Punti chiave
- Un cloud provider si sceglie partendo dai propri dati e obblighi: prima si classificano i carichi, poi si confrontano i provider servizio per servizio.
- La residenza si decide per regione e per servizio, backup, log e disaster recovery compresi: Google Cloud ha due regioni in Italia, Milano e Torino.
- Le certificazioni da cercare sono ISO/IEC 27001, 27017, 27018, SOC 2 e CSA STAR Level 2, ma conta il perimetro: devono coprire i servizi che userai.
- La qualificazione ACN (QC1-QC4, Regolamento 21007/24) è obbligatoria per la PA e un segnale pubblico per i privati: Google Cloud Italy ha 63 servizi qualificati QC2.
- DORA chiede due diligence, località dei dati nel contratto e strategie di uscita (art. 28 e 30); il D.Lgs. 138/2024 chiede di valutare la sicurezza dei fornitori (art. 24).
- L'uscita si scrive prima di entrare: il Data Act fissa preavviso massimo di due mesi e 30 giorni di transizione, e dal 12 gennaio 2027 vieta le tariffe di passaggio.
Per scegliere un cloud provider un'azienda italiana deve verificare otto cose: cosa resta a lei sulla sicurezza, dove stanno i dati, chi può accedervi, chi controlla le chiavi, quali certificazioni coprono i servizi che userà, se quei servizi sono qualificati da ACN, cosa chiedono DORA e NIS2 al contratto, e come si esce. Il listino viene dopo, perché il costo dipende dall'architettura.
Questa guida è per chi deve portare la decisione in un comitato: IT manager, CISO, CFO. Per ogni criterio indichiamo la fonte da leggere e la domanda da fare al provider.
Prima di confrontare i provider, guarda i tuoi dati
Lo stesso provider può andare benissimo per un carico e non per un altro. Prima di aprire le schede commerciali servono tre risposte interne:
- Che dati sposti. Dati personali, sanitari, finanziari, segreti industriali, dati di clienti pubblici.
- Quali obblighi hai. Soggetto NIS2, entità finanziaria soggetta a DORA, fornitore della Pubblica Amministrazione, oppure nessuno di questi.
- Che carichi porti. Macchine virtuali da migrare, database, analisi dei dati, applicazioni nuove, progetti di AI. Come si sceglie la strategia per ciascun carico, dal rehost al repurchase, è nella guida alla migrazione cloud.
Un metodo pratico è quello che ACN impone alla PA: il Regolamento cloud (art. 3) classifica dati e servizi come ordinari, critici o strategici in base al danno che produrrebbe una loro compromissione. Un'azienda privata non è tenuta a usarlo, ma ragionare per classi aiuta a non trattare allo stesso modo il sito vetrina e il gestionale di produzione.
Gli 8 criteri per scegliere un cloud provider
1. Sicurezza: cosa fa il provider e cosa resta a te
Nel cloud la sicurezza è divisa. Google Cloud descrive il modello di responsabilità condivisa come l'insieme dei compiti di sicurezza che restano al cliente e di quelli che spettano al provider: l'infrastruttura fisica è del provider, configurazioni, identità e permessi sono tuoi. Google affianca a questo modello quello che chiama shared fate, cioè guide, blueprint di base e codice infrastrutturale già verificato per partire con ambienti configurati in modo sicuro (Google Cloud Architecture Framework).
La domanda da fare a ogni provider è concreta: quali controlli sono attivi di default, quali vanno configurati, e con quali strumenti nativi si vede la postura di sicurezza. Se hai già un cloud e non sai in che stato è, il primo passo è una fotografia della sicurezza del cloud fatta sull'ambiente reale.
2. Residenza dei dati: dove stanno, backup compresi
Scegliere un provider non basta: si sceglie una regione per ogni servizio. Google Cloud ha due regioni in Italia, Milano (europe-west8) e Torino (europe-west12), ciascuna con tre zone (documentazione Compute Engine, Regions and zones).
Il punto da controllare è tutto ciò che sta intorno ai dati primari: backup, disaster recovery, log, metadati, distribuzione dei contenuti. Il Regolamento ACN lo scrive in chiaro per i servizi destinati alla PA: i dati dell'amministrazione, compresi quelli dei sistemi di sicurezza, sono trattati in infrastrutture sul territorio dell'Unione europea, e la regola comprende anche continuità operativa e disaster recovery, salvo motivate ragioni normative o tecniche (Allegato 3, misura PR.DS-01). È un buon metro anche per un privato.
3. Chi può accedere ai dati e da dove
Per i dati personali il provider è un responsabile del trattamento. Il GDPR all'art. 28 chiede di ricorrere solo a responsabili che presentino garanzie sufficienti, e il Capo V (art. 44 e seguenti) regola ogni trasferimento verso paesi terzi. Per gli Stati Uniti esiste la decisione di adeguatezza (UE) 2023/1795 sul quadro UE-USA per la protezione dei dati.
Al provider vanno chiesti l'elenco dei sub-responsabili, i paesi da cui opera il supporto e il modo in cui vieni informato quando cambiano.
4. Chi controlla le chiavi di cifratura
Sui dati più delicati la domanda non è solo se sono cifrati, ma chi tiene le chiavi e quanto puoi vedere degli accessi del provider. Su Google Cloud ci sono tre strumenti da conoscere:
- Cloud External Key Manager: le chiavi restano in un gestore esterno supportato e non vengono archiviate in Google Cloud; l'accesso del progetto alla chiave si può revocare in qualsiasi momento.
- Key Access Justifications: si imposta una policy sulle chiavi di Cloud KMS per vedere, approvare o negare le richieste di accesso in base al codice di giustificazione.
- Access Transparency: registra quando i dati del cliente vengono acceduti.
Per i dati classificati come critici, chiedi a ogni provider in esame quali controlli equivalenti offre e su quali servizi sono disponibili.
5. Certificazioni: leggi il perimetro, non il logo
Le certificazioni e le attestazioni da cercare sono queste:
- ISO/IEC 27001, il sistema di gestione della sicurezza delle informazioni;
- ISO/IEC 27017, i controlli specifici per i servizi cloud;
- ISO/IEC 27018, la tutela dei dati personali nel cloud pubblico;
- SOC 2 e CSA STAR Level 2, attestazioni basate su audit di terza parte.
Google Cloud dichiara la certificazione accreditata ISO/IEC 27001, 27017 e 27018 dopo audit indipendente, mette a disposizione i report SOC 2 e ha ottenuto CSA STAR Level 2 per Google Cloud e Google Workspace (Google Cloud, Compliance resource center).
Il controllo da fare è sul perimetro: il certificato deve coprire i servizi che userai, non solo il marchio. E la certificazione del provider non è la tua: se sei certificato ISO 27001, il controllo 5.23 dell'Annex A (Information security for use of cloud services) resta a te.
6. Qualificazione ACN
Il Regolamento unico per le infrastrutture e i servizi cloud per la PA è stato adottato da ACN con Decreto Direttoriale n. 21007/24 del 27 giugno 2024 ed è applicabile dal 1 agosto 2024. Prevede quattro livelli di qualificazione dei servizi cloud, da QC1 a QC4 (art. 17). I dati ordinari possono andare su tutti i livelli, i critici dal QC2 in su, gli strategici solo su QC3 e QC4. Per il livello QC1 ACN chiede, tra l'altro, la ISO/IEC 27001 con le estensioni 27017 e 27018 sul servizio, oppure CSA STAR Level 2 (Allegato 4). La qualifica dura al massimo 36 mesi.
I servizi qualificati sono pubblici nel catalogo ACN. Nei dati aperti consultati il 1 ottobre 2026, Google Cloud Italy S.r.l. compare con 63 servizi qualificati al livello QC2, tra cui Compute Engine, BigQuery, Cloud SQL, Cloud Run e Backup & DR. Servizi qualificati compaiono anche per gli altri grandi provider.
Per un'azienda privata la qualificazione non è un obbligo. È però una verifica pubblica fatta prima dall'autorità, e diventa un requisito se vendi servizi cloud alla Pubblica Amministrazione.
7. DORA e NIS2: cosa deve stare nel contratto
Se sei un'entità finanziaria, il Regolamento (UE) 2022/2554 chiede, prima di firmare, di valutare se il servizio sostiene una funzione essenziale o importante, di fare la due diligence sul fornitore e di considerare il rischio di concentrazione (art. 28, par. 4). Il contratto deve indicare tra l'altro «le località, segnatamente le regioni o i paesi, in cui si devono svolgere le funzioni e prestare i servizi TIC appaltati o subappaltati e in cui si devono trattare i dati» (art. 30, par. 2, lett. b), e per le funzioni essenziali o importanti le strategie di uscita (art. 30, par. 3, lett. f). Ogni accordo entra nel registro delle informazioni: lo spieghiamo nella guida al registro dei fornitori ICT.
Il 18 novembre 2025 le Autorità europee di vigilanza hanno pubblicato l'elenco dei 19 fornitori terzi critici designati a livello UE, che comprende Google Cloud EMEA Limited insieme agli altri grandi provider. Google ha precisato che la sorveglianza come fornitore critico non sostituisce le responsabilità dei clienti, e mette a disposizione una guida al registro delle informazioni e risorse contrattuali dedicate a DORA.
Se sei un soggetto NIS2, il D.Lgs. 138/2024 inserisce tra le misure minime la sicurezza della catena di approvvigionamento (art. 24, comma 2, lett. d) e chiede di tenere conto delle vulnerabilità specifiche di ogni fornitore e della qualità delle sue pratiche di sicurezza (comma 3). Il provider cloud è un fornitore come gli altri: va valutato, documentato e rivisto, come descriviamo nella guida al third-party risk management.
8. Come si esce
La strategia di uscita si scrive prima di entrare. Il Data Act, Regolamento (UE) 2023/2854, applicabile dal 12 settembre 2025, chiede che il contratto preveda il passaggio a un altro fornitore con un preavviso massimo di due mesi e un periodo transitorio massimo di 30 giorni. Se il passaggio in 30 giorni è tecnicamente impossibile, il provider deve motivarlo e indicare un periodo alternativo non superiore a sette mesi; il cliente, da parte sua, ha diritto di prorogare una volta il periodo transitorio (art. 25). Dal 12 gennaio 2027 le tariffe di passaggio non si possono più applicare (art. 29). La norma toglie ostacoli contrattuali, non tecnici: un'architettura costruita su formati aperti e su container si sposta più facilmente di una che dipende da servizi proprietari in ogni livello.
Le domande da fare a ogni provider
- In quali regioni posso tenere dati, backup, log e metadati di ciascun servizio che userò?
- Da quali paesi opera il supporto tecnico, e con quale preavviso mi comunicate un cambio di sub-responsabile?
- Posso tenere le chiavi fuori dal vostro cloud, e vedo ogni vostro accesso ai miei dati?
- Le certificazioni ISO/IEC 27001, 27017, 27018 e il report SOC 2 coprono questi servizi specifici?
- I servizi che userò sono nel catalogo ACN, e a quale livello?
- Il contratto contiene le clausole dell'art. 30 di DORA, se servono, e un piano di uscita?
- Quali controlli di sicurezza sono attivi di default e quali devo configurare io?
Errori frequenti nella scelta
- Decidere sul listino. Il costo reale dipende da architettura, uso e gestione nel tempo, non dalla tariffa unitaria.
- Prendere la certificazione del provider per la propria. Copre l'infrastruttura, non le tue configurazioni.
- Scegliere la regione italiana e lasciare il disaster recovery altrove senza averlo deciso.
- Rimandare l'uscita. Senza un piano scritto, la dipendenza dal fornitore si scopre il giorno in cui serve cambiare.
In sintesi
Un cloud provider si sceglie sulla base dei tuoi dati e dei tuoi obblighi: regioni e residenza, accessi e chiavi, perimetro delle certificazioni, qualificazione ACN, clausole DORA e NIS2, piano di uscita. Google Cloud ha due regioni in Italia, servizi qualificati QC2 nel catalogo ACN e controlli sulle chiavi e sugli accessi che rispondono a molte di queste domande; il resto lo decide la progettazione.
AmagisTech è partner Google Cloud: progettiamo e gestiamo l'infrastruttura e partiamo da un assessment di architettura, carichi, costi e rischi. Se stai valutando dove portare i tuoi carichi, inizia da qui: cloud e infrastruttura su Google Cloud.