L’autonomia strategica dell’Unione Europea ha segnato un punto di svolta decisivo con l’introduzione del Cloud Sovereignty Framework (versione 1.2.1, ottobre 2025). Questo strumento non è nato in un vuoto teorico, ma è stato forgiato e testato sul campo durante la procedura di gara per il Cloud III Dynamic Purchasing System (Cloud III DPS), un appalto strategico dal valore di 180 milioni di eurodestinato a fornire servizi cloud sovrani alle istituzioni, agli organi e alle agenzie dell’UE.
Attraverso questa iniziativa, la Commissione Europea ha trasformato la sovranità da concetto politico astratto a parametro tecnico rigoroso, necessario per mitigare la dipendenza critica da attori extra-UE. Integrando e rendendo operative le direttive di Gaia-X, NIS2 e del Data Act, il framework permette di tradurre i requisiti legali in metriche di valutazione oggettive, garantendo che i dati sensibili europei rimangano protetti da interferenze giurisdizionali straniere.
Sommario
Aggiornamento Giugno 2026: cosa cambia con il Cloud e AI Development Act (CADA)
Il CADA introdurrà i certificati di sovranità del cloud per attestare il livello di sovranità dei fornitori di servizi. La Commissione Europea gestirà un registro centrale per tracciarli, e gli Stati membri avranno l’obbligo di riconoscerli reciprocamente. Il rilascio di questi certificati spetterà alle autorità nazionali designate dai singoli Paesi; in Germania, ad esempio, i candidati più probabili per questo ruolo sono il BSI, affiancato potenzialmente dal BfDI o dall’Agenzia federale per le reti. In Italia probabilmente ACN e AGCOM.
Per ottenere la certificazione, il fornitore deve fare richiesta all’autorità competente. Se per il Livello 1 è sufficiente un’autocertificazione documentata, per i livelli successivi è obbligatoria la verifica di un revisore indipendente secondo i criteri stabiliti nell’Allegato III del testo. L’autorità nazionale ha poi 60 giorni di tempo per formulare una decisione o richiedere integrazioni, ma deve avvisare il fornitore entro 30 giorni qualora l’esito orienti verso un rifiuto, così da permettergli di replicare.
I Livelli di Garanzia della Sovranità (SEAL): decisi nel bando da 180 Milioni europeo
La metodologia SEAL (Sovereignty Effectiveness Assurance Level) definisce una gerarchia di protezione che riflette la profondità del controllo esercitato dagli attori europei. Al livello più basso, il SEAL-0 indica una totale assenza di sovranità, con servizi e operazioni sotto il controllo esclusivo di terze parti non-UE. Il SEAL-1, definito come “Jurisdictional Sovereignty”, rappresenta uno stadio in cui la legge dell’Unione Europea formalmente si applica, ma con una limitata effettività pratica, poiché il controllo strutturale rimane saldamente nelle mani di entità extra-europee. Il SEAL-2, o “Data Sovereignty”, è attualmente considerato il requisito minimo indispensabile per la maggior parte degli appalti pubblici; in questo scenario, la giurisdizione UE è applicabile ed eseguibile, sebbene permangano dipendenze materiali e un controllo indiretto da parte di terzi.
Salendo nella gerarchia, il SEAL-3 è denominato Digital Resilience: qui le giurisdizioni UE trovano piena applicazione e gli attori europei esercitano un’influenza significativa, riducendo le dipendenze esterne a una dimensione puramente marginale. Al vertice troviamo il SEAL-4, ovvero la “Full Digital Sovereignty”, dove tecnologia e operazioni sono sotto il controllo totale europeo e soggette esclusivamente alla legge dell’Unione. Tuttavia, il raggiungimento del SEAL-4 rimane oggi una “nobile ambizione” difficile da concretizzare a causa delle dipendenze hardware globali. La sfida non risiede solo nella capacità di design, ma nella complessa distinzione tra EU design ed EU fabrication: finché la produzione fisica dei chip avanzati rimarrà concentrata in fonderie extra-UE, la piena autonomia digitale resterà un obiettivo di lungo periodo.
Analisi Dettagliata degli Otto Pilastri della Sovranità (SOV-1 a SOV-8)
Il framework scompone la valutazione in otto obiettivi specifici, ciascuno dei quali è vitale per la resilienza nazionale e comunitaria.
SOV-1 (Sovranità Strategica): Questo pilastro analizza quanto il fornitore sia ancorato all’ecosistema industriale e finanziario dell’UE, monitorando la stabilità della proprietà per prevenire acquisizioni ostili che potrebbero alterare la direzione strategica della tecnologia.
SOV-2 (Sovranità Legale e Giurisdizionale): Misura l’esposizione a leggi extraterritoriali (come il US CLOUD Act). Nonostante la sua importanza, ha un peso relativo inferiore nel punteggio finale poiché le procedure di appalto UE prevedono già di per sé salvaguardie legali e contrattuali significative.
SOV-3 (Sovranità dei Dati e dell’IA): Valuta il controllo esclusivo del cliente sulla crittografia e la localizzazione dei dati. Include l’autonomia nello sviluppo delle pipeline di IA, garantendo che i modelli non dipendano da stack tecnologici non trasparenti.
SOV-4 (Sovranità Operativa): Esamina la capacità di gestire l’infrastruttura indipendentemente da vendor esterni, focalizzandosi sulla disponibilità di talenti in Europa e sull’assenza di vendor lock-in.
SOV-5 (Sovranità della Supply Chain): Questo obiettivo detiene il peso maggiore (20%) perché rappresenta il “gap non protetto” dalle attuali procedure di procurement. La valutazione dell’origine geografica di hardware e firmware è cruciale: l’incertezza sulla provenienza dei chip può compromettere l’intera catena di fiducia.
SOV-6 (Sovranità Tecnologica): Analizza l’uso di standard aperti e l’interoperabilità. Include la HPC Sovereignty (Criterio 5), premiando l’integrazione di processori e acceleratori di design europeo.
SOV-7 (Sicurezza e Conformità): Valuta l’operatività dei SOC in UE e l’aderenza a GDPR e NIS2. Come per il SOV-2, il suo peso è moderato poiché questi requisiti sono ormai standardizzati nelle gare europee.
SOV-8 (Sostenibilità Ambientale): Collega l’autonomia alla resilienza delle risorse, premiando l’efficienza energetica e l’economia circolare come difese contro la scarsità di materie prime.
Quadro di sovranità del cloud: ecco finalmente il foglio di calcolo
Il Cloud Sovereignty Framework è uno strumento creato dalla Commissione per valutare i fornitori di cloud sovrano. Dato il grande interesse manifestato dalle amministrazioni pubbliche e dalle aziende IT, la Commissione fornisce una panoramica più dettagliata del Framework:
Ecco come calcolare due punteggi di sovranità complementari:
Allegato 1 – Il Sovereignty Effectiveness Assurance Level (SEAL) e il punteggio di sovranità complessivo. Inglese(553,59 KB – PDF) Scaricamento
Allegato 2 – Il Calcolatore per la valutazione della sovranità La tabella include linee guida dettagliate per valutare gli obiettivi specifici del Cloud Sovereignty Framework. Inglese(32,63 KB – XLSX) Scaricamento
A leggere i recenti documenti della Commissione Europea, sembrerebbe che la pubblicazione dell’Implementation Guidance e dell’Annex non sia tanto un semplice aggiornamento di routine, quanto una formalizzazione “a posteriori” necessaria a blindare l’operato tecnico svolto durante la gara da 180 milioni di euro. È del tutto verosimile ipotizzare che questa mossa di “mettere le mani avanti” derivi dalla necessità di rispondere a richieste di chiarimento o a potenziali ricorsi, fornendo una base metodologica solida che prima restava parzialmente nell’ombra.
In questo contesto, la mancanza dei numeri al “giorno zero” è rilevante, poiché i documenti chiariscono ora che, sebbene i pesi delle diverse categorie siano fissati (come il 20% attribuito alla Supply Chain o il 5% alla Sostenibilità), il calcolo finale dipende strettamente da un questionario di 43 domande specifiche i cui punteggi per singola risposta sono determinati dall’autorità appaltante. Questo significa che qualsiasi tentativo di auto-attribuzione di uno score numerico esatto, rimaneva solo una stima ragionata o una simulazione basata su valori che la stessa Commissione definisce come fittizi ed esemplificativi all’interno del suo calcolatore.
Dal punto di vista analitico, potremmo dire che il framework ha trasformato la valutazione della sovranità da un esercizio basato sul “sentimento” a una procedura di stima strutturata, ma senza consegnare ai provider la “chiave master” del punteggio, che resta segreta negli atti di gara.
Un operatore cloud, ad esempio, può ragionevolmente presumere di collocarsi in un’area di Resilienza Digitale (SEAL-3) analizzando i propri fattori contribuenti, come la governance italiana o le certificazioni ACN QI2 e QC2, ma la traduzione di queste prove documentali in un numero preciso rimane un atto discrezionale del valutatore della Commissione.
Un ulteriore dettaglio che potrebbe confermare l’ipotesi di una “messa in sicurezza” della procedura riguarda l’ammissione esplicita nelle Lessons Learnt sul livello SEAL-4; la Commissione dichiara apertamente che la piena sovranità digitale non è attualmente raggiungibile a causa delle dipendenze inevitabili da chip e hardware extra-UE. Questa ammissione serve probabilmente a giustificare il motivo per cui nessun vincitore ha ottenuto il massimo punteggio possibile.
In definitiva, emerge chiaramente che il framework serve a creare un mercato più trasparente e competitivo, ma la determinazione dello score finale rimane un processo intrinsecamente legato alla singola gara d’appalto, rendendo ogni calcolo esterno un’approssimazione utile alla strategia, ma priva di certezza matematica assoluta.
Protocollo di Calcolo del Sovereignty Score e Formula di Ponderazione
Il Sovereignty Score trasforma i dati qualitativi in un valore numerico per confrontare le offerte che hanno già superato la soglia minima di SEAL richiesta. Il protocollo prevede un’analisi profonda basata su 43 quesiti, con una distribuzione metodologica precisa: 9 domande sono indirizzate esclusivamente ai contraenti e sub-contraenti per le dimensioni strategiche, mentre 19 domande devono essere replicate per ogni singola entità coinvolta nei layer tecnici.
I pesi percentuali definiti nella versione 1.2.1 riflettono le priorità di resilienza europee, con la supply chain (SOV-5) elevata al 20% per colmare le vulnerabilità strutturali dell’hardware:
SOV-1 (Sovranità Strategica): 15%
SOV-2 (Sovranità Legale): 10%
SOV-3 (Sovranità Dati e IA): 10%
SOV-4 (Sovranità Operativa): 15%
SOV-5 (Sovranità Supply Chain): 20%
SOV-6 (Sovranità Tecnologica): 15%
SOV-7 (Sicurezza e Conformità): 10%
SOV-8 (Sostenibilità Ambientale): 5%
Il calcolo segue la formula: Sovereignty Score = ? [Score(SOVn) / Max. Score(SOVn)] × Weight(SOVn)%
Il Criterio del “Collo di Bottiglia” per la Determinazione del SEAL Complessivo
Un principio cardine del framework è che la sovranità non può essere oggetto di compensazione: il SEAL globale non è una media, ma corrisponde al livello più basso raggiunto tra tutti gli obiettivi specifici. Questo meccanismo di prudenza è essenziale per neutralizzare il cosiddetto “sovereignty washing”. Se un fornitore ottiene il massimo punteggio in termini di sostenibilità e operatività, ma presenta una vulnerabilità critica nella protezione contro leggi extraterritoriali (SEAL-0), l’intero servizio sarà classificato come SEAL-0. Un singolo punto di cedimento tecnico o giurisdizionale rende l’architettura inidonea al trattamento di dati strategici.
L’Analisi di Profondità: Oltre l’Entità Legale
Per garantire un’autonomia autentica, l’audit del calcolatore non può fermarsi alla superficie dei contratti, ma deve penetrare verticalmente attraverso quelli che definiamo i Foundation Technical Layers: Compute, Storage, Network, Security, IAM e i servizi PaaS critici.
L’indagine deve distinguere rigorosamente tra:
Sub-contractors: Entità legali coinvolte direttamente nell’erogazione del servizio contrattualizzato.
Suppliers: Fornitori di hardware e software che, pur non avendo accesso diretto all’infrastruttura senza supervisione, forniscono i componenti di base (come i chip o il firmware) che potrebbero nascondere dipendenze critiche.
Questa visibilità totale è l’unico modo per smascherare dipendenze occulte in grado di inficiare gli obiettivi di sovranità della Contracting Authority. Il Framework SEAL si impone dunque come uno strumento dinamico: un faro per il miglioramento continuo dei provider e una garanzia di resilienza per il futuro dell’Unione Europea.
