Quando parlo di sovranità digitale con un imprenditore altoatesino, la prima reazione è quasi sempre la stessa: un sorriso cortese e la frase “ma questa è roba da grandi, noi siamo una PMI”. Poi chiedo: “Se domani il vostro fornitore di posta elettronica e di documenti in cloud sospendesse il servizio per una settimana, che cosa succederebbe?”. Il sorriso scompare.
Per una piccola o media impresa la sovranità digitale non è geopolitica. È una domanda molto concreta: da chi dipende la nostra azienda, e abbiamo scelto noi questa dipendenza?
Che cosa è stato davvero deciso (e che cosa no)
Il 3 giugno 2026 la Commissione europea ha presentato il pacchetto sulla sovranità tecnologica (Tech Sovereignty Package). Lo scrivo con precisione, perché sento spesso dire che è “già in vigore”: non lo è. Il pacchetto comprende due proposte legislative, il Cloud and AI Development Act (CADA) e il Chips Act 2.0, e due iniziative non legislative, la strategia sull'open source e una tabella di marcia sulla digitalizzazione e l'IA nel settore energetico. Secondo il Legislative Train del Parlamento europeo (aggiornamento del 20 settembre 2026), le proposte sono ancora all'esame di Parlamento e Consiglio.
Il cuore, per chi si occupa di cloud, è il CADA. Secondo l'analisi di uno studio legale internazionale (Covington), la Commissione parte da due constatazioni: il deficit di capacità dei data center in Europa e la dipendenza da pochi fornitori cloud extraeuropei. Nelle note esplicative la Commissione indica che la quota di mercato dei fornitori con sede nell'UE è scesa dal 29% circa del 2017 a circa il 15% nel 2022. E la strategia open source ricorda che l'UE spende ogni anno circa 264 miliardi di euro in prodotti e servizi IT proprietari statunitensi.
Il CADA propone un quadro di sovranità del cloud con quattro livelli di garanzia dell'Unione. In sintesi:
Livello 1 (il minimo, richiesto a quasi tutti i fornitori cloud del settore pubblico): infrastruttura, risorse e dati dei clienti nell'UE; i fornitori controllati da un paese terzo devono garantire di non essere obbligati a segnalare a pubbliche autorità di quel paese le vulnerabilità non ancora sfruttate.
Livello 2: personale, infrastruttura e risorse nell'UE, certificazione europea del cloud, misure contro l'accesso di paesi terzi ai dati dei clienti e distinzione netta tra casa madre UE e controllate extra-UE.
Livello 3: fornitore posseduto e controllato nell'UE, con deroghe molto ristrette. Livello 4: il più severo, senza deroghe, con certificazione di livello “alto” e controllo effettivo del fornitore su tutto il software.
Importante: questi livelli si applicherebbero anzitutto ai fornitori che servono la pubblica amministrazione. Ma il testo prevede anche che i soggetti “essenziali” della NIS2 possano svolgere valutazioni analoghe sui propri fornitori cloud, e la Commissione potrebbe in futuro renderle obbligatorie per alcuni settori.
Che cosa significa per una PMI altoatesina? Oggi nessun obbligo diretto. Ma, ed è la parte che sottolineo ai miei clienti, i vostri clienti più grandi, quelli soggetti alla NIS2, quelli del settore energetico, sanitario o dei trasporti, cominceranno a farvi domande: dove sono i miei dati quando li affido a voi? Chi controlla il fornitore che usate?
La mia opinione: sovranità non è “comprare europeo”
Qui devo dire una cosa che a qualcuno non piacerà. Europeo non significa automaticamente sicuro, e americano non significa automaticamente pericoloso. La sovranità è una questione di scelta e di controllo, non di bandiera. Due casi lo mostrano meglio di qualsiasi slide.
Luglio 2024: CrowdStrike. Un aggiornamento difettoso di un fornitore di sicurezza ha mandato in crash, secondo la stima di Microsoft, circa 8,5 milioni di dispositivi Windows in tutto il mondo, meno dell'1% di tutte le macchine Windows. Aziende, aeroporti, ospedali ferme per ore. Non c'è stato nessun attacco: c'è stata una dipendenza da un singolo fornitore, con un aggiornamento automatico che nessuno poteva fermare. Il tema qui non è la nazionalità del fornitore: è che cosa succede quando un solo anello della catena si rompe.
Marzo 2021: OVHcloud, Strasburgo. Un incendio ha distrutto il data center SBG2 di uno dei maggiori fornitori cloud europei. Secondo la stampa specializzata, alcuni clienti avevano pagato anche per il backup, ma le copie erano nello stesso edificio dei server operativi e andarono perse con essi. Un tribunale commerciale francese ha poi condannato il fornitore a risarcire due clienti. Era un fornitore europeo, con dati in Europa, sotto il diritto europeo. Eppure per quei clienti la sovranità non è bastata: mancava la resilienza.
La sovranità è la conseguenza di una gestione ordinata delle dipendenze. Non il contrario.
Che cosa succede qui da noi
In Alto Adige il tessuto economico è fatto di imprese familiari con catene di fornitura transfrontaliere, mercati bilingui, clienti in Germania, Austria e Svizzera. Questa è una forza. Ma significa anche che la domanda “da chi dipendiamo?” ha spesso tre o quattro livelli: il software gestionale di un fornitore italiano che gira sul cloud di un provider americano, gestito da un'assistenza informatica esterna, collegato alla piattaforma di un cliente tedesco.
Descrivo una situazione tipica, che non è un caso di cliente: un'azienda manifatturiera usa un gestionale in cloud. Il titolare pensa che i dati stiano “in Italia”. In realtà il software è italiano, l'infrastruttura è di un grande provider extra-UE, l'assistenza è di una società esterna con accesso remoto, e i backup sono nello stesso ambiente dei dati. Quando chiedo “che cosa succede se non potete accedere per una settimana?”, nessuno sa rispondere. Non perché sia trascurato: perché nessuno gli ha mai posto la domanda in modo comprensibile.
I miei consigli: cinque passi, senza comprare nulla
Fate la mappa delle dipendenze, su una pagina
Elencate i dieci servizi senza i quali l'azienda si ferma: gestionale, posta, file, telefonia, banca, assistenza, logistica. Per ciascuno annotate chi è il fornitore, dove sono i dati, chi li gestisce, e che cosa succede se si ferma per un giorno e per una settimana.
Individuate i dati davvero critici
Non tutta l'infrastruttura: i dati che, se persi o esposti, farebbero danni seri (dati dei clienti, disegni, prezzi, contratti). Sono quelli per cui vale la pena chiedersi sotto quale giurisdizione si trovano.
Chiedete ai fornitori tre cose scritte
Dove si trovano fisicamente i dati e il backup. Chi ha accesso, anche da remoto. Che cosa succede ai dati se il contratto termina. Un fornitore serio risponde in un'ora. Se non risponde, avete già imparato qualcosa.
Provate il ripristino, non solo il backup
Dopo OVH la lezione è una: un backup nello stesso posto dei dati non è un backup. Almeno una copia deve essere altrove, e va provata a ripristinare almeno una volta all'anno.
Preparate una “via d'uscita”
Non serve cambiare fornitore: serve sapere come si farebbe. Quanto tempo, quanto costa, quali dati si esportano e in che formato. Chi ha una via d'uscita negozia meglio e dorme meglio.
Che cosa non consiglio: acquistare servizi con l'etichetta “sovrano” senza chiedere che cosa significa, concretamente, per i vostri dati. L'etichetta non è un controllo. E con il CADA in discussione i livelli di garanzia possono ancora cambiare.
C'è un punto operativo che lega questo tema alla NIS2: le FAQ dell'ACN spiegano che, per i soggetti NIS, i requisiti di sicurezza nei contratti con i fornitori che possono avere impatti sulla sicurezza vanno inseriti nei contratti stipulati, rinnovati o prorogati a partire dal termine per l'adozione delle misure di base. Non occorre riscrivere tutto subito, ma i rinnovi sono il momento giusto per introdurre le clausole.
Che cosa penso, in conclusione
Il pacchetto europeo è un'occasione, ma non vi chiede di fare nulla oggi. Vi chiede qualcosa di più utile: di sapere. Le imprese che nei prossimi mesi avranno una mappa chiara delle proprie dipendenze potranno rispondere con calma quando un cliente importante, o un'autorità, farà la domanda. Le altre la faranno in fretta, e male.
In Alto Adige siamo abituati a pensare a lungo termine: coltiviamo la fiducia, non la fretta. Applichiamolo anche al digitale. Sovranità, per una PMI, significa semplicemente poter dire: questa dipendenza l'abbiamo scelta noi.
Sovranità non vuol dire non dipendere da nessuno. Vuol dire sapere da chi dipendiamo e aver scelto di farlo.
Tre domande per il management
Dove si trovano i nostri dati più critici, e sotto quale giurisdizione?
Non l'infrastruttura nel suo insieme: i dati più critici. Dati clienti, dati di processo, informazioni sulla supply chain.
Che cosa succede alla nostra attività se un fornitore da cui dipendiamo si ferma per una settimana?
Non sono scenari teorici: sono già accaduti.
Abbiamo scelto consapevolmente questa situazione, o ce la siamo semplicemente trovata?
È questo il punto centrale. Sovranità significa aver fatto una scelta. Non aver ereditato una situazione.
Fonti
Commissione europea, Commission proposes tech sovereignty package (3 giugno 2026); Covington, The EU Cloud and AI Development Act in Depth (11 giugno 2026); Parlamento europeo, Legislative Train Schedule, Cloud and AI development act (aggiornato al 20 settembre 2026); Microsoft, Helping our customers through the CrowdStrike outage (20 luglio 2024); Blocks & Files, OVHcloud must pay damages for lost backup data (23 marzo 2023); ACN, FAQ NIS, misure di sicurezza (MSB.12).