Quando un’azienda ci chiede «qual è il miglior EDR/XDR?», la risposta onesta è: dipende. Non esiste una soluzione «migliore» in assoluto — esiste quella giusta per il tuo contesto. E il contesto, sempre più spesso, non è solo tecnico: pesa lo stack che hai già, ma anche gli obblighi normativi, la residenza dei dati e l’origine del fornitore. Per questo non siamo un rivenditore mono-vendor: implementiamo EDR e XDR su due binari, e la scelta la facciamo insieme al cliente.
I due binari che implementiamo
Il primo è Microsoft-native: Microsoft Defender per Endpoint e XDR, integrato con Entra, Intune e Microsoft 365. Il secondo è un’alternativa europea: Bitdefender GravityZone, piattaforma unificata EPP/EDR/XDR con opzione di gestione MDR. Entrambi coprono prevenzione, analisi comportamentale, rilevamento e risposta automatica; cambiano l’integrazione, l’origine del fornitore e il modello di governo dei dati.
| Dimensione | Microsoft Defender | Bitdefender GravityZone |
|---|---|---|
| Integrazione | Nativa con Entra, Intune e Microsoft 365: identità, endpoint e cloud in un’unica console. | Piattaforma indipendente, agnostica rispetto al tenant: si integra con stack misti e non-Microsoft. |
| Origine del vendor | Stati Uniti. | Europea (Romania, dal 2001). |
| Qualifica ACN | Valutata caso per caso sui singoli servizi cloud. | GravityZone qualificata al livello QC2 (scheda SA-4626). |
| Scelta naturale per | Chi ha già un tenant Microsoft e vuole una console unica identità-endpoint-cloud. | Chi vuole evitare la concentrazione su un unico ecosistema o ha requisiti di origine EU e residenza dei dati. |
Nessuno dei due binari è «di serie B». Sono due strade solide verso lo stesso obiettivo — vedere e fermare un attacco prima che faccia danni — con vincoli e vantaggi diversi.
Cosa significa (e cosa non significa) la qualifica ACN QC2
L’ACN (Agenzia per la Cybersicurezza Nazionale) mantiene un catalogo dei servizi cloud qualificati per la Pubblica Amministrazione, con livelli crescenti in base alla criticità dei dati e dei servizi che possono ospitare. Il passaggio da QC1 a QC2 non è un dettaglio di marketing: significa che il servizio è stato valutato idoneo a trattare dati e servizi a criticità più elevata. Nel catalogo, la scheda SA-4626 (Bitdefender GravityZone, SaaS) risulta qualificata al livello QC2.
Attenzione a non sopravvalutare il dato: per un’azienda privata la qualifica ACN non è un obbligo di legge. È però un indicatore concreto di affidabilità e governance, e diventa rilevante se lavori nella catena di fornitura della PA o in settori con obblighi come la NIS2. In quei casi, scegliere strumenti già qualificati semplifica gli audit e le richieste dei committenti.
Sovranità digitale: uno strumento, non una bandiera
«Vendor europeo» e «dati in Italia» sono argomenti forti in questo periodo, ma vanno maneggiati con lucidità. La residenza dei dati e l’origine del fornitore non sono un valore in sé: sono strumenti per rispondere a requisiti concreti — vincoli contrattuali, giurisdizione applicabile, richieste di un committente pubblico, riduzione della dipendenza da un singolo ecosistema. Sceglierli «per bandiera», senza un requisito che li giustifichi, è un costo senza beneficio.
Detto questo, per chi ha quei requisiti, un vendor europeo qualificato ACN è la risposta più diretta: Bitdefender è un’azienda europea con oltre vent’anni di ricerca in cybersecurity, e ha annunciato una console con dati residenti in Italia (in arrivo, non ancora disponibile). Il nostro compito è aiutarti a capire se quei requisiti valgono per te — non venderti una narrazione.
Come scegliamo insieme
La scelta parte da poche domande concrete, non dal catalogo del fornitore:
- 1Che stack hai già? Un tenant Microsoft 365 maturo rende Defender la strada a minor attrito; un ambiente misto o non-Microsoft sposta l’ago verso una piattaforma indipendente.
- 2Quali obblighi normativi ti riguardano? NIS2, settori regolati, lavoro con la PA: cambiano il peso della qualifica ACN e della residenza dei dati.
- 3Ti serve un servizio gestito? Se non hai un presidio di sicurezza interno, l’opzione MDR di GravityZone o un monitoraggio gestito sul lato Microsoft possono coprire il divario.
- 4Quanto conta l’indipendenza dal singolo fornitore? Diversificare vendor riduce il lock-in, ma aggiunge una console da gestire: è un compromesso da valutare, non un dogma.
AtWorkStudio opera da Piacenza dal 2000. Siamo certificati ISO/IEC 27001, 27017, 27018 e ISO 9001, con qualificazione ACN per i nostri servizi cloud, membri di Clusit (Associazione Italiana per la Sicurezza Informatica) e associati a Confindustria Piacenza nel cluster RICT. Non implementiamo un brand: mettiamo a terra lo strumento giusto per il tuo rischio, e lo gestiamo nel tempo.
Fonti
- ACN — Catalogo delle schede qualificate dei servizi cloud (scheda SA-4626, Bitdefender GravityZone, SaaS, livello QC2)
- ACN — Regolamento per le infrastrutture digitali e i servizi cloud per la Pubblica Amministrazione
- Bitdefender — documentazione GravityZone (EPP, EDR, XDR, MDR/MXDR)
- Computer Gross — comunicazione sulla qualifica ACN QC2 di GravityZone, luglio 2026
Approfondisci
Domande frequenti
Le risposte più comuni sulla scelta tra Microsoft Defender e un vendor europeo qualificato ACN.
Sì. Bitdefender GravityZone è una piattaforma EPP/EDR/XDR di un vendor europeo (fondato in Romania nel 2001), con opzione di gestione MDR. La sua scheda è inserita nel catalogo dei servizi cloud qualificati dall’ACN (Agenzia per la Cybersicurezza Nazionale) al livello QC2. È l’alternativa concreta per chi non vuole un’unica dipendenza dall’ecosistema Microsoft o ha requisiti specifici di residenza dei dati e di origine europea del fornitore.
Il catalogo ACN classifica i servizi cloud qualificati per la Pubblica Amministrazione su livelli crescenti in base alla criticità dei dati e dei servizi che possono ospitare. QC2 è superiore al QC1 di partenza e abilita il trattamento di dati e servizi a criticità più elevata. Nel catalogo, la scheda SA-4626 (Bitdefender GravityZone, SaaS) risulta qualificata al livello QC2. Per un’azienda privata non è un obbligo, ma un indicatore di affidabilità e conformità utile soprattutto a chi lavora con la PA o in settori regolati.
No. Se hai già Microsoft 365, Entra e Intune, Microsoft Defender è spesso la scelta più naturale perché unisce identità, endpoint e cloud in un’unica console e riduce l’integrazione. Ma non è obbligatorio: un vendor terzo come Bitdefender GravityZone è pienamente compatibile e può essere preferibile per requisiti di residenza dei dati, per evitare la concentrazione su un unico fornitore o per scenari con più tenant e sistemi non-Microsoft.
La qualificazione ACN dei servizi cloud è un requisito per la Pubblica Amministrazione e per chi eroga servizi cloud alla PA nell’ambito del relativo Regolamento. Per un’impresa privata non è un obbligo di legge, ma è un elemento di fiducia: significa che il servizio è stato valutato rispetto a requisiti di sicurezza, affidabilità e governance definiti a livello nazionale. Diventa rilevante se lavori nella catena di fornitura della PA o in settori con obblighi come la NIS2.
Partiamo dai requisiti, non dal brand: stack già in uso, obblighi normativi (NIS2, settori regolati), esigenze di residenza dei dati e di origine europea del fornitore, necessità di un servizio gestito (MDR), budget e competenze interne. Da lì implementiamo e gestiamo la soluzione che riduce davvero il rischio. L’obiettivo è la protezione efficace, non l’adesione a un ecosistema.