Cloud, on-premise o ibrido: come scegliere davvero il modello giusto di Digital Signage

Percè occorre prendere due decisioni, non una salamente

Quando un'azienda deve scegliere una rete Digital Signage, la domanda che quasi sempre arriva per prima è "meglio cloud o on-premise?". È la domanda sbagliata, o meglio: è una domanda che ne nasconde due.

La prima riguarda il modello commerciale: si acquista una licenza perpetua con un pagamento unico, oppure ci si abbona pagando un canone ricorrente? La seconda riguarda l'architettura: dove girano il software di gestione (CMS, Content Management System) e i dati che lo alimentano — su server dell'azienda, su infrastruttura del fornitore, o in una combinazione delle due?

Sono due assi indipendenti. Si può acquistare una licenza perpetua e installarla su un cloud privato. Si può sottoscrivere un abbonamento e ospitarlo on-premise. Trattarli come un'unica scelta binaria porta a confrontare mele con pere: un CAPEX (Capital Expenditure, spesa in conto capitale) iniziale alto con un OPEX (Operating Expenditure, spesa operativa ricorrente) mensile, senza un orizzonte temporale comune su cui confrontarli davvero.

Nel 2026 la posta in gioco si è alzata su altri due fronti: la sicurezza — con la certificazione SOC 2 diventata uno standard atteso da più fornitori del settore, non più un'eccezione — e la normativa, con la direttiva NIS2 che entra nella fase di applicazione sostanziale e introduce obblighi di gestione del rischio sulla catena di fornitura anche per chi acquista servizi cloud. Questo approfondimento separa le due decisioni, quantifica i costi nel tempo con dati verificabili e indica cosa verificare prima di firmare un contratto.

Perché nel 2026 la scelta si è complicata

Tre elementi hanno cambiato il modo in cui i fornitori di piattaforme Digital Signage propongono i loro modelli commerciali e di hosting.

I modelli si sono moltiplicati dentro lo stesso fornitore. Non è più "cloud oppure on-premise": diversi CMS offrono oggi più livelli di sottoscrizione cloud (pensati per reti piccole con hosting condiviso, o per reti più grandi con funzionalità enterprise) accanto a un'opzione self-hosting che può essere venduta sia come abbonamento sia come licenza perpetua. La scelta "dove" e la scelta "come pago" si sono quindi separate anche a livello di listino.

La certificazione SOC 2 (System and Organization Controls 2, uno standard statunitense di audit sui controlli di sicurezza, disponibilità e riservatezza dei dati definito dall'AICPA) è diventata un requisito ricorrente nelle gare e nelle richieste di aziende enterprise. Nel 2025 e nel 2026 più fornitori di software per Digital Signage hanno comunicato il conseguimento di SOC 2 Type II (la verifica che i controlli dichiarati funzionino nel tempo, non solo che esistano sulla carta) come elemento distintivo nella comunicazione commerciale.

La direttiva europea NIS2 (Network and Information Security 2) entra nella fase di applicazione sostanziale nel 2026. In Italia il 2026 segna il passaggio dalla registrazione formale dei soggetti obbligati alla verifica concreta delle misure di sicurezza: tra le scadenze più rilevanti, l'avvio degli obblighi di notifica degli incidenti (da gennaio 2026) e il termine per l'implementazione delle misure di sicurezza di base (31 ottobre 2026). La normativa non impone direttamente "cloud" o "on-premise", ma richiede una gestione del rischio sulla catena di fornitura che coinvolge anche i fornitori di servizi cloud utilizzati dai soggetti obbligati.

Licenza e hosting non sono la stessa cosa

Modello di licenza e modello di hosting rispondono a due domande diverse e vanno valutati con criteri diversi.

Il modello di licenza riguarda come si paga il diritto d'uso del software: pagamento unico e uso a tempo indeterminato (licenza perpetua, tipicamente con un costo di manutenzione annuo separato per aggiornamenti e supporto), oppure canone ricorrente che include aggiornamenti e assistenza (abbonamento). È una decisione finanziaria: sposta il costo tra conto capitale e conto economico, cambia il break-even nel tempo, incide sulla prevedibilità di budget.

Il modello di hosting riguarda dove girano CMS e dati: su server e rete di proprietà o in colocation gestita dall'azienda (on-premise), su infrastruttura gestita dal fornitore (cloud), o in una combinazione dove alcune funzioni restano locali e altre passano dal cloud (ibrido — ad esempio un CMS ospitato dal fornitore con un server locale per il caching dei contenuti in caso di interruzione della connettività). È una decisione di controllo, sicurezza e conformità: chi ha accesso ai dati, quali normative si applicano, chi è responsabile della continuità operativa in caso di guasto.

Le quattro combinazioni sono tutte tecnicamente possibili (perpetua on-premise, perpetua in cloud privato, abbonamento cloud, abbonamento self-hosted) anche se il mercato ne propone commercialmente solo alcune per ciascun fornitore. Il criterio corretto è valutarle separatamente: prima si decide dove devono stare dati e infrastruttura in base a requisiti di sicurezza, conformità e continuità; poi si sceglie il modello di pagamento in base al profilo finanziario dell'azienda e all'orizzonte di utilizzo previsto.

Cosa cambia davvero, in pratica

1. Il confronto di costo cambia radicalmente a seconda dell'orizzonte temporale scelto. Un modello on-premise pesa nel primo anno (investimento iniziale alto), un modello cloud pesa nel tempo (canone ricorrente che continua a crescere). Confrontarli sul primo anno o su cinque anni può capovolgere la conclusione.
2. La responsabilità della sicurezza si sposta. In cloud una parte della sicurezza infrastrutturale (patching, hardening dei server, continuità del data center) è in capo al fornitore ed è verificabile tramite certificazioni come SOC 2. On-premise quella responsabilità resta interamente sull'azienda o su chi gestisce l'infrastruttura per suo conto.
3. Il fabbisogno di personale IT non è lo stesso. Una rete on-premise richiede competenze interne (o un contratto di gestione) per manutenzione server, backup, aggiornamenti di sicurezza. Una rete cloud sposta gran parte di questo carico sul fornitore, ma introduce dipendenza dalla sua continuità di servizio e dalla qualità del suo supporto.
4. La conformità normativa non è un dettaglio tecnico. Per soggetti coinvolti da NIS2, GDPR o normative di settore (sanità, PA, infrastrutture critiche) la sede dei dati e la gestione della catena di fornitura possono essere un requisito di gara, non una preferenza.
5. La reversibilità della scelta è diversa. Cambiare fornitore cloud richiede la migrazione di dati e contenuti su un'altra piattaforma gestita da terzi. Cambiare gestore di un'infrastruttura on-premise, quando il software resta di proprietà dell'azienda, può essere più semplice — ma solo se la licenza lo consente esplicitamente.

Dove finisce un componente e comincia l'altro

Parlare di "cloud vs on-premise" senza specificare quale livello dell'architettura si sta spostando genera equivoci. In una rete Digital Signage tipica convivono livelli distinti, e ciascuno può in teoria stare in un posto diverso:

• CMS (Content Management System): la piattaforma che pianifica, distribuisce e monitora i contenuti. È il livello a cui normalmente ci si riferisce parlando di "cloud o on-premise".
• Media player: il dispositivo (fisico o integrato nel display come SoC, System on Chip) che riceve i contenuti dal CMS e li riproduce sullo schermo. Funziona con connettività intermittente grazie a una cache locale, indipendentemente da dove sia ospitato il CMS.
• Storage dei contenuti: dove risiedono i file multimediali sorgente. Può essere separato dal CMS (ad esempio un bucket cloud o un NAS aziendale) anche quando il CMS stesso è ospitato altrove.
• Dati e log operativi: stato dei player, statistiche di riproduzione, log di audience measurement quando presente. È spesso il dato più sensibile dal punto di vista normativo, e la sua sede va verificata separatamente da quella del CMS.
• Backup e disaster recovery: la strategia di continuità in caso di guasto. In cloud è tipicamente inclusa nel canone; on-premise va progettata e budgetata a parte.

Un'architettura ibrida tipica prevede il CMS in cloud, con un server locale (edge) che mantiene una copia della programmazione e continua a pilotare gli schermi anche se la connessione con il cloud si interrompe. Questo riduce il rischio di "schermo nero" senza rinunciare alla gestione centralizzata, al prezzo di un componente hardware e di configurazione in più da mantenere.

Vantaggi, limiti e condizioni

La tabella seguente riassume un confronto di TCO (Total Cost of Ownership, costo totale di possesso) tra hosting cloud e on-premise per una rete Digital Signage, basato su un'analisi comparativa pubblicata da Pickcel (novembre 2025, mercato statunitense). Le cifre sono indicative e vanno prese come ordine di grandezza e non come listino: variano per numero di schermi, complessità dei contenuti e paese.

On-premise. Vantaggi: controllo diretto su dati e infrastruttura, nessun costo ricorrente di licenza dopo l'acquisto, personalizzazione più ampia. Limiti: investimento iniziale rilevante, necessità di competenze interne o di un contratto di manutenzione, responsabilità piena su backup e disaster recovery. Condizione tipica di scelta: requisiti normativi stringenti su sede dei dati, reti molto grandi dove il canone cloud diventerebbe più oneroso nel tempo, presenza di un reparto IT già strutturato.

Cloud. Vantaggi: attivazione rapida, aggiornamenti e patch di sicurezza gestiti dal fornitore, scalabilità immediata, SLA (Service Level Agreement) di uptime spesso più elevati. Limiti: costo ricorrente che nel lungo periodo può superare l'equivalente on-premise, dipendenza dalla connettività e dalla continuità del fornitore, minore controllo diretto sui dati. Condizione tipica di scelta: reti di dimensione piccola-media, assenza di un reparto IT dedicato, necessità di scalare rapidamente su più sedi.

Ibrido. Vantaggi: combina gestione centralizzata cloud con continuità locale in caso di interruzione della rete. Limiti: architettura più complessa da progettare e da assistere, doppio punto di responsabilità (fornitore cloud ed eventuale system integrator per l'edge locale). Condizione tipica di scelta: reti distribuite su sedi con connettività non sempre affidabile, o passaggio graduale da on-premise a cloud.

Cosa cambia per clienti, reseller e system integrator

Per i clienti finali, il cambiamento principale è nel processo d'acquisto: la domanda da porre non è più "quanto costa la licenza" ma "quanto costa possedere ed eseguire questa rete nei prossimi 3-5 anni, e chi è responsabile di cosa se qualcosa va storto". Questo richiede coinvolgere IT, acquisti e, per i soggetti interessati da NIS2 o normative di settore, anche la funzione compliance già in fase di capitolato, non a valle della scelta del fornitore.

Per i reseller, la vendita si sposta da "proporre un prodotto" a "costruire una configurazione": la stessa piattaforma può essere proposta in più combinazioni di licenza e hosting, e la combinazione giusta dipende da fattori specifici del cliente (dimensione della rete, presenza di un reparto IT, vincoli normativi) più che da una preferenza di prodotto. Questo richiede competenze commerciali più vicine alla consulenza IT che alla vendita di licenze software.

Per i system integrator, l'architettura ibrida in particolare richiede competenze che vanno oltre l'installazione: dimensionamento dei server edge, gestione della sincronizzazione in caso di interruzione della connettività, definizione di SLA propri (spesso separati da quelli del fornitore del CMS) per la componente locale. È un'area dove il valore aggiunto del system integrator diventa più misurabile e differenziante rispetto alla semplice rivendita di licenze.

Una lettura per il mercato italiano

In Italia il 2026 è l'anno in cui la direttiva NIS2 passa dalla registrazione formale alla verifica sostanziale delle misure di sicurezza: oltre 30.000 organizzazioni si sono registrate nel 2025 (di cui circa 5.000 come soggetti essenziali), gli obblighi di notifica degli incidenti sono partiti a gennaio 2026 e il termine per l'implementazione delle misure di sicurezza di base è fissato al 31 ottobre 2026. La normativa copre 18 settori e oltre 80 tipologie di organizzazioni pubbliche e private, e tra le misure richieste rientra esplicitamente la sicurezza della catena di approvvigionamento (supply chain security).

Per chi acquista Digital Signage, questo non significa che il cloud sia sconsigliato o che l'on-premise sia obbligatorio: NIS2 non impone una sede dei dati specifica. Significa però che i soggetti coinvolti dalla direttiva — e, a cascata, chi fornisce loro servizi — devono poter documentare la gestione del rischio anche sui fornitori terzi, inclusi quelli di hosting e CMS. In pratica, nelle gare pubbliche e nei capitolati di aziende soggette a NIS2 è sempre più frequente trovare requisiti su certificazioni di sicurezza del fornitore (SOC 2 o equivalenti), sede geografica dei dati e capacità di audit, indipendentemente dal modello di licenza scelto.

Questo sposta parte della valutazione dal singolo prodotto al fornitore nel suo complesso: la certificazione SOC 2 di una piattaforma, quando disponibile, diventa un elemento da verificare in fase di capitolato tanto quanto le specifiche tecniche del CMS.

Cosa verificare prima di decidere

Domande da porre al fornitore, separate per area:

Licenza e costi

• Il costo indicato è per schermo, per player o per l'intera installazione?
• Cosa succede al termine di un abbonamento: i contenuti restano accessibili, per quanto tempo, in quale formato?
• Nella licenza perpetua, cosa copre esattamente la manutenzione annua e cosa resta escluso?

Hosting e continuità

• Dove sono fisicamente ospitati i dati (paese, data center) e possono cambiare senza preavviso?
• Cosa succede agli schermi se la connessione con il cloud si interrompe: esiste una cache locale, per quanti giorni resta operativa?
• Qual è l'SLA di uptime dichiarato e quali penali o rimborsi sono previsti se non viene rispettato?

Sicurezza e conformità

• Il fornitore dispone di certificazioni di sicurezza verificabili (SOC 2 Type II, ISO 27001) e può fornire il report di audit su richiesta?
• Come viene gestita la conformità GDPR per i dati raccolti (incluso audience analytics, se previsto)?
• In caso di incidente di sicurezza, quali sono i tempi di notifica contrattuali al cliente?

Portabilità e uscita

• I contenuti e la configurazione possono essere esportati in un formato riutilizzabile su un'altra piattaforma?
• Esistono costi di uscita (data egress, disattivazione anticipata) e quanto incidono?
• In caso di cambio di system integrator, la licenza consente il trasferimento della gestione senza riacquistarla?

Conclusione

Non esiste un modello di Digital Signage "migliore" in assoluto: esistono due decisioni distinte — come si paga il software e dove risiedono infrastruttura e dati — che vanno valutate separatamente e su un orizzonte di 3-5 anni, non sul solo costo d'ingresso. Nel 2026, a queste due decisioni se ne aggiunge di fatto una terza, meno visibile ma sempre più vincolante: la capacità del fornitore di documentare sicurezza e gestione del rischio, richiesta sia dal mercato enterprise sia, per un numero crescente di soggetti, dalla normativa. Chi valuta una rete nuova o un rinnovo farà bene a mettere queste tre variabili — licenza, hosting, sicurezza documentata — sullo stesso tavolo prima di chiedere un preventivo, non dopo averlo ricevuto.