---
title: "KODE Labs e il programma FedStart: l’autorizzazione FedRAMP High è di un altro"
description: "KODE Labs annuncia FedRAMP High “through [the host company’s] FedStart”. Il registro del regolatore dice: l’autorizzazione è della società che ospita il programma, KODE è nominata nel suo perimetro."
url: https://csidia.com/note-operative/kode-fedramp-high-perimetro-di-un-altro/
lang: it
date: 2026-08-07
label: "Partnership"
publisher: CSIDIA S.r.l. (https://csidia.com/)
english: https://csidia.com/en/notes/kode-fedramp-high-perimetro-di-un-altro/
---

# KODE Labs e il programma FedStart: l’autorizzazione FedRAMP High è di un altro

Il 5 agosto 2026 KODE Labs, azienda di Detroit, ha annunciato via GlobeNewswire di avere «achieved FedRAMP® High authorization through [the host company]'s FedStart program» — raggiunto l’autorizzazione FedRAMP® High attraverso il programma FedStart di una società americana di software per l’analisi dei dati. Il comunicato è accurato: la piattaforma «is assessed against the NIST SP 800-53 Rev. 5 High baseline and is now listed on the FedRAMP Marketplace as part of [the host company]'s Federal Cloud Service» — valutata sulla base NIST SP 800-53 Rev. 5 High, a catalogo come parte del Federal Cloud Service della società ospitante. Letto di corsa, il titolo suona come un’autorizzazione propria. Il registro del regolatore dice una cosa diversa: l’autorizzazione è della società ospitante; KODE OS è un componente nominato dentro il perimetro di un altro.

## Chi è KODE Labs, e cosa ha firmato con la GSA

KODE Labs nasce a Detroit, con sedi operative a Detroit e a Prishtina, in Kosovo. Si descrive come «the intelligence infrastructure for the physical world», l’infrastruttura di intelligenza per il mondo fisico: integra e normalizza i sistemi di un edificio in un unico strato, dispiegata su «hundreds of millions of square feet». Nel 2023 è entrata fra i Technology Pioneer del World Economic Forum. Il comunicato dichiara un contratto da **14,35 milioni di dollari** con il Public Buildings Service della GSA, per **150 edifici** nella National Capital Region.

Il registro federale aggiunge un altro dettaglio. Il contratto, PIID **47PM0024C0003**, è intestato a KODE LABS, INC., amministrato da GSA/Public Buildings Service: firmato il 9 settembre 2024, in esecuzione dal 10 settembre 2024 al 9 settembre 2029 (fine potenziale 31 marzo 2030). DEFINITIVE CONTRACT, FULL AND OPEN COMPETITION, senza set-aside, gara 47PM0024R0003. L’oggetto, testuale: «unified user interface (UUI) solution development to integrate, converge, and view data from various operational technologies for remote control and monitoring of facility equipment and systems» — interfaccia unificata per integrare e visualizzare dati da diverse tecnologie operative, per il **controllo e il monitoraggio da remoto** di apparecchiature e sistemi degli edifici. A oggi il valore **obbligato** è **9.564.451 dollari** (base più opzioni esercitate); il potenziale complessivo non è pubblicato (record al 21 agosto 2025). I 14,35 milioni dichiarati e i 9,56 milioni obbligati non sono in contraddizione: sono due grandezze diverse, la distinzione fra promesso e contabilizzato che [abbiamo già misurato](https://csidia.com/note-operative/core-scientific-amd-potenziale-e-fatturato) su un altro contratto pluriennale a opzioni.

## La tecnologia: non un cruscotto, un comando

Una «building operations platform» non è software gestionale. È lo strato che integra climatizzazione, illuminazione, accessi, contatori e sensori — sistemi che di norma non si parlano fra loro, di produttori e generazioni diverse — in un modello unico su cui si monitora e si **comanda**. Lo dice l’oggetto stesso del contratto GSA: controllo e monitoraggio da remoto. È tecnologia operativa (OT), non un’anagrafica: un comando lanciato da questa piattaforma cambia lo stato fisico di una macchina — una valvola, un compressore, un varco — dentro un edificio federale.

## Il registro dice un’altra cosa

Il FedRAMP Marketplace è il catalogo pubblico dei servizi cloud autorizzati. Alla lettura di oggi, nell’intero catalogo la parola «KODE» compare in un punto solo — e non è una voce a catalogo: nessun servizio è intestato a KODE né come fornitore (CSP) né come servizio (CSO). Esistono invece due voci della società ospitante, entrambe «FedRAMP Certified» a livello High: **FR2434554673**, «[…] Federal Cloud Service», e **FR2315464863**, «[…] Federal Cloud Service – Supporting Services» (PFCS-SS).

Dentro la descrizione di quest’ultima compare KODE: «KODE OS for Government – KODE OS is a FedRAMP High authorized, cloud-native building operations platform deployed within the [host company's] FedStart environment that enables federal, state, local, and government contractor organizations to securely centralize, monitor, control, and optimize distributed facility infrastructure through unified data integration, real-time analytics, role-based access control, and automated…» — piattaforma cloud-native autorizzata FedRAMP High, **dispiegata dentro l’ambiente FedStart della società ospitante**, che permette a enti federali, statali, locali e appaltatori governativi di centralizzare, monitorare, comandare e ottimizzare in sicurezza l’infrastruttura degli edifici.

Nella stessa descrizione compaiono altri prodotti di terzi ospitati nello stesso perimetro: GovSignals.ai, Hyperscience Hypercell, Knightscope Security Operations Center (KSOC), Unstructured Platform, Valinor Harbor (HarborOS) — un perimetro condiviso da molti inquilini, non un accordo dedicato. I recapiti pubblicati sono due caselle sul dominio della società ospitante, una per il commerciale e una per la sicurezza: l’ISSO indicato è della società ospitante, non di KODE. Non è la prima volta che incontriamo il meccanismo: dello stesso FedStart avevamo già scritto per [Oligo Security](https://csidia.com/note-operative/oligo-security-palantir-fedstart) — stesso programma, business diverso.

## L’asimmetria della comunicazione

Chi ha bisogno di annunciare, di solito, non è chi ospita. L’elenco dei comunicati sul sito della società ospitante è aggiornato — l’ultimo è del 3 agosto 2026, i risultati del secondo trimestre — senza menzione di KODE. L’elenco è vivo e recente: l’assenza è un dato, non un limite dello strumento. Si annuncia la parte piccola.

## Cosa comporta

Per KODE, l’accordo è accesso rapido a un mercato proibitivo: l’autorizzazione FedRAMP per conto proprio richiede anni e un investimento che un’azienda giovane raramente sostiene. Etrit Demaj, co-fondatore: «Reaching FedRAMP® High is a milestone we're proud of, but to us it means more than compliance» — un traguardo di cui essere fieri, ma che significa più della sola conformità. È anche, però, una dipendenza strutturale: KODE vende qualcosa che vive dentro il perimetro di un altro. Per la società ospitante, ogni inquilino nominato in una voce come PFCS-SS è un canale che porta altri clienti federali: diventa infrastruttura di conformità di un intero ecosistema, non solo fornitore di software.

Per il mercato e il procurement l’effetto è concentrazione: fornitori diversi — dai building operations di KODE alla sicurezza fisica di Knightscope, ai dati non strutturati di Unstructured — finiscono dietro lo stesso perimetro, con lo stesso ISSO. Un problema lì non resta di un solo prodotto. La domanda vale anche per l’Europa e l’Italia, dove si costruiscono cataloghi di qualificazione cloud: quanto rischiano di riprodurre la stessa architettura, una qualificazione ottenuta nell’ambiente di un altro invece che nel proprio? Una domanda da porre, non una previsione normativa.

Non è un pezzo contro nessuno dei due. Un’azienda giovane che ottiene per via legittima l’accesso a un mercato altrimenti chiuso fa una scelta sensata, e la dichiara con le parole giuste — «through», «as part of». Un fornitore che apre il proprio perimetro accreditato offre un servizio reale, che abbassa una barriera notoriamente alta. Il punto non è la correttezza delle parti: è che chi compra deve saper leggere cosa ha comprato — la lettura corretta non sta nel titolo del comunicato, sta nella voce di catalogo.

## La lezione operativa

1. Se un fornitore dichiara «siamo certificati», chiedete di chi è l’autorizzazione e leggete la voce di catalogo del regolatore, non il comunicato: se il suo nome non è l’intestatario, l’autorizzazione non è sua.
2. Guardate chi è indicato come responsabile della sicurezza in catalogo: quel nome dice chi risponde davvero, non il logo sul comunicato.
3. Un componente dentro il perimetro di un altro eredita la sua sorte: se l’autorizzazione madre è sospesa, si ferma anche lui. Mettete per contratto che cosa succede.
4. Chiedete l’uscita prima dell’ingresso: se il fornitore lascia il perimetro, dati, integrazioni e continuità vanno disciplinati prima della prima installazione, non dopo.
5. Verificate che cosa il sistema **comanda**, non solo che cosa mostra: la domanda giusta è «chi può muovere una macchina, e con quale registro».
6. Distinguete sempre il dichiarato dall’obbligato: su un contratto pluriennale a opzioni la differenza è fisiologica, ma va verificata.

## Fonti

- [KODE Labs — KODE OS Achieves FedRAMP® High Authorization Through […] FedStart (GlobeNewswire, 5 agosto 2026)](https://www.globenewswire.com/news-release/2026/08/05/3339374/0/en/kode-os-achieves-fedramp-high-authorization-through-palantir-fedstart.html)
- [FedRAMP Marketplace — catalogo dei servizi cloud autorizzati](https://www.fedramp.gov/marketplace/products/)
- [USAspending — contratto 47PM0024C0003, KODE Labs / GSA Public Buildings Service](https://www.usaspending.gov/award/CONT_AWD_47PM0024C0003_4740_-NONE-_-NONE-)
- [Pagina del programma FedStart sul sito della società ospitante](https://www.palantir.com/offerings/fedstart/)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/kode-fedramp-high-perimetro-di-un-altro/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com