---
title: "Vendere un SaaS alle aziende: ISO 27001, SSO e contratti · Volcanic Minds"
description: "Che cosa chiede un'azienda grande a chi vende un SaaS: questionario, ISO 27001 o SOC 2, SSO, dati separati, DPA, NIS2, DORA e Data Act."
url: "https://volcanicminds.com/guides/selling-saas-to-enterprises"
lang: "it"
type: "second_level_page"
updated: "2026-10-31"
alternate: "https://volcanicminds.com/en/guides/selling-saas-to-enterprises"
summary: "Un'azienda strutturata, prima di comprare il tuo SaaS, ti manda un questionario di sicurezza e ti chiede quattro cose: l'accordo sul trattamento dei dati previsto dall'articolo 28 del GDPR, una certificazione come la ISO 27001 o il SOC 2, l'accesso con le credenziali aziendali (SSO) e la prova che i suoi dati sono separati da quelli degli altri clienti. La certificazione spesso si può promettere con una data; l'accordo sui dati no, e i controlli che il cliente prova con le sue mani si costruiscono nel prodotto. Il contratto lo scrivono anche le leggi del cliente: la NIS2 gli chiede di valutare i fornitori, DORA detta le clausole se è una banca, e dal 12 settembre 2025 il Data Act ti chiede di regolare il passaggio a un altro fornitore."
---

# Vendere un SaaS alle aziende sicurezza, dati e contratti

Che cosa chiede un cliente grande a chi vende software in abbonamento, che cosa serve davvero prima della firma, che cosa si costruisce nel prodotto e che cosa deve dire il contratto.

## Che cosa ti chiede un'azienda grande prima di comprare il tuo SaaS?

Ti chiede di dimostrare che i suoi dati sono al sicuro con te: prima con un questionario di sicurezza, poi con documenti e prove. In un'indagine dell'ISC2 su 1.062 professionisti della sicurezza, il 77% mette al primo posto, fra i requisiti di un fornitore, la conformità a standard come ISO 27001, NIST o SOC 2; seguono audit e attestazioni (71%), autenticazione a più fattori e accessi protetti (62%), procedure per gli incidenti e le notifiche (61%). Solo il 5% non chiede nessun controllo ([ISC2, novembre 2025](https://www.isc2.org/Insights/2025/11/2025-isc2-supply-chain-risk-survey)).

| Che cosa ti chiedono | Che cosa vuole sapere il cliente | Dove si risolve |
| --- | --- | --- |
| Questionario di sicurezza | come proteggi dati, accessi e sistemi | con risposte vere e documenti |
| Accordo sul trattamento dei dati (DPA) | come tratti i dati personali per suo conto | nel contratto, per il GDPR |
| Certificazione ISO 27001 o rapporto SOC 2 | se un ente terzo ha verificato come lavori | nella tua organizzazione, con un ente |
| Accesso con le credenziali aziendali (SSO) | se chi lascia l'azienda perde subito l'accesso | nel prodotto |
| Dati separati da quelli degli altri clienti | se un altro cliente può vedere i suoi dati | nel prodotto |
| Registro delle attività | chi ha fatto che cosa, e quando | nel prodotto |
| Dove stanno i dati e chi altro li tratta | paesi, cloud e fornitori coinvolti | nel contratto e nell'infrastruttura |
| Uscita e restituzione dei dati | come riprende i dati se smette di usarti | nel contratto e nel prodotto |

Google e gli assistenti AI, a queste domande, rispondono quasi solo sulla certificazione. Fra le 135 pagine che abbiamo letto, fra risultati di Google e fonti delle risposte AI, la ISO 27001 compare in 74, la separazione dei dati fra clienti in 21, il registro delle attività in 29. **Il certificato apre la trattativa; la chiudono le prove che il cliente verifica nel prodotto.**

## Serve la ISO 27001 prima di firmare?

Non sempre. Alla domanda del fondatore, in italiano e in inglese, tutte le risposte AI dicono la stessa cosa: si firma con l'accordo sul trattamento dei dati, un questionario compilato con onestà e una clausola che promette la ISO 27001 o il SOC 2 entro una data, di solito fra 6 e 12 mesi. L'accordo sui dati è l'unica voce che nessuna risposta propone di rinviare, ed è giusto: il GDPR lo chiede per qualunque trattamento che fai per conto del cliente ([articolo 28](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32016R0679)).

Due avvertenze. La ISO 27001 certifica il sistema con cui la tua organizzazione gestisce la sicurezza delle informazioni, non il software: dice che hai un metodo per trovare e trattare i rischi, non che ogni rischio del prodotto sia già risolto. E la clausola con la data diventa un obbligo del contratto. **Prometti solo una data che puoi rispettare, dopo aver parlato con un ente di certificazione.**

Sul costo le risposte AI danno cifre lontane fra loro e quasi mai misurate: per una piccola SaaS la ISO 27001 costa 5.000-15.000 € secondo la modalità AI di Google, 20.000-55.000 € il primo anno secondo Perplexity. ChatGPT, quando gli abbiamo chiesto le fonti, ha ammesso che le sue cifre erano stime. Fra le pagine lette solo due spiegano da dove viene il numero: la tariffa dell'ente dipende dalle giornate di audit, che la norma ISO/IEC 27006-1 fissa in base alle persone coinvolte, moltiplicate per la tariffa giornaliera.

| Voce | Cifra | Da dove viene |
| --- | --- | --- |
| Audit di certificazione, fino a 10 persone | 5 giornate, 6.000-10.000 € | StandardOS, dalla tabella della ISO/IEC 27006-1 |
| Audit di certificazione, 25 persone | 7 giornate, 8.400-14.000 € | StandardOS, stessa tabella |
| Audit di sorveglianza del secondo e del terzo anno, 25 persone | 2.800-4.700 € l'anno | StandardOS |
| Tariffa giornaliera dell'ente | 1.200-2.000 € | StandardOS, da fonti europee pubblicate |
| Primo anno, con consulenza e strumenti | 5.000-15.000 € o 20.000-55.000 € | modalità AI di Google e Perplexity, senza una base di misura |

Le cifre di [StandardOS](https://getstandardos.com/iso-27001/cost), che vende software per la conformità, riguardano solo la tariffa dell'ente. Il costo più grande è un altro, e lo scrive anche Perplexity in una delle sue risposte: il tempo che tu e il tuo team passate su controllo degli accessi, registri, separazione dei dati e gestione degli incidenti. Per i tempi, le risposte parlano di 3-6 mesi per arrivare alla ISO 27001 e di 6-12 mesi di osservazione per un SOC 2 di tipo II.

## ISO 27001 o SOC 2?

Dipende da dove sono i tuoi clienti: la ISO 27001 per l'Europa, il SOC 2 per gli Stati Uniti. Su questo le risposte sono tutte d'accordo. Se vendi in Italia e in Europa, parti dalla ISO 27001, e aggiungi il SOC 2 quando arriva un cliente americano che lo pretende.

| Domanda | ISO 27001 | SOC 2 |
| --- | --- | --- |
| Che cos'è | una certificazione del sistema di gestione della sicurezza delle informazioni | il rapporto di un revisore sui controlli del servizio |
| Chi lo rilascia | un ente di certificazione accreditato | un revisore contabile americano (CPA), con le regole dell'AICPA |
| Che cosa copre | l'organizzazione, nel perimetro che scegli | i controlli su sicurezza, disponibilità, integrità dell'elaborazione, riservatezza o privacy |
| Chi lo chiede | soprattutto i clienti europei | soprattutto i clienti americani |

Due risposte scrivono che i controlli delle due norme coincidono per il 70-80%; la cifra viene da pagine di chi vende strumenti per la conformità, senza una misura dietro. Le categorie del SOC 2 sono quelle dell'[AICPA](https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2), l'associazione dei revisori americani.

**Preferisci parlarne a voce?**

Prenota una call con chi lavora ogni giorno su questi temi: guardiamo insieme il tuo caso.

- [Prenota una call](https://vms.srl/booking)

## Che cosa si costruisce nel prodotto?

Tutto quello che il cliente può provare con un suo utente di test. Il certificato descrive come lavora la tua azienda; SSO, separazione dei dati e registro delle attività stanno nel codice, e nessun documento li sostituisce.

| Richiesta | Che cosa serve nel prodotto | Come lo verifica il cliente |
| --- | --- | --- |
| SSO | accesso con l'identity provider del cliente, come Microsoft Entra ID, Okta o Google, via SAML o OpenID Connect | entra con un suo account aziendale |
| Utenti gestiti dal cliente | utenti creati e disattivati in automatico dal suo sistema, con SCIM | disattiva un dipendente e prova che non entra più |
| Autenticazione a più fattori | un secondo fattore per chi non passa dall'SSO, anche con un'app TOTP | la attiva sugli account senza SSO |
| Dati separati | ogni lettura e scrittura filtrata per cliente, con test che lo provano; un database dedicato per chi lo chiede | chiede l'architettura, a volte un test di intrusione |
| Ruoli e permessi | amministratori del cliente che gestiscono i loro utenti, a ciascuno solo i permessi che servono | crea un utente con pochi permessi e ne prova i limiti |
| Registro delle attività | chi ha fatto che cosa, quando e da dove, in un registro che l'applicazione non può modificare e che si esporta verso i suoi sistemi | chiede un'estrazione |
| Esportazione dei dati | tutti i suoi dati in un formato aperto, quando li chiede | prova un'esportazione completa |
| Backup e ripristino | tempo di ripartenza (RTO) e dati che si possono perdere (RPO) scritti, e un ripristino provato | chiede l'ultima prova di ripristino |
| Dove stanno i dati | regione del cloud dichiarata, elenco dei fornitori che trattano i dati | allega l'elenco al contratto |

Le risposte AI sono entrate nel prodotto solo quando abbiamo chiesto che cosa cambia per un cliente bancario: database per cliente, un registro delle attività che nemmeno il fornitore può modificare, Entra ID con SCIM, chiavi di cifratura dedicate. Alle altre domande la separazione dei dati quasi sparisce. Il consiglio più ripetuto va anzi nel verso opposto: rispondere al questionario con la sicurezza del fornitore di cloud, che secondo la modalità AI di Google copre «il 90%» della sicurezza fisica e infrastrutturale, senza una fonte. Il certificato del data center però copre il data center: chi entra nell'applicazione, come sono separati i dati e chi li vede restano compito tuo.

**Nei SaaS che sviluppiamo questi controlli entrano nel progetto dal primo giorno, perché aggiungerli quando arriva il primo cliente grande costa di più.** Progettiamo [piattaforme multi-tenant](/saas-development): ogni organizzazione ha il suo spazio, con dati, utenti e configurazioni separati da quelli degli altri clienti, come nella [piattaforma di audit con agenti AI](/case-studies/agentic-ai-auditing-knowledge-platform). Ci colleghiamo all'identity provider aziendale per l'SSO, attiviamo l'autenticazione a più fattori, e [RTO e RPO](/frequently-asked-questions#backup-rto-rpo) li fissiamo con te prima di andare in produzione. La certificazione invece resta tua: la ottieni tu, con un ente, sulla tua organizzazione. **Noi non siamo certificati ISO 27001, e [lo scriviamo nel Trust Center](/trust#cosa-non-dichiariamo).**

Se il prodotto è nato come prototipo fatto con l'AI, prima di tutto questo leggi la guida su [come portare in azienda un prototipo fatto con l'AI](/guides/ai-prototype-to-production).

## Che cosa deve dire il contratto?

Quello che chiedono il GDPR e, a seconda del cliente, la NIS2, DORA e il Data Act. Il contratto di solito lo scrive il cliente, ma molte clausole le detta la legge, e conviene averle già nel tuo contratto standard.

| Norma | Quando vale | Che cosa entra nel contratto |
| --- | --- | --- |
| GDPR, articolo 28 | se tratti dati personali per conto del cliente | l'accordo sul trattamento: istruzioni, riservatezza, misure di sicurezza, altri fornitori autorizzati, cancellazione o restituzione dei dati a fine servizio, audit e ispezioni |
| NIS2, D.Lgs. 138/2024, articolo 24 | se il cliente è un soggetto essenziale o importante | le misure di sicurezza che il cliente deve verificare nei fornitori, compreso lo sviluppo sicuro |
| DORA, Reg. (UE) 2022/2554, articolo 30 | se il cliente è una banca, un'assicurazione o un altro soggetto finanziario | clausole obbligatorie su luoghi dei dati, livelli di servizio, restituzione dei dati, incidenti e recesso |
| Data Act, Reg. (UE) 2023/2854, articoli 25-29 | se fornisci il servizio in cloud, dal 12 settembre 2025 | le condizioni del passaggio a un altro fornitore, con i tempi massimi; dal 12 gennaio 2027 nessuna tariffa per il passaggio |

I fornitori che trattano i dati per te, dal cloud al servizio di posta al modello AI, per il GDPR sono altri responsabili del trattamento. Puoi usarli solo con l'autorizzazione scritta del cliente; se l'autorizzazione è generale, devi avvisarlo prima di aggiungerne o sostituirne uno, così che possa opporsi. Tenere i dati in Europa non è un obbligo generale del GDPR: fuori dallo Spazio economico europeo i dati possono andare verso paesi con una decisione di adeguatezza della Commissione o con garanzie adeguate (articoli 45 e 46). Ma è una domanda del questionario, e [dove stanno i dati](/frequently-asked-questions#hosting-e-residenza-dati) si decide all'inizio, non durante la trattativa.

La NIS2 non ti rende un soggetto NIS2 perché lo è il tuo cliente. Obbliga lui a curare la sicurezza della catena di approvvigionamento e a valutare, per ogni fornitore diretto, la qualità dei prodotti e delle pratiche di sicurezza, comprese le procedure di sviluppo sicuro ([articolo 24](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138~art24)). È da lì che arriva il questionario: il cliente deve poter dimostrare di averti valutato. Alla domanda sulla banca lo spiegano tutte e quattro le risposte AI; alla domanda del fondatore la NIS2 non compare.

Il Data Act è la norma che nessuno nomina: nessuna delle 22 risposte e nessuna delle 135 pagine ne parla. Eppure vale anche per chi offre software come servizio (considerando 81), e chiede questo:

| Che cosa chiede il Data Act a chi fornisce il servizio | Articolo |
| --- | --- |
| il contratto con le condizioni del passaggio, messo a disposizione prima della firma | 25 |
| un preavviso di al massimo due mesi per avviare il passaggio | 25 |
| al massimo 30 giorni di transizione, in cui il servizio continua e tu assisti il cliente | 25 |
| l'elenco dei dati che il cliente può portare via | 25 |
| almeno 30 giorni per recuperare i dati | 25 |
| la cancellazione completa dei dati dopo il passaggio | 25 |
| sul tuo sito, la giurisdizione dell'infrastruttura e le misure contro l'accesso di governi stranieri ai dati non personali | 28 |
| dal 12 gennaio 2027 nessuna tariffa per il passaggio; fino ad allora, al massimo i costi diretti | 29 |

Il divieto delle tariffe non vale per un servizio fatto quasi tutto su misura per un solo cliente e non offerto a catalogo (articolo 31); per un SaaS a catalogo vale. **L'esportazione completa dei dati non è una funzione da piano Enterprise: è un obbligo, e va costruita.** Il punto di vista di chi compra è nella guida su [come cambiare software house](/guides/switch-software-house).

## E se il cliente è una banca?

Allora vale anche DORA, il regolamento europeo sulla resilienza digitale del settore finanziario, applicato dal 17 gennaio 2025. Il suo articolo 30 elenca le clausole che il contratto con un fornitore di servizi informatici deve contenere. Abbiamo chiesto a Google e agli assistenti AI che cosa cambia nel prodotto se lo adotta un gruppo bancario: nessuna delle quattro risposte nomina DORA. Fra le 135 pagine lette, 17 la nominano e una sola spiega l'articolo 30.

| Che cosa chiede l'articolo 30 | Per quali servizi |
| --- | --- |
| contratto scritto, con i livelli di servizio | tutti (comma 1) |
| se e a quali condizioni puoi subappaltare | tutti (comma 2) |
| paesi o regioni dove si erogano il servizio e si trattano i dati, con un preavviso se cambiano | tutti (comma 2) |
| disponibilità, autenticità, integrità e riservatezza dei dati | tutti (comma 2) |
| accesso, ripristino e restituzione dei dati in un formato facilmente accessibile, anche se il fornitore chiude o il contratto finisce | tutti (comma 2) |
| assistenza negli incidenti, senza costi aggiuntivi o a un costo fissato prima | tutti (comma 2) |
| piena cooperazione con le autorità competenti | tutti (comma 2) |
| diritti di recesso e preavvisi minimi | tutti (comma 2) |
| partecipazione ai programmi di formazione sulla sicurezza della banca | tutti (comma 2) |
| livelli di servizio con obiettivi misurabili, piani di emergenza provati, partecipazione ai test di penetrazione guidati dalla minaccia | funzioni essenziali o importanti (comma 3) |
| accesso, ispezioni e audit senza condizioni, anche nei tuoi uffici | funzioni essenziali o importanti (comma 3) |
| una strategia di uscita, con un periodo di transizione obbligatorio | funzioni essenziali o importanti (comma 3) |

**Se vendi a banche e assicurazioni, progetta l'uscita del cliente prima del suo ingresso:** esportazione completa, luoghi dei dati dichiarati, registro delle attività e un accesso per gli auditor.

## Come si risponde al questionario di sicurezza?

Con quello che fai già, e con le prove. Il cliente può allegare il questionario al contratto, e allora ogni risposta diventa un impegno: **quello che non hai, scrivilo con una data, non con un sì.**

Conviene preparare una volta sola un pacchetto da mandare a ogni cliente:

- una pagina pubblica sulla sicurezza, con quello che fai e quello che non hai;
- l'elenco dei fornitori che trattano i dati, con il paese di ciascuno;
- uno schema dell'architettura che mostri come sono separati i clienti;
- le procedure di backup, di ripristino e di gestione degli incidenti;
- l'esito dell'ultimo test di intrusione, con le correzioni fatte;
- il modello di accordo sul trattamento dei dati.

Esistono questionari standard, come il CAIQ della Cloud Security Alliance e il SIG di Shared Assessments: averne uno compilato fa risparmiare tempo, ma molti clienti mandano il loro. Nel nostro [Trust Center](/trust) facciamo lo stesso per i nostri clienti: le domande di valutazione con la risposta in breve, e quello che non dichiariamo.

## Da dove si comincia?

Dal questionario del cliente che vuoi chiudere.

1. Chiedi il questionario prima della trattativa finale, e segna quello che non hai.
2. Prepara l'accordo sul trattamento dei dati e l'elenco dei fornitori che li trattano: è l'unica cosa che non puoi rinviare.
3. Metti nel prodotto quello che il cliente chiede, partendo dalla separazione dei dati provata con test, poi SSO, registro delle attività ed esportazione completa.
4. Scrivi nel contratto standard le condizioni del passaggio a un altro fornitore che chiede il Data Act.
5. Scegli fra ISO 27001 e SOC 2 in base a dove vendi, chiedi un preventivo a un ente, e solo dopo prometti una data.

**Si comincia dal questionario del cliente che vuoi chiudere, non dal manuale della ISO 27001.**

## Un esempio: un SaaS con 20 clienti piccoli e un'azienda grande

Un SaaS B2B con una ventina di clienti piccoli e 8 persone riceve una proposta da un gruppo industriale. Il gruppo manda un questionario di 200 domande e chiede la ISO 27001, l'accesso con Microsoft Entra ID, l'accordo sul trattamento dei dati e dove stanno i dati. È il caso che abbiamo posto a Google e agli assistenti AI; i dettagli che seguono sono inventati, da sostituire con i tuoi.

Il primo passo è il questionario. Delle 200 domande, la maggior parte riguarda cose che il SaaS fa già e non ha mai scritto; una trentina riguarda cose che non ha. Le risposte si scrivono una volta, e diventano il pacchetto per il cliente successivo.

Il secondo è il prodotto. I dati dei clienti stanno in un solo database, separati da un filtro nel codice ma senza un test che lo provi; l'accesso è solo con email e password; il registro tiene gli errori tecnici, non le azioni degli utenti. Servono i test sulla separazione, l'SSO con Entra ID e la gestione automatica degli utenti, un registro delle attività e un'esportazione completa.

Il terzo è il contratto: l'accordo sul trattamento dei dati con l'elenco dei fornitori (cloud, posta, pagamenti), le condizioni del passaggio del Data Act e la clausola sulla ISO 27001. Con 8 persone nel perimetro, secondo la tabella di StandardOS, l'audit iniziale vale 5 giornate, 6.000-10.000 € di tariffa dell'ente. La data nella clausola si scrive su quel preventivo, non su una speranza.

## Domande frequenti

### La certificazione ISO 27001 me la fate voi?

No: la certificazione la rilascia un ente accreditato alla tua organizzazione, non a chi sviluppa il software. Noi costruiamo nel prodotto i controlli che il cliente e l'auditor verificano, come separazione dei dati, SSO, autenticazione a più fattori e backup provati. E non siamo certificati ISO 27001 nemmeno noi, e lo diciamo.

### Il GDPR obbliga a tenere i dati in Europa?

No. I dati personali possono uscire dallo Spazio economico europeo verso paesi con una decisione di adeguatezza della Commissione o con garanzie adeguate, come le clausole contrattuali tipo. Molti clienti grandi però chiedono i dati in Europa per contratto, ed è una scelta da fare all'inizio, insieme al fornitore di cloud.

### Il mio cliente è soggetto alla NIS2. Lo divento anch'io?

Non per questo. Se sei soggetto lo dicono soprattutto il tuo settore e le tue dimensioni (articolo 3 del D.Lgs. 138/2024), non il cliente. Il cliente però deve valutare la sicurezza dei suoi fornitori, e ti chiederà nel contratto misure come l'autenticazione a più fattori e lo sviluppo sicuro.

### Posso far pagare l'esportazione dei dati a chi se ne va?

Per un SaaS a catalogo, dal 12 gennaio 2027 no: il Data Act vieta le tariffe per il passaggio a un altro fornitore. Fino ad allora puoi chiedere al massimo i costi diretti del passaggio, e devi dirlo prima della firma.

### Che differenza c'è fra SSO e SCIM?

Con l'SSO gli utenti del cliente entrano nel tuo SaaS con l'account aziendale. Con SCIM il sistema del cliente crea, aggiorna e disattiva gli utenti nel tuo SaaS da solo, così chi lascia l'azienda perde l'accesso anche se nessuno si ricorda di toglierlo. I clienti grandi di solito chiedono tutti e due.

### Serve un database separato per ogni cliente?

Non sempre. Si può tenere un database condiviso, con ogni dato legato al suo cliente e test che provano che un cliente non vede i dati di un altro. Il database dedicato si dà a chi lo chiede per contratto, e costa di più da gestire. Conviene progettare il prodotto in modo che il secondo si possa aggiungere senza riscriverlo.

## Un cliente grande ti ha mandato il suo questionario?

Raccontaci che cosa ti ha chiesto, in una call conoscitiva, gratuita e senza impegno: ti diciamo che cosa si risolve con un documento e che cosa va costruito nel prodotto.

- [Parliamo del tuo progetto](/contacts)

## Articoli sugli stessi temi.

*Continua*

- [L'accessibilità digitale non è un bollino](/insights/why-accessibility-overlays-fail.md): Affidarsi agli overlay di accessibilità non garantisce la conformità WCAG AA ed espone l'azienda a rischi legali e commerciali. Scopri come evitarli.
- [Google Analytics, GDPR e l’alternativa Plausible](/insights/google-analytics-gdpr-alternative-plausible.md): Google Analytics è a rischio GDPR? Perché scegliere Plausible Analytics, l'alternativa privacy-first, senza cookie e conforme alle norme europee.
- [Questo sito per persone e agenti](/insights/static-website-for-humans-and-ai-agents.md): Il sito di Volcanic Minds è statico, costruito con Astro, gestito da un CMS su Git e leggibile dagli agenti AI con Markdown, llms.txt, JSON-LD e WebMCP.