ExpertCyber Monaco: scegliere bene

L'acquisto più difficile per un'impresa

Chiedete a un imprenditore monegasco come ha scelto il proprio fornitore informatico: la risposta è quasi sempre la stessa. Qualcuno glielo ha consigliato, oppure c'era già quando la società è nata. Nessuno lo ha verificato. Nessuno gli ha chiesto di dimostrare che la persona con i privilegi di amministratore su tutti i sistemi aziendali sappia davvero metterli in sicurezza.

Non è distrazione: è un autentico problema di informazione. La cybersicurezza è uno dei pochi acquisti in cui chi compra non ha praticamente modo di valutare chi vende. La configurazione di un firewall non si giudica da fuori. E un buon specialista di risposta agli incidenti si distingue da uno semplicemente sicuro di sé solo quando qualcosa va storto — momento in cui la valutazione diventa costosa.

Monaco ha costruito una risposta formale a questo problema. Il Principato ha istituito ExpertCyber Monaco, un marchio destinato alle imprese di servizi informatici in grado di dimostrare una reale competenza in cybersicurezza, sotto l'autorità dell'AMSN, l'agenzia monegasca per la sicurezza digitale. È un tassello piccolo, ma cambia una decisione che oggi la maggior parte delle aziende prende a istinto.

Che cos'è davvero il marchio

ExpertCyber Monaco poggia su due testi pubblicati nel luglio 2025: l'Ordinanza Sovrana n. 11.325 del 10 luglio 2025, che abilita l'AMSN a rilasciare il marchio, e il Decreto Ministeriale n. 2025-342 del 3 luglio 2025, che fissa i criteri di valutazione e le modalità di gestione del dispositivo.

Vale la pena capirne il funzionamento, perché spiega il peso del marchio:

• L'AMSN governa il sistema. Il suo direttore concede il marchio, tiene il registro dei fornitori accreditati e può sospenderlo o revocarlo se i requisiti non sono più soddisfatti.
• AFNOR Certification effettua le verifiche di conformità rispetto al riferimento pubblicato: la valutazione non è quindi un'autodichiarazione del fornitore.
• Il personale che opera sotto il marchio è soggetto ad abilitazione individuale, rinnovata ogni tre anni, e il fornitore deve tenere aggiornato l'elenco delle persone autorizzate.

Quest'ultimo punto è quello che gli acquirenti trascurano più spesso. Il marchio non è solo un distintivo aziendale: è legato a persone identificate per nome. Un'asticella nettamente più alta di una dichiarazione commerciale su un sito.

Che cosa deve dimostrare un fornitore

La valutazione non si riduce a un unico esame. Un candidato viene esaminato su quattro fronti:

1. La conformità amministrativa e regolamentare, incluso il trattamento dei dati personali. A Monaco significa la Legge n. 1.565 del 3 dicembre 2024 e la vigilanza dell'APDP — non il GDPR europeo, che non si applica direttamente a Monaco.
2. La qualità dell'offerta di servizi di sicurezza: che cosa viene realmente venduto, come sono delimitate le prestazioni, come vengono gestiti gli incidenti.
3. Le competenze del personale, valutate individualmente e non a livello di società.
4. La padronanza tecnica, verificata con una prova a tempo anziché descritta sulla carta.

Gli ambiti coperti comprendono il riconoscimento e la caratterizzazione degli attacchi informatici, la messa in sicurezza dell'architettura di un sistema informativo, l'analisi delle vulnerabilità software e degli strumenti di sicurezza, oltre alla comprensione dei quadri giuridici e delle giurisdizioni competenti quando un incidente assume rilevanza penale.

Il perimetro è volutamente concreto per le strutture piccole: sistemi informativi aziendali, telefonia d'impresa, amministrazione e protezione dei siti web. Ossia i tre pilastri su cui poggia la quotidianità di una PMI monegasca.

A chi si rivolge

ExpertCyber Monaco si rivolge alle imprese di servizi informatici che lavorano per una clientela professionale: quelle che installano i sistemi, li mantengono e vengono chiamate quando qualcosa si blocca. Esattamente la categoria di fornitore da cui dipendono la maggior parte delle PMI monegasche, e quella che sanno valutare di meno.

Se guidate un'azienda tra i cinque e i cento dipendenti — uno studio professionale, un'agenzia, un negozio, un family office, un gruppo alberghiero — con ogni probabilità avete un fornitore di questo tipo. E quel fornitore dispone verosimilmente di più accessi alla vostra impresa di qualsiasi altro soggetto esterno.

Va distinto da un secondo dispositivo monegasco: la qualificazione PINH per i fornitori di cloud e hosting, definita dal Decreto Ministeriale n. 2026-59 del febbraio 2026, riguarda il luogo in cui risiedono i vostri dati. ExpertCyber Monaco riguarda chi mette le mani sui vostri sistemi. Due domande diverse, due registri distinti, entrambi tenuti dall'AMSN. Un'azienda ben gestita finisce per interessarsi a entrambi.

Come usarlo concretamente

Un marchio serve solo se entra davvero nella conversazione d'acquisto. Alcuni accorgimenti pratici:

Consultate il registro prima di firmare, non dopo. L'AMSN tiene l'elenco dei fornitori accreditati e AFNOR pubblica le informazioni sul dispositivo. Verificate alla fonte anziché fidarvi di un logo su una homepage: i marchi restano esposti anche dopo la scadenza.

Chiedete quali persone sono coperte. Poiché il marchio è legato al personale abilitato, «la nostra società è accreditata» e «il tecnico assegnato al vostro account è abilitato» non sono la stessa affermazione. Pretendete la seconda.

Non squalificate un fornitore privo di marchio. Il dispositivo è recente e il registro si sta ancora popolando. Molti professionisti competenti a Monaco non vi sono ancora passati. Il marchio è un forte indizio positivo; la sua assenza è semplicemente un invito a porre domande più precise.

Usatelo come griglia di lettura, anche se restate con il fornitore attuale. I quattro assi di valutazione costituiscono un buon ordine del giorno per la revisione annuale: chi ha gli accessi, come vengono gestiti gli incidenti, che fine fanno i dati personali, e chi nel team è realmente qualificato.

Separate i ruoli. Chi gestisce la vostra rete raramente è il soggetto giusto per costruire e proteggere il vostro sito pubblico. Se il sito tratta richieste, prenotazioni o dati dei clienti, la sua sicurezza compete a chi cura il vostro sviluppo web e la manutenzione del sito, con responsabilità scritte e chiare su aggiornamenti, backup e accessi.

Il quadro più ampio

Monaco sta costruendo progressivamente punti di riferimento ufficiali che permettono alle imprese di verificare invece di credere: l'APDP come autorità attiva per la protezione dei dati ai sensi della Legge n. 1.565, la qualificazione PINH per cloud e hosting e ora un marchio per chi interviene sui vostri sistemi. Nessuno di questi è un obbligo che ricade su di voi. Tutti spostano l'asimmetria informativa a favore di chi compra.

A Monaco pesa più che altrove. Il bacino di fornitori è ristretto, i rapporti sono lunghi e cambiare è socialmente scomodo. Uno standard esterno e oggettivo vi dà una ragione neutra per porre una domanda diretta — spesso la parte più difficile.

Una precisazione, detta con chiarezza: questi dispositivi evolvono, i registri cambiano e i dettagli su ammissibilità e rinnovo sono amministrati dall'AMSN. Se una scelta di fornitore o una questione di conformità dipende da quei dettagli, verificate direttamente presso l'AMSN e fatevi assistere da un professionista: questo articolo offre orientamento, non consulenza legale.

Se volete capire quali parti del vostro assetto digitale meritano questo livello di controllo — e quali vanno benissimo così — contattateci. Possiamo esaminare il vostro sito, il trattamento dei dati alla luce delle regole dell'APDP e i punti in cui la vostra strategia digitale e i rapporti con i fornitori andrebbero stretti.