Punti chiave
- Il cloud sovrano è un servizio in cui dati, chiavi e gestione operativa restano sotto il controllo del cliente e del diritto UE: la residenza dei dati in Europa è solo uno dei requisiti.
- Non ha una definizione di legge: la Strategia Cloud Italia e il Regolamento ACN 21007/24 parlano di classi di dati (ordinari, critici, strategici) e di livelli di qualificazione da QC1 a QC4.
- Per i dati strategici della PA il fornitore segnala ad ACN ogni richiesta di accesso da entità extra UE; al livello QC4 l'amministrazione gestisce in autonomia tutte le chiavi (HYOK).
- Il Polo Strategico Nazionale ospita i dati critici e strategici della PA e include servizi con Oracle e Google gestiti da personale PSN su data center PSN o region italiane.
- La Commissione europea misura la sovranità con il Cloud Sovereignty Framework: otto obiettivi e livelli SEAL da 0 a 4; per la gara aggiudicata ad aprile 2026 serviva almeno il SEAL-2.
- Per un'azienda privata non c'è un obbligo generale, ma il tema entra in gioco se vende cloud alla PA, se è soggetta a DORA (art. 29) o NIS2 (art. 24 D.Lgs. 138/2024) o se trasferisce dati personali.
Il cloud sovrano è un servizio cloud in cui dati, chiavi crittografiche e gestione operativa restano sotto il controllo del cliente e del diritto dell'Unione europea, non solo fisicamente in Europa. Non è una categoria di legge: in Italia diventa classificazione dei dati e qualificazione ACN per la PA, per i privati scelte di contratto e architettura.
Cloud sovrano: cosa significa
Dire che i dati stanno in Italia o in Europa risponde a una sola domanda, quella sulla residenza. La sovranità guarda a quattro aspetti:
- Dove stanno i dati, compresi backup, log e metadati, non solo i dati primari.
- Chi gestisce l'infrastruttura: quale personale ha accesso amministrativo, da dove opera, sotto quale entità giuridica.
- Chi tiene le chiavi: se il provider può leggere i dati in chiaro oppure le chiavi sono generate e custodite dal cliente.
- Quale diritto si applica: se un'autorità di un paese terzo può ottenere i dati rivolgendosi direttamente al fornitore.
L'espressione non ha una definizione giuridica: né il documento della Strategia Cloud Italia né il Regolamento ACN sul cloud per la PA la usano, parlano di classi di dati, livelli di qualificazione e requisiti. Il Polo Strategico Nazionale, che si presenta come cloud sovrano per l'Italia, lo descrive come dati e metadati gestiti su region solo nazionali e chiavi gestite solo dalle amministrazioni clienti: è la definizione di un operatore per il proprio servizio, non una regola di mercato.
Perché si parla di sovranità digitale nel cloud
La Strategia Cloud Italia, scritta dal Dipartimento per la trasformazione digitale con l'Agenzia per la Cybersicurezza Nazionale (ACN), dedica il capitolo 3 alle sfide del cloud, e due riguardano la sovranità:
- Controllo sui dati (sezione 3.2): alcune legislazioni di paesi extra UE possono portare, in presenza delle circostanze previste, a una richiesta unilaterale al fornitore di dare accesso ai dati. In nota la Strategia cita come esempi la National Intelligence Law cinese e, per gli Stati Uniti, il CLOUD Act e il FISA.
- Autonomia tecnologica (sezione 3.1): un'adozione massiva del cloud per i servizi della PA espone a modifiche unilaterali delle condizioni, dall'aumento dei costi all'interruzione del servizio.
Il diritto europeo risponde al primo punto. Per il GDPR (art. 48) la sentenza o la decisione di un'autorità di un paese terzo che dispone il trasferimento di dati personali vale solo se basata su un accordo internazionale, come un trattato di mutua assistenza giudiziaria. Il Data Act (Regolamento UE 2023/2854, applicabile dal 12 settembre 2025) estende la logica ai dati non personali: l'articolo 32 chiede ai fornitori di adottare misure tecniche, organizzative e giuridiche, contratti compresi, per impedire l'accesso governativo di paesi terzi ai dati detenuti nell'Unione quando creerebbe un conflitto con il diritto dell'Unione o dello Stato membro.
Come funziona in Italia: classificazione, qualificazione, PSN
La Strategia Cloud Italia poggia su tre indirizzi: classificazione dei dati e dei servizi, qualificazione dei servizi cloud, Polo Strategico Nazionale. Oggi le regole operative per la PA stanno nel Regolamento per le infrastrutture digitali e per i servizi cloud per la PA, adottato da ACN con Decreto Direttoriale n. 21007/24 del 27 giugno 2024 e applicabile dal 1 agosto 2024.
La classificazione dei dati
Ogni amministrazione elenca e classifica i propri dati e servizi digitali in tre classi (art. 3 del Regolamento):
- strategici, se la loro compromissione può recare pregiudizio alla sicurezza nazionale; vi rientrano i dati e i servizi soggetti alla disciplina del Perimetro di sicurezza nazionale cibernetica (comma 3);
- critici, se può recare pregiudizio a funzioni rilevanti per la società, la salute, la sicurezza pubblica e il benessere economico e sociale del Paese;
- ordinari, in tutti gli altri casi.
Il punto di partenza è il dato, non il fornitore.
La qualificazione dei servizi cloud
I fornitori privati qualificano i propri servizi presso ACN su quattro livelli, da QC1 a QC4 (art. 17). I dati ordinari possono andare su tutti i livelli, i critici dal QC2 in su, gli strategici solo su QC3 e QC4. I requisiti che rendono concreta la sovranità crescono con il livello:
- per i servizi che trattano dati strategici, il fornitore segnala ad ACN e all'amministrazione ogni richiesta di accesso ai dati o ai metadati da parte di entità extra UE, e concede l'accesso solo dopo un'autorizzazione esplicita dell'amministrazione; i metadati sono trattati in infrastrutture nell'Unione, salvo quelli necessari a erogare alcuni servizi indicati dallo stesso requisito (Allegato 3);
- al livello QC4 il servizio deve supportare la cifratura Hold Your Own Key: l'amministrazione genera e gestisce tutte le chiavi tramite un HSM ospitato presso di sé o presso una terza parte da lei scelta, con accesso esclusivo alle chiavi e ai dati in chiaro; il fornitore deve inoltre essere autonomo nell'operare l'infrastruttura fisica e logica (Allegato 4, sezione 5).
I servizi qualificati sono pubblici nel catalogo ACN.
Il Polo Strategico Nazionale
Il PSN è l'infrastruttura promossa dalla Presidenza del Consiglio per ospitare i dati e i servizi critici e strategici delle amministrazioni. È gestito da Polo Strategico Nazionale S.p.A., partecipata da TIM, Leonardo, CDP (tramite CDP Equity) e Sogei, con data center ad Acilia e Pomezia nel Lazio e a Rozzano e Santo Stefano Ticino in Lombardia. Tra i requisiti del PSN elencati sul sito Cloud Italia ci sono la conformità alle norme europee su localizzazione e trattamento dei dati e la capacità di risolvere i problemi giuridici posti dall'applicazione extraterritoriale di leggi di paesi extra UE.
Il PSN non esclude i grandi provider, li incorpora con regole proprie. I servizi Public Cloud PSN Managed sono erogati con Oracle e Google su data center del PSN o region italiane, gestiti da personale del PSN e disconnessi dalle region pubbliche del provider; i Secure Public Cloud usano region italiane di Microsoft Azure, Google Cloud e AWS con chiavi gestite dai sistemi del PSN, fuori dal controllo del provider. Il 21 luglio 2026 il PSN ha comunicato di aver raggiunto il target PNRR di oltre 280 amministrazioni migrate, tra PA centrali, ASL e aziende ospedaliere.
In Europa: il Cloud Sovereignty Framework
La Commissione europea ha trasformato la sovranità in criteri misurabili con il Cloud Sovereignty Framework (versione 1.2.1, ottobre 2025), scritto per una gara della Direzione generale dei servizi digitali. Il framework valuta otto obiettivi: sovranità strategica, giuridica e giurisdizionale, dei dati e dell'AI, operativa, della catena di fornitura, tecnologica, di sicurezza e compliance, più la sostenibilità ambientale.
Per ogni obiettivo assegna un livello di garanzia, il SEAL, da 0 a 4. Il SEAL-0 corrisponde a servizi sotto il controllo esclusivo di soggetti extra UE e regolati interamente fuori dall'Unione; il SEAL-2, detto Data Sovereignty, a un servizio in cui il diritto UE è applicabile ed eseguibile ma restano dipendenze extra UE rilevanti; il SEAL-4 a tecnologia e operazioni sotto pieno controllo UE, senza dipendenze extra UE critiche.
La gara, aggiudicata ad aprile 2026, vale fino a 180 milioni di euro in sei anni per le istituzioni e gli organismi dell'Unione, ed è stata assegnata con quattro contratti; per partecipare serviva almeno il SEAL-2. Per un'azienda è una griglia già pronta per interrogare un fornitore.
Un'azienda privata ha bisogno di un cloud sovrano?
Non esiste un obbligo generale. Classificazione e qualificazione ACN valgono per la PA. Il tema però entra nelle decisioni di un'azienda privata in quattro casi:
- Vendi servizi cloud alla PA. Il servizio deve essere qualificato al livello richiesto dalla classe dei dati che tratterà.
- Sei un'entità finanziaria soggetta a DORA. Se un servizio ICT a supporto di funzioni essenziali o importanti è affidato a un fornitore stabilito in un paese terzo, il Regolamento (UE) 2022/2554 chiede di tenere conto anche del rispetto delle norme UE sulla protezione dei dati e dell'effettiva applicazione della legge in quel paese, e di valutare i subappalti verso paesi terzi (art. 29, par. 2). Il quadro per il settore è nell'articolo su DORA e cloud per le fintech.
- Sei un soggetto NIS2. Il D.Lgs. 138/2024 inserisce la sicurezza della catena di approvvigionamento tra le misure minime (art. 24, comma 2, lett. d) e chiede di valutare le vulnerabilità specifiche di ogni fornitore e la qualità delle sue pratiche di sicurezza (comma 3). Il provider cloud è uno di quei fornitori.
- Tratti dati personali. Il GDPR regola i trasferimenti verso paesi terzi nel Capo V, articolo 48 compreso.
Negli altri casi il metodo della PA resta un buon metro: classificare i propri dati come ordinari, critici o strategici evita di trattare il sito vetrina come i progetti industriali, e viceversa.
Le domande da fare al provider
- In quali regioni stanno dati, backup, log e metadati, e cosa può uscire dall'Unione?
- Chi ha accesso amministrativo, da quali paesi, e come lo vedo nei log?
- Chi genera e custodisce le chiavi: il provider, io, un HSM esterno, una terza parte?
- Come gestite una richiesta di accesso da un'autorità di un paese terzo, e vengo informato?
- Chi opera l'infrastruttura: il provider, un'entità locale, un partner dedicato?
- Quali servizi sono qualificati ACN, e a quale livello?
- Come esco, con quali tempi e in quali formati?
I criteri completi sono nella guida su come scegliere un cloud provider, il trasferimento dei carichi nell'articolo sulla migrazione cloud.
Le opzioni sovereign di Google Cloud
AmagisTech è partner Google Cloud. Google Cloud ha due regioni in Italia, Milano (europe-west8) e Torino (europe-west12), e descrive la sua offerta di sovranità su tre modelli:
- Google Cloud Data Boundary: controlli di residenza e di accesso dentro il cloud pubblico. I dati principali del cliente restano nella regione scelta, l'accesso amministrativo è registrato e vincolato a condizioni predefinite, il cliente gestisce le chiavi, anche in un archivio esterno. Un partner facoltativo può supervisionare chiavi e audit.
- Google Cloud Dedicated: infrastruttura dedicata e isolata, con operazioni indipendenti affidate a un partner locale. In Europa l'offerta nasce in collaborazione con Thales; in Francia è gestita da S3NS, un'entità francese autonoma, progettata per i requisiti dello standard francese SecNumCloud.
- Google Distributed Cloud: Google Cloud on-premise, in modalità connessa, con i dati in sede, oppure air-gapped, isolata da internet e non spegnibile da remoto da Google, pensata per difesa e sicurezza nazionale.
Il modello giusto dipende dalla classe dei dati: per molti carichi aziendali possono bastare regione italiana, controllo delle chiavi e registrazione degli accessi; isolamento e operatore locale servono quando lo richiedono la norma o il cliente.
In sintesi
Il cloud sovrano non è un prodotto ma un insieme di garanzie: dove stanno i dati, chi li gestisce, chi tiene le chiavi, quale diritto si applica. La PA lo ottiene con classificazione, servizi qualificati ACN e PSN; la Commissione lo misura con i livelli SEAL. Per un'azienda privata non è un obbligo generale, ma è un requisito per chi vende alla PA e una valutazione da documentare per chi è soggetto a DORA o NIS2. Il contesto generale è nella guida alla cloud security.
Se devi decidere dove portare dati critici e con quali garanzie, partiamo da un assessment di architettura, carichi, costi e rischi: cloud e infrastruttura su Google Cloud.