Competenze, attitudini, settori che pagano, con i dati di Dati Clusit, ACN e Politecnico di Milano
Il freelance più richiesto a Roma non è lo stesso che è più richiesto a Milano. A Milano si vende velocità: prototipi, time-to-market, crescita. A Roma si vende un'altra cosa, e chi non se ne accorge sbaglia posizionamento per anni. Il profilo che il mercato romano cerca di più oggi è il tecnico senior che sa portare un sistema dentro un perimetro regolato — sicurezza, conformità, continuità operativa — e sa dimostrarlo con documenti che reggono un'ispezione.
Non è una tesi generica: discende da dove sono fisicamente i committenti. A Roma hanno sede tutti i ministeri, l'Agenzia per la Cybersicurezza Nazionale, le grandi utility, la maggior parte dell'industria della difesa e dello spazio italiana e i poli sanitari di ricerca. Sono tutti soggetti per cui la domanda «funziona?» viene dopo la domanda «è a norma, e chi lo certifica?». Qui sotto ci sono i numeri, con le fonti.
INDICE DEI CONTENUTI
- Il profilo tecnico: cosa sa fare
- Perché Roma chiede questo: i numeri
- La finestra è adesso: due scadenze che stanno muovendo il mercato
- Le attitudini che spostano la tariffa
- Quanto si fattura a Roma
- Chi lo cerca: i settori romani
- Come sono fatti i progetti romani
- I rischi da mettere in conto
- Come ci si posiziona
- In sintesi
Il profilo tecnico: cosa sa fare
Il profilo più cercato è ibrido, e questa è la sua caratteristica principale: non è un security specialist puro e non è un fullstack generalista. È un ingegnere di sistemi che ha spostato il baricentro sulla sicurezza e sulla conformità. Le competenze che compongono il pacchetto sono cinque.
Sicurezza applicativa e infrastrutturale operativa — hardening, gestione delle identità e degli accessi, segmentazione, gestione delle vulnerabilità, risposta agli incidenti. Non la teoria del framework: la messa in opera e il presidio.
Cloud e migrazione in ambienti qualificati — architetture su infrastrutture qualificate ACN, migrazione di applicativi legacy, disaster recovery, continuità operativa. È il cuore tecnico di quasi ogni commessa pubblica in corso.
Data engineering e interoperabilità — integrazione tra sistemi che non si parlano, API, gestione della qualità del dato, tracciabilità. Nella PA il collo di bottiglia non è quasi mai l'algoritmo: è il fatto che gli stessi dati esistono in quattro copie diverse e nessuna è autorevole.
Conformità normativa applicata — NIS2, GDPR, AI Act, linee guida AgID, requisiti di qualificazione dei servizi cloud. La parola chiave è applicata: tradurre un requisito normativo in una configurazione, un log, una procedura e un documento di evidenza.
AI su dati sensibili — sistemi documentali e conversazionali che devono restare dentro il perimetro dell'ente, con controllo su cosa entra nel modello e tracciamento di cosa esce. È il segmento in crescita più rapida e quello con meno concorrenza qualificata.
Nessuna di queste voci, da sola, giustifica una tariffa alta: chi sa solo configurare un firewall compete sul prezzo con chiunque. È la combinazione tra competenza tecnica e capacità di reggere un audit a spostare la cifra, perché è esattamente ciò che il committente romano non sa fare da solo e non può non fare.
Perché Roma chiede questo: i numeri
Il primo dato viene dal Rapporto Clusit 2026: nel 2025 in Italia si sono registrati 507 incidenti gravi, +42% sull'anno precedente, e il settore più colpito è stato Government, Military & Law Enforcement con il 28% del totale e una crescita del 290% su base annua. È il primo comparto della classifica italiana, e la sua sede operativa è Roma.
Il secondo viene dalla Relazione annuale dell'Agenzia per la Cybersicurezza Nazionale: nel 2025 il CSIRT Italia ha trattato 2.729 eventi cyber (+38%), di cui 1.140 riguardanti istituzioni pubbliche nazionali, con 196 qualificati come incidenti veri e propri. Il vettore principale resta banale — email al 40%, credenziali valide al 24% — il che dice molto su dove sta davvero il lavoro da fare.
Il terzo è di spesa. Secondo l'Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, il mercato italiano della cybersecurity ha raggiunto 2,78 miliardi di euro nel 2025, +12%, e il settore che traina la crescita è la Pubblica Amministrazione con +28%. Nella stessa rilevazione, l'89% delle grandi organizzazioni dichiara di essere colpito dalla scarsità di talenti cyber e il 70% prevede di aumentare il budget nel 2026. Domanda che cresce, offerta che non c'è: è la definizione di finestra aperta.
Il quarto è il peso amministrativo della città. Secondo il Conto Annuale della Ragioneria Generale dello Stato, nel Lazio lavorano 420.860 dipendenti pubblici, il 12,5% del totale nazionale, con una densità di 7.372 ogni 100.000 abitanti contro una media italiana di 5.709. Sul solo comparto Ministeri il Lazio concentra 35.902 dipendenti, il 29,4% del personale ministeriale italiano, per la ragione ovvia che le sedi centrali di tutti i dicasteri sono lì. Ogni riorganizzazione digitale dello Stato passa da un ufficio che sta a Roma.
La finestra è adesso: due scadenze che stanno muovendo il mercato
Ci sono due date che, in questo momento, spiegano gran parte della domanda romana.
31 ottobre 2026: le misure di sicurezza NIS2. È il termine entro cui i soggetti inseriti negli elenchi ACN devono aver attuato le misure di sicurezza di base previste dal D.Lgs. 138/2024 — 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per quelli essenziali. Il perimetro italiano conta oltre 20.000 organizzazioni, di cui più di 5.000 essenziali, su 11 settori critici e 7 importanti. Le sanzioni arrivano a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali. Dal 1° novembre 2026 comincia la fase ispettiva (ICT Security Magazine). Tradotto per un professionista: da qui a fine ottobre migliaia di organizzazioni devono chiudere un gap tecnico e documentale, e non hanno le persone per farlo internamente.
31 agosto 2026: il termine dei milestone PNRR. È la data entro cui vanno completati obiettivi e traguardi del Piano, non prorogabile. Al 28 febbraio 2026 la Corte dei conti contava 113,5 miliardi spesi, il 58% del totale, e stimava che 24,2 miliardi di spesa sarebbero slittati oltre il 2026 (MilanoFinanza). Sulla digitalizzazione della PA i dati di OpenPNRR sono espliciti: la misura sulle infrastrutture digitali, dotata di 900 milioni, risultava spesa per il 10,8%; quella sui servizi digitali al 65,5% su quasi 49.000 progetti; quella sulle grandi amministrazioni centrali al 73,8% — tutte classificate «in ritardo». Uno degli obiettivi dichiarati era il consolidamento di circa 11.000 data center pubblici, il 95% dei quali privo dei requisiti minimi di sicurezza. Quel lavoro, semplicemente, non è finito: continuerà con altri fondi e altre gare, ma continuerà.
Le attitudini che spostano la tariffa
A parità di competenze tecniche, a Roma la differenza tra due professionisti si gioca su quattro cose che non stanno nel curriculum.
Saper scrivere. È la competenza più sottovalutata e la più pagata del mercato romano. In un ente pubblico o in un'azienda regolata, un lavoro esiste se è documentato: piano di sicurezza, analisi dei rischi, procedure, verbali di collaudo, evidenze per l'audit. Il professionista che consegna il sistema e il fascicolo che lo giustifica vale il doppio di chi consegna solo il sistema, perché al committente risparmia il pezzo di lavoro che gli fa più paura.
Saper stare nella filiera. A Roma quasi nessun freelance fattura direttamente alla PA: si entra come subfornitore di un system integrator che ha vinto una gara, o di una società di consulenza capofila. Questo comporta un cliente contrattuale diverso dal cliente reale, tempi di pagamento più lunghi e vincoli ereditati dal capitolato. Chi lo sa e lo prezza correttamente lavora bene; chi lo scopre a lavoro iniziato ci rimette.
Saper aspettare senza fermarsi. Il ciclo decisionale romano è lento: tra il primo contatto e la firma passano mesi, e il periodo tra determina e avvio è tempo non fatturato. Il rovescio della medaglia è che, una volta dentro, i contratti sono lunghi e rinnovabili. Chi costruisce un portafoglio con due o tre relazioni continuative regge molto meglio di chi insegue il progetto singolo.
Saper lavorare in squadre che non sono la tua. Il freelance si innesta in gruppi misti: un referente interno dell'ente che decide le priorità, personale dipendente, il fornitore capofila e a volte altri professionisti esterni. Le competenze che servono lì — riscrivere un brief incompleto, mettere per iscritto cosa è incluso e cosa no, gestire un cambio di interlocutore a metà progetto — non sono competenze tecniche, ma sono quelle che determinano se il progetto si chiude.
Quanto si fattura a Roma
Premessa doverosa, la stessa di sempre: in Italia non esiste una statistica pubblica ufficiale sulle tariffe dei freelance digitali. Quello che segue sono ordini di grandezza ricostruiti dalla pratica di mercato e ancorati, dove possibile, a dati verificabili. Vanno letti come range, non come listino.
L'unico riferimento solido sul differenziale tra piazze riguarda il lavoro dipendente: secondo il report Tech Cities di Experis ripreso da Quotidiano.net, la retribuzione media per profili IT di media seniority è di 53.750 euro a Milano contro 48.000 a Roma, uno scarto di circa il 12%. Sul lavoro autonomo il divario tende a essere simile o leggermente inferiore, e va letto insieme al costo della vita: i canoni di locazione milanesi risultano superiori del 30-40% rispetto a quelli romani (Deutsche Bank Research Institute). A parità di tariffa, a Roma resta di più.
Profilo (Roma) | Tariffa giornaliera indicativa |
|---|---|
Sviluppatore su commessa pubblica, in subappalto | 280 – 380 € |
Analista funzionale / specialista di dominio | 380 – 480 € |
Cloud & DevOps su migrazione verso infrastrutture qualificate | 450 – 650 € |
Security engineer senior / incident response | 500 – 750 € |
Consulente conformità applicata (NIS2, AI Act, AgID) | 600 – 900 € |
Profili abilitati su difesa e aerospazio | 700 – 1.100 € |
Il salto tra la prima e le ultime righe è il vero oggetto di questo articolo: è la distanza tra vendere ore di esecuzione dentro il capitolato di qualcun altro e vendere responsabilità su un requisito che il committente non può disattendere. Va ricordato, come sempre, che una tariffa freelance non è uno stipendio: copre i periodi non fatturati, i contributi, gli strumenti, l'assicurazione professionale e una formazione continua che in questo campo non è facoltativa. E a Roma copre anche cicli di incasso che nel pubblico e nel subappalto sono lunghi.
Chi lo cerca: i settori romani
La domanda romana è concentrata in sette bacini, molto diversi tra loro per soldi, velocità e barriere d'ingresso.
Pubblica Amministrazione centrale. È il bacino più grande e il più strutturato. Ministeri, agenzie, enti previdenziali, autorità indipendenti: tutti con sede a Roma, tutti dentro il perimetro NIS2, quasi tutti con progetti di migrazione, interoperabilità e servizi al cittadino ancora aperti. Si entra quasi esclusivamente via fornitore aggiudicatario. Ciclo lento, contratti lunghi, requisiti formali pesanti.
Difesa, aerospazio e sicurezza. Il Lazio conta 360 imprese del settore aerospaziale, oltre 23.000 addetti e circa 5 miliardi di fatturato annuo, con l'intera catena del valore presente sul territorio: Leonardo, MBDA Italia, ELT Group, Thales Alenia Space Italia, Telespazio, Avio, più una rete di PMI, università e centri di ricerca. La Regione ha annunciato la costituzione di un distretto dedicato con 115 milioni di euro di bandi e le prime due call entro novembre 2026 (Key4biz). È il segmento con le tariffe più alte e le barriere più alte: spesso servono abilitazioni di sicurezza e la cittadinanza giusta, e i tempi di ingresso si misurano in mesi.
Energia e utility. Hanno sede legale a Roma alcuni dei maggiori gruppi italiani per fatturato: Eni (83,6 miliardi di ricavi 2025), Enel (80,4 miliardi), Terna (4,03 miliardi, +9,6%, con 3,5 miliardi di investimenti nell'anno) e Acea. Sono infrastrutture critiche: rientrano tra i soggetti essenziali NIS2 e hanno programmi pluriennali su reti, misura, sicurezza OT e dati. Committenti solidi, procedure di qualifica fornitore rigide.
Telecomunicazioni. TIM ha sede a Roma e ha chiuso il 2025 con 13,7 miliardi di ricavi di gruppo (+2,7%) e 1,9 miliardi di investimenti; a Roma è anche Sparkle, passata alla cordata MEF-Retelit con un'operazione autorizzata dalla Commissione europea nell'aprile 2026. È un settore che nel 2025-2026 sta più riorganizzando che espandendo: domanda reale, ma su progetti di consolidamento e sicurezza più che di crescita.
Sanità e ricerca clinica. La spesa italiana per la sanità digitale ha raggiunto 2,7 miliardi di euro nel 2025, +9%, e la priorità dichiarata numero uno delle strutture sanitarie è la cybersecurity, indicata dal 90% di esse, davanti ai servizi digitali al cittadino (81%) e alla cartella clinica elettronica (76%) (Osservatorio Sanità Digitale, Politecnico di Milano). Roma ospita alcune delle strutture più grandi del Paese — il solo Policlinico Gemelli dichiara 746,9 milioni di ricavi e 5.394 dipendenti nel 2024 — e un'alta densità di IRCCS. È un committente con dati sensibili, vincoli forti e competenze interne scarse: la combinazione ideale.
Audiovisivo e produzione. È il settore più romano di tutti e il meno presidiato da professionisti tecnici. Il Lazio ospita il 31% delle imprese di produzione audiovisiva italiane, con circa 2.400 imprese e 13.000 addetti (Lazio Terra di Cinema). Cinecittà è tornata all'utile nel 2025 (1,1 milioni, contro una perdita di oltre 11 milioni nel 2024) con ricavi in crescita del 43% e 232 milioni di investimenti PNRR che portano la capacità produttiva a +60%, con cinque nuovi teatri di posa. Attorno ruota una domanda tecnica reale — pipeline di produzione, gestione di archivi enormi, distribuzione, automazione — su cui la concorrenza di professionisti IT strutturati è bassa.
Startup e imprese innovative. Secondo il cruscotto MIMIT, al 1° ottobre 2025 la provincia di Roma contava 1.282 startup innovative, seconda in Italia dopo Milano, su 1.414 nel Lazio. La Regione ha stanziato oltre 100 milioni di euro per la nuova strategia di venture capital. È il bacino con le tariffe più basse e i cicli più rapidi: utile per costruire portfolio e referenze, meno per il fatturato.
Come sono fatti i progetti romani
La forma dell'ingaggio a Roma ha caratteristiche ricorrenti, diverse da quelle di altre piazze.
Durata. Prevalgono gli incarichi lunghi. La struttura più comune sul pubblico e sulle infrastrutture critiche è un contratto quadro da dodici a trentasei mesi, con attivazioni a monte giornate. Sul privato regolato la configurazione tipica è a due tempi: una fase di assessment di quattro-otto settimane per fotografare lo stato dell'arte e produrre il piano di adeguamento, seguita — se il piano viene approvato — da una fase di attuazione di sei-dodici mesi. Gli incarichi brevi esistono ma sono quasi sempre assessment, audit o formazione.
Catena contrattuale. È la specificità romana più importante. Nel pubblico si lavora quasi sempre in subappalto a un aggiudicatario di gara, il che significa: capitolato scritto da altri, requisiti di qualificazione ereditati, penali che si propagano lungo la catena e pagamenti legati agli stati di avanzamento del contratto principale. Vale la pena verificare prima della firma chi paga, quando, e cosa succede se il committente finale contesta un collaudo.
Composizione del gruppo di lavoro. Il freelance non è quasi mai solo. La configurazione ricorrente è: un referente interno dell'ente o dell'azienda che porta il dominio e decide le priorità, personale interno che conosce i sistemi legacy, il fornitore capofila che gestisce il contratto, e il professionista esterno nel ruolo di chi progetta e porta a regime la parte specialistica. Su progetti grandi si affiancano più freelance con specializzazioni complementari.
Il deliverable non è solo software. Su una commessa romana tipica, una quota rilevante del tempo — spesso tra il 20% e il 30% — va in documentazione, verbali, evidenze di conformità e riunioni di allineamento. Non è tempo sprecato: è parte del prodotto. Chi lo dimentica in fase di preventivo lavora gratis per un quarto del progetto.
Continuità della relazione. Il modello «un progetto, un cliente, arrivederci» è minoritario tra chi fattura di più. Nella pratica romana il primo contratto è quasi sempre seguito da manutenzione evolutiva o da un monte giornate a consumo — che è anche la parte più redditizia, perché non richiede più di imparare il contesto.
I rischi da mettere in conto
Sarebbe disonesto raccontare solo il lato buono. Il mercato romano ha tre fragilità strutturali.
La dipendenza dalla spesa pubblica. Con la chiusura del PNRR ad agosto 2026 una parte della domanda che ha alimentato gli ultimi anni si esaurisce. Ne subentrerà altra — fondi europei ordinari, obblighi normativi, manutenzione di ciò che è stato costruito — ma la transizione può creare mesi di vuoto. Il 33% delle strutture sanitarie pubbliche dichiara già di temere ritardi o riduzioni dei progetti dopo il PNRR (Osservatorio Sanità Digitale).
La compressione dei margini in subappalto. Chi vince la gara ha già scontato il prezzo per aggiudicarsela, e quello sconto viene scaricato a valle. La difesa è una sola: essere insostituibili su una competenza specifica, non intercambiabili su una generica.
Il mercato ICT nazionale non sta crescendo ovunque. I dati Excelsior Unioncamere mostrano per i servizi informatici e delle telecomunicazioni 115.830 entrate programmate nel 2025, in calo del 9,5% sull'anno precedente, con il 47% delle entrate complessive di difficile reperimento. È un mercato che assume di meno ma fatica a trovare chi cerca: pessimo per i profili generalisti, ottimo per quelli specializzati.
Come ci si posiziona
Da tutto quanto sopra discendono quattro indicazioni pratiche, in ordine di impatto.
Scegli il perimetro, non solo la tecnologia. «Faccio sicurezza informatica» è una descrizione che compete sul prezzo. «Porto un'organizzazione dentro i requisiti NIS2 e lascio le evidenze per l'ispezione» descrive un risultato con una scadenza legale, e si prezza in modo completamente diverso.
Costruisci il fascicolo, non solo il portfolio. In questo mercato la credibilità si dimostra con documenti: un modello di analisi dei rischi, un piano di adeguamento tipo, un esempio di procedura. Sono asset riutilizzabili che accorciano ogni trattativa successiva.
Presidia i due settori meno affollati. Sanità e audiovisivo sono, a Roma, i bacini con più domanda tecnica reale e meno professionisti IT strutturati che la servono. La PA centrale paga bene ma è affollata di fornitori consolidati; l'aerospazio paga meglio di tutti ma ha barriere d'ingresso che richiedono anni.
Fattura a giornate su uno scope definito, e metti per iscritto cosa non è incluso. In un mercato dove il capitolato lo scrive qualcun altro, l'unica protezione è la lista delle esclusioni. La tariffa oraria, per giunta, punisce proprio la parte in cui produci più valore: quando capisci in due ore che una strada non porta da nessuna parte.
In sintesi
Il freelance più richiesto a Roma nel 2026 è un tecnico senior che unisce competenze di sicurezza, cloud e dati alla capacità di reggere un requisito normativo e di documentarlo. Lo cercano la Pubblica Amministrazione centrale, la difesa e l'aerospazio, le utility, le telecomunicazioni, la sanità e — con meno concorrenza di quanto si pensi — l'audiovisivo. I progetti sono lunghi, spesso in subappalto a un aggiudicatario di gara, con una quota rilevante di lavoro documentale che va prezzata.
Le tariffe tengono per una ragione precisa e temporanea: la scadenza NIS2 del 31 ottobre 2026 mette oltre 20.000 organizzazioni davanti a un obbligo che non hanno le persone per soddisfare, mentre l'89% delle grandi organizzazioni dichiara di soffrire la scarsità di talenti cyber. Non resterà così per sempre. Ma per i prossimi mesi è la condizione del mercato romano, e chi si posiziona adesso ci arriva già dentro.