Windows Server 2016: fine supporto

Il 12 gennaio 2027 Microsoft smetterà di rilasciare aggiornamenti di sicurezza per Windows Server 2016. La mattina dopo il server nello sgabuzzino continuerà a funzionare e nulla sembrerà rotto. La differenza è che ogni vulnerabilità scoperta dopo quella data resterà aperta su quella macchina per sempre.

A Monaco la questione pesa più di quanto molti titolari immaginino. Tanti uffici del Principato usano ancora un piccolo server installato otto o dieci anni fa, spesso con Windows Server 2016 o la sua edizione Essentials. Ospita le cartelle condivise e i fascicoli dei clienti, fa girare il software di contabilità o di gestione immobiliare, consente l'accesso remoto al desktop oppure tiene in vita, senza che nessuno ci pensi, un vecchio sito web o una intranet. Restano circa dieci settimane per decidere che cosa farne e, con la pausa delle feste, la finestra utile è più vicina a sette.

Che cosa finisce esattamente, e che cosa no

Secondo la pagina del ciclo di vita di Microsoft, il supporto esteso di Windows Server 2016 (edizioni Datacenter, Standard, Essentials e MultiPoint Premium) termina il 12 gennaio 2027, ora del Pacifico. Il supporto standard è già finito a gennaio 2022. Dopo gennaio 2027 non ci saranno più patch di sicurezza gratuite, correzioni di bug né assistenza tecnica.

Microsoft ha indicato che le organizzazioni che non riescono a migrare in tempo potranno acquistare gli Extended Security Updates (ESU) per un massimo di tre anni. Gli ESU coprono solo le correzioni di sicurezza critiche e importanti, senza nuove funzionalità né assistenza. I prezzi riportati finora sono calcolati per core e cambiano da una fonte all'altra: chiedete un preventivo scritto al vostro rivenditore di licenze prima di metterli a budget.

Due prodotti collegati sono già fuori supporto: Exchange Server 2016 da ottobre 2025 e SQL Server 2016 da luglio 2026. Se il vostro server li usa, la scadenza è di fatto già passata.

Perché un'impresa monegasca deve considerarla una priorità

Su questi server ci sono di solito i dati più delicati. Per un family office, una fiduciaria, uno studio legale, un'agenzia immobiliare o un broker di yacht, il file server contiene in genere documenti d'identità, contratti, coordinate bancarie e corrispondenza con clienti molto facoltosi. È esattamente ciò che cercano gli attaccanti, e un vecchio server Windows esposto tramite desktop remoto è uno dei loro accessi preferiti.

Gli obblighi di legge non vanno in pausa. La Legge n. 1.565 del 3 dicembre 2024, vigilata dall'APDP, richiede misure di sicurezza adeguate al rischio e prevede obblighi di notifica in caso di violazione. Dopo un incidente, ammettere di sapere che il server non era più supportato e di averlo lasciato acceso è una posizione difficile da sostenere. Non siamo avvocati: fate confermare i vostri obblighi specifici da un consulente qualificato. La nostra pagina sulla protezione dei dati APDP illustra il quadro generale.

Monaco prende sul serio il software non aggiornato. A ottobre 2026 il Governo, il Palazzo e la Mairie hanno messo offline i propri siti per precauzione quando sono state rese note gravi falle di PHP (PHP2Shell), invece di lasciarli girare senza patch. È un buon metro di ciò che fa un'organizzazione prudente. Gli attacchi automatizzati scandagliano tutta Internet e non guardano le dimensioni della vostra azienda.

Primo passo: sapere che cosa avete davvero

Molti titolari non sanno se usano Windows Server 2016, soprattutto quando l'installazione l'ha fatta un fornitore che non c'è più. Chiedete al vostro tecnico una risposta di una pagina a cinque domande:

1. Quali server abbiamo, fisici o virtuali, in ufficio o presso un provider, e con quale versione di Windows Server?
2. A che cosa serve ciascuno? Condivisione file, contabilità, database del CRM, desktop remoto, stampa, backup, oppure un sito o una intranet su IIS.
3. È raggiungibile da Internet? Desktop remoto, gateway VPN e server web sono i punti più a rischio.
4. Dove sono i backup, e quando è stato provato l'ultimo ripristino?
5. Chi ha i diritti di amministratore, comprese persone che non lavorano più con voi?

Fate attenzione soprattutto ai siti web. I vecchi siti ASP.NET e i portali clienti girano spesso sul server Windows aziendale. Se è il vostro caso, il sistema operativo fa parte della sicurezza del sito e non è una questione informatica separata.

Le quattro opzioni realistiche

1. Passare a una versione supportata di Windows Server. Se l'hardware è abbastanza recente e i software gestionali sono certificati, l'aggiornamento a Windows Server 2022 o 2025 è la strada più diretta. Verificate prima la compatibilità con i produttori, in particolare per contabilità e gestione immobiliare.

2. Spostarsi nel cloud. In molti piccoli uffici monegaschi il server serve soprattutto a condividere file e gestire la posta. Microsoft 365, con SharePoint e OneDrive, può sostituirlo del tutto, e nello sgabuzzino non resta nulla da aggiornare. Quando conta il luogo in cui si trovano i dati, come spesso accade per dati regolamentati o molto riservati, valutate le soluzioni di hosting nel Principato prima di dare per scontato che un data center all'estero vada bene.

3. Dismetterlo. A volte la risposta onesta è che il server fa girare un'applicazione dimenticata e qualche vecchia cartella. Archiviate correttamente, spostate ciò che serve ancora e spegnete la macchina.

4. Acquistare gli ESU come ponte. Ha senso quando un'applicazione critica non può essere migrata prima di gennaio e avete un piano di sostituzione con una data precisa. Non ha senso per rimandare la decisione: ve la ritroverete un anno dopo, a un prezzo più alto.

Se il server ospita anche il vostro sito, trasferirlo su un hosting moderno e gestito costa di solito meno e protegge meglio che tenerlo in casa. Il nostro team di sviluppo web esegue regolarmente migrazioni di questo tipo, e un servizio di manutenzione del sito mantiene poi la nuova piattaforma aggiornata senza che nessuno debba ricordarsene.

Un calendario che regge alle feste

• Entro metà novembre: completare l'inventario e scegliere l'opzione per ciascun server.
• Da fine novembre a metà dicembre: ordinare hardware o licenze, migrare e testare i ripristini. Tempi di consegna e disponibilità del personale peggiorano nella seconda metà di dicembre.
• Prima di Natale: chiudere gli accessi da Internet (desktop remoto in primis) su ogni server che a gennaio sarà ancora su Windows Server 2016.
• Prima settimana di gennaio: verificare che la migrazione sia conclusa o che gli ESU siano attivi, e registrare la decisione insieme agli altri documenti di conformità.

È anche il momento giusto per guardare il quadro complessivo: da quali sistemi dipendete, chi li gestisce, quanto costa ciascuno? I nostri progetti di strategia digitale partono spesso proprio da un inventario di questo tipo, che fa emergere risparmi oltre che rischi.

Non sapete se il vostro sito o il portale clienti dipende ancora da un vecchio server Windows? Contattateci: vi diremo che cosa state usando e come trasferirlo in sicurezza prima del 12 gennaio.