NordLayer per studi commercialisti: costo reale e perché serve più di una VPN qualsiasi

Disclosure: questo articolo contiene link di affiliazione NordLayer. Se acquisti tramite questi link, NextGenTool.it riceve una commissione, senza costi aggiuntivi per te. Questo non influenza il verdetto: il metodo di analisi è lo stesso per ogni prodotto recensito.

Uno studio commercialista è, dal punto di vista dei dati, una delle strutture più esposte che esistano in Italia. Dichiarazioni dei redditi, bilanci, F24, buste paga, deleghe al cassetto fiscale, credenziali Entratel: dentro un gestionale di studio ci sono i dati fiscali e patrimoniali di decine — spesso centinaia — di aziende e persone fisiche. E a differenza di una banca, lo studio medio non ha un reparto IT: ha un consulente esterno che "sistema i computer" e un gestionale scelto per le funzioni fiscali, non per la robustezza degli accessi.

Il problema si è aggravato con il lavoro distribuito. Il collaboratore che chiude le paghe da casa il venerdì, il praticante in trasferta dal cliente che si collega al gestionale dal Wi-Fi della sala riunioni, il socio che controlla una pratica dal portatile in treno: ogni accesso remoto è una porta aperta verso l'archivio più sensibile dello studio. E nella maggior parte dei casi quella porta è protetta male: RDP esposto su internet, software di controllo remoto con password condivisa, o nessuna VPN.

In questo articolo analizzo NordLayer — la soluzione business di Nord Security, la stessa azienda di NordVPN e NordPass — dal punto di vista specifico di uno studio commercialista italiano: cosa fa di diverso rispetto a una VPN consumer, quanto costa davvero, e quando ha senso (e quando no).

È il quarto articolo del pilastro Cybersecurity, dopo la guida agli obblighi NIS2 per le PMI italiane, l'analisi delle misure tecniche di sicurezza richieste dal GDPR e la recensione di Kaspersky Small Office Security Premium.

Il rischio concreto: com'è fatto l'accesso remoto nello studio medio

Prima di parlare del prodotto, vale la pena fotografare la situazione di partenza, perché è da lì che nasce (o non nasce) il bisogno.

Lo scenario tipico che ho visto ripetersi negli studi professionali è questo: gestionale contabile (TeamSystem, Zucchetti, Profis o simili) installato su un server in studio oppure in cloud; documenti su un NAS raggiungibile da chiunque entri nella rete dell'ufficio; accesso da remoto tramite desktop remoto o un software di assistenza tipo AnyDesk/TeamViewer, spesso con le stesse credenziali per più collaboratori.

Dal punto di vista di un attaccante, questa configurazione è un impianto senza valvole di sicurezza: un solo punto di cedimento — una password rubata via phishing, un RDP lasciato esposto — e si arriva direttamente al cuore dell'archivio. Non serve un attacco sofisticato: serve un collaboratore distratto e un lunedì mattina qualsiasi.

E c'è un secondo livello di rischio, meno visibile: quello normativo. Il titolare dello studio è titolare del trattamento dei dati dei propri clienti ai sensi del GDPR. Se un data breach parte da un accesso remoto non protetto, la domanda del Garante sarà esattamente questa: quali misure tecniche avevi adottato per proteggere quegli accessi? Ho analizzato in dettaglio cosa si aspetta il Garante nell'articolo sulle misure tecniche di sicurezza GDPR per le PMI italiane: il controllo degli accessi remoti è una delle voci centrali, e "usavamo un programma di desktop remoto con una password condivisa" non è una risposta difendibile.

Perché una VPN consumer non basta (e cosa cambia con NordLayer)

Qui serve chiarezza, perché la confusione tra NordVPN e NordLayer è comprensibile: stessa casa madre, tecnologia di cifratura simile, nomi simili. Ma sono due prodotti con due scopi diversi.

NordVPN (che ho recensito qui) è una VPN individuale: cifra il traffico del singolo dispositivo verso internet e nasconde l'indirizzo IP. Ottima per proteggere la navigazione su reti pubbliche. Ma è pensata per una persona, non per un'organizzazione: non c'è un pannello da cui il titolare vede chi è connesso, non c'è modo di decidere che il praticante accede al gestionale ma non alla cartella dei bilanci, non c'è modo di revocare l'accesso a un collaboratore che lascia lo studio con un clic.

NordLayer è costruito esattamente per colmare questo vuoto. La differenza si riassume in una parola: gestione. Non protegge solo il tubo (il traffico cifrato), protegge il sistema di accessi: chi entra, da dove, verso cosa, con quali verifiche.

In pratica, per uno studio commercialista, NordLayer aggiunge quattro cose che una VPN consumer non ha:

1. Pannello di controllo centralizzato. Il titolare (o il consulente IT dello studio) ha una console unica da cui aggiunge e rimuove utenti, impone regole, vede i log di attività. Quando un collaboratore lascia lo studio, l'accesso si revoca dalla console in un minuto — non serve cambiare le password di tutti i sistemi sperando di non dimenticarne uno.

2. IP dedicato aziendale e allowlisting. Questo è il meccanismo più importante per uno studio, e merita una spiegazione semplice. Con NordLayer lo studio può avere un server virtuale con un indirizzo IP fisso, riservato solo allo studio. A quel punto si configura il gestionale (o il server, o il NAS) perché accetti connessioni solo da quell'IP. Risultato: il gestionale sparisce da internet. Chi non passa dal tunnel cifrato dello studio non vede nemmeno che il servizio esiste. È l'equivalente digitale di spostare l'archivio dall'atrio a un caveau con un'unica porta presidiata.

3. MFA e SSO imposti a livello di rete. L'autenticazione a più fattori non è più una raccomandazione lasciata alla buona volontà del singolo collaboratore: è una regola imposta centralmente. Nessun secondo fattore, nessun accesso. Si integra con Google Workspace, Microsoft Entra ID e altri provider di identità già in uso.

4. Segmentazione degli accessi. Sui piani superiori è possibile definire chi accede a cosa: il team paghe accede al server paghe, il praticante non accede all'archivio storico, il consulente esterno vede solo la risorsa su cui lavora. È il principio del privilegio minimo applicato alla rete.

Zero Trust spiegato senza gergo

NordLayer si presenta come soluzione "Zero Trust", e vale la pena tradurre l'etichetta in termini concreti, perché il concetto è più semplice del nome.

Il modello tradizionale di sicurezza di rete funziona come un cancello di stabilimento: superato il controllo all'ingresso, ti muovi liberamente ovunque. È il modello della vecchia VPN aziendale: una volta connesso, sei "dentro" e vedi tutto.

Il modello Zero Trust funziona come uno stabilimento con badge di reparto: entrare dal cancello non basta. Ogni porta — il magazzino, la sala macchine, l'ufficio tecnico — richiede un'autorizzazione specifica, e il badge viene verificato ogni volta, non solo la prima. Se un badge viene rubato, il ladro accede al massimo a un reparto, non all'intero stabilimento.

Applicato allo studio: il collaboratore non "entra nella rete dello studio" in blocco. Accede alle singole risorse per cui è autorizzato, dopo che il sistema ha verificato la sua identità (password + secondo fattore) e, sui piani più avanzati, anche lo stato del dispositivo (device posture: il sistema può rifiutare la connessione da un PC senza antivirus o con sistema operativo obsoleto). Una credenziale rubata smette di essere una chiave universale.

Non è teoria astratta: è esattamente il tipo di misura tecnica proporzionata al rischio che il quadro GDPR si aspetta da chi tratta dati fiscali di terzi su larga scala.

I piani NordLayer: cosa serve davvero a uno studio

NordLayer ha quattro piani: Lite, Core, Premium e un piano Enterprise su preventivo. Tutti i piani standard hanno un minimo di 5 utenti — dato importante per gli studi piccoli, ci torno nel verdetto — e una garanzia di rimborso di 14 giorni.

Lite è il piano d'ingresso: VPN cifrata con protocollo NordLynx, blocco delle minacce web (ThreatBlock), SSO/MFA, report di attività. In sostanza: una NordVPN gestita centralmente. Protegge il traffico dei collaboratori sulle reti pubbliche, ma non include l'IP dedicato — quindi niente allowlisting sul gestionale.

Core è il piano che considero il punto di equilibrio per uno studio commercialista. Aggiunge la possibilità del server con IP dedicato (a pagamento, vedi tabella), l'IP allowlisting, il filtraggio DNS per categorie, la modalità Always On VPN (il dispositivo non naviga se il tunnel non è attivo — elimina l'errore umano del "mi sono dimenticato di accendere la VPN") e il monitoraggio dello stato dei dispositivi.

Premium aggiunge il cloud firewall con regole granulari, il connettore site-to-site (per collegare la rete fisica dello studio), Smart Remote Access e la segmentazione più fine. Ha senso per studi strutturati, multi-sede, o con un consulente IT che gestisce attivamente le regole.

Per lo scenario tipico — studio con 5-15 persone, gestionale su server di studio o in cloud, collaboratori che lavorano anche da remoto — la configurazione con il miglior rapporto costo/beneficio è Core + server con IP dedicato: tutti i collaboratori si connettono tramite NordLayer, il gestionale accetta solo l'IP dello studio, MFA obbligatoria per tutti. Con questa sola configurazione si eliminano le tre vulnerabilità più comuni: gestionale esposto su internet, accessi senza secondo fattore, nessuna visibilità su chi si connette.

Quanto costa: listino ufficiale e costo reale per uno studio tipo

Qui serve la massima trasparenza su un punto, e questa volta la trasparenza è resa più semplice da una dichiarazione esplicita dell'azienda stessa: la pagina prezzi ufficiale di NordLayer dichiara testualmente che i pagamenti sono addebitati in dollari USA, e che IVA o altre imposte applicabili nel tuo paese vengono calcolate in aggiunta al momento del checkout. Non è quindi un dato mancante o una svista di ricerca: NordLayer, semplicemente, non ha un listino in euro. Fattura sempre in USD a chiunque, e aggiunge l'IVA italiana al 22% in fattura in base al paese di fatturazione dichiarato.

Tutti i piani: garanzia di rimborso 14 giorni. Dati verificati il 13 agosto 2026 direttamente sul toggle Mensile/Annuale della pagina prezzi ufficiale.

L'unica variabile che resta da verificare caso per caso è l'importo esatto in euro che vedrai in fattura, perché dipende dal cambio USD/EUR applicato al momento dell'addebito, più eventuali commissioni di conversione della tua carta. Il meccanismo IVA però è chiaro e dichiarato: non serve il reverse charge lasciato all'iniziativa del cliente, l'azienda la applica direttamente.

Esempio di calcolo — studio tipo da 5 persone su piano Core: 5 utenti × $11 + $40 di server con IP dedicato = $95/mese a listino, IVA esclusa, con impegno annuale. A un cambio indicativo di 0,92-0,95, sono circa 87-90 € netti al mese, che con IVA 22% salgono a circa 107-110 €/mese — verifica sempre l'importo esatto al checkout, perché il cambio oscilla. Per dare un ordine di grandezza: meno del costo mensile di una singola postazione di lavoro ammortizzata, per mettere in sicurezza l'accesso all'intero archivio fiscale dello studio. Il confronto corretto non è con il costo di una VPN consumer: è con il costo di un data breach — fermo operativo, notifica al Garante, comunicazione ai clienti dello studio, e il danno reputazionale in una professione dove la fiducia è l'intero capitale.

Nota tecnica sul minimo di 5 utenti: si paga per 5 licenze anche se i collaboratori attivi sono 3 o 4. Per il professionista singolo o lo studio a 2, il conto cambia — ne parlo nel verdetto.

→ Vedi piani e prezzi aggiornati sul sito NordLayer

Il collegamento con GDPR e NIS2: perché non è (solo) una scelta tecnica

Due riferimenti normativi rendono questa scelta meno discrezionale di quanto sembri.

GDPR. L'articolo 32 richiede misure tecniche e organizzative adeguate al rischio. Per uno studio che tratta dati fiscali, reddituali e contributivi di centinaia di soggetti, il rischio è alto per definizione, e la protezione degli accessi remoti è tra le misure che l'autorità valuta per prima in caso di violazione. Non ripeto qui l'analisi completa — la trovi nell'articolo dedicato alle misure tecniche di sicurezza GDPR — ma il principio operativo è: cifratura del traffico, autenticazione forte e controllo granulare degli accessi non sono opzioni di lusso, sono lo standard atteso.

NIS2. Gli studi commercialisti, nella maggior parte dei casi, non rientrano direttamente nel perimetro della direttiva. Ma c'è un effetto indiretto che sta già arrivando negli studi: i clienti che invece sono soggetti NIS2 devono garantire la sicurezza della propria catena di fornitura, e lo studio che gestisce la loro contabilità è a tutti gli effetti un fornitore che tratta i loro dati. Tradotto: aspettati questionari di sicurezza dai clienti strutturati, con domande precise su MFA, cifratura e gestione degli accessi. Ho spiegato il meccanismo dei "fornitori rilevanti" nella guida NIS2 per le PMI italiane: per uno studio, poter rispondere "sì" a quelle domande sta diventando un requisito commerciale, prima ancora che legale.

Per chi sì, per chi no

NordLayer ha senso se:

• Lo studio ha 5 o più persone tra soci, dipendenti e collaboratori stabili
• Almeno una parte del team accede al gestionale da fuori studio (casa, trasferte, seconda sede)
• Il gestionale o il server documentale è raggiungibile da internet, o volete che smetta di esserlo
• Avete clienti strutturati che iniziano a chiedere garanzie sulla sicurezza (effetto NIS2)
• Volete poter dimostrare al Garante, in caso di incidente, di aver adottato misure di controllo accessi serie

NordLayer non è la scelta giusta se:

• Sei un professionista singolo o uno studio a 2-3 persone: il minimo di 5 utenti ti fa pagare licenze vuote. In quel caso, per la protezione del traffico in mobilità, NordVPN è la soluzione proporzionata (accompagnata da MFA attivata su tutti i servizi)
• Tutto il lavoro avviene in studio, su rete locale, senza alcun accesso remoto — il problema che NordLayer risolve, semplicemente, non ce l'hai
• Hai già un firewall aziendale gestito da un MSP con VPN, segmentazione e MFA configurate: NordLayer sarebbe una duplicazione, non un'aggiunta

Un chiarimento da ingegnere, per evitare acquisti sbagliati: NordLayer protegge la rete e gli accessi. Non è un antivirus, non protegge dall'allegato malevolo aperto su un PC, non fa backup. È un componente dell'impianto, non l'impianto intero. Sul fronte endpoint per gli studi, ho analizzato Kaspersky Small Office Security Premium e il contesto normativo italiano nella recensione Kaspersky per PMI; sul fronte credenziali, il riferimento è NordPass per team (o il confronto con 1Password).

Verdetto

Per uno studio commercialista da 5 persone in su con lavoro remoto anche solo parziale, NordLayer sul piano Core con server IP dedicato è una delle misure con il miglior rapporto tra costo, sforzo di implementazione e riduzione del rischio: a listino, circa 107-110 €/mese IVA inclusa (stima al cambio corrente, da confermare al checkout) per togliere il gestionale da internet, imporre l'MFA a tutto il team e avere il controllo centralizzato degli accessi. Non richiede hardware, non richiede di cambiare gestionale, e si implementa in giorni, non mesi.

Il limite principale è commerciale, non tecnico: il minimo di 5 utenti e la fatturazione in dollari, con l'IVA italiana aggiunta automaticamente ma l'importo finale in euro soggetto al cambio del giorno. Il primo esclude i micro-studi (per cui la risposta proporzionata resta una VPN individuale più MFA ovunque); il secondo richiede di verificare l'importo esatto al checkout prima di firmare — cosa che consiglio di fare comunque, sempre, con qualsiasi fornitore SaaS che fattura in valuta estera.

Misuri, ottimizzi, ripeti: in questo caso, la misura da tenere d'occhio dopo l'implementazione è una sola — il numero di vie d'accesso al gestionale diverse dal tunnel cifrato. Deve essere zero.

→ Prova NordLayer con garanzia di rimborso 14 giorni

Cybersecurity per la tua professione

• NIS2 per PMI italiane: obblighi 2026 (guida pilastro)
• GDPR: le misure tecniche di sicurezza per PMI italiane
• NordVPN per PMI italiane
• NordPass per team italiani
• NordPass vs 1Password per PMI italiane
• Kaspersky per PMI italiane
• Kaspersky Small Office Security Premium: prezzo e analisi

Domande frequenti

NordLayer sostituisce l'antivirus nello studio commercialista?

No. NordLayer protegge la rete e gli accessi: cifra il traffico, controlla chi si connette e a cosa. Non analizza i file sul PC e non blocca un allegato malevolo già aperto. Per la protezione degli endpoint serve una soluzione dedicata — per gli studi piccoli ho analizzato Kaspersky Small Office Security Premium. I due strumenti sono complementari, come lo sono un cancello controllato e i dispositivi di protezione individuale in stabilimento.

Il gestionale dello studio è già in cloud con connessione cifrata: serve comunque NordLayer?

Il cloud con HTTPS cifra il traffico, ma il gestionale resta raggiungibile da chiunque su internet abbia (o rubi) le credenziali. NordLayer aggiunge il livello mancante: se il fornitore del gestionale supporta la restrizione degli accessi per IP, puoi fare in modo che accetti connessioni solo dall'IP dedicato dello studio. Una credenziale rubata via phishing, da sola, non basta più per entrare. In più imponi l'MFA e la VPN sempre attiva anche sulle reti pubbliche usate in trasferta.

Posso usare NordVPN al posto di NordLayer per il mio studio?

Dipende dalla dimensione. NordVPN protegge il traffico del singolo dispositivo, ma non ha gestione centralizzata degli utenti, IP dedicato aziendale condiviso, né controllo di chi accede a cosa. Per il professionista singolo o lo studio a 2-3 persone è la scelta proporzionata (anche per via del minimo di 5 utenti di NordLayer). Da 5 persone in su, con accessi remoti al gestionale, la gestione centralizzata smette di essere un lusso: è quello che ti permette di revocare un accesso in un minuto e di dimostrare chi si è connesso e quando.

NordLayer rende lo studio conforme al GDPR?

Nessun singolo prodotto "rende conformi" al GDPR: la conformità è un insieme di misure tecniche e organizzative proporzionate al rischio. NordLayer copre bene una famiglia specifica di misure tecniche — cifratura del traffico, autenticazione forte, controllo e tracciabilità degli accessi remoti — che per uno studio che tratta dati fiscali di terzi è tra le più rilevanti. L'analisi completa delle misure attese è nell'articolo sulle misure tecniche GDPR per PMI italiane.

Quanto costa NordLayer per uno studio di 5 persone?

A listino ufficiale (fatturato in dollari, IVA italiana aggiunta automaticamente in base al paese, fatturazione annuale): piano Core 5 × $11 = $55/mese, più $40/mese per il server con IP dedicato, per un totale di $95/mese IVA esclusa — circa 107-110 €/mese IVA inclusa a un cambio indicativo. Il piano Lite senza IP dedicato costa 5 × $8 = $40/mese, ma rinuncia proprio alla funzione più utile per uno studio (l'allowlisting sul gestionale). L'importo esatto in euro va confermato al checkout, perché varia con il cambio del giorno. C'è una garanzia di rimborso di 14 giorni per testare la configurazione reale dello studio prima di confermarla.

Un mio cliente soggetto a NIS2 mi ha mandato un questionario sulla sicurezza: c'entra qualcosa NordLayer?

C'entra. I soggetti NIS2 devono presidiare la sicurezza della loro catena di fornitura, e lo studio che ne gestisce contabilità e adempimenti tratta i loro dati: rientra tra i fornitori da valutare. I questionari chiedono tipicamente MFA, cifratura del traffico e controllo degli accessi e tracciabilità — esattamente l'area coperta da una soluzione come NordLayer. Il quadro completo su chi rientra nel perimetro e cosa comporta è nella guida NIS2 per PMI italiane.

Admeto Verde, Founder NextGenTool.it — Ingegnere Industriale, 15 anni di esperienza in PMI strutturate. "Il digital che funziona ha le stesse regole di una catena di produzione: misuri, ottimizzi, ripeti."