministrative e che ci sia una clausola di uscita con tempi e modalità di passaggio.
Sul lock-in trovi un approfondimento nel nostro glossario sul cloud.
Competenze non uniformi tra le aree
Un fornitore può essere eccellente sulla rete e solo discreto sulla sicurezza, o il contrario. Il rischio è accettare un livello medio su tutto pur di avere un solo interlocutore.
È fondamentale verificare che ogni area abbia una squadra dedicata e casi reali controllabili. Da noi, per esempio, la sicurezza è affidata a Orazero, IT e cloud a Planetel.Cloud, connettività, cablaggio e comunicazione integrata al reparto TLC.
Pro e contro a confronto
| Aspetto | Fornitore unico | Più fornitori | Cosa fa la differenza |
|---|---|---|---|
| Gestione dei guasti | Un ticket e un responsabile | Più ticket, rischio di rimpalli | Escalation documentata |
| Disponibilità complessiva | Catena progettata da un solo soggetto | Catene separate, coordinate dal cliente | Ridondanza tra un livello e l’altro |
| Rischio di concentrazione | Più alto | Distribuito | Data center multipli, percorsi separati, piano di continuità |
| Esposizione ad attacchi alla filiera | Un accesso privilegiato con più peso | Più accessi da controllare | MFA, account privilegiati tracciati, ISO/IEC 27001 |
| Lock-in | Più alto, attenuato dal Data Act per il cloud | Più basso | Prezzi per servizio, clausola di uscita |
| Coordinamento e compliance | Carico basso | Carico alto | Numero di fornitori rilevanti da valutare |
| Costo | Prezzo del singolo servizio non sempre il più basso, meno ore interne | Prezzi unitari confrontabili, più ore interne di gestione | Costo totale, ore interne comprese |
Quando separare i fornitori ha senso
Ci sono casi in cui mettere tutto nello stesso contratto non è la scelta giusta e capitano anche ai nostri clienti.
- Sedi fuori copertura. Per stabilimenti in aree o Paesi non coperti dal partner serve un operatore locale per la linea di accesso. Il partner può comunque interconnettere e proteggere quelle sedi.
- Backup su un altro operatore. Se il piano di continuità chiede una linea di riserva su un’infrastruttura fisicamente separata, un secondo mezzo dello stesso fornitore, come la radio accanto alla fibra, non sempre basta.
- Verifiche indipendenti. Penetration test e audit periodici affidati a un soggetto terzo sono una buona pratica con qualsiasi modello.
- Settori regolati e software verticali. Le entità soggette a DORA devono gestire il rischio di concentrazione. Il gestionale di settore o il MES di fabbrica restano con chi li sviluppa.
- Team IT strutturato o contratti in corso. Chi ha competenze interne per coordinare più specialisti può scegliere il migliore per ogni area. Chi ha contratti con penali di recesso può consolidare per gradi, alla scadenza di ciascun servizio.
Come lavoriamo noi in Planetel
Il nostro modello è cresciuto un livello alla volta a partire dalla rete in fibra. Su quella abbiamo costruito cloud e data center e, più di recente, la sicurezza con Orazero. Oggi seguiamo oltre 57.000 clienti e la filiera che portiamo loro è in gran parte nostra.
| Area | Cosa mettiamo in campo |
|---|---|
| Connettività | Oltre 3.500 km di rete in fibra ottica tra Lombardia e Veneto, connettività radio dove la fibra non arriva, VoIP, centralini e unified communication, MPLS e SD-WAN per le aziende multi-sede |
| Cloud e data center | 7 data center interconnessi al MIX di Milano e al VSIX di Padova, a cui si aggiunge l’Edge Data Center di Padova; cloud qualificato ACN per IaaS e PaaS |
| Sicurezza | La nostra divisione Orazero: SOC H24, incident response, assessment e percorsi di adeguamento alla NIS2 |
| Assistenza | NOC che sorveglia la rete 24 ore su 24, assistenza fatta di persone con presa in carico delle segnalazioni entro 30 minuti (tutti i giorni, dalle 8 alle 22), SLA con disponibilità fino al 99,95% annuo per la maggior parte dei servizi |
Con 6 aziende nel Gruppo e 10 sedi operative tra Lombardia, Veneto e Campania, quando serve un intervento in azienda mandiamo tecnici che conoscono la zona e la rete che la serve. I nostri sistemi di gestione sono certificati, tra le altre, secondo ISO/IEC 27001, 27017 e 27018, ISO 22301 e ISO/IEC 20000-1. Lavoriamo con produttori come Microsoft, Fortinet, Veeam e VMware, scelti in base all’esigenza del cliente e integrati da noi.
Un esempio è AIDA S.r.l., produttore internazionale di presse e nostro cliente dal 2004. Per loro gestiamo rete, telefonia IP e sicurezza su un’unica infrastruttura, con le sedi europee collegate in modo protetto all’headquarter italiano.
Non serve affidarci tutto dal primo giorno. Si può partire da un’area e allargare il perimetro quando ha senso, lasciando dove sono i servizi che con altri funzionano bene.
Se vuoi capire da dove possiamo partire per ottimizzare l’IT della tua azienda, vai su Planetel Universe. Lì troverai un breve test per aiutarti a identificare l’area d’intervento più urgente e prenotare un primo confronto gratuito con lo specialista giusto.
In alternativa puoi scrivere a [email protected] o chiamare lo 035 204070.
Domande frequenti sul fornitore unico IT
Conviene nella maggior parte dei casi in cui l’azienda non ha un team IT interno capace di coordinare più fornitori: un solo contratto e un unico responsabile riducono i tempi di diagnosi e il carico di coordinamento. È meno indicato se l’azienda ha sedi fuori dalla copertura del fornitore o vincoli normativi sulla diversificazione, e quando un team IT strutturato preferisce scegliere lo specialista migliore per ogni area.
I rischi principali sono la concentrazione, perché un problema del fornitore può coinvolgere più servizi insieme, l’esposizione ad attacchi che sfruttano gli accessi di gestione remota, il lock-in e competenze non uniformi tra le aree. Si riducono con data center e percorsi di rete separati, accessi amministrativi protetti da autenticazione a più fattori, prezzi esposti per singolo servizio e una clausola di uscita definita nel contratto.
No. Un fornitore unico è un solo interlocutore contrattuale e operativo, che di norma integra prodotti di più produttori, per esempio un marchio per i firewall e un altro per il backup. Il rischio di dipendere da un singolo produttore va valutato separatamente.
Quando servono linee di accesso in sedi o Paesi non coperti dal fornitore, quando il piano di continuità richiede una linea di backup di un altro operatore, per audit e penetration test indipendenti, nei settori soggetti a DORA che devono gestire il rischio di concentrazione e per i software verticali, che restano con chi li sviluppa.
No, la NIS2 non impone di avere più fornitori. Il d.lgs. 138/2024 chiede ai soggetti NIS di gestire la sicurezza della catena di approvvigionamento (art. 24, comma 2, lett. d) e la Determinazione ACN n. 127437/2026 prevede che comunichino ogni anno, tra il 15 aprile e il 31 maggio, l’elenco dei fornitori rilevanti. Un fornitore unico riduce il numero di soggetti da valutare, ma va esaminato con particolare attenzione.
Chiedendo prezzi esposti servizio per servizio, documentazione aggiornata delle configurazioni, la titolarità delle credenziali amministrative e una clausola di uscita con tempi e modalità di passaggio. Per i servizi cloud, il Data Act (Regolamento UE 2023/2854) disciplina il passaggio tra fornitori dal 12 settembre 2025 e vieta i costi di switching, compresi quelli per l’uscita dei dati, dal 12 gennaio 2027.
Non necessariamente sul prezzo del singolo servizio. Il risparmio sta soprattutto nel tempo che il personale non dedica più a coordinare i fornitori e nei problemi di integrazione che non si presentano. Per un confronto corretto conviene valutare il costo totale, comprese le ore interne, e chiedere comunque prezzi esposti servizio per servizio.
Fonti
Istat, Imprese e ICT, anno 2024 (pubblicato il 17 gennaio 2025) e Imprese e ICT, anno 2025 (pubblicato il 15 dicembre 2025)
Confindustria e Generali, con Osservatori Digital Innovation del Politecnico di Milano e ACN, Rapporto Cyber Index PMI 2025 (marzo 2026)
Uptime Institute, Annual Outage Analysis 2026 (13 maggio 2026)
Kaseya, dichiarazioni del 5 e 6 luglio 2021 sull’attacco alla piattaforma VSA, riportate da The Record e Associated Press
D.Lgs. 4 settembre 2024, n. 138, art. 24; Determinazione ACN n. 127437 del 13 aprile 2026, art. 18
Regolamento UE 2022/2554 (DORA), art. 29
Regolamento UE 2023/2854 (Data Act), capo VI e art. 29