La digitalizzazione dei processi della pubblica amministrazione costituisce uno dei fattori determinanti per lo sviluppo economico e la sicurezza della nazione. Il passaggio da un panorama tecnologico storicamente frammentato verso una visione infrastrutturale accentrata rappresenta il presupposto indispensabile per garantire resilienza e tutela alle informazioni pubbliche. In questo solco strategico la conoscenza puntuale dello stato dei sistemi informativi si è configurata come il passaggio preliminare per qualsiasi disegno strutturale di riforma.
Nel mese di agosto del 2022 ha preso avvio una svolta profonda spinta da un’ampia rilevazione promossa dall’Agenzia per l’Italia Digitale. Questo censimento ha coinvolto circa 11000 amministrazioni pubbliche tra comparti centrali e locali ed ha consentito di tracciare una mappa esatta del livello di innovazione e di protezione garantito dai centri di elaborazione dati attivi nel Paese. Gli esiti della rilevazione guidata dall’ex Ministro Vittorio Colao, hanno mostrato un quadro di marcata vulnerabilità.
Una quota rilevante dei data center analizzati risultava priva dei requisiti minimi necessari per sostenere la trasformazione digitale sia sotto il profilo delle prestazioni sia sul versante della sicurezza informatica.
Questa consapevolezza ha spinto le istituzioni a superare l’obsolescenza diffusa mediante l’istituzione del Polo Strategico Nazionale quale terzo pilastro della strategia cloud d’Italia. Questa diagnosi ha reso evidente la necessità di abbandonare la frammentazione territoriale per adottare un modello operativo capace di coniugare innovazione costante e sovranità e di garantire stabilità al sistema pubblico nel lungo periodo.
Il Partenariato Pubblico Privato nel cloud della PA
L’edificazione di un’infrastruttura tecnologica di rilevanza nazionale richiede un equilibrio rigoroso tra visione politica e sostenibilità economico-finanziaria.
La vera sovranità digitale, si diceva, non può prescindere da una solida architettura finanziaria in cui la regia pubblica orienta gli obiettivi strategici mentre l’efficienza e la capacità d’investimento del mercato privato ne garantiscono l’esecuzione operativa. Questo in teoria sembra ancora essere vero. L’attuazione pratica ha mostrato diverse difficoltà, tra litigation in giudizio e rallentamenti del PNRR.
Per concretizzare tale modello si è ricorsi alla struttura del partenariato pubblico privato, perfezionata attraverso una gara pubblica e la sottoscrizione di una convenzione con il Dipartimento per la Trasformazione Digitale. L’elemento qualificante di questa architettura risiede nel trasferimento strategico del rischio industriale e del carico finanziario iniziale dello sviluppo infrastrutturale dal bilancio dello Stato alla compagine privata che dopo alterne vicende, contestate in giudizio, è risultata poi essere aggiudicataria, composta da attori industriali di primo piano quali TIM, Leonardo, Sogei e Cassa Depositi e Prestiti. Tale schema ha preservato al contempo la piena governance pubblica delle linee di indirizzo in capo al Dipartimento.
L’apporto industriale di questo consorzio ha consentito la realizzazione e l’assetting di data center ad altissime prestazioni in tempi straordinariamente contenuti, permettendo di giungere al collaudo delle infrastrutture già nel mese di dicembre del duemilaventidue. Senza l’apporto delle competenze tecniche e della solidità patrimoniale dei soci privati, un’operazione di tale portata avrebbe richiesto anni invece di pochi mesi. La gestione di ingenti capitali privati per finalità pubbliche ha imposto un modello di governance particolarmente stringente, fondato su rigorosi principi di compliance e su continue verifiche di congruità economico-finanziaria, necessarie per tutelare l’interesse generale e garantire al contempo la redditività sostenibile degli investimenti sostenuti dai soci.
La solidità e la tempestività di questa struttura societaria ed esecutiva hanno creato le precondizioni industriali per raggiungere e persino anticipare i vincolanti target temporali stabiliti dai Piani nazionali.
Dopo il PNRR: dinamiche del PSN
Il consolidamento del modello italiano ha trovato un fattore di accelerazione decisivo nel raccordo con gli obiettivi misurabili e finanziariamente vincolanti stabiliti dal Piano Nazionale di Ripresa e Resilienza. La trasformazione digitale della pubblica amministrazione è stata così sottratta all’indeterminatezza programmatiche per essere ancorata a scadenze rigorose legate all’erogazione dei fondi europei.
Sotto il profilo economico, la leva del PNRR opera attraverso un preciso meccanismo d’incentivazione: le risorse allocate dalle Missioni 1.1 e 1.2 non sono destinate a finanziare direttamente l’infrastruttura del Polo Strategico Nazionale, bensì vengono erogate alle singole amministrazioni pubbliche come incentivo finanziario per sostenere le spese di migrazione dai vecchi centri di elaborazione ai nuovi ambienti cloud sicuri.
L’efficacia di questa dinamica di attrazione si è palesata nel superamento del traguardo intermedio del settembre 2024: a fronte dell’obiettivo formale di cogliere l’adesione di cento enti, il Polo ha registrato la migrazione di circa 700 amministrazioni centrali e locali. Tale affluenza, avvenuta su base strettamente volontaria e non obbligatoria, dimostra il valore percepito delle infrastrutture realizzate.
L’apparente paradosso tra questo risultato quantitativo anticipato e la successiva milestone legale di giugno 2026 — che fissa a 280 il numero di amministrazioni consolidate — trova spiegazione nella diversa natura qualitativa del target finale. Il traguardo del 2026 rappresenta infatti un vincolo formale altamente complesso, calibrato specificamente sui settori ad alta frizione operativa e ad elevata delicatezza sociale, come la sanità territoriale divisa tra Aziende Sanitarie Locali e Aziende Ospedaliere, i cui processi digitali impattano in modo diretto sull’esercizio dei diritti costituzionali dei cittadini.
Il positivo superamento dei target quantitativi iniziali sposta la riflessione dal mero perimetro delle migrazioni numeriche alla definizione teorica e pratica di cosa costituisca la reale sovranità sul dato.
La governance del dato
La sovranità digitale è una dimensione preminentemente giuridica e strategica, legata alla governance istituzionale dei dati piuttosto che alla pura localizzazione geografica della componente fisica dei server o alla nazionalità dei produttori di hardware. Ridurre la sovranità a una mera questione di geografia industriale significa cadere in un equivoco concettuale che rischia di penalizzare la capacità innovativa dello Stato.
Risulta fondamentale demistificare l’idea che la sicurezza coincida automaticamente con l’origine della tecnologia, sia essa europea o statunitense. La sovranità risiede nell’impossibilità giuridica e tecnologica da parte di terzi non autorizzati di accedere alle informazioni pubbliche. Questa è tuttora la definizione dominante a livello istituzionale. Ma non può bastare a fronte del pericolo di spegnimento di servizi interi da remoto, come recenti esempi dell’amministrazione americana hanno mostrato in merito 1) al downgrade di Starlink in Ucraina 2) al divieto di utilizzo di Anthropic nei suoi modelli più avanzati 3) nell’impedimento di utilizzo di servizi email ad un noto giudice della Corte internazionale. Sono tre esempi significativi da cui emerge chiaramente che non abbiamo una sicurezza operativa quando non abbiamo vera indipendenza digitale.
Come avviene nel quadro della protezione dei dati personali, dove le norme disciplinano la legittimità del trattamento e la riservatezza indipendentemente dal supporto tecnico, nel Polo Strategico Nazionale la tutela dei dati strategici viene garantita da un modello di cifratura avanzato operante su infrastrutture ad altissime prestazioni situate nel territorio nazionale. In questo schema, le chiavi crittografiche rimangono nella titolarità e nella disponibilità esclusiva dell’amministrazione cliente, rendendo le informazioni del tutto inaccessibili persino al gestore dell’infrastruttura e al Polo stesso.
A protezione di questo perimetro è posta un’architettura di difesa continuativa garantita dal Global Cybersec Center e dal CERT (Computer Emergency Response Team) di Leonardo, operativi senza soluzione di continuità per il monitoraggio in tempo reale e il contrasto tempestivo delle minacce intrusive, sia esterne sia interne. Inoltre, mentre in passato il ciclo di vita utile di un data center veniva stimato su archi decennali, l’irruzione dei carichi di lavoro legati all’intelligenza artificiale richiede prestazioni computazionali e densità energetiche ad altissimo rendimento. Per evitare un rapido decadimento infrastrutturale, la convenzione del partenariato pubblico privato incorpora un vincolo permanente di aggiornamento e upgrading tecnologico delle piattaforme, garantendo reattività costante di fronte all’evoluzione tecnologica globale.
Questa rigorosa impostazione architetturale trova la sua naturale estensione nell’integrazione di un modello di offerta cloud capace di distinguersi nettamente nello scenario competitivo e regolatorio europeo.
Dubbi sul modello italiano: un unicum in UE
L’esperienza maturata dall’Italia con il Polo Strategico Nazionale costituisce oggi un solido punto di riferimento discusso nel dibattito continentale, suscitando qualche dubbio da parte di partner di primaria grandezza come Francia e Germania, impegnati nella ricerca di un punto di equilibrio tra protezione dei dati e competitività tecnologica. L’Italia ha voluto delineare una terza via europea, con l’intento, ancora debole, di superare la dicotomia tra un’illusoria autarchia tecnologica e un’accettazione passiva dei giganti informatici esteri.
L’elemento distintivo che rende il modello italiano unico nel contesto comunitario è la strutturazione di un unico Listino Multicloud regolamentato. Questo strumento si fonda sulla tassonomia ufficiale stabilita a livello nazionale, che suddivide l’informazione pubblica in tre categorie ben definite: Dati Pubblici Ordinari, Dati Critici e Dati Strategici. Mentre la gestione dei Dati Strategici è riservata in via esclusiva ai servizi industry standard collocati in data center nazionali sovrani sotto chiave crittografica del cliente, i Dati Critici e i Dati Pubblici Ordinari possono avvalersi dell’efficienza computazionale erogata da quattro primari Cloud Service Provider di origine statunitense. Tali operatori internazionali non agiscono tuttavia sul mercato pubblico in regime libero, bensì operano rigorosamente all’interno del perimetro giuridico stabilito dalla convenzione pubblica, sotto la costante vigilanza dell’Agenzia per la Cybersicurezza Nazionale.
L’ACN presiede al rigoroso processo di qualificazione dei servizi cloud attraverso quattro distinti livelli di sicurezza, imponendo il tassativo conseguimento dei Livelli 3 e 4 per l’hosting e la gestione delle informazioni nazionali a più alto valore strategico e critico. L’esperienza del Polo Strategico Nazionale dimostra che non c’è volontà piena di distaccarsi dalle dipendenze extraeuropee nel Cloud e nell’intelligenza artificiale, preferendo politicamente un ecosistema che combina infrastrutture avanzate, garanzie crittografiche non ancora violabili e un presidio istituzionale. Non è poco, sia chiaro. Ma certamente non basta a fronte delle nuove sfide. E’ noto che l’Europa destina il 92% del procurement del cloud agli hyperscaler americani. E continua a farlo. Una dipendenza che il PSN non ha ancora risolto e che probabilmente non risolverà a breve.
