Sovranità digitale: cloud nazionale o hyperscaler?

Ad Acilia e Pomezia, alle porte di Roma, e a Rozzano e Santo Stefano Ticino, in Lombardia, si trovano i data center del Polo Strategico Nazionale: l’infrastruttura cloud pensata per ospitare i dati e i servizi critici della pubblica amministrazione italiana. Dietro l’acronimo PSN c’è una scommessa precisa, che lo Stato debba controllare almeno una parte dell’infrastruttura su cui girano i propri dati.

Il PSN è partecipato da TIM (45%), Leonardo (25%), CDP Equity (20%) e Sogei (10%). Nasce nell’ambito della Strategia Cloud Italia e del PNRR, con l’obiettivo dichiarato di dare alla PA un’alternativa “cloud-first” che non dipenda esclusivamente da fornitori extraeuropei.

Il tema, però, non riguarda solo la pubblica amministrazione. Riguarda te, se lavori in un’azienda che deve decidere dove far girare i propri dati, e riguarda l’intero mercato del cloud europeo, dove, secondo un rapporto pubblicato a dicembre 2025, AWS, Microsoft Azure e Google Cloud controllano insieme circa il 70% della domanda, mentre i fornitori europei si dividono appena il 13%.

Due argomenti a confronto

Il caso EUCS: la sovranità si scrive anche nelle certificazioni

La stessa tensione si è giocata, con toni meno pubblici ma conseguenze pratiche, nella definizione dell’EUCS, lo schema europeo di certificazione di sicurezza per i servizi cloud sviluppato da ENISA nell’ambito del Cybersecurity Act. Le prime versioni del testo imponevano ai fornitori requisiti di sovranità stringenti per ottenere il livello di certificazione più alto: sede legale nell’Unione, dati conservati in territorio UE, accesso riservato a soggetti sotto controllo europeo.

Le pressioni dei fornitori statunitensi, e dello stesso rappresentante commerciale USA, che ha definito quei requisiti una barriera commerciale discriminatoria, hanno portato a una revisione dello schema tra il 2024 e il 2025, con un allentamento dei vincoli di sovranità più rigidi. Il risultato, per chi guarda al dossier con occhio critico, è una certificazione tecnicamente meno ambiziosa di quanto inizialmente previsto, ma politicamente più praticabile.

Un dossier collegato, anche se meno visibile nel dibattito pubblico, è quello dei trasferimenti di dati verso gli Stati Uniti. Il Data Privacy Framework, in vigore dal 10 luglio 2023, ha sostituito i precedenti accordi bocciati dalle sentenze Schrems I e Schrems II e permette di nuovo trasferimenti semplificati verso le aziende statunitensi autocertificate. La Corte di giustizia dell’UE ha confermato la validità dell’accordo, ma il CLOUD Act resta in vigore: il framework non lo abroga, si limita a costruire attorno ad esso garanzie ritenute equivalenti a quelle del GDPR.

Nessuna delle due parti, in questo caso, ha ottenuto tutto quello che voleva.

Non è un dibattito nuovo, e non riguarda solo l’Italia. È lo stesso confronto che si ritrova, con proporzioni diverse, dietro le misure del PNRR per la transizione digitale delle imprese: capitali pubblici che spingono verso la modernizzazione, ma lasciano aperta la scelta del fornitore a valle.

Per le aziende che devono scegliere oggi, la questione si traduce spesso in una domanda più operativa: quali carichi di lavoro tenere su infrastruttura nazionale o europea, e quali affidare a un hyperscaler: una scelta che si inserisce nel percorso più ampio della trasformazione digitale delle imprese italiane. È la logica ibrida descritta nell’articolo sul cloud per le imprese, dove IaaS, PaaS e SaaS convivono spesso nello stesso stack, distribuiti tra fornitori diversi.

Un dettaglio meno discusso: il PSN stesso si presenta come infrastruttura “multicloud”, non come alternativa esclusiva agli hyperscaler. Anche il progetto nato per rispondere alla sovranità digitale, insomma, non esclude del tutto i fornitori che dovrebbe in parte sostituire. Vale la pena ricordarlo, quando il dibattito si polarizza.

Domande frequenti