Certificazioni e Sovranità: la via d'uscita
Cinque cose diverse vengono chiamate tutte «cloud sovrano». Una sola toglie davvero di mezzo la giurisdizione di uno Stato straniero. Questa pagina le mette in fila — e mostra che la soluzione esiste già, ha un nome, ed è già stata realizzata altrove.
La scala: cinque livelli, solo due proteggono
| # | Modello | Esempi | Esposizione al CLOUD Act |
|---|---|---|---|
| 0 | Cloud globale statunitense | Azure, AWS, Google Cloud | Piena |
| 1 | Residenza del dato in UE | «EU Data Boundary», region europee | Piena — protegge la geografia, non la giurisdizione |
| 2 | Sovranità contrattuale degli hyperscaler | AWS European Sovereign Cloud, Microsoft Cloud for Sovereignty, Google Assured Workloads | Piena — la capogruppo resta statunitense |
| 3 | Cloud di fiducia: tecnologia statunitense in licenza, operata da un'entità europea indipendente | Bleu (Orange + Capgemini su Azure) S3NS (Thales, su tecnologia Google) | Esclusa — se qualificato SecNumCloud |
| 4 | Infrastruttura europea nativa | OVHcloud, IONOS, Scaleway, Deutsche Telekom, Aruba, Seeweb | Nessuna |
I livelli 1 e 2 sono i due equivoci più diffusi: dove sta il dato e cosa dice il contratto non cambiano chi è giuridicamente obbligato a consegnarlo.
L'affermazione più netta sul fatto che la localizzazione dei dati non protegga dalla giurisdizione straniera non viene da noi. Viene da un whitepaper di Google Cloud rivolto ai propri clienti:
«Il CLOUD Act chiarisce che il governo statunitense può imporre la produzione dei dati quando questi sono in ‘possesso, custodia o controllo’ di un fornitore soggetto alla giurisdizione USA, indipendentemente da dove i dati siano fisicamente archiviati. In altre parole, i requisiti di localizzazione dei dati non incidono sul fatto che un fornitore cloud possa dover divulgare i dati in risposta a una richiesta governativa.»Lo stesso documento offre cifratura perché i dati restino illeggibili «anche se Google fosse costretta a consegnarli». La difesa proposta è tecnica, non giuridica — che è esattamente la distinzione di cui parla questa pagina.
Google Cloud, Government Requests for Cloud Customer Data, febbraio 2022, pag. 5 — whitepaper ufficiale.
Microsoft gestisce i cosiddetti «national cloud»: istanze isolate fisicamente e logicamente, confinate entro i confini di un Paese e gestite da personale locale. In Cina, Microsoft non gestisce affatto il servizio: concede la tecnologia in licenza a un'azienda locale.
«Microsoft è il fornitore della tecnologia, ma Microsoft non gestisce il servizio. 21Vianet gestisce, fornisce e amministra in modo indipendente l'erogazione dei servizi cloud Microsoft… e gestisce data center Azure e Office 365 che mantengono i dati in Cina.»Microsoft Learn — Microsoft national clouds (documentazione ufficiale del fornitore).
Gli Stati Uniti hanno preteso un cloud gestito secondo le proprie regole: Microsoft l'ha costruito. La Cina ha preteso un cloud gestito da un'azienda cinese: Microsoft ha concesso la tecnologia in licenza e si è tirata fuori dalla gestione. La Francia l'ha preteso: sono nati Bleu e S3NS. L'Italia non l'ha preteso, e infatti non ce l'ha. Non è un ostacolo tecnico né commerciale: è una questione di domanda politica.
Quale certificazione contiene davvero la clausola di immunità
| Schema | Paese | Immunità da leggi extra-UE |
|---|---|---|
| SecNumCloud 3.2 (ANSSI) | 🇫🇷 Francia | SÌ — immunità dalle legislazioni extraterritoriali, controllo europeo del capitale, personale operativo europeo. L'unico schema nazionale che esclude strutturalmente il CLOUD Act |
| HDS | 🇫🇷 Francia | Obbligatoria per i dati sanitari; distinta da SecNumCloud |
| BSI C5 | 🇩🇪 Germania | NO — catalogo di requisiti con attestazioni di auditor indipendenti |
| EUCS | 🇪🇺 UE | NO — e lo schema non esiste ancora. Nel giugno 2026 la Commissione afferma che l'EUCS «non è ancora stato adottato»: nessun atto giuridico, nessun certificato emesso. I requisiti di sovranità furono rimossi nel marzo 2024 e mai reintrodotti |
| Qualificazione ACN | 🇮🇹 Italia | NO — verificato sul testo integrale del regolamento (88 pagine, tutti e quattro gli allegati). Le parole «extraterritoriale», «CLOUD Act», «nazionalità», «sede legale», «capogruppo», «capitale» e «paese terzo» non compaiono mai |
Qualificati SecNumCloud a metà 2026: OVHcloud; S3NS (Thales, qualificata il 17 dicembre 2025 — prima qualificazione che copre insieme IaaS, PaaS e CaaS). Bleu ha presentato domanda nel 2025-2026 e non aveva ancora ottenuto la qualificazione.
Francia e Italia, articolo per articolo
Abbiamo letto entrambi i testi per intero: il Regolamento cloud italiano (Decreto Direttoriale 21007/24, 88 pagine compresi tutti e quattro gli allegati) e il referenziale francese SecNumCloud 3.2 (ANSSI, 8 marzo 2022, 55 pagine). Ecco cosa dicono.
Una scansione lessicale dell'intero testo primario restituisce zero occorrenze di:
extraterritoriale · CLOUD Act · nazionalità · sede legale · capogruppo · capitale · assetto proprietario · paese terzo · sovranità · PSN
Dove un simile requisito avrebbe dovuto trovarsi — l'Allegato 4, i requisiti soggettivi per i livelli di qualificazione QC1-QC4 — si trovano invece certificazioni ISO (9001, 27001, 22301, 20000) e CSA STAR L2. L'unico requisito geografico riguarda l'ente certificatore, non il fornitore — e ammette l'IAF MLA, che include l'organismo di accreditamento statunitense.
Una disposizione affronta il tema dell'accesso straniero, e si applica solo ai dati classificati come strategici: il fornitore deve segnalare ad ACN e all'amministrazione «ogni richiesta di accesso a dati o metadati da parte di entità extra-UE», dando accesso «solo a valle di un'autorizzazione esplicita».
È un obbligo procedurale che presuppone e ammette l'accesso straniero, invece di escluderlo strutturalmente. Ed è ineseguibile proprio nel caso per cui è pensato: un ordine emesso ai sensi del CLOUD Act e accompagnato da un gag order vieta giuridicamente al fornitore di effettuare quella segnalazione. La norma chiede una comunicazione che la legge americana proibisce.
Cosa richiede invece il referenziale francese
SecNumCloud 3.2, §19.6 «Protection vis-à-vis du droit extra-européen», impone condizioni cumulative:
- sede statutaria, amministrazione centrale e stabilimento principale nell'Unione europea;
- capitale e diritti di voto extra-UE entro il 24% individuale e il 39% collettivo, diretti o indiretti, senza diritti di veto né potere di nominare la maggioranza degli organi di governo;
- impossibilità tecnica che una società terza extra-UE ottenga i dati;
- autonomia d'esercizio, oppure qualificazione a cascata dei subfornitori;
- i legami con governi stranieri come elemento di valutazione.
E il §19.2.c aggiunge: «Les opérations d'administration et de supervision du service doivent être réalisées depuis l'Union Européenne» — le operazioni di amministrazione e supervisione del servizio devono essere svolte dall'Unione europea. Anche questo requisito è assente dal testo italiano.
La differenza in una frase
L'ANSSI aziona tre leve: societaria (chi possiede il fornitore), tecnica (chi può decifrare) e operativa (chi amministra il servizio). L'ACN aziona solo quella tecnica, in forma attenuata, e sostituisce quella societaria con una segnalazione procedurale. La leva societaria — la sola che neutralizzi davvero il CLOUD Act — è integralmente assente.
Tre reperti ulteriori
- I dati strategici non richiedono il Polo Strategico Nazionale. Sono sufficienti i livelli di qualificazione QC3 o QC4 (art. 17, c. 4, lett. c). Il PSN non è mai nominato nel regolamento.
- La custodia esclusiva delle chiavi (HYOK) è richiesta solo al livello QC4. Un dato strategico può quindi risiedere legittimamente su un servizio QC3 con il solo BYOK — modello in cui il fornitore conserva la capacità tecnica di accedere al dato.
- La localizzazione UE è derogabile — «salvo motivate e documentate ragioni di natura normativa o tecnica» — ed è territoriale, non giurisdizionale: un datacenter irlandese di una controllata statunitense la soddisfa restando pienamente nel perimetro del CLOUD Act.
Fonti: Decreto Direttoriale 21007/24 e allegati (ACN, in vigore dal 1° agosto 2024) — acn.gov.it; referenziale SecNumCloud 3.2 (ANSSI, 8 marzo 2022) — cyber.gouv.fr.
EUCS High+: che cosa è davvero
«High+» non è un livello tecnico superiore — e non è mai stato un livello formale: il Cybersecurity Act ne prevede tre (Basic, Substantial, High). «High+» era l'etichetta negoziale dei criteri di immunità: la protezione giuridica che la Francia ha già in SecNumCloud, portata a norma europea.
I criteri furono rimossi nel marzo 2024 e mai reintrodotti. Il Cloud and AI Development Act proposto nel giugno 2026 formalizza il principio opposto — «la cibersicurezza va distinta dai requisiti di sovranità» — e sposta la sovranità altrove: nei propri livelli di affidabilità dell'Unione, da 1 a 4.
Il suo livello 4 è, nella sostanza, l'High+ mancato: stabilimento nell'UE, personale con cittadinanza UE, nessun controllo da parte di paesi terzi, supporto tecnico erogato solo dall'Unione, separazione effettiva tra capogruppo e controllate extra-UE. Due avvertenze contano: vincola gli appalti pubblici, non il mercato in generale, ed è ancora una proposta in corso di negoziato.
La lettera aperta del 10 giugno 2024 avanza due argomenti che la smontano. Primo, lo schema è volontario:
«I fornitori cloud che non soddisfano i criteri High+ resteranno pienamente liberi di offrirci le loro soluzioni senza alcuna distorsione del mercato.»
Secondo, la richiesta arriva in larga parte dagli utenti del cloud — banche, assicurazioni, industria della difesa, enti pubblici — non da fornitori europei che difendono un mercato. E la lettera stessa osserva che «diversi fornitori extra-UE stanno progressivamente costituendo partnership societarie all'interno dell'UE»: la porta per Microsoft, Google e AWS è esplicitamente aperta, a condizione che sia qualcun altro a gestire il servizio.
Chi lo chiede: 62 organizzazioni
L'iniziativa è coordinata dall'ufficio di Bruxelles di Airbus. Tra i sostenitori:
Difesa e aerospazio
Airbus · Dassault Aviation · MBDA · Saab · Kongsberg · Navantia · Leonardo · Fincantieri · ASD
Banche, assicurazioni, servizi pubblici
Banque de France · Crédit Agricole · Caisse des Dépôts · Generali · France Assureurs · Groupe La Poste · Post Luxembourg · EDF · Veolia · Air France-KLM
Cloud e telecomunicazioni europee
Aruba · OVHcloud · IONOS · Deutsche Telekom · Orange · Proximus · A1 · Stackit · Cloud Temple · CloudFerro · Clarence · Oodrive · Docaposte · OpenNebula
Aruba è il principale fornitore cloud italiano — e chiede a Bruxelles il criterio di immunità che a Roma non è stato scritto.
IT, industria e associazioni di utenti
Capgemini · Thales · Sopra Steria · Eviden · Dassault Systèmes · Telecom Italia (TIM) · Secunet · SiPearl · Cigref · Beltug · CIO Platform Netherlands · European Digital SME Alliance
Fonte: eucshighplus.eu e lettera aperta del 10 giugno 2024.
Il 16 luglio 2026, al termine di una gara di sei mesi in cui sono stati consultati una cinquantina di fornitori, Airbus ha affidato l'hosting delle proprie applicazioni critiche al fornitore francese Scaleway. Ha valutato i concorrenti su tre dimensioni — una delle quali è, testualmente, «giurisdizione europea, protezione dei dati e protezione dalle legislazioni extraterritoriali non europee».
Catherine Jestin, Executive Vice President Digital, Airbus:
«Integrando un ambiente cloud affidabile e ad alte prestazioni che tiene i nostri dati critici al riparo dalle leggi extraterritoriali straniere, ci assicuriamo che la nostra infrastruttura digitale stia al passo con la nostra innovazione aerospaziale, mantenendo il controllo e la resilienza delle nostre operazioni industriali.»
Chi ha chiesto il criterio lo ha poi usato come committente. Non è un'opinione sulla sovranità: è un'azienda che mette a bando il proprio criterio e ci firma sopra un contratto. Il perimetro è di circa 70 applicazioni critiche entro il 2028, con un potenziale fino a circa 900 in cinque-sei anni.
Che cosa questo caso non dice. Airbus è un'azienda privata, non uno Stato: nessun obbligo di legge, nessuna gara pubblica, nessun precedente giuridico — e ha un evidente interesse industriale verso i fornitori europei. Né ha «abbandonato» il fornitore precedente: il comunicato ufficiale non lo nomina, e Jestin dichiara che Airbus non intende allontanarsi da tutte le soluzioni non europee, ma scegliere in base alla criticità del dato.
Fonti: Scaleway, comunicato ufficiale, 16 luglio 2026 · Airbus, «Building resilience», 17 giugno 2026.
Sarebbe sbagliato dire che l'Italia non ha chiesto la sovranità. L'ha chiesta, e ha contribuito a scriverla. Nel luglio 2021 l'Italia è stata coautrice, con Francia, Germania e Spagna, della proposta che aggiungeva l'immunità dal diritto straniero al livello «high» dell'EUCS. Nel dicembre 2022 non ha firmato il non-paper degli undici Stati contrari a quei requisiti. E nell'aprile 2024, dopo il voto in sede di gruppo di certificazione, il Sottosegretario all'innovazione ha obiettato pubblicamente che la proposta in discussione «permetterebbe ai fornitori… anche quelli che operano sotto la giurisdizione di governi esterni all'UE, di essere certificati come sicuri», aggiungendo che altri paesi «tra cui l'Italia, hanno sollecitato l'adozione di standard più elevati e rigorosi».
L'industria italiana ha spinto nella stessa direzione: Leonardo, Fincantieri, Generali e Telecom Italia hanno sostenuto la richiesta di criteri europei di immunità — e Leonardo e TIM sono azioniste del Polo Strategico Nazionale. Sul fronte opposto, AmCham Italy ha firmato nel maggio 2024 la dichiarazione per adottare lo schema senza requisiti di sovranità.
Il divario, quindi, non è fra l'Italia e le sue parole. È fra ciò che l'Italia ha chiesto a Bruxelles e ciò che ha scritto in casa propria. Per cinque anni ha premuto per una clausola di immunità a livello europeo, e quella battaglia l'ha persa. Negli stessi anni non ha mai introdotto la clausola equivalente nel proprio schema nazionale di qualificazione — l'unico strumento che non dipendeva dal voto di nessun altro.
In una riga
Non si tratta di smettere di usare Microsoft. Si tratta di smettere di lasciarla operare.
Il modello esiste, ha un nome tecnico (cloud di fiducia), una certificazione che lo misura (SecNumCloud 3.2, in prospettiva EUCS High+), ed è già stato realizzato — negli Stati Uniti, in Cina e in Francia. In Italia manca la decisione politica di pretenderlo.
Fonti e approfondimenti
- Microsoft Learn — national clouds
Documentazione del fornitore: come funzionano i national cloud di Microsoft e chi li gestisce.
- eucshighplus.eu
La campagna per l'inclusione dei criteri High+, con l'elenco completo dei sostenitori. Coordinata da Airbus.
- Lettera aperta del 10 giugno 2024 (PDF)
La posizione degli utenti: perché criteri High+ volontari non distorcono il mercato.
- Confronto tra certificazioni europee: SecNumCloud, HDS, BSI C5
Fonte secondaria specializzata sui requisiti dei singoli schemi e sui fornitori certificati.
- sota.io — i livelli di assurance EUCS e quali fornitori qualificano
Lettura dettagliata dei livelli e tabella fornitore per fornitore. Da leggere con cautela: l'autore è un fornitore cloud commerciale che elenca sé stesso tra i qualificabili, e la sua descrizione del livello High confligge con la documentata rimozione dei requisiti di sovranità del marzo 2024. Utile per capire il dibattito, non utilizzabile come fonte autorevole sullo stato attuale dello schema.
Nota di verifica. L'assenza di una clausola di immunità nello schema italiano è stata verificata direttamente sul testo primario integrale del Decreto Direttoriale 21007/24, compresi tutti e quattro gli allegati: è un'assenza documentata, non una deduzione. Lo stato dell'EUCS è tratto dalle parole della Commissione stessa nella proposta di Cloud and AI Development Act del 3 giugno 2026, dove si afferma che lo schema «non è ancora stato adottato». Le fonti commerciali che descrivono un livello EUCS «High» già comprensivo di requisiti di proprietà europea non sono attendibili su questo punto. Sulla posizione negoziale italiana i documenti primari (il non-paper del 2021, i verbali del gruppo di certificazione) non sono pubblici: quanto riportato poggia su fonti istituzionali e di stampa, ed è oggetto di richiesta di accesso agli atti. Aggiorneremo questa pagina man mano che le verifiche procedono.