Quanto costa un firewall aziendale: le cinque voci di spesa, cosa le fa raddoppiare e come si legge un preventivo

Quanto costa un firewall aziendale per una PMI non si legge nel prezzo dell’apparato. Costa, infatti, l’apparato, l’abbonamento ai servizi di sicurezza, il progetto con la configurazione e i rinnovi negli anni. Su un ciclo di cinque anni gli abbonamenti pesano spesso quanto l’apparato o di più, e sui modelli piccoli anche più volte. La configurazione pesa meno di entrambi, ma decide se il resto serve davvero. Due firewall in coppia, inoltre, raddoppiano apparato e abbonamenti, non il lavoro. Le cifre esatte, però, cambiano con il listino del momento: questa guida dà le proporzioni, le voci che i preventivi dimenticano e il modo di leggerli.

Come si sceglie la misura giusta, con i numeri della scheda tecnica, è nella guida sul firewall per PMI con FortiGate. Qui, invece, si parla di quanto si spende e di cosa si sta comprando. Gli esempi sono su Fortinet, di cui Netframe è partner certificato, ma lo schema vale per tutti i produttori di firewall di nuova generazione.

Le cinque voci di spesa

Voce	Cosa comprende	Quando si paga	Peso su cinque anni
1. Apparato	Il firewall fisico, scelto sul throughput (il traffico che regge al secondo) con i controlli accesi e non su quello di base	Una volta, all’inizio	Medio; sui modelli da scrivania è spesso la voce più piccola
2. Abbonamento ai servizi di sicurezza	Gli aggiornamenti di antivirus, prevenzione delle intrusioni, filtro web e DNS (Domain Name System, la risoluzione dei nomi dei siti), controllo delle applicazioni, con il supporto del produttore	All’inizio, per uno, tre o cinque anni	Alto: spesso pari all’apparato o superiore
3. Progetto e configurazione	Regole, reti separate per reparto, VPN (Virtual Private Network, i collegamenti cifrati), ispezione del traffico cifrato, accesso protetto all’apparato, registri, collaudo e documentazione	Una volta, all’inizio	Medio-basso, ma è la voce che decide se le altre proteggono
4. Rinnovi	Il rinnovo dell’abbonamento alla scadenza, per tutta la vita dell’apparato	Alla scadenza di ogni periodo	Alto se l’abbonamento iniziale era di un anno, nullo se copriva già tutto il ciclo
5. Assistenza e aggiornamenti	Aggiornamento del sistema dell’apparato, verifica periodica delle regole, interventi su richiesta	Ogni anno, con un contratto o a consumo	Basso, ma è quello che tiene il firewall al passo

C’è poi una sesta voce, che compare solo nei progetti fatti bene: la conservazione dei registri fuori dall’apparato, in cloud o su un sistema in sede. Costa poco rispetto al resto ed è quella che serve il giorno dopo un incidente.

Perché l’abbonamento pesa quanto l’apparato

Un firewall di nuova generazione riconosce virus, attacchi e siti pericolosi confrontando il traffico con degli elenchi. Gli elenchi, infatti, li aggiorna il produttore ogni giorno e arrivano all’apparato solo con l’abbonamento. Senza abbonamento, quindi, il firewall resta un filtro di base con un’interfaccia moderna. Per questo nel prezzo di un firewall l’abbonamento non è un accessorio: pesa quanto l’apparato, a volte di più.

Fortinet vende i servizi a pacchetti, che si chiamano Advanced Threat Protection, Unified Threat Protection ed Enterprise Protection. In ordine crescente aggiungono servizi: il primo, per esempio, copre prevenzione delle intrusioni, antivirus e controllo delle applicazioni. Il secondo aggiunge poi filtro web, DNS e antispam, il terzo altri servizi avanzati. Nomi e contenuti cambiano con il listino, quindi il confronto va fatto sulla tabella del momento. Il criterio, comunque, resta lo stesso: un’azienda con persone da remoto o servizi raggiungibili da fuori ha bisogno almeno del filtro web insieme a intrusioni e antivirus.

Uno, tre o cinque anni

L’abbonamento si compra per uno, tre o cinque anni. Il pluriennale di solito costa meno per anno e blocca il prezzo, che sui listini dei produttori tende a salire. Ha senso se copre la vita prevista dell’apparato, non oltre. Per esempio, un abbonamento di cinque anni su un modello che il produttore ha già smesso di vendere rischia di durare più del supporto all’hardware. La data di fine vendita e quella di fine supporto di ogni modello sono pubblicate dal produttore: vanno guardate prima di firmare.

Cosa succede se l’abbonamento scade

L’apparato continua ad accendersi e a far passare il traffico, e per questo la scadenza spesso passa inosservata. Ma i servizi si comportano in modo diverso, e uno in particolare sorprende.

Servizio	Dopo la scadenza
Antivirus	Continua a controllare, ma con l’elenco fermo al giorno della scadenza
Prevenzione delle intrusioni	Continua a controllare, ma non riconosce gli attacchi comparsi dopo
Controllo delle applicazioni	Funziona con le definizioni vecchie, senza le applicazioni nuove
Filtro web per categorie	Smette di funzionare, perché ogni sito viene classificato in tempo reale dai server del produttore. Con l’impostazione di fabbrica la navigazione viene bloccata; se è stato scelto di lasciar passare in caso di errore, passa tutto senza filtro
Filtro DNS per categorie	Si fermano le categorie dal cloud; restano solo gli elenchi scritti a mano

In pratica, una scadenza dimenticata produce uno di due risultati. O l’azienda resta senza navigazione un lunedì mattina, o naviga per mesi senza filtro senza che nessuno se ne accorga. Il rinnovo va messo a calendario come una polizza, con un avviso a chi decide la spesa e non solo al tecnico.

Cosa fa salire il costo, e quanto

Fattore	Cosa cambia	Effetto sulla spesa
Ispezione del traffico cifrato	Serve un modello che regga il controllo del traffico con il lucchetto, cioè la maggior parte del traffico	Spesso un modello sopra quello scelto a occhio, e un abbonamento proporzionato
Coppia in alta disponibilità	Due apparati uguali, ognuno con il proprio abbonamento	Raddoppiano apparato e abbonamenti; il lavoro cresce poco. Quando conviene è nella guida sul FortiGate in alta disponibilità
Più linee internet	Il firewall le usa insieme e passa da una all’altra se una cade	Configurazione in più, di solito non un apparato diverso. Dettaglio nella guida sull’SD-WAN per PMI (Software-Defined WAN, la gestione automatica di più linee)
Sedi e persone da remoto	Collegamenti cifrati fra le sedi e per chi lavora fuori	Un apparato per sede e più capacità sul principale. Dettaglio nella guida sulla VPN aziendale
Rete divisa in reparti	Il firewall controlla anche il traffico fra uffici, produzione, ospiti e telecamere	Più capacità richiesta e più lavoro di progetto. Come si divide la rete è nella guida sulle VLAN aziendali
Sostituzione rapida dell’apparato	Il livello di supporto stabilisce in quanto tempo arriva il ricambio se l’apparato si guasta	Un livello più alto costa di più, ma per chi ha un solo firewall è il tempo in cui l’azienda resta senza internet
Registri conservati fuori	Un servizio in cloud o un sistema in sede per tenere i registri per mesi	Voce piccola, spesso dimenticata

Le proporzioni, in quattro casi tipici

Quattro progetti tipici, descritti per proporzioni e non per prezzo. Non sono però casi di clienti: sono le combinazioni che si incontrano più spesso.

Ufficio di 20 persone, una sede, una linea. Un apparato da scrivania, abbonamento con filtro web, configurazione fatta bene. Su cinque anni l’abbonamento vale più volte l’apparato. La configurazione pesa poco in valore, ma fa la differenza fra un firewall che protegge e uno che lascia passare tutto.

Azienda di 30-50 persone, una sede, uffici e un piccolo reparto. È la fascia in cui il firewall da ufficio piccolo non basta più. Gli utenti contemporanei, le VPN dei commerciali e dei tecnici e l’ispezione del traffico cifrato chiedono infatti un modello di una taglia sopra. L’apparato resta la voce una tantum, mentre l’abbonamento su tre o cinque anni arriva spesso a pesare quanto l’apparato o di più. La configurazione si chiude di solito in una o due giornate. Si aggiunge la divisione della rete, se il reparto è ancora sulla stessa rete degli uffici. Se l’azienda non può restare senza internet nemmeno per mezza giornata, il secondo apparato in alta disponibilità raddoppia apparato e abbonamento.

PMI manifatturiera di 80 persone, con produzione e due linee. Un modello più grande per reggere l’ispezione e il traffico fra reparti, due linee usate insieme, rete divisa fra ufficio e macchine. Apparato e abbonamento si avvicinano come peso. Il progetto pesa di più che nel caso precedente, perché le regole fra ufficio e produzione vanno scritte una per una.

Azienda con due sedi e un servizio che non può fermarsi. Coppia in alta disponibilità nella sede principale, un apparato nella seconda, collegamento cifrato fra le due. Apparati e abbonamenti raddoppiano nella sede principale. Il progetto cresce di poco, perché la coppia si configura una volta sola.

Come si legge un preventivo di firewall

Due preventivi con lo stesso modello possono avere prezzi molto diversi e, soprattutto, contenere cose molto diverse. Queste sono le righe che devono esserci, scritte in modo che si possano confrontare.

1. Il modello, con il motivo della scelta: il throughput con i controlli accesi e con l’ispezione del cifrato, confrontato con il traffico dell’azienda.
2. Il nome del pacchetto di abbonamento e i servizi che contiene, non solo la sigla.
3. La durata dell’abbonamento e la data di scadenza.
4. Il livello di supporto sull’hardware e il tempo di sostituzione in caso di guasto.
5. Il secondo apparato con il suo abbonamento, se la coppia è prevista.
6. Cosa comprende la configurazione: regole, reti separate, VPN, ispezione del cifrato con il certificato distribuito ai computer, accesso all’apparato, registri.
7. Il collaudo e la documentazione consegnata: regole, schema, credenziali, copia della configurazione.
8. Dove vanno i registri e per quanto tempo restano.
9. Chi aggiorna il sistema dell’apparato e con quale frequenza.
10. Il costo stimato del rinnovo e chi avvisa prima della scadenza.

Se una di queste righe manca, non vuol dire che il preventivo sia sbagliato. Vuol dire che quella voce si pagherà dopo, o non ci sarà.

Gli errori di preventivo più frequenti

• Confrontare due preventivi con pacchetti di abbonamento diversi, come se fossero la stessa cosa.
• Un abbonamento di un anno su un apparato che resterà cinque, con il rinnovo che arriva come una sorpresa.
• Il modello scelto sul throughput di base, che obbliga a spegnere l’ispezione o a cambiare apparato dopo poco.
• Il secondo firewall della coppia senza abbonamento: quando subentra, protegge la metà.
• La configurazione “inclusa” senza dire cosa comprende.
• Nessuna voce per i registri, che restano sull’apparato e si perdono.
• Un abbonamento pluriennale su un modello vicino alla fine della vendita.
• Il rinnovo affidato alla memoria di qualcuno.

Le alternative: router, open source, noleggio

Il firewall del router dell’operatore non costa niente in più, ma fa solo i controlli di base. Non riconosce le applicazioni, non ha l’elenco degli attacchi, non apre il traffico cifrato e non separa i reparti. Va bene per una casa, quindi, non per un’azienda con dati e macchine.

Un firewall open source non ha la licenza del produttore, ma ha gli stessi altri costi: hardware, progetto, aggiornamenti, qualcuno che lo mantenga. Gli elenchi aggiornati di attacchi e siti, quando servono, si pagano lo stesso come servizio. Per una PMI senza un tecnico dedicato, perciò, il risparmio sulla licenza si sposta quasi sempre sul tempo di gestione.

Il noleggio, o la formula a canone, mette apparato, abbonamento e assistenza in una rata mensile. Trasforma così l’acquisto in spesa corrente e toglie il rischio del rinnovo dimenticato. Su cinque anni la somma delle rate è di solito più alta dell’acquisto, perché dentro c’è il servizio e il finanziamento. Conviene dunque confrontare le due formule sulle stesse righe del preventivo.

Il firewall nel quadro della sicurezza

Il firewall è una parte della sicurezza dell’azienda, non tutta. Per chi rientra nella NIS2 (la direttiva europea sulla sicurezza delle reti e dei sistemi informativi), protezione del perimetro e gestione degli aggiornamenti sono fra le misure da documentare. Il quadro è nella guida sulla NIS2 per le PMI manifatturiere. Prima di comprare un firewall nuovo, quando quello che c’è ha già qualche anno, vale la pena guardare come è configurato. Spesso il problema non è l’apparato ma le regole. Il firewall è inoltre una delle aree del security assessment, e la guida su cosa contiene un security assessment IT spiega cosa si guarda.

Da dove si parte

Da tre misure: quanta banda arriva da internet, quanti dispositivi ci sono e quante persone o sedi si collegano da fuori. Poi da una domanda: cosa si ferma se il firewall si guasta alle nove di mattina. Da lì escono, infine, il modello, il pacchetto, la coppia o no, e un preventivo che si può confrontare riga per riga. Netframe è un system integrator IT dell’Emilia-Romagna con sede a Modena, partner certificato Fortinet. Progettiamo e configuriamo firewall dentro il progetto delle reti aziendali, per le aziende della regione e di tutta Italia. Scrivici a info@netframe.it o chiamaci allo 059 7134794.

Domande frequenti

Quanto costa un firewall aziendale per una PMI?

Dipende da cinque voci: l’apparato, l’abbonamento ai servizi di sicurezza, la configurazione, i rinnovi e l’assistenza. Su cinque anni, infatti, l’abbonamento pesa spesso quanto l’apparato o di più, e sui modelli piccoli più volte. La configurazione costa meno di entrambi, ma decide se il firewall protegge. Una coppia in alta disponibilità, inoltre, raddoppia apparato e abbonamenti.

Perché la licenza del firewall costa così tanto?

Perché è quella che rende il firewall utile. Gli elenchi di virus, attacchi e siti pericolosi li aggiorna il produttore ogni giorno, e arrivano all’apparato solo con l’abbonamento. Senza abbonamento, quindi, un firewall di nuova generazione torna a essere un filtro di base. Per questo su cinque anni è spesso la voce più grande del preventivo.

Cosa succede se la licenza del firewall scade?

L’apparato continua a funzionare, ma antivirus e prevenzione delle intrusioni restano fermi agli elenchi del giorno della scadenza. Il filtro web per categorie, invece, smette di funzionare: con l’impostazione di fabbrica la navigazione viene bloccata. Se invece è stato scelto di lasciar passare in caso di errore, si naviga senza filtro.

Meglio la licenza di un anno o di cinque?

Il pluriennale di solito costa meno per anno e blocca il prezzo. Conviene se copre la vita prevista dell’apparato e il modello non è vicino alla fine della vendita. La data di fine supporto di ogni modello è pubblicata dal produttore e va controllata prima di scegliere la durata.

Basta il firewall del router dell’operatore?

No. Il router fa solo i controlli di base sugli indirizzi. Non riconosce le applicazioni, non blocca gli attacchi conosciuti, non apre il traffico cifrato e non separa i reparti. Costa meno perché fa molto meno, quindi va bene per una casa, non per un’azienda.

Ogni quanto si cambia un firewall aziendale?

In una PMI, in genere, il ciclo è di cinque o sette anni. Si cambia prima se il produttore smette di aggiornarlo o se il carico è stabilmente alto. Oppure se cambia il progetto della rete, per esempio con una nuova sede o con l’ispezione del traffico cifrato.

Quanto costa un firewall per un’azienda di 30-50 dipendenti?

Le voci sono le stesse delle aziende più piccole: cambia, però, la taglia. L’apparato è di una fascia sopra quello da ufficio piccolo, perché deve reggere più utenti, più VPN e l’ispezione del traffico cifrato senza rallentare. L’abbonamento di protezione su tre o cinque anni pesa spesso quanto l’apparato o di più, e la configurazione richiede una o due giornate. Il preventivo, quindi, si confronta sul costo totale nei cinque anni, non sul prezzo dell’apparato.

Meglio un firewall hardware o un firewall software?

Per proteggere il perimetro della rete aziendale serve un firewall dedicato, cioè un apparato con il suo sistema operativo. In alternativa va bene la sua versione virtuale, se l’azienda ha già un’infrastruttura di virtualizzazione. Il firewall software installato sui PC, però, protegge il singolo computer e non sostituisce quello di rete: servono entrambi. La versione virtuale ha senso in cloud o nei data center. In una sede con uffici e produzione, invece, l’apparato fisico resta la scelta più semplice da gestire. Il confronto completo è nella guida al firewall per PMI.

Conviene un firewall gestito dal fornitore o gestito internamente?

Dipende da chi c’è in azienda. Senza una persona IT che segua aggiornamenti e regole, conviene un contratto di assistenza con il fornitore. Comprende, per esempio, aggiornamenti pianificati, copia della configurazione, modifiche alle regole su richiesta e controllo periodico dei registri. Con un IT interno, invece, l’azienda può gestirlo da sé e chiamare il fornitore per i cambi importanti. La sorveglianza continua giorno e notte con un centro operativo di sicurezza è un servizio diverso, che Netframe non eroga.

Cosa rischia una PMI senza un firewall adeguato?

Il router dell’operatore separa la rete da internet ma non controlla cosa passa. Vuol dire niente ispezione del traffico, niente filtro delle applicazioni, VPN deboli o assenti e nessun registro utile dopo un incidente. Il rischio concreto, quindi, è un ransomware entrato da un accesso remoto o da un allegato che si muove indisturbato fino ai server e ai backup. A questo si aggiunge il fermo della produzione e, per chi rientra nella NIS2, la difficoltà di dimostrare le misure di sicurezza richieste.

Vuoi un preventivo di firewall da confrontare riga per riga?

Raccontaci la tua situazione dalla pagina contatti oppure scrivici a info@netframe.it: ti rispondiamo con i passi concreti, a partire dalle tre misure della tua rete.

Fonti

• Fortinet, Service offerings: composizione dei pacchetti Advanced Threat Protection, Unified Threat Protection ed Enterprise Protection
• Fortinet Community, Technical Tip: FortiGate behavior when FortiGuard licenses are expired
• Le date di fine vendita e fine supporto per modello (Fortinet, Product Life Cycle), citate in forma descrittiva
• Le schede tecniche FortiGate (throughput firewall, Threat Protection e SSL Inspection), citate in forma descrittiva

Fonti verificate il 26 ottobre 2026.

Nota di indipendenza: Netframe è un system integrator indipendente e multi-vendor. È partner certificato Cisco, Fortinet, Huawei, AudioCodes, Patton, 3CX e Ascom, e technology partner Microsoft, HPE e Alcatel-Lucent Enterprise. Gli altri produttori citati sono nominati per fatti verificabili e non hanno rapporti commerciali con Netframe.