EDR e XDR restano la base tecnologica della difesa, ma una quota crescente della spesa in sicurezza si sposta su chi quelle tecnologie le fa funzionare. Per buona parte delle organizzazioni il problema non riguarda quale piattaforma acquistare ma chi la presidia, e la risposta è sempre più spesso un fornitore esterno.
Le ragioni sono note agli operatori del settore. La carenza di competenze è ormai strutturale, perché a livello globale, secondo il World Economic Forum, mancano circa 4 milioni di professionisti della sicurezza mentre in Italia il divario è stimato intorno ai 100mila specialisti (fonte: Experis CIO 2025 Outlook).
A questo si aggiungono la difficoltà di garantire un presidio attivo sulle 24 ore, l’imponente volume di alert da classificare e una pressione normativa che impone monitoraggio e notifica. Su queste premesse l’MDR si è affermato come modello, e su queste si gioca oggi la sua evoluzione.
Vendor o provider, chi eroga il servizio
La prima linea di divisione del mercato riguarda chi eroga il servizio. I vendor tecnologici offrono l’MDR direttamente sopra la propria piattaforma, con il vantaggio di un’integrazione profonda e lo svantaggio di legare il cliente a quello stack. I provider indipendenti e gli MSSP puntano invece sull’agnosticismo, valorizzano gli strumenti già presenti e ampliano la copertura con ampie librerie di integrazioni.
La seconda linea riguarda il grado di controllo che il cliente conserva, dal servizio interamente delegato al modello co-gestito, in cui il team interno mantiene visibilità e governo mentre il centro operativo del fornitore conduce caccia alle minacce, indagine e risposta.
La tendenza recente premia il co-management, perché consente alle aziende di non cedere del tutto il controllo della propria sicurezza e risponde alle esigenze di accountability che la normativa europea sta rendendo stringenti.
Il mercato sta rispondendo a questa transizione. Secondo le proiezioni di Precedence Research l’MDR globale varrà 3,92 miliardi di dollari nel 2026 con proiezione a 13,90 miliardi al 2035, con un tasso di crescita annuo del 15,12%.
Fortune Business Insights fornisce uno spaccato per la sola Europa, riportando che il peso del Vecchio continente su questo mercato nel 2025 è stato di circa 0,59 miliardi.
Il salto verso il managed XDR
La novità che anima in questo periodo il mercato è il passaggio dal managed detection and response al managed XDR (indicato solitamente con la sigla MxDR). Se il primo nasce attorno all’endpoint, il secondo porta dentro il servizio gestito la correlazione cross-dominio propria dell’XDR, estendendo monitoraggio e risposta a rete, identità, posta elettronica e ambienti cloud.
Questa spinta arriva da uno squilibrio diffuso, perché molte organizzazioni hanno già telemetria da più domini ma non il SOC per correlarla e interpretarla. Il managed XDR risponde proprio a questo, affidando a un fornitore non solo il rilevamento ma l’intera attività di correlazione, classificazione e risposta: di fatto sarebbe forse più corretto dire un SOC erogato come servizio con una piattaforma XDR sottostante.
Il passaggio dalla vendita di licenze alla gestione continua, con ricavi ricorrenti e un rapporto più stretto con il cliente, è una rotta che il Canale conosce e insegue da tempo. In ambito security, l’MxDR ne rappresenta oggi forse lo stadio più avanzato gestendo in forma di servizio non solo l’endpoint ma la correlazione tra più domini. È un livello che premia chi sa affiancare alla tecnologia competenze di gestione e capacità operativa.
È un passaggio, però, tutt’altro che semplice che non si esaurisce nell’acquisizione di tecnologie. Erogare managed XDR richiede un SOC attivo sulle ventiquattro ore, analisti capaci di gestire la correlazione tra domini diversi e processi di risposta rodati. A questo si aggiungono la difficoltà di integrare gli strumenti eterogenei già presenti dai clienti, i costi di costruzione e mantenimento della struttura operativa e la necessità di trattenere competenze scarse e contese sul mercato.
Per questo motivo, accanto agli operatori che decidono di costruire (o acquisire) un proprio SOC, altri preferiscono indirizzarsi verso modelli ibridi, costruendo solo in parte il servizio internamente e appoggiandosi per il resto a piattaforme e a SOC di terzi. È proprio nelle pieghe di questa natura ibrida che gli utenti devono porre attenzione a verificare le modalità con cui vengono proposti servizi sollo apparentemente identici.
In Italia la domanda accelera spinta dalla varietà di attacchi
In Italia la pressione che alimenta il gestito deriva da uno scenario di minaccia preoccupante. Il Rapporto Clusit 2026 conta 507 attacchi gravi documentati nel 2025, il 42% in più rispetto ai 357 dell’anno prima, e colloca nel Paese il 9,6% degli incidenti mondiali, una quota fuori scala rispetto al nostro peso economico.
A pesare sulla domanda di servizi gestiti non è solo il volume, ma la diversificazione delle minacce, perché ciascun vettore richiede competenze e strumenti diversi. Accanto al cybercrime, dominante con circa il 61% dei casi nazionali, l’hacktivism cresce del 145%, trainando azioni dimostrative e attacchi DDoS legati al quadro geopolitico.
È proprio questa varietà a rendere spesso insostenibile il presidio interno, perché coprire endpoint, rete, identità e azioni dimostrative con un solo team richiede una gamma di competenze che la maggior parte delle aziende non possiede e che un servizio di MDR/MxDR mette a disposizione in modo continuo.
Il quadro diventa più netto se si guarda a chi quegli attacchi li subisce. Il tessuto produttivo italiano è fatto in larga parte di piccole e medie imprese, prive di un SOC interno e con filiere esposte attraverso fornitori e terze parti, per le quali fronteggiare un panorama così vario con risorse proprie è fuori portata. Gli obblighi di monitoraggio continuo e notifica introdotti da NIS2 e DORA contribuiscono a spostare ulteriormente il presidio gestito dal piano dell’opportunità a quello del requisito.
A rendere ancora più attraente il ricorso ai servizi gestiti concorre un fattore pratico spesso sottovalutato, il supporto in lingua italiana, che i fornitori di servizi locali garantiscono con più facilità rispetto ai grandi vendor internazionali, un elemento non secondario nei momenti critici di un incidente.
