FAQ - Domande frequenti

Lympha Technologies S.r.l. è un Service Provider & Systems Integrator con sede legale a Bologna (Via Guglielmo Marconi, 32) e sede operativa a Castel San Pietro Terme (BO). Progetta, gestisce e mette in sicurezza data center, server farm e sistemi IT per Pubblica Amministrazione locale, sanità, grandi aziende e PMI.

Lympha è un'antica divinità romana delle acque dolci, una delle dodici divinità duces dei coltivatori romani. Dal mito derivano tre significati chiave: linfa (ciò che nutre e fa crescere), limpido (chiarezza e trasparenza), ispirazione e saggezza (conoscenza che fluisce dalla fonte).

Dal 2010, quando il progetto «Lympha Tech» fu riconosciuto come idea d'impresa innovativa nel settore ICT per la diffusione di virtualizzazione e cloud computing. Nel 2011 nasce la S.r.l., incubata da ASTER nel progetto WeTECH-OFF. Dal 2014 la partnership con Executive Service (oggi EXE.IT S.r.l. SB), con cui è stato realizzato il Green Data Center 00GATE.

L'azienda è strutturata in 8 Business Unit specializzate (CNS, PRJ, PCS, SEC, AED, NOC, NET, OTS) con Centri di Competenza integrati che operano verticalmente nella propria BU e trasversalmente a supporto di altre — o direttamente integrati nel servizio informatico del cliente.

È uno dei tre pilastri della nostra Vision: costruiamo valore nel lungo periodo, anticipando i cambiamenti e accompagnando le scelte dei clienti. Evitiamo il vendor lock-in — anche quando riguarda noi stessi.

Il nostro Green Data Center si chiama 00GATE e si trova a Castel San Pietro Terme (BO), in Via Antonio Meucci, 24/i/2. I dati restano esclusivamente in Italia.

Email: info@lymphatech.it — Telefono: +39 051 0981815 — Sede operativa: Via Antonio Meucci, 24/c — 40024 Castel San Pietro Terme (BO). È disponibile un form di contatto sul sito con selezione dell'area di interesse.

No, non abbiamo aderito al Climate Neutral Data Center Pact, che è un'iniziativa volontaria di autoregolamentazione con obiettivo al 2030. La scelta di 00GATE è stata un'altra: progettare da subito per non produrre emissioni — struttura in legno, free cooling senza refrigerazione, energia 100% rinnovabile — e farlo verificare da un ente terzo con la certificazione Green Accredia®.

Sì, e sono dichiarate: Libraesva, Oplon e Veeam. Restano scelte, non vincoli: la nostra impostazione è vendor-neutral e integriamo tecnologie open source (OpenStack, PostgreSQL, Ollama) o commerciali a seconda del caso d'uso, senza legarvi a un singolo fornitore — noi compresi.

Otto: CNS (Progettazione Data Center), PRJ (Business Continuity & Disaster Recovery), PCS (Private Cloud Services & IT Consulting), SEC (IT Security), AED (Applications, ERP & Development), NOC (Network & Security Operations Center), NET (Networking & Unified Communication), OTS (Outsourcing).

Non abbiamo un'offerta verticale dedicata al fashion & luxury: i settori che presidiamo con contenuti e competenze specifiche sono Pubblica Amministrazione locale, sanità, grandi aziende e PMI. I servizi di continuità operativa, protezione del dato e private cloud sono però trasversali e vengono dimensionati sul processo critico del cliente, qualunque sia il suo settore.

Non abbiamo una specializzazione verticale sul manufacturing né un'offerta OT/ICS dedicata. Quello che portiamo a un'azienda manifatturiera è ciò che facciamo per tutti: continuità operativa dimensionata sulla BIA, protezione del dato, private cloud e presidio NOC 24×7×365. Se il perimetro comprende reti industriali, va valutato insieme caso per caso.

Dal 2010: il primo progetto Lympha è stato un sistema di virtualizzazione open source basato su OpenStack, in anni in cui il cloud privato era ancora una scommessa. Quella radice è rimasta nell'impostazione di oggi: standard aperti, nessun vincolo a uno stack proprietario.

Siamo una PMI strutturata: organizzazione a otto Business Unit con Centri di Competenza integrati, processi formalizzati e sistema di gestione qualità certificato ISO 9001:2015. La dimensione ci tiene agili; l'organizzazione ci permette di reggere progetti enterprise e convenzioni pubbliche.

Il LEI (Legal Entity Identifier) è il codice internazionale univoco che identifica le entità giuridiche nei mercati finanziari. È indice di trasparenza e compliance, specialmente rilevante per clienti del settore finance.

La sede legale è a Bologna (Via Guglielmo Marconi, 32). La sede operativa è a Castel San Pietro Terme in Via Antonio Meucci 24/c, e il Green Data Center 00GATE si trova nella stessa via al civico 24/i/2: sono due indirizzi distinti. Operiamo su tutto il territorio nazionale con il modello SPOC da remoto e interventi on-site programmati.

L'ITSM (Information Technology & System Management) è il governo operativo quotidiano dei sistemi: asset, procedure ricorrenti, livelli di responsabilità e qualità del servizio. Strutturiamo la gestione secondo le best practice ITIL.

SPOC = Single Point Of Contact: un solo ingresso per utenti e servizio informatico del cliente. Dietro, un Help Desk front & back office filtra, classifica e instrada ogni richiesta verso supporto remoto o intervento on-site, senza rimpalli.

KMDB (Knowledge Management Database): base di conoscenza condivisa che si arricchisce a ogni ticket chiuso. CMDB (Configuration Management Database): mappa degli asset (matricole, schede tecniche, configurazioni) sempre aggiornata.

Ogni incident segue un macroprocesso formalizzato: segnalazione via telefono/email/ticket → presa in carico SPOC → classificazione e consultazione CMDB/KMDB → risoluzione remota o coda on-site con priorità (VIP o standard) → chiusura ticket e aggiornamento basi dati.

SLA = Service Level Agreement: tempi di presa in carico e risoluzione concordati e misurati. La reportistica periodica consente di giudicare il servizio dai numeri, non dalle impressioni.

Sì. Al nostro SPOC si possono delegare attività ricorrenti come gestione incident postazioni, nuove postazioni o sostituzioni, installazioni software, gestione account — tutte con catalogo servizi standard e processi tracciati.

Inventario e gestione asset/configurazioni; processi di incident, request e change management; procedure ricorrenti governate (aggiornamenti, verifiche, manutenzioni); reportistica e SLA concordati.

No. Il nostro Centro di Competenza si integra col tuo servizio informatico: nessuna sostituzione, ma un potenziamento. Policy e decisioni restano del tuo IT manager.

Il FinOps è la disciplina che governa i costi del cloud con visibilità e accountability. Lo applichiamo nel VDC GREEN (canone pay-per-use senza soglie di consumo) e aiutiamo i clienti a ottimizzare le spese in ambienti ibridi.

Sì, dove il progetto lo richiede: pipeline CI/CD, containerizzazione e automazione dell'infrastruttura, eseguite nel perimetro del cliente. Il VDC GREEN espone API REST proprio per essere guidato da questi strumenti.

Usiamo metodologie agili nello sviluppo software (AED) con rilasci iterativi, feedback continuo e correzione di rotta. Per l'infrastruttura applichiamo cicli Plan-Do-Check-Act (PDCA).

Sì. Il catalogo servizi standard è parte del modello SPOC: ogni servizio (nuova postazione, sostituzione, installazioni) è descritto con SLA, tempi e responsabilità definiti.

Sì. Oltre alla gestione degli incident, eseguiamo analisi delle cause profonde (Root Cause Analysis) per prevenire ricorrenze, arricchendo il KMDB con workaround definitivi.

Ogni cambiamento segue un processo formalizzato: richiesta → valutazione impatto → approvazione → scheduling → implementazione → verifica → chiusura documentata.

Sì. Report periodici (mensili/trimestrali) con KPI di servizio: tempi di risposta, risoluzione al primo contatto, disponibilità, ticket aperti/chiusi per categoria.

Sì. Il CMDB include non solo hardware ma anche licenze software, con scadenze, rinnovi e ottimizzazione (es. identificazione di licenze non usate).

Sì. Il processo di nuova postazione include provisioning account, assegnazione permessi, configurazione software secondo catalogo, con audit trail completo.

Nel co-sourcing le policy e le decisioni restano al vostro IT manager, mentre noi gestiamo le attività operative ripetitive. È un modello intermedio tra insourcing e outsourcing totale.

Sì. Patch di sistema operativo, middleware e applicazioni sono schedulate, testate in ambiente di staging e rilasciate secondo finestre concordate, con report di compliance.

Usiamo strumenti open source di ticketing, inventory e discovery, integrati con CMDB e KMDB. È una scelta coerente con il resto: nessun vincolo di licenza sul sistema che custodisce lo storico del vostro servizio, e la possibilità di portarvelo via.

Sì. Il nostro SPOC supporta ambienti multi-piattaforma: Windows, macOS, Linux, con procedure specifiche per ciascun sistema operativo.

Gli utenti critici (dirigenti, ruoli chiave) hanno code prioritarie nel sistema SPOC, con SLA di presa in carico ridotti e escalation diretta.

Sì, come pacchetto del catalogo SPOC: account creation, dotazione hardware/software, formazione base, integrazione con Active Directory e sistemi HR.

Sì. Il processo include: recupero asset, cancellazione sicura dati (wiping), aggiornamento CMDB, eventuale riutilizzo o smaltimento certificato RAEE.

Sì. Monitoriamo trend di utilizzo per anticipare necessità di upgrade (storage, compute, rete), integrando il Capacity Planning con il DCMM.

Notifiche programmate via email/ticket con preavviso, finestra temporale concordata, report post-intervento con verifica di corretto funzionamento.

Sì. ITAM completo con inventario fisico e logico, tracciabilità ciclo di vita, ottimizzazione costi, compliance licenze, reportistica direzionale.

Sì, soprattutto nel VDC GREEN dove ogni cliente ha il proprio stack isolato. La gestione multi-tenant è nativa nella nostra architettura OpenStack.

È la governance strategica di tutti i servizi IT: quali attivare, quali ritirare, quali investire. Lo integriamo con IT Governance per allineare IT al business.

Il KMDB è una base di conoscenza articolata in articoli categorizzati (incident risolti, workaround, procedure), ricercabile da operatori e utenti finali.

Sì. Possiamo agire come intermediari verso altri fornitori (ISP, vendor software, MSP terzi) coordinando SLA, escalation e reporting.

Con il feedback alla chiusura del ticket e con la reportistica periodica di servizio, che è il vero metro: tempi di presa in carico e risoluzione, risoluzione al primo contatto, disponibilità. Le review con il cliente sono concordate nel contratto di servizio.

Il NOC opera 24×7×365 sul monitoraggio di sistemi, reti e applicazioni. Il Service Desk rivolto agli utenti ha invece orari definiti in contratto, con estensioni serali o festive dove servono: sono due presidi distinti e vanno dimensionati separatamente.

DPaaS (Data Protection as a Service) è il servizio di backup gestito a canone pay-per-use: costi sempre sotto controllo, niente investimenti iniziali. Apre la strada al Disaster Recovery anche a chi non ha budget per progetti importanti.

Sono le due metriche della continuità operativa: RPO (Recovery Point Objective) = quanti dati posso permettermi di perdere; RTO (Recovery Time Objective) = quanto in fretta devo ripartire. Sono definite dal vocabolario ISO 22300 e usate da ISO 22301 e ISO/IEC 27031. A fissarne il valore è la Business Impact Analysis, non il catalogo tecnologico.

La protezione del dato non è un prodotto ma una posizione su un continuum. A sinistra il backup (costi bassi, ripartenza in giorni/ore), al centro il Rapid Data Recovery (minuti/secondi), a destra la Continuous Availability (zero data loss, costo più alto).

Il modello a sette tier (SHARE 1992, poi IBM) descrive quanto in fretta si riparte. I tier bassi vivono sul solo Core Site con backup e replica asincrona: ripartenza in giorni o ore. I tier intermedi aggiungono un sito di DR con replica sincrona e server in standby: minuti o secondi. I tier alti sono alta disponibilità fra siti, con obiettivo di zero data loss.

Sì. La protezione è coerente con il GDPR e con le policy aziendali, e i dati sono custoditi in un data center a emissioni zero in Italia.

Il canone è pay-per-use: costi sempre sotto controllo, niente investimenti iniziali (CAPEX). È un costo operativo (OPEX) dimensionato per contratto.

Il DPaaS è la porta d'ingresso al disaster recovery. Con il nostro percorso guidato in 5 fasi (Assessment/BIA → Architettura target → Sicurezza → Implementazione/test → Miglioramento continuo) si progredisce in modo strutturato.

Avere le copie non significa saper ripartire. La differenza la fanno quattro cose: obiettivi chiari (RTO e RPO), un'analisi d'impatto (BIA), prove di restore vere, qualcuno che guardi i job ogni giorno.

Scegliamo la tecnologia in base al caso d'uso, non al listino: fra i partner tecnologici dichiarati c'è Veeam per backup, replica e ransomware recovery, e usiamo soluzioni open source dove sono la risposta giusta. In tutti i casi l'infrastruttura di destinazione è il nostro data center e il presidio è del NOC.

Il CDP è una tecnica che cattura ogni modifica ai dati in tempo reale, permettendo ripristini a qualsiasi punto nel tempo. È utile per database e carichi di lavoro ad alta transazionalità.

Il Vault Backup è una copia immutabile dei dati, protetta da cancellazioni accidentali o ransomware, conservata in ambiente isolato (air-gapped).

Sì, su richiesta configuriamo retention immutabile (WORM) per proteggere da ransomware e manomissioni interne, in linea con best practice 3-2-1-1-0.

Sì: 3 copie dei dati, 2 supporti diversi, 1 offsite (nel nostro DC), 1 offline/immutabile, 0 errori grazie a test di restore periodici.

Sì, con tecnologie specifiche per virtualizzazione VMware (vSphere, vCloud Director), backup a livello di VM, file-level restore, instant recovery.

Sì: SQL Server, PostgreSQL, Oracle, MySQL con backup application-aware, consistency garantita, point-in-time recovery.

Sì. Backup di email Exchange, SharePoint, OneDrive, Teams con retention configurabile e restore granulare, perché Microsoft garantisce il servizio ma non i dati utente.

I carichi containerizzati si possono proteggere come gli altri, ma va deciso che cosa sia davvero il dato: i volumi persistenti e le configurazioni, non i container, che per definizione si ricreano. È una valutazione da fare sul progetto, insieme a chi gestisce il cluster.

Sì, con deduplica, compressione e replica verso il nostro DC Green per massima efficienza in costi e spazio.

Sì, è parte del DPaaS: canone pay-per-use, infrastruttura inclusa, monitoraggio da NOC, test di restore periodici.

Non c'è una retention «tipica»: si definisce in contratto a partire dagli obblighi normativi del settore e dagli esiti della BIA. Uno schema ricorrente alterna copie giornaliere a breve termine, settimanali e mensili a medio termine e copie annuali dove la conservazione è imposta per legge — ma è un punto di partenza, non un listino.

Sì, tutti i backup sono ospitati nel Data Center 00GATE di Castel San Pietro Terme (BO), mai all'estero.

Con immutabilità, air-gap logico, segmentazione di rete, monitoring anomalie, autenticazione multi-fattore, test di restore verificati.

Un SLA specifico che definisce: frequenza backup, retention, RPO, tempi di restore, reportistica, test periodici.

Sì, anche workload su AWS/Azure/GCP possono essere backuppati verso il nostro DC per sovranità del dato e protezione da lock-in.

Sì, configurabile tra Core Site e sito di DR, con sincronia/asincronia in base a RPO target.

Il NOC monitora 24/7 tutti i job, con alert automatici su fallimenti, reportistica e intervento proattivo.

Sì, crittografia end-to-end AES-256 sia in transito che a riposo, con chiavi gestite secondo policy del cliente.

Il Disaster Recovery è ciò che separa un incidente gestito da un blocco del business. La Business Continuity è il livello superiore: sistemi che non si fermano mai (Continuous Availability, zero data loss), tipicamente in architettura tri-data center.

La BIA è l'analisi che mette in fila i processi aziendali, misura cosa succede se ciascuno si ferma, e definisce RTO e RPO per livello di criticità. È la BIA a stabilire gli obiettivi di ripristino, non il catalogo tecnologico.

Il DRP è il piano strutturato che descrive come riattivare i servizi critici dopo un evento disastroso, con studio di fattibilità, comparazione sul mercato, progettazione dei sottosistemi, realizzazione e test periodici.

Un piano non testato non è un piano. Un fermo aziendale non è il momento giusto per scoprire che il backup non funziona o che le procedure sono incomplete. I test con tempi cronometrati sono parte integrante del servizio.

ISO 22301 (continuità operativa), ISO/IEC 27031 (ponte tra continuità e sicurezza delle informazioni), ISO/IEC 27001 (controllo 5.30 della versione 2022: readiness ICT pianificata e testata).

Per organizzazioni con servizi critici: sanità, PA locale, produzione, finance — e chiunque abbia calcolato quanto costa un'ora di fermo.

Sì. L'integrazione con Data Protection e NOC è naturale: chi monitora sa anche come far ripartire. L'intero programma segue il ciclo Plan-Do-Check-Act.

È lo spostamento dell'obiettivo dal sistema al processo: non «quanto ci metto a riaccendere il server», ma «il processo continua mentre l'incidente è in corso». Richiede architetture attive su più siti ed è la fascia alta del continuum, quella che sul nostro schema si chiama continuous availability.

Sì: infrastruttura di ripartenza nel nostro data center, procedure di failover e failback documentate e test periodici con tempi cronometrati. Gli obiettivi di RTO e RPO non sono un listino: si ricavano dalla Business Impact Analysis e si scrivono nel contratto di servizio, dove diventano impegni verificabili.

Non esiste una percentuale valida per tutti: dipende da RTO e RPO richiesti, dal volume dei dati e da quanto va replicato. Il vantaggio strutturale del DRaaS è un altro: il modello pay-per-use trasforma un investimento iniziale (CAPEX) in un canone (OPEX) e rende il disaster recovery raggiungibile anche a chi non poteva permettersi un secondo sito. Il dimensionamento parte sempre dalla BIA.

Sì, test periodici obbligatori: tabletop (simulazione), partial failover, full failover, con report e remediation.

L'RTO non si sceglie a listino: si ricava dalla Business Impact Analysis e poi si compra l'architettura che lo regge. Sul continuum si va dal backup (ripartenza in ore o giorni) al rapid data recovery (minuti) fino alla continuous availability (ininterrotta). Il valore garantito viene scritto nel contratto di servizio dopo l'assessment, e va dimostrato con test cronometrati.

Dipende dall'architettura scelta: con replica sincrona l'obiettivo è zero data loss, con replica asincrona si misura in minuti, con il solo backup periodico si misura nell'intervallo fra due copie. Quale sia sostenibile per voi lo stabilisce la BIA, che mette in relazione il dato perso con il danno che produce.

Sì, per carichi con requisiti RTO aggressivi. Il failover è orchestrato da sistemi di monitoring e orchestrazione.

Il failback è il ritorno all'ambiente primario post-incidente. Lo gestiamo con procedure documentate, sincronizzazione dati, test di coerenza.

Sì. Architetture ibride (on-prem + VDC + public cloud) con DR orchestrato attraverso tutti gli ambienti.

I piani DR includono scenari di cyber-attack recovery (ransomware, data breach), con restore da backup immutabili e procedure di bonifica.

Il nostro contributo si ferma dove finisce l'IT, ed è bene dirlo: BIA, obiettivi di RTO e RPO per processo, architetture di continuità, test cronometrati e gestione degli incidenti. Un piano di continuità aziendale completo comprende anche persone, logistica e fornitori non IT: sono ambiti che restano all'organizzazione o ai suoi consulenti.

È la parte che riguarda le persone e le comunicazioni durante un evento grave: chi avvisa chi, con quali tempi, verso quali interlocutori. Non è un servizio che eroghiamo. Quello che mettiamo a disposizione è il presupposto tecnico: escalation tracciate, stato dei sistemi noto in ogni momento e tempi di ripristino misurati, così che chi comunica sappia che cosa sta dicendo.

Sul perimetro IT sì, ed è parte del ragionamento sulla continuità: da quali fornitori dipende un servizio critico, che cosa succede se uno si ferma, quali alternative esistono. La valutazione del rischio di fornitura sull'intera catena aziendale è invece un esercizio più ampio, che spetta all'organizzazione.

Con i piani di continuità che riguardano anche le persone e non solo i sistemi: lavoro da remoto per le funzioni che lo consentono, presidio NOC che non dipende da una sola sede, procedure operative documentate perché chiunque sia di turno sappia cosa fare. Gli scenari specifici si definiscono nel BCP insieme al cliente.

Sì. DR che coinvolge workload su AWS, Azure, GCP e nostro VDC, con orchestrazione centralizzata.

Un documento operativo passo-passo che descrive come attivare il DR: chi fa cosa, in quale ordine, con quali strumenti e verifiche.

Almeno annualmente o in occasione di cambiamenti significativi (nuovi sistemi, M&A, cambi normativi).

I test pianificati sono parte del servizio e vengono concordati nel contratto: un piano di continuità non testato non è un piano. Le sessioni aggiuntive o fuori programma si quotano a parte.

Vulnerability Assessment & Penetration Test con reportistica personalizzata; sicurezza delle web application; reverse engineering e code review; log management, analisi dati e correlazioni; Identity Management & Access Control; risposta agli incidenti (malware, data breach).

È il primo livello di analisi: verifichiamo che i componenti principali siano configurati secondo le best practice del vendor e gli standard di settore, con attenzione alla segregazione (SAFE), al modello dei permessi (principio del minimo privilegio) e alle funzionalità core.

Sì. Il Network Penetration Test valuta raggiungibilità ed esposizione dei componenti critici: mappatura di porte e servizi esposti, vulnerabilità note, policy di segmentazione e firewall. Lo affrontiamo con un punto di vista doppio — cyber e sistemistico/infrastrutturale.

È un test specifico per scenari in cui bot e agenti AI si interfacciano con i sistemi PAM. Verifichiamo se possano essere manipolati tramite prompt injection, jailbreak o abuso dei flussi di autorizzazione, per ottenere accessi non autorizzati.

Sì. Se la piattaforma è integrata con SSO (SAML 2.0, OIDC, AD/LDAP), ne verifichiamo l'implementazione: validazione dei flussi di autenticazione, gestione delle sessioni, robustezza della trust chain.

Gestione di malware e data breach con analisi del vettore d'ingresso e connessioni remote; bonifica del sistema informativo e fixing della vulnerabilità sfruttata; intervento con SLA custom, anche entro 24h dalla chiamata.

È un WAF erogato come servizio gestito, che protegge le applicazioni web da attacchi come SQL injection, XSS e altre minacce OWASP, senza richiedere hardware dedicato.

Al termine delle attività produciamo un report dettagliato con findings classificati per livello di rischio — critico, alto, medio, basso — e indicazioni pratiche di remediation per ogni evidenza.

Sì. Le indicazioni ACN sul cloud per la PA e la direttiva NIS2 richiedono sovranità e localizzazione del dato, oltre a misure di sicurezza adeguate. Il nostro private cloud è un perimetro dedicato, in Italia.

Un SOC (Security Operation Center) è la struttura che monitora, rileva e risponde agli incidenti di sicurezza in modo continuativo. Quello che Lympha ha è il NOC — Network & Security Operations Center — attivo 24×7×365 sul monitoraggio di sistemi, reti e applicazioni, con procedure di escalation e gestione degli incidenti. Le attività di analisi offensiva (assessment e penetration test) sono erogate come progetti dalla Business Unit SEC, non come presidio continuativo.

È la ricerca proattiva di minacce già presenti in un'infrastruttura, invece dell'attesa di un alert. Non lo eroghiamo come servizio continuativo: il nostro perimetro sono gli assessment e i penetration test su commessa, la gestione degli incidenti e il presidio NOC. Dove serve una capacità di hunting continuativa, va costruita con voi come progetto dedicato.

È il lavoro congiunto fra chi attacca (Red Team) e chi difende (Blue Team), pensato perché ogni simulazione produca un miglioramento difensivo misurabile invece di una sola pagella. Il nostro contributo tipico sta sul lato analitico: penetration test, Configuration & Architecture Review e piano di remediation con i findings ordinati per rischio.

È la simulazione realistica di un attaccante avanzato che prova a compromettere un'organizzazione con più vettori insieme: phishing, social engineering, exploit, movimento laterale. È un esercizio diverso dal penetration test perimetrale che eroghiamo noi, che ha obiettivo e perimetro concordati in anticipo.

È la raccolta e l'analisi di informazioni su attori, tecniche e indicatori di compromissione, usate per anticipare gli attacchi invece di subirli. Non la eroghiamo come servizio in abbonamento: le fonti di intelligence pubbliche alimentano il nostro lavoro di assessment e la gestione delle vulnerabilità.

Il PAM (Privileged Access Management) è la piattaforma che custodisce e controlla gli account privilegiati: credenziali a vault, registrazione delle sessioni, accesso concesso solo quando serve, flussi di approvazione. È il perimetro su cui è costruito il nostro security assessment: chi controlla il PAM ha le chiavi del regno, e va verificato che le usi solo chi deve.

Rafforzamento dei sistemi di messaggistica (email, chat) con protezione da phishing, spoofing (SPF, DKIM, DMARC), cifratura end-to-end.

È la sicurezza pensata per ambienti a container: scansione delle immagini, protezione a runtime, applicazione delle policy, rete a fiducia zero fra i servizi. Se ne occupiamo quando il perimetro da valutare li comprende, dentro gli assessment di configurazione e architettura.

Integrazione tra team Security e Operations per risposta più rapida agli incidenti, automazione dei playbook, riduzione dei tempi di remediation.

Modello di sicurezza che non si fida di nulla per default: verifica continua di identità, dispositivo, contesto per ogni accesso a risorse.

I principi zero trust — verifica continua dell'identità, privilegio minimo, segmentazione — sono quelli con cui valutiamo le architetture nei nostri assessment, in particolare nella Configuration & Architecture Review e nella SSO & Identity Integration Review. Un programma zero trust completo è però un percorso pluriennale dell'organizzazione, non un prodotto che si installa.

L'EDR (Endpoint Detection & Response) sorveglia gli endpoint e ne registra i comportamenti sospetti; l'XDR estende la stessa logica a rete, cloud e identità. Sono tecnologie che troviamo installate presso i clienti e di cui verifichiamo configurazione ed efficacia negli assessment; la loro gestione continuativa si valuta caso per caso.

Programma strutturato di scansione, priorizzazione, remediation delle vulnerabilità con KPI e reporting continuo.

È la riproduzione delle tattiche e tecniche di uno specifico attaccante, catalogate in framework come MITRE ATT&CK, per verificare se le difese reggono proprio quelle. È una pratica specialistica che non figura nel nostro catalogo: il nostro perimetro sono i penetration test su rete, applicazioni e — questo sì una specificità — agenti e bot basati su LLM.

Sì: l'LLM Penetration Test verifica se bot e agenti basati su modelli linguistici possano essere manipolati con prompt injection, jailbreak o abuso dei flussi di autorizzazione, fino a ottenere accessi non previsti. È il punto in cui il nostro lavoro sull'IA e quello sulla sicurezza si incontrano: li costruiamo, quindi sappiamo dove guardare.

SLA di intervento entro 24h, team dedicato, procedure di containment, eradication, recovery, lessons learned.

VDC GREEN è il nostro servizio di Virtual Data Center: ambienti virtuali dedicati (computing, storage e rete) isolati e scalabili, ospitati nel nostro Green Data Center 00GATE. Ogni risorsa (vCPU, vRAM, storage, rete) scala in modo indipendente.

Ogni VDC vive in uno stack infrastrutturale isolato: ciò che è dentro il tuo perimetro è tuo, comprese VLAN e reti virtuali con controllo capillare sulle regole firewall. Nel public cloud alcuni elementi restano logicamente condivisi tra clienti.

On-premise: licenze CAPEX, scalabilità limitata, manutenzione a carico IT interno. VDC GREEN: canone OPEX, scalabilità in minuti, manutenzione gestita, sicurezza inclusa, DR predisposto. La differenza è tangibile su costi totali e agilità.

Canone mensile pay-per-use preconcordato, senza soglie di consumo su nessuna risorsa (vCPU, vRAM, storage, banda). Anche le licenze software seguono il consumo e il canone si adegua in diminuzione se si riducono utenti o risorse.

La virtualizzazione è su tecnologie consolidate e aperte — la nostra radice è OpenStack, dal 2010. La piattaforma è accessibile da una singola web console e tramite REST API per automazione DevOps.

Sì. È certificato Green da Accredia® (ente nazionale di accreditamento). La certificazione per i servizi ospitati è gratuita per il cliente e pubblicata nel registro Green Cloud Consortium, verificabile da chiunque.

Configurazione Tier III con continuità operativa garantita al 99,98% (al massimo 1,6 ore di fermo all'anno).

Sì. Il data center ha un'area housing con rack protetti dove puoi installare le tue appliance, oppure le installiamo noi per te. La connessione logica al VDC è gestita dal supporto tecnico.

Sì. I dati restano esclusivamente in Italia nel nostro Data Center 00GATE di Castel San Pietro Terme.

Sì. Se i servizi che eroghi ai tuoi clienti vivono nel tuo VDC, possono ottenere un certificato figlio del tuo ed esporre il badge di hosting sostenibile sui propri siti.

Il VDC GREEN è basato su OpenStack. Se avete investimenti VMware già fatti, il punto da chiarire prima di tutto è il costo delle licenze e la loro portabilità: è una valutazione che facciamo insieme, senza dare per scontato che la strada migliore sia replicare l'esistente.

Il VDC GREEN è basato su OpenStack, che è la nostra radice tecnologica dal 2010. Ambienti costruiti su altri hypervisor si valutano come progetto: la domanda giusta non è quale hypervisor preferiate, ma chi si assume l'esercizio di quello stack e con quali livelli di servizio.

L'iperconvergenza integra calcolo, storage e rete in un'unica piattaforma software-defined, riducendo i componenti da gestire separatamente. È un'architettura che valutiamo nella progettazione di infrastrutture per i clienti; il nostro VDC GREEN segue invece una strada diversa, con risorse che scalano in modo indipendente l'una dall'altra.

Non come servizio a catalogo con SLA pubblicati. Il VDC GREEN offre le risorse e le API su cui far vivere un cluster, e il NOC può prenderne in carico il monitoraggio nell'ambito di un contratto di gestione: il livello — dal solo ticket al full management — si sceglie e si può cambiare nel tempo.

Non è una piattaforma che eroghiamo a catalogo. Il VDC GREEN fornisce le risorse (computing, storage, rete) e le API REST su cui un'organizzazione può portare la propria piattaforma applicativa; se il progetto prevede OpenShift, va valutato insieme che cosa resta in carico a voi e che cosa a noi.

Il data center dispone di un'area housing con rack protetti dove ospitare hardware di proprietà del cliente — utile per carichi legati a licenze hardware o a esigenze prestazionali particolari. È un servizio di colocation con la connessione logica al VDC gestita dal nostro supporto tecnico, non un catalogo bare-metal-as-a-service.

È la connettività privata fra il vostro VDC e i cloud pubblici, senza passare da Internet, per gli scenari ibridi. Va progettata insieme al resto: il data center è multihomed su due carrier con doppio anello in fibra, e la topologia di collegamento dipende dai carichi che dovete tenere ai due lati.

Nel VDC possiamo erogare database con backup, monitoraggio e aggiornamenti presi in carico dal NOC, secondo il livello di gestione concordato. PostgreSQL è la base su cui gira anche la nostra piattaforma RAG. Il perimetro del servizio — e chi risponde di che cosa — si definisce in contratto.

Sì. Assessment, planning, execution, validation di migrazioni da on-premise o altri cloud verso il nostro VDC GREEN.

Spazio rack dedicato nel nostro DC per hardware di proprietà del cliente. Incluso power, cooling, connettività, sicurezza fisica.

Sì. Runtime Docker, registry privati, orchestrazione K8s, monitoring, backup dei container.

Storage scalabile con API compatibili S3, ideale per backup, archivi, data lake, media.

Banda garantita, multihoming su 2 carrier, connettività ridondata in fibra su doppio anello, peering con principali IX.

Sì, visite al DC 00GATE sono sempre benvenute. Previo appuntamento e procedure di sicurezza.

È l'idea che dati e operazioni restino sotto la giurisdizione di un paese. Va però letta bene: un data center in Europa di proprietà altrui non rende sovrani i vostri dati — contano proprietà, controllo e possibilità di uscita. Nel nostro caso i dati restano in Italia, in un data center che possiamo farvi visitare, e lo stack è aperto: la via d'uscita esiste.

Sì. Nel VDC possono girare ambienti Windows Server, con le licenze fornite nel canone o portate da voi. Vale il principio del pay-per-use: anche le licenze seguono il consumo e il canone si adegua se gli utenti diminuiscono.

Sì, come componente di architettura all'interno del VDC: distribuzione del traffico fra istanze, terminazione TLS e controlli di stato, dimensionati sul servizio da pubblicare. Il presidio è del NOC secondo il livello di gestione concordato.

Sì. Ambienti isolati per test, development, QA, con possibilità di clonare production e costi ridotti.

Ogni risorsa del VDC GREEN (vCPU, vRAM, storage, rete) scala in modo indipendente dalle altre, in minuti e senza soglie di consumo: il canone segue l'uso, anche in diminuzione se riducete utenti o risorse. Le politiche di scaling automatico guidate da metriche si impostano sopra le API REST, come parte del progetto.

Sì. API complete per provisioning, management, monitoring, integrabili con CI/CD pipeline e IaC (Terraform, Ansible).

IaaS è il VDC GREEN: risorse virtuali che gestite voi. PaaS sono i servizi che prendiamo in carico sopra le risorse (database, ambienti applicativi), secondo il livello di gestione scelto. SaaS sono i nostri prodotti — ACME ECMS e la piattaforma ACME ECMS IA & RAG Integration. In tutti i casi l'infrastruttura è la stessa e i dati restano in Italia.

Il NOC (Network & Security Operations Center) è il nostro centro operativo che gestisce il monitoraggio di server, reti e applicazioni 24×7×365, agendo proattivamente per risolvere problemi e garantire la continuità di servizio.

Sì. Il presidio è continuo e proattivo, 24×7×365, con procedure di escalation immediata per eventi imprevedibili (interruzione di corrente, fibra tagliata).

Server, reti e applicazioni in modo attivo e proattivo; operatività delle reti IP; attività schedulate (verifica backup, patching, verifica log); conformità alle best practice ITIL nella gestione degli incident.

Per eventi imprevedibili, sono previste procedure di escalation immediata verso i tecnici preposti, con tracciamento completo fino alla risoluzione.

Sì. Quando il presidio riguarda anche le postazioni di lavoro e il supporto agli utenti, il NOC lavora in tandem con il modello SPOC/Help Desk: un solo punto di contatto, code con priorità, KMDB/CMDB condivisi.

Sì. Al NOC si possono delegare attività ripetitive schedulate come verifica backup, patching, verifica log, con procedure standard personalizzabili.

Si sceglie il livello e si può cambiare nel tempo: dal semplice ticket quando serve, al co-sourcing dei server virtuali con il NOC proattivo giorno e notte, fino alla full management.

Monitoraggio delle performance applicative: tempi di risposta, throughput, errori, tracing distribuito per identificare colli di bottiglia.

Monitoraggio proattivo tramite script che simulano utenti reali: check di disponibilità, performance, funzionalità chiave.

Sì. Query performance, connection pool, replication lag, deadlock, capacity con alerting proattivo.

Sì. La raccolta, l'indicizzazione e l'alerting sui log rientrano fra le attività schedulate che si possono delegare al NOC, insieme a verifica dei backup e patching. La scelta dello stack si fa sul caso: dove possibile privilegiamo componenti open source, per non legare lo storico dei vostri log a una licenza.

Evoluzione del monitoring: combinazione di metriche, log, tracing per comprendere lo stato interno di sistemi complessi (microservizi, K8s).

L'osservabilità di un sistema si progetta con il sistema, non si aggiunge dopo: dove il progetto lo prevede implementiamo la strumentazione e il NOC ne prende in carico il presidio continuativo. Non è un pacchetto a listino con uno stack predefinito.

Il monitoraggio dell'operatività delle reti IP è parte del servizio NOC. Su architetture SD-WAN specifiche il perimetro di visibilità dipende dalla piattaforma del vendor e va verificato in fase di assessment: la Business Unit NET si occupa di reti e sicurezza perimetrale.

Sì. Trend analysis per anticipare esaurimento risorse (storage, CPU, RAM, banda) con planning proattivo.

Il NOC monitora sistemi, reti e applicazioni: dove il perimetro concordato comprende un cluster, ne monitoriamo disponibilità e risorse secondo il livello di gestione scelto. La strumentazione specifica va concordata con chi il cluster lo gestisce.

Non è un ambito che presidiamo con competenze dedicate. Il NOC monitora sistemi, reti e applicazioni 24×7×365: se un progetto comprende dispositivi periferici, va valutato insieme che cosa sia effettivamente osservabile e con quali soglie.

Il DCIM (Data Center Infrastructure Management) è il monitoraggio dell'infrastruttura fisica del data center: alimentazione, raffrescamento, spazio nei rack, condizioni ambientali. È una componente degli Zero Emission Data Center che progettiamo per i clienti, dove serve a tenere sotto controllo consumi ed efficienza.

Sì. Dashboard e report custom per stakeholder diversi: tecnico, manageriale, executive, compliance.

RAG (Retrieval-Augmented Generation) collega i modelli linguistici ai dati reali dell'azienda — documenti, basi di conoscenza, sistemi gestionali — così le risposte sono pertinenti, aggiornate e verificabili, con il riferimento alle fonti.

Con gli agenti facciamo il passo successivo: l'IA non solo risponde, ma esegue attività — consulta sistemi, prepara documenti, avvia flussi — dentro regole e permessi definiti dal cliente.

La nostra piattaforma RAG on-premise si chiama ACME ECMS IA & RAG Integration (Private, Simple & Fast RAG). È uno stack interamente containerizzato, eseguito su GPU dedicate in una rete privata isolata.

No. Tutti i componenti sono open source, i modelli sono intercambiabili (Mistral, Gemma, Qwen…), nessuna chiamata a servizi esterni, nessun dato che lascia il perimetro, nessun vendor lock-in.

Quando un assistente documentale risponde male, il problema è quasi sempre nel retrieval, non nel modello. La ricerca che decide quali documenti il modello legge va misurata, prima di spendere. Noi usiamo un retrieval ibrido (indice vettoriale + knowledge graph).

Oltre all'indice vettoriale, LightRAG costruisce un grafo di entità e relazioni (Apache AGE su PostgreSQL): le risposte collegano i fatti, non si limitano a somigliare alla domanda.

I modelli sono intercambiabili: Mistral, Gemma, Qwen e altri eseguiti tramite Ollama per LLM ed embeddings, e vLLM per il re-ranking. Nessuna dipendenza da un singolo vendor.

Usiamo RAGAS, uno strumento che genera set di domande di test dai tuoi stessi documenti e valuta le risposte con metriche in italiano. La qualità si misura, non si dichiara.

Significa elaborare documenti senza che escano dal perimetro aziendale. La domanda dei clienti è cambiata: non più 'possiamo usare l'IA generativa?' ma 'possiamo elaborare questi documenti senza che escano dal nostro perimetro?'. La risposta è sì.

Ricerca documentale intelligente: interrogare archivi, delibere, manuali con la fonte citata; assistenti interni su knowledge base aziendale; analisi e preparazione di documenti; agenti nei processi: attività ripetitive eseguite dall'IA nei flussi di lavoro.

È l'IA che resta sotto controllo di chi la usa: modelli, dati e infrastruttura dentro un perimetro definito. La nostra piattaforma RAG risponde a questo requisito nel modo più diretto possibile — gira on-premise su GPU dedicate in rete isolata, i componenti sono open source, i modelli sono intercambiabili e nessuna chiamata esce verso servizi esterni.

È l'IA che non si limita a rispondere ma esegue: consulta sistemi, prepara documenti, avvia flussi di lavoro, sempre dentro regole e permessi definiti dal cliente. È esattamente ciò che facciamo con gli agenti nei processi documentali e autorizzativi.

Non abbiamo un'offerta verticale per il manufacturing: manutenzione predittiva e controllo qualità visivo richiedono competenze di dominio e dati di processo che non sono il nostro mestiere. Quello che portiamo è l'infrastruttura per farla girare in casa vostra — GPU dedicate, rete isolata, dati che non escono — e le architetture RAG e ad agenti sui documenti aziendali.

Workflow in cui agenti AI autonomi eseguono task complessi con pianificazione, esecuzione, validazione, interazione con sistemi.

È l'elaborazione di dati dentro enclave cifrate a livello di processore, in modo che nemmeno chi gestisce l'infrastruttura possa leggerli. Non è una tecnologia che impieghiamo: il problema che risolve — far elaborare dati sensibili senza esporli a terzi — noi lo affrontiamo a monte, tenendo l'elaborazione dentro il perimetro del cliente.

La qualità di un sistema RAG va tenuta sotto osservazione nel tempo, non misurata una volta al collaudo: con RAGAS generiamo set di domande di prova dai vostri stessi documenti e rivalutiamo le risposte a ogni modifica rilevante. Deriva del comportamento e peggioramenti si vedono così.

Combinazione di similarity search (vettori) e knowledge graph (entità+relazioni) per retrieval più preciso. È la nostra architettura LightRAG.

Sì. Mistral è uno dei modelli eseguibili sulla piattaforma, insieme a Gemma, Qwen e altri: sono intercambiabili per scelta architetturale, così la scelta del modello resta reversibile e non diventa un vincolo.

Sì. Gemma è supportato come alternativa open source per carichi specifici.

Sì. Famiglia Qwen disponibile per scenari multi-lingua o performance specifiche.

Sì. Llama è fra i modelli eseguibili on-premise sulla piattaforma. Il criterio di scelta non è il nome del modello ma la licenza d'uso, la lingua italiana e il comportamento misurato sui vostri documenti.

Nella maggior parte dei casi non serve, ed è un punto su cui insistiamo: quando un assistente documentale risponde male il problema è quasi sempre nel retrieval, non nel modello. Prima si misura la qualità del recupero (usiamo RAGAS su un set di prova in italiano), poi si valuta se un intervento sul modello aggiunga davvero qualcosa.

Tecnica che riordina i documenti recuperati per pertinenza prima di passarli al LLM. Usiamo vLLM per re-ranking dedicato.

Sono i controlli su ciò che entra e ciò che esce da un sistema di IA: filtri contro i tentativi di aggiramento, protezione dei dati personali, verifica che la risposta resti ancorata alle fonti. Nella nostra architettura il primo guardrail è strutturale: il modello risponde citando i documenti da cui ha attinto, quindi l'affermazione è verificabile.

È l'applicazione delle pratiche DevOps ai modelli: versionamento, rilascio, monitoraggio, ri-addestramento. Nella nostra piattaforma la parte che pesa davvero è la misura continua della qualità: a ogni modifica di configurazione si rivaluta il sistema con RAGAS, perché la qualità si misura, non si dichiara.

AI eseguita su dispositivi edge (IoT, edge server) anziché in cloud, per bassa latenza e privacy.

Non è un ambito che presidiamo. La nostra impostazione è opposta e deliberata: concentrare l'elaborazione su GPU dedicate dentro il perimetro aziendale, dove i dati restano governabili, invece di distribuirla su dispositivi periferici.

È la tecnica con cui si addestra un modello piccolo a replicare il comportamento di uno grande, riducendo il costo di esecuzione. È ciò che rende praticabile l'IA «off-grid»: modelli abbastanza compatti da girare su GPU dedicate in casa vostra, senza che i documenti debbano uscire per essere elaborati.

Rappresentazione vettoriale di testo/immagini in spazio multidimensionale. Base del retrieval in RAG.

Modelli open source come Nomic, BGE, E5 eseguiti on-premise via Ollama.

Database ottimizzato per ricerca similarity su vettori. Usiamo pgvector (PostgreSQL extension).

Rappresentazione di entità e relazioni. Usiamo Apache AGE su PostgreSQL per RAG arricchito.

Sì, nel perimetro del cliente: la piattaforma include la generazione di immagini on-premise (ComfyUI con FLUX/SDXL) accanto ai modelli linguistici, e l'elaborazione di documenti che contengono testo e immagini insieme. Vale la stessa regola di tutto il resto: niente esce dalla rete isolata.

Sì. ComfyUI + FLUX/SDXL per generazione immagini in ambito aziendale senza uscire dal perimetro.

Framework di policy, processi, controlli per uso etico, compliant, sicuro dell'AI.

Il nostro contributo sta dove l'AI Act incrocia il governo dell'IT: censire i sistemi di IA in uso, classificarne il rischio, documentare le scelte e predisporre le misure tecniche di trasparenza. È lavoro di IT governance, non consulenza legale: le qualificazioni giuridiche vanno validate con un consulente.

È il lavoro per rendere i contenuti citabili dagli assistenti conversazionali, che sempre più spesso stanno fra le persone e i siti. È una pratica che applichiamo innanzitutto a noi stessi: questa pagina esiste anche in Markdown e in JSON-LD proprio perché un assistente possa recuperarla per intero e citarla con precisione.

ACME ECMS è la nostra piattaforma CMS per creare, organizzare e pubblicare contenuti digitali in modo strutturato, scalabile e coerente. È un prodotto Lympha Technologies (sito dedicato: acmecms.it), modulare su CakePHP 5.2.

Sì. I contenuti sono fruibili da tutti — un requisito di casa per chi lavora con la PA. Il CMS è conforme alle WCAG 2.1 AA e alle Linee guida AGID (Legge 4/2004).

Più siti e domini da un'unica installazione, con contenuti in più lingue coordinati e coerenti nello stesso flusso editoriale.

Il catalogo ufficiale conta oggi 31 plugin: moduli, estensioni e integrazioni che fanno crescere la piattaforma senza sviluppi una tantum.

Non partiamo dalla tecnologia: partiamo dal processo da supportare. Prima di scrivere codice mappiamo casi d'uso, ruoli e integrazioni con chi il processo lo vive ogni giorno, poi progettiamo un'applicazione che si inserisce nei sistemi esistenti invece di sostituirli.

Dove possibile usiamo tecnologie open source: il software resta tuo e governabile. Standard aperti e proprietà del risultato = nessun vendor lock-in.

Colleghiamo applicazioni e servizi in flussi coerenti e orchestrati, dove ogni passaggio è automatico quando può esserlo, umano quando deve esserlo — e sempre tracciato.

Iter approvativi (richieste, autorizzazioni, firme); integrazione tra gestionali (ERP, CRM); onboarding e provisioning; notifiche e scadenzari; agenti IA nei flussi (classificazione, sintesi, preparazione).

Sì. Offriamo un solo interlocutore da sviluppo a esercizio: hosting nel cloud privato, monitoraggio NOC e supporto continuativo. L'evoluzione è pianificata, non subìta.

Sì. Sviluppiamo soluzioni con agenti e architetture RAG eseguite on-premise, nel perimetro che il cliente controlla. Siamo fornitori di IA ai sensi del Regolamento (UE) 2024/1689 (AI Act).

Disciplina per modellare, automatizzare, monitorare, ottimizzare processi aziendali end-to-end.

Sì. Analisi processi, modellazione BPMN, implementazione workflow, monitoring KPI.

Gestione del ciclo di vita dei contenuti aziendali: creazione, collaborazione, pubblicazione, archiviazione. ACME ECMS è il nostro ECM.

Gestione centralizzata delle comunicazioni verso clienti: documenti personalizzati, multicanale, compliance.

Non come prodotto a sé. ACME ECMS gestisce contenuti multicanale e multilingua da un'unica installazione, ed è la base su cui costruiamo le comunicazioni verso utenti e cittadini quando fanno parte di un processo che stiamo digitalizzando.

Piattaforme che permettono di creare applicazioni con minima scrittura di codice, tramite interfacce visuali.

ACME ECMS include moduli configurabili per form e flussi di lavoro, che coprono i casi ricorrenti senza sviluppo. Per la logica complessa preferiamo lo sviluppo su misura: una piattaforma low-code sposta il vincolo, non lo elimina, e il software deve restare vostro e governabile.

Sono avatar generati dall'IA usati per assistenza o comunicazione. Non li realizziamo. Vale la pena ricordare che dal 2 agosto 2026 l'articolo 50 dell'AI Act impone di rendere riconoscibile l'interazione con un sistema di IA e di etichettare i contenuti sintetici: è un obbligo che ricade su chi li pubblica.

Progettare sistemi partendo dalle API come contratto, garantendo integrazione e riusabilità.

Sì. Ogni applicazione che sviluppiamo ha API REST/GraphQL documentate come primary interface.

Piattaforma di integrazione enterprise per connettere applicazioni on-premise e cloud con workflow.

Il nostro modo di collegare applicazioni e servizi è il Workflow & Process Orchestration: flussi in cui ogni passaggio è automatico quando può esserlo, umano quando deve esserlo, e sempre tracciato. Se la soluzione giusta è una piattaforma di integrazione di mercato lo valutiamo, ma non ne rivendiamo una a catalogo.

Sì. PWA per esperienze mobile-native senza pubblicazione su store.

Non abbiamo un team dedicato allo sviluppo mobile nativo. Le applicazioni che realizziamo sono progettate API-first e accessibili da browser anche su dispositivi mobili; se un progetto richiede un'app nativa, il punto va affrontato apertamente in fase di analisi.

Non è il nostro terreno: non abbiamo un'offerta e-commerce né competenze su piattaforme di commercio elettronico. Sviluppiamo applicazioni gestionali e documentali costruite sul processo — iter approvativi, integrazioni con ERP e gestionali, orchestrazione dei flussi.

È l'esperienza cliente coerente su tutti i punti di contatto — web, mobile, sportello, call center. È un tema di marketing e customer experience: non è l'ambito in cui operiamo, che è quello dei processi interni e dei servizi digitali al cittadino.

No. Integriamo applicazioni e servizi in flussi orchestrati e tracciati — è il Workflow & Process Orchestration — ma l'integrazione fra CRM, e-commerce, POS e call center per la vista a 360° del cliente non fa parte della nostra offerta.

Un CMS headless separa la gestione dei contenuti dalla loro presentazione: i contenuti si pubblicano via API e possono alimentare canali diversi. ACME ECMS è progettato API-first, il che rende possibile usarlo in questa modalità nei progetti che la richiedono.

Quando il problema lo giustifica. Non partiamo dalla tecnologia ma dal processo da supportare: un'architettura a microservizi aggiunge costo operativo, e ha senso se porta un vantaggio che il processo reclama davvero. Le applicazioni sono comunque progettate API-first, con interfacce documentate.

Sì, dove il processo lo richiede: eventi che disaccoppiano i sistemi sono spesso la risposta giusta per integrare gestionali che non devono conoscersi fra loro. La scelta dei componenti si fa nel progetto, con la stessa regola di sempre: standard aperti e nessun vincolo.

Automazione di task ripetitivi via bot software. Lo integriamo con agenti AI per hyperautomation.

L'automazione dei passaggi ripetitivi è parte del Workflow & Process Orchestration, e sempre più spesso il pezzo che prima richiedeva un bot lo fa un agente IA: classificare un documento, estrarne i dati, preparare una pratica. La differenza è che l'agente lavora dentro regole e permessi definiti da voi, e ogni passaggio resta tracciato.

La progettazione dell'interfaccia fa parte dello sviluppo, con un'attenzione che per noi non è opzionale: l'accessibilità WCAG 2.1 AA è un requisito di casa, perché lavoriamo con la PA. Non abbiamo però un team di design separato da offrire come servizio a sé.

È ciò che permette all'IT di essere governato come il resto dell'azienda: con priorità esplicite, budget motivati, rischi misurati e risultati confrontabili. Aiutiamo a costruire modelli decisionali, KPI di servizio e di progetto, e governo degli investimenti.

Il DCMM è il modello pubblicato nel 2011 da The Green Grid per misurare efficienza e sostenibilità di un data center su una scala di sei livelli (0–5) e su due dimensioni: facility (alimentazione, raffrescamento, edificio) e IT (compute, storage, rete).

Il risultato non è un voto ma una roadmap: sapere dove sei oggi per decidere dove andare domani. Serve a misurare prima di investire, indirizzare investimenti dove producono più valore, pianificare l'evoluzione invece di rincorrere emergenze.

No. Le sue domande valgono identiche per una sala CED con tre rack: quanto consuma il raffrescamento? Quanto lavorano i server? I dati freddi occupano storage costoso? Lo usiamo come griglia di lettura per realtà di ogni dimensione.

Gestiamo il ciclo di vita completo del servizio secondo l'approccio ITIL Service Lifecycle in quattro fasi: Strategia e progettazione → Transizione → Esercizio → Miglioramento continuo. Un unico responsabile end-to-end.

Un unico responsabile lungo tutto il ciclo; fasi e output verificabili: niente zone grigie tra progetto ed esercizio; i Centri di Competenza che progettano sono integrati con chi gestisce e supporta.

PUE (Power Usage Effectiveness); ERF (Energy Reuse Factor); CUE (Carbon Usage Effectiveness); WUE (Water Usage Effectiveness); utilizzo medio mensile dei server, efficienza della catena elettrica.

Definizione di modelli decisionali (chi decide cosa); KPI di servizio e di progetto misurati nel tempo; governo di investimenti, priorità e rischio IT; allineamento continuo tra IT e obiettivi di business.

Environmental, Social, Governance: tre dimensioni della sostenibilità. Sempre più rilevanti per accesso a credito, gare, investitori.

A giugno 2026 Ecomate ha assegnato a Lympha Technologies il grade BBB dell'ESG SME Rating, con punteggio complessivo 51/100: Environmental 45, Social 52, Governance 57. Il profilo è pubblico e il rating viene aggiornato periodicamente: il valore qui riportato è quello della rilevazione di giugno 2026.

Dichiarazioni ambientali non verificabili o fuorvianti. Lo evitiamo con dati certificati e misurabili.

Con verifiche di terzi e non con dichiarazioni: la certificazione Green del data center è rilasciata secondo disciplinare e pubblicata nel registro del Green Cloud Consortium, verificabile da chiunque; il rating ESG è assegnato da un valutatore esterno e il profilo è pubblico. Dove un dato non lo pubblichiamo, non lo rivendichiamo.

Framework per governance economica del cloud: visibility, optimization, accountability.

Sì. Assessment, implementazione, training, monitoring continuo per ottimizzazione costi cloud.

Costo totale di un asset IT lungo il suo ciclo di vita (acquisto, esercizio, manutenzione, dismissione).

Sì, per confrontare scenari (on-premise vs cloud, diversi vendor, diverse architetture).

Evoluzione di ITIL: include Agile, DevOps, digital transformation, value streams, 4 dimensioni del service management.

L'azienda è certificata ISO 9001:2015 (registrazione 19349-A, ente Kiwa, accreditamento Accredia). ITIL non è una certificazione aziendale ma un insieme di best practice: i nostri processi di incident, request e change management vi sono allineati, come descritto nelle pagine ITSM e Service Lifecycle.

Fase ITIL per miglioramento continuo basata su metriche, review, azioni correttive.

Sì, ed è una fase esplicita del nostro Service Lifecycle, non un buon proposito: la reportistica di servizio produce i numeri, i numeri producono le azioni correttive. La cadenza delle review con il cliente è quella concordata nel contratto di servizio.

TOGAF è un framework per l'architettura d'impresa: mette in relazione business, dati, applicazioni e tecnologia in un quadro unico. È uno dei riferimenti del ragionamento sulla governance; il modello che usiamo operativamente per misurare la maturità dell'infrastruttura è il DCMM di The Green Grid.

COBIT è un framework di governance dell'IT, complementare a ITIL: dove ITIL descrive come erogare i servizi, COBIT descrive come governarli e misurarli. Nel nostro lavoro di IT Governance l'obiettivo è lo stesso — modelli decisionali espliciti, KPI misurati, investimenti motivati — con gli strumenti che l'organizzazione già usa.

Identificazione, analisi, trattamento dei rischi IT con framework (ISO 27005, NIST SP 800-30).

Sì. Assessment strutturato con matrice rischio, piano trattamento, monitoring.

Blueprint dell'organizzazione IT allineato al business: processi, dati, applicazioni, tecnologia.

Lavoriamo sul governo dell'IT e sulla maturità dell'infrastruttura: modelli decisionali, KPI di servizio e di progetto, governo di investimenti e rischio, e la valutazione DCMM come fotografia di partenza. Un incarico di enterprise architecture in senso stretto, sull'intero perimetro applicativo dell'organizzazione, non è il nostro mestiere.

Struttura di governance per coordinare iniziative di trasformazione digitale.

Il disegno organizzativo di una struttura di questo tipo non è ciò che vendiamo. Quello che portiamo è il pezzo IT su cui una trasformazione si regge o si ferma: misurare la maturità prima di investire, definire chi decide che cosa, mettere KPI confrontabili su servizi e progetti.

Valutazione del livello di maturità di un'area (IT, sicurezza, data center) rispetto a framework (DCMM, CMMI, ISO).

Il modello che usiamo è il DCMM (Data Center Maturity Model) di The Green Grid: sei livelli, due dimensioni (facility e IT), e come esito una roadmap invece di un voto. Funziona su un data center come su una sala CED con tre rack.

È lo strumento con cui un'organizzazione tiene traccia delle tecnologie emergenti e decide se adottarle, sperimentarle o lasciarle stare. È il tipo di decisione che l'IT Governance rende esplicita invece di lasciarla all'urgenza: priorità dichiarate, investimenti motivati, rischi misurati.

Un data center progettato per un impatto ambientale minimo: struttura in legno a bassa trasmittanza, bassa densità infrastrutturale, free cooling senza refrigerazione, energia 100% rinnovabile. Il nostro 00GATE è certificato Green da Accredia® e, per come è costruito, è tra i primi del sud Europa nel suo genere.

PUE (Power Usage Effectiveness) è un indicatore nato nel 2007 che misura quanto efficientemente un data center usa l'energia. Un PUE di 1.0 sarebbe perfetto (tutta l'energia va all'IT). È il numero che separa i data center gestiti da quelli subiti.

Nei data center più nuovi il 70–90% dell'energia la consumano i sistemi IT — proprio la parte che il PUE non misura. Servono metriche di capacità di lavoro, produttività per megawattora, e le nuove metriche di efficienza del lavoro.

Struttura in legno per minima trasmittanza termica; bassa densità (50% spazio rack usato) per dissipazione naturale; free cooling (moti convettivi, senza refrigerazione); temperatura di esercizio ~28°C invece dei tradizionali 18–20°C; energia 100% rinnovabile (fotovoltaico ed eolico).

Valori medi (fonte Gartner): ≈200 g di CO₂ per un'email con 10 MB di allegati; 250 g di CO₂ per un minuto di video; 200 g di CO₂ per un SMS; 4 g di CO₂ per una pagina web.

Sì. A giugno 2026 Ecomate ha assegnato a Lympha Technologies il grade BBB (ESG SME Rating) con punteggio 51/100: Environmental 45/100, Social 52/100, Governance 57/100.

Un data center costruito su suolo europeo ma di proprietà altrui non rende sovrani i tuoi dati: contano proprietà, controllo e possibilità di uscita. Noi garantiamo che i dati restino in Italia e sotto il tuo controllo.

Sì. La nostra esperienza è diventata un servizio: progettiamo Zero Emission Data Center per i clienti — data center a emissioni zero alimentati da rinnovabili, con PUE ottimizzato e monitoraggio DCIM di consumi ed efficienza.

Sono le classificazioni dell'Uptime Institute sulla ridondanza di un data center: Tier III è manutenibile senza fermare i servizi, Tier IV tollera il guasto di un componente senza interruzione. 00GATE è in configurazione Tier III, con continuità operativa garantita al 99,98% — al massimo 1,6 ore di fermo all'anno.

È in configurazione Tier III, con continuità operativa garantita al 99,98% — al massimo 1,6 ore di fermo all'anno — e protezione fisica affidata a quasi 200 dispositivi fra controlli d'accesso, rilevazione e videosorveglianza.

LEED (Leadership in Energy and Environmental Design) è una certificazione internazionale di sostenibilità degli edifici, che valuta materiali, consumi e qualità degli ambienti. È diffusa nell'edilizia, data center compresi.

No. La verifica esterna che abbiamo scelto è la certificazione Green rilasciata secondo disciplinare e accreditata da Accredia®, pubblicata nel registro del Green Cloud Consortium e verificabile da chiunque. LEED riguarda la sostenibilità dell'edificio; quella certificazione riguarda l'esercizio del data center.

Il CUE (Carbon Usage Effectiveness) misura le emissioni di carbonio per unità di energia consumata dall'IT. È la metrica su cui pesa la scelta della fonte: l'alimentazione di 00GATE è al 100% da fonti rinnovabili, ed è questo — non un meccanismo di compensazione — a incidere sul risultato.

Il WUE (Water Usage Effectiveness) misura i litri d'acqua consumati per unità di energia IT. È una metrica che pesa perché molti data center raffreddano con l'acqua. 00GATE non lo fa: usa free cooling per moti convettivi, senza impianti di refrigerazione e quindi senza consumo d'acqua per raffrescare.

L'ERF (Energy Reuse Factor) misura quanta parte dell'energia consumata viene recuperata e riutilizzata altrove, tipicamente come calore di scarto. È una metrica che premia i data center ad alta densità con molto calore concentrato; 00GATE è progettato all'opposto — bassa densità e dissipazione naturale — e il calore da recuperare è strutturalmente poco.

La Garanzia d'Origine è il certificato europeo che attesta la provenienza rinnovabile dell'energia elettrica. L'alimentazione del data center è al 100% da fonti rinnovabili, fotovoltaico ed eolico; i certificati dei nostri contratti di fornitura sono pubblicati e scaricabili nella pagina Sostenibilità.

Il DORA (Digital Operational Resilience Act) è il regolamento europeo sulla resilienza operativa digitale del settore finanziario. Non si applica a noi in quanto tali: si applica agli enti finanziari e, per ricaduta contrattuale, ai fornitori ICT che li servono. Se siete soggetti al DORA, i requisiti su continuità, test e gestione degli incidenti vanno tradotti in clausole contrattuali: è una verifica da fare insieme prima della firma, non una nostra dichiarazione di conformità.

È l'iniziativa volontaria con cui operatori europei di data center si sono impegnati alla neutralità climatica entro il 2030, con obiettivi su efficienza, energia pulita, acqua ed economia circolare. Non vi abbiamo aderito: 00GATE è stato progettato per non produrre emissioni fin dall'inizio, e la verifica esterna che portiamo è la certificazione Green di Accredia®.

È il programma volontario della Commissione europea sull'efficienza energetica dei data center, con un elenco pubblico di partecipanti e aderenti. Non vi figuriamo: la verifica esterna che abbiamo scelto per 00GATE è la certificazione Green di Accredia®, pubblicata nel registro del Green Cloud Consortium.

L'ISO 50001 è lo standard per i sistemi di gestione dell'energia, e chiede di misurare il lavoro prodotto per unità di energia consumata — non solo quanta energia si consuma. Non siamo certificati ISO 50001: l'unica certificazione di sistema di Lympha Technologies è la ISO 9001:2015 (registrazione 19349-A, ente Kiwa, accreditamento Accredia).

È la serie di standard internazionali dedicata alle infrastrutture dei data center — alimentazione, raffrescamento, sicurezza fisica, cablaggio — analoga per finalità alla statunitense TIA-942. 00GATE è in configurazione Tier III e certificato Green da Accredia®; una conformità dichiarata alla serie 22237 non fa parte delle certificazioni che pubblichiamo.

Il PUE istantaneo dice poco: dipende dal carico e dalla stagione, e si presta a essere scelto nel momento più favorevole. Quello annuo, media di dodici mesi, è l'unico confrontabile. Vale anche una premessa più scomoda: nei data center recenti il 70–90% dell'energia la consuma l'IT, cioè proprio la parte che il PUE non misura.

Raffrescamento con aria esterna senza compressor-based cooling. 00GATE usa solo free cooling invernale e convettivo.

È il contenimento dei corridoi caldi, con cui si separano i flussi d'aria calda e fredda per non sprecare raffrescamento. È una tecnica pensata per sale ad alta densità: 00GATE segue una strada diversa — bassa densità, metà dello spazio rack usato di proposito, e dissipazione per moti convettivi naturali.

È il raffrescamento a liquido, necessario quando la densità di potenza per rack diventa troppo alta perché l'aria basti — è la strada delle sale dedicate al calcolo intensivo. 00GATE va nella direzione opposta per progetto: metà dello spazio rack usato di proposito, temperatura d'esercizio intorno ai 28 °C e free cooling convettivo, senza impianti di refrigerazione.

Fra i valori medi che citiamo (fonte Gartner), un'e-mail con 10 MB di allegati pesa circa 200 g di CO₂. Per confronto: 250 g un minuto di video, 200 g un SMS, 4 g una pagina web. Sono ordini di grandezza, utili a capire che il digitale un costo ambientale ce l'ha.

È l'impronta complessiva delle attività digitali di un'organizzazione: dispositivi, rete, data center, servizi cloud. Misurarla richiede dati che stanno in posti diversi, ed è uno dei motivi per cui insistiamo sul censimento degli asset: il CMDB e il monitoraggio dei consumi sono il presupposto di qualsiasi misura credibile.

Conformità al CAD (D.Lgs. 82/2005): preferenza per software open source e riuso (artt. 68–69), accessibilità WCAG 2.1 AA, piena conformità GDPR con DPO titolato, sovranità del dato secondo NIS2 e indicazioni ACN.

I dati sanitari sono categorie particolari (art. 9 GDPR): garanzie rafforzate, minimizzazione, tracciabilità degli accessi. Offriamo BC/DR con RTO/RPO per servizio clinico, NOC 24×7, private cloud dedicato e IA on-premise senza uscita dei dati.

La NIS2 riguarda i settori essenziali e importanti — fra cui sanità, energia, trasporti, PA, finance e TLC — e chiede misure di sicurezza adeguate, piani di continuità testati e notifica degli incidenti. Se rientrate nel perimetro, gli elementi su cui incidiamo sono quelli infrastrutturali: continuità con RTO e RPO ricavati dalla BIA, test cronometrati, gestione documentata degli incidenti, assessment di sicurezza. La qualificazione del vostro ente come soggetto NIS2 è però un accertamento che spetta a voi.

Offriamo IT Governance e DCMM per governare investimenti su larga scala, progettazione data center e facility management (anche Zero Emission), gestione del parco postazioni SPOC con code VIP e CMDB, Centri di Competenza integrati.

Percorsi componibili a canone: 1. Protezione & continuità — DPaaS a canone; 2. Postazioni gestite — modello SPOC/Help Desk; 3. IT gestito completo — NOC + supporto continuativo.

Sì — fermo, perdita dati, attacchi — ma non gli stessi budget né un reparto IT strutturato. Il modello pay-per-use e i percorsi componibili permettono di partire da ciò che serve davvero e crescere quando serve.

Sì. La progettazione di data center e facility management è parte della Business Unit CNS, con architetture, capacity planning e facility planning per server farm e data center.

Con il linguaggio delle convenzioni pubbliche: processi formalizzati, SLA e reportistica. Il CMS ACME ECMS è conforme al CAD e alle linee guida AGID per l'accessibilità.

È il sistema che raccoglie in forma digitale la storia clinica del cittadino, gestito a livello regionale. Non realizziamo implementazioni di FSE: il nostro ruolo in sanità è l'infrastruttura sotto le applicazioni cliniche — continuità, protezione del dato, presidio continuativo, private cloud con dati in Italia.

La sanità è uno dei quattro settori che presidiamo. L'impostazione è quella descritta nella pagina dedicata: continuità e disaster recovery con RTO e RPO definiti per servizio clinico, presidio NOC 24×7×365, private cloud dedicato con i dati in Italia e IA on-premise per i documenti che non possono uscire. Le referenze specifiche le condividiamo su richiesta.

Il CAD (Codice dell'Amministrazione Digitale, D.Lgs. 82/2005) è il quadro normativo della digitalizzazione della PA. Gli articoli che ci riguardano più da vicino sono il 68 e il 69, sulla preferenza per il software open source e sul riuso: è il motivo per cui sviluppiamo con tecnologie aperte e il software resta dell'ente.

ACME ECMS include il plugin Acme SpidFedera per l'autenticazione con SPID e Federa, e il plugin Acme LDAP per le utenze aziendali. L'integrazione con CIE non fa parte del catalogo plugin pubblicato: se un progetto la richiede, va prevista esplicitamente.

PagoPA non compare nel catalogo dei plugin pubblicati di ACME ECMS. È un'integrazione realizzabile come sviluppo su misura all'interno di un progetto per la PA, ma va prevista e dimensionata: non è una funzionalità già disponibile a catalogo.

L'integrazione con app IO non fa parte del catalogo dei plugin pubblicati di ACME ECMS. Come per gli altri servizi della piattaforma pubblica nazionale, è realizzabile come sviluppo su misura e va prevista nel progetto.

L'integrazione con ANPR (Anagrafe Nazionale della Popolazione Residente) non fa parte del catalogo dei plugin pubblicati di ACME ECMS. È realizzabile come sviluppo su misura nell'ambito di un progetto per servizi demografici comunali.

Gli ambiti in cui interveniamo — migrazione al cloud, sicurezza, digitalizzazione dei processi, accessibilità — sono quelli su cui molti enti hanno investito con fondi PNRR. Lavoriamo con il linguaggio delle convenzioni pubbliche: processi formalizzati, SLA e reportistica. La rendicontazione dei fondi resta in capo all'ente e ai suoi consulenti.

È il principio per cui un'amministrazione deve valutare prima di tutto le soluzioni cloud, e motivare la scelta se decide altrimenti. Va letto insieme ai requisiti su sovranità e localizzazione del dato richiamati dalla NIS2 e dalle indicazioni ACN: il nostro private cloud è un perimetro dedicato con i dati in Italia. Dove la gara richieda la qualificazione ACN dei servizi, il requisito va verificato a monte.

Non abbiamo un'offerta dedicata al mondo universitario. Le nostre radici però ci passano vicino: Lympha nasce nel 2011 incubata da ASTER, il consorzio della Regione Emilia-Romagna con Università di Bologna, CNR ed ENEA. I settori che presidiamo con contenuti e competenze specifiche sono PA locale, sanità, grandi aziende e PMI.

Non abbiamo un'offerta verticale per le fondazioni. I servizi di continuità, protezione del dato, postazioni gestite e private cloud sono trasversali e si dimensionano sull'organizzazione che li richiede, qualunque sia la sua forma giuridica.

Non abbiamo un'offerta verticale per il mondo cooperativo. Vale quanto per le altre organizzazioni: i percorsi componibili a canone — protezione e continuità, postazioni gestite, IT gestito completo — si scelgono in base a ciò che serve davvero e crescono nel tempo.

Non abbiamo un'offerta verticale per i consorzi. L'infrastruttura e i servizi gestiti che eroghiamo sono gli stessi, dimensionati sul processo critico dell'organizzazione: il punto di partenza è sempre capire quale fermo non ci si può permettere.

L'abilitazione al Mercato Elettronico della Pubblica Amministrazione va verificata sul portale Acquisti in Rete, dove l'elenco degli operatori è pubblico e sempre aggiornato. Per le modalità di acquisto e le convenzioni applicabili al vostro ente, il modo più rapido è chiedercelo direttamente.

Il Regolamento (UE) 2024/1689 è la prima disciplina organica dell'intelligenza artificiale in Europa: gradua gli obblighi in base al rischio del sistema, dai divieti assoluti agli obblighi di trasparenza. È stato modificato dal Regolamento (UE) 2026/1744, il «Digital Omnibus sull'IA», in vigore dal 27 luglio 2026, che ne ha riscritto alcuni articoli e spostato in avanti le scadenze sull'alto rischio.

Gli obblighi di trasparenza dell'articolo 50, il regime sanzionatorio e l'operatività delle autorità di vigilanza del mercato: è la scadenza che il Digital Omnibus ha confermato, non rinviata. Riguardano chiunque faccia interagire persone con un sistema di IA o pubblichi contenuti generati, anche chi non si considera un'azienda «che fa IA».

Solo l'alto rischio, e con due date distinte fissate dal Digital Omnibus: 2 dicembre 2027 per i sistemi dell'Allegato III (art. 6(2)) e 2 agosto 2028 per quelli integrati in prodotti dell'Allegato I (art. 6(1)). Restano invece fermi al 2 dicembre 2026 il termine transitorio per la marcatura dei contenuti generati da sistemi già sul mercato e i nuovi divieti introdotti dall'Omnibus.

È fornitore chi immette sul mercato o mette in servizio un sistema di IA con il proprio nome, anche quando il modello sottostante è di terzi; è deployer chi lo usa sotto la propria autorità. La distinzione decide tutto il resto degli obblighi, ed è il primo accertamento da fare, sistema per sistema. Noi ci qualifichiamo come fornitori per le piattaforme che realizziamo, e mettiamo per iscritto nel contratto quali obblighi assolviamo noi e quali restano a voi.

Sì. ACME ECMS è conforme al CAD (D.Lgs. 82/2005), alle Linee guida AGID, alla Legge 4/2004 sull'accessibilità (WCAG 2.1 AA), al GDPR con DPO titolato.

Le scelte che raccontiamo sono strutturali, non aggiunte dopo: il sistema qualità certificato ISO 9001:2015, il data center certificato Green da Accredia®, la conformità GDPR con DPO titolato, il rating di legalità. Su NIS2 e AI Act il nostro ruolo è diverso e va detto con precisione: non siamo noi a rendervi conformi, ma governiamo gli aspetti infrastrutturali e tecnici da cui la vostra conformità dipende.

L'Agenzia per la Cybersicurezza Nazionale è l'autorità italiana per la cybersicurezza: gestisce la qualificazione dei servizi cloud per la PA e la vigilanza sull'attuazione della NIS2. Con la Legge 132/2025 le è stato attribuito anche un ruolo sull'intelligenza artificiale — vigilanza, ispezioni e sanzioni — mentre ad AgID spettano notifica, valutazione e accreditamento.

Il CISPE (Cloud Infrastructure Services Providers in Europe) è l'associazione dei provider europei di infrastrutture cloud, nota per il codice di condotta sulla protezione dei dati riconosciuto ai sensi dell'articolo 40 del GDPR. Non vi aderiamo: le verifiche esterne che portiamo sono la certificazione Green del data center e il sistema qualità ISO 9001:2015.

Dati sanitari, biometrici, genetici, opinioni politiche, religione, vita sessuale. Richiedono garanzie rafforzate.

Con le garanzie che i dati particolari richiedono: cifratura, minimizzazione, controllo granulare degli accessi e tracciabilità di chi ha visto che cosa. Quando trattiamo questi dati per conto di un cliente lo facciamo come responsabile del trattamento, entro le istruzioni del titolare; la valutazione d'impatto, dove necessaria, spetta al titolare.

È la valutazione d'impatto sulla protezione dei dati, obbligatoria per i trattamenti che presentano un rischio elevato per i diritti delle persone. È un adempimento del titolare del trattamento: nei progetti che coinvolgono dati particolari forniamo gli elementi tecnici necessari — misure di sicurezza, flussi, tempi di conservazione — e il nostro DPO titolato può affiancarvi, ma la valutazione resta in capo a voi.

Figura obbligatoria per PA e alcuni privati. Offriamo servizio DPO titolato esterno.

Quattro livelli: pratiche vietate (articolo 5), alto rischio (articolo 6 e Allegato III), rischio di trasparenza (articolo 50) e rischio minimo. Le sanzioni seguono la stessa scala: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o il 3% per le violazioni degli obblighi di trasparenza. La classificazione va motivata per iscritto: è il primo documento che un'autorità chiede.

Di norma no: le piattaforme documentali e gli agenti che realizziamo ricadono negli obblighi di trasparenza dell'articolo 50 o nel rischio minimo. Ma la classificazione si fa sistema per sistema, sull'uso concreto: il caso ad alto rischio più realistico per un'azienda è la selezione del personale (Allegato III), che spesso è un punto cieco perché lo strumento arriva dalle risorse umane e non dall'IT.

È la procedura con cui si verifica che un sistema ad alto rischio soddisfi i requisiti del regolamento prima di essere immesso sul mercato; in alcuni casi richiede l'intervento di un organismo notificato. Il Digital Omnibus ha previsto un modulo semplificato di documentazione tecnica per PMI e start-up, che gli organismi notificati sono tenuti ad accettare.

È la marcatura che attesta la conformità di un sistema ad alto rischio ed è necessaria prima dell'immissione sul mercato UE. Va tenuta distinta da un altro obbligo, che scatta prima e riguarda molti più soggetti: la marcatura in formato leggibile dalla macchina dei contenuti generati dall'IA, prevista dall'articolo 50(2) a carico del fornitore, con termine transitorio al 2 dicembre 2026 per i sistemi già sul mercato.

L'AI Act prevede una banca dati dell'Unione (articolo 71) in cui vanno registrati i sistemi ad alto rischio prima dell'immissione sul mercato, con obblighi di informazione a carico del fornitore. Non è un registro generale di tutti i sistemi di IA: per quelli soggetti al solo articolo 50 l'obbligo è di trasparenza verso le persone, non di registrazione.

Il Digital Operational Resilience Act è il regolamento europeo che impone agli enti finanziari un quadro strutturato di gestione del rischio ICT: censimento delle dipendenze, test di resilienza, notifica degli incidenti e clausole obbligatorie nei contratti con i fornitori di servizi ICT. Gli obblighi ricadono sull'ente finanziario, che li riversa contrattualmente sulla catena di fornitura.

Sui punti dove il regolamento tocca l'infrastruttura: piani di continuità e disaster recovery testati con tempi cronometrati, gestione documentata degli incidenti, assessment di sicurezza e reportistica utilizzabile come evidenza. Le clausole contrattuali richieste dal DORA vanno concordate esplicitamente; la qualificazione giuridica del rapporto va validata con i vostri consulenti.

La direttiva CER (Critical Entities Resilience) riguarda la resilienza fisica e organizzativa dei soggetti critici — energia, trasporti, sanità, banche — ed è il complemento della NIS2, che si occupa invece della sicurezza informatica. Le due vanno lette insieme: un piano di continuità che copra solo l'incidente cyber lascia scoperta metà del problema.

Vincolo geografico su dove i dati risiedono fisicamente. I nostri dati risiedono esclusivamente in Italia.

Sì. La sanità è tra i settori essenziali (direttiva NIS2) — servono piani di continuità e ripristino testati, non dichiarati.

CAD (D.Lgs. 82/2005), GDPR, NIS2, indicazioni ACN sul cloud, accessibilità secondo la Legge 4/2004 e le WCAG 2.1 AA, e ora l'AI Act. Il nostro contributo sta dove queste norme toccano l'infrastruttura e le applicazioni: sovranità e localizzazione del dato, continuità testata, accessibilità verificata, tracciabilità. Gli adempimenti che ricadono sull'ente in quanto titolare restano suoi.