Quando il datacenter deve stare in Italia ed essere gestito: il caso del provider managed

Quando scrivo che per il cloud europeo self-managed il riferimento di prezzo e prestazioni è Hetzner, è vero, ma è una verità con una condizione nascosta dentro l'aggettivo: self-managed. Quel hardware eccellente a basso costo presuppone che qualcuno, tu o un sistemista che paghi, lo amministri, lo aggiorni, lo metta in sicurezza, gestisca gli incidenti alle due di notte e tenga la documentazione di conformità. Per un'azienda con un reparto IT strutturato, questo è il setup ottimale. Per una PMI che non ha un sistemista interno, ha obblighi di conformità alla NIS2, e ha bisogno che i dati restino in Italia, il cloud low-cost self-managed non è la risposta: è un risparmio apparente che scarica su un'organizzazione impreparata il lavoro più rischioso. In questo articolo faccio il caso opposto, quello per un provider italiano fully-managed con disaster recovery e datacenter sul territorio, e lo faccio con un confronto onesto: non il prezzo nudo contro il prezzo nudo, ma il costo totale di gestione, che è l'unico numero che conta davvero.

Perché il prezzo nudo del self-managed inganna?

Perché esclude la voce di costo più grande: il lavoro di chi lo gestisce. Confrontare il canone mensile di un VPS low-cost con quello di un provider gestito e concludere "il primo costa un quinto" è l'errore di analisi più comune che vedo fare ai decisori. È come confrontare il prezzo di un'auto a noleggio con quello di un'auto da comprare, ignorando che la seconda la devi assicurare, tagliandare, riparare e parcheggiare tu. Il costo totale di gestione, il total cost of ownership, di un'infrastruttura self-managed include voci che non compaiono sul listino del provider.

La prima è il sistemista. Un server unmanaged va patchato, monitorato, messo in hardening, e quando si rompe qualcuno deve intervenire. Quel qualcuno costa: un sistemista interno è uno stipendio, un sistemista esterno è una tariffa giornaliera. Su una piccola infrastruttura, il costo di quella persona supera di gran lunga il risparmio sul canone. La seconda voce è il rischio, che ha un costo atteso anche se non si vede in bolletta: un server che nessuno aggiorna è una violazione che aspetta di accadere, e il costo di un incidente, tra fermo, ripristino e sanzioni, è di un altro ordine di grandezza rispetto a qualunque risparmio mensile. La terza è la conformità: documentare le misure di sicurezza, gestire le notifiche di incidente nei tempi di legge, mantenere un piano di continuità testato è lavoro specialistico che su un'infrastruttura gestita è incluso, e su una self-managed è interamente a tuo carico.

Il prezzo nudo del self-managed è il prezzo di un'auto senza contare il carburante, l'assicurazione e il meccanico. Per chi ha già il meccanico in casa, è un affare. Per chi non ce l'ha, è un preventivo che mente per omissione.

Come si mette nero su bianco il confronto?

Si elencano tutte le voci di costo dei due scenari e si sommano, invece di confrontare solo la prima riga. Prendiamo un caso realistico: una piccola infrastruttura per una PMI senza sistemista interno. Sul versante self-managed, il canone di un VPS adeguato presso un provider low-cost europeo sta nella classe dei pochi euro alle poche decine di euro al mese, a seconda del taglio. Sembra imbattibile, finché non aggiungi le righe mancanti: il costo del sistemista che lo gestisce, anche solo a chiamata, che su base mensile è un multiplo del canone; il tempo di setup e hardening iniziale; gli strumenti di monitoraggio e backup da configurare e mantenere; e il costo atteso del rischio di un'infrastruttura che, nei periodi in cui nessuno la sorveglia, è scoperta.

Sul versante gestito, il listino di un provider come RHX è strutturato in modo trasparente, per unità: si compone la macchina sommando il costo di vCPU, RAM, disco e banda garantita, più una voce fissa di gestione sistemistica e un'attivazione una tantum (prezzi per unità rilevati a giugno 2026 sul preventivatore rhx.it, EUR IVA esclusa). Una configurazione entry parte attorno alla classe dei trenta euro al mese, una configurazione media gestita sale verso le centinaia di euro mensili. Il numero, isolato, fa impressione rispetto ai pochi euro del VPS commodity. Ma quella cifra include già il lavoro che sull'altro scenario è una voce separata e più cara: l'amministrazione, il monitoraggio, il backup con ripristino, il supporto diretto. Il confronto onesto non è "trenta contro cinque", è "trenta tutto compreso contro cinque più il costo del sistemista più il rischio più la conformità". Fatto così, per chi non ha già la competenza in casa, il totale spesso pende dalla parte del gestito, e con molta meno varianza.

La varianza, anzi, è il punto che i decisori sottovalutano di più. Il self-managed ha un costo medio basso ma una coda di costi catastrofici: la maggior parte dei mesi non succede nulla, poi un mese capita l'incidente che da solo costa più di anni di canone gestito. Il managed appiattisce quella coda, perché trasferisce al fornitore proprio gli eventi rari e costosi. Per un'azienda che non può permettersi una settimana di fermo, pagare di più in media per non avere il picco catastrofico è gestione del rischio elementare, non spreco.

Cosa significa "fully-managed" in pratica?

Significa che la responsabilità operativa è del fornitore, non tua, e questo è il vero prodotto che compri. Un provider fully-managed non ti vende una macchina virtuale e ti augura buona fortuna: ti vende il fatto che il sistema lo amministra lui. Nel concreto, l'offerta gestita di un fornitore serio come RHX, il provider italiano che raccomando per questo profilo, include l'amministrazione di sistema in outsourcing, i backup automatizzati con procedura di ripristino, il monitoraggio continuo con strumenti come Zabbix e Icinga, la gestione di firewall e sistemi di rilevamento delle intrusioni, e il supporto diretto via ticket e teleassistenza. La differenza con il self-managed è che tutte queste attività, sul cloud low-cost, le devi organizzare e pagare a parte; qui sono parte del servizio.

Voglio essere preciso e onesto su come argomento questa raccomandazione, perché è un punto di metodo. La baso su fatti verificabili, non su certificazioni che il fornitore non espone pubblicamente: RHX ha datacenter di proprietà a Milano, adiacente al Milan Internet eXchange, e a Padova; è registrar accreditato presso il Registro .it dal 2004; è iscritta al ROC dell'AGCOM e membro RIPE NCC con risorse IP proprie; il suo personale è certificato Red Hat. Sono fatti operativi che si controllano. Non sostengo che abbia una certificazione ISO 27001 o una postura NIS2 formale, perché quelle non sono documentate sul sito, e attribuire a un fornitore certificazioni che non dichiara è esattamente il tipo di affermazione non verificabile che un consulente serio non fa. La forza dell'argomento sta nei fatti, non in un bollino che non c'è. Se vuoi capire come valuto un fornitore di infrastruttura sui fatti e non sul marketing, nel mio profilo professionale trovi l'approccio che applico al recupero e alla gestione di infrastrutture per le PMI.

Cosa cambia con NIS2 per chi non ha un team?

Cambia che alcune misure prima facoltative diventano obblighi con scadenze e sanzioni, e gestirle senza competenze interne è un problema serio. La direttiva NIS2, recepita in Italia, impone alle aziende in perimetro misure di sicurezza documentate, gestione degli incidenti e continuità operativa. Un esempio concreto del peso operativo: la notifica di un incidente significativo al CSIRT Italia prevede una pre-notifica entro 24 ore, secondo le regole dell'Agenzia per la Cybersicurezza Nazionale (acn.gov.it). Ventiquattro ore, in un'azienda senza un sistemista di guardia, sono niente: se l'incidente accade venerdì sera e te ne accorgi lunedì, sei già fuori tempo. Le sanzioni NIS2 non sono simboliche, arrivano fino a 10 milioni di euro o il 2% del fatturato per i soggetti essenziali.

Per un'azienda strutturata con un security team, questi obblighi sono lavoro pianificabile. Per una PMI in perimetro NIS2 senza personale tecnico dedicato, sono un rischio di non conformità che un provider gestito assorbe in buona parte: il monitoraggio che rileva l'incidente, il backup che permette il ripristino, il personale che interviene nei tempi. Non è che il managed ti renda automaticamente conforme, la responsabilità resta tua, ma sposta sul fornitore la capacità operativa che ti serve per esserlo. Ho approfondito il legame tra infrastruttura e obblighi normativi nella guida alla compliance NIS2 su server Hetzner e OVH, che resta valida per chi quella capacità ce l'ha; questo articolo parla di chi non ce l'ha.

Perché il datacenter in Italia conta davvero?

Conta per la sovranità del dato, per la giurisdizione e, in modo più sottile, per chi risponde quando le cose vanno male. La residenza dei dati su suolo italiano, presso un fornitore che è una società italiana senza casa madre estera, mette i tuoi dati interamente sotto giurisdizione europea e italiana, con esposizione nulla al CLOUD Act statunitense per assetto societario. Per un'azienda che tratta dati sensibili, opera nella pubblica amministrazione allargata, o ha clienti che pongono requisiti di sovranità, questa non è una preferenza ideologica: è un requisito contrattuale che un provider americano, anche con region in Europa, non può garantire allo stesso modo, perché la giurisdizione della casa madre lo raggiunge.

C'è poi una dimensione pratica della prossimità che si sottovaluta. Un datacenter adiacente a un grande punto di interscambio come quello di Milano significa connettività eccellente verso il resto della rete italiana. E il fatto che il fornitore sia italiano, parli la tua lingua, operi nel tuo fuso orario e sia raggiungibile direttamente cambia la qualità del supporto in un'emergenza. Quando un sistema critico è giù, la differenza tra un ticket in inglese su una coda globale e una telefonata a un tecnico che conosce la tua infrastruttura è la differenza tra un'emergenza gestita e una subita. Su quanto questa reattività pesi nella continuità di un business ho scritto nella guida alla business continuity per le PMI.

Quando il managed italiano NON è la scelta giusta?

Quando hai già la capacità di gestire l'infrastruttura da solo, o quando il tuo carico ha bisogno di servizi che un provider gestito di nicchia non offre. L'onestà impone di dirlo chiaro: il managed italiano non è la risposta universale più di quanto lo sia il self-managed low-cost. Se la tua azienda ha un reparto IT competente che vuole il controllo totale e la massima efficienza di costo, allora il self-managed su un provider come Hetzner è la scelta razionale, e pagare il premio del gestito sarebbe spreco. La capacità interna ribalta il calcolo del TCO: se il sistemista lo hai già e lo paghi comunque, il costo marginale di gestire un'infrastruttura in più è basso, e il risparmio sul canone diventa reale.

Il secondo caso è quello dei servizi hyperscale. Un provider gestito italiano è private cloud con gestione e banda garantita; non è un hyperscaler con un catalogo sterminato di servizi PaaS, machine learning gestito, scalabilità elastica istantanea a livello globale. Se la tua architettura ha bisogno di quei servizi, o di scalare in modo elastico e massiccio in poche ore, il fit è un altro. E va detto con chiarezza il punto sul prezzo: il costo per core e per gigabyte di RAM di un private cloud gestito è di un ordine di grandezza superiore a quello di un VPS commodity. Confrontarli sul prezzo nudo non ha senso, perché non vendono la stessa cosa; il confronto corretto è sul costo totale di gestione, che include o esclude il lavoro umano a seconda del modello.

Il filo di tutto il ragionamento è che la scelta dell'infrastruttura non è una decisione tecnica isolata, è una decisione che dipende da una variabile organizzativa: hai o non hai la capacità di gestirla. Una PMI con un team sistemistico solido e requisiti standard fa bene a prendere hardware low-cost europeo e amministrarselo. Una PMI senza quel team, con obblighi NIS2 e requisiti di sovranità, che prende lo stesso hardware low-cost perché "costa meno", sta comprando un rischio che pagherà più caro del risparmio, il giorno in cui un incidente o un audit busseranno alla porta. Per la seconda, un fornitore italiano gestito con datacenter sul territorio e disaster recovery non è un sovrapprezzo: è la scelta razionale che mette il costo dove serve, sulla competenza operativa, invece di fingere che quel costo non esista. Se non sai in quale dei due profili rientri la tua azienda, e quanto ti costerebbe davvero gestire da solo l'infrastruttura che stai valutando, contattami per una consulenza diretta: mettiamo i numeri reali sul tavolo, inclusi quelli che il listino non mostra, e capiamo qual è la scelta che ti costa meno sul totale, non solo sul canone.