{"id":3731,"date":"2026-10-05T22:26:29","date_gmt":"2026-10-05T20:26:29","guid":{"rendered":"https:\/\/eu.klytic.com\/?page_id=3731"},"modified":"2026-10-06T17:22:08","modified_gmt":"2026-10-06T15:22:08","slug":"cloud-sovrano-definizione","status":"publish","type":"page","link":"https:\/\/eu.klytic.com\/it\/cloud-sovrano-definizione\/","title":{"rendered":"Cloud sovrano: definizione, criteri e limiti"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Home<\/a>\u203a<\/span>Guide<\/a>\u203a<\/span>Sovranit\u00e0<\/a><\/p>

Sovranit\u00e0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Cloud sovrano: definizione, criteri e limiti<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Un cloud sovrano, in una pratica di acquisto, \u00e8 un servizio di cui sono noti il gestore, il diritto applicabile e gli accessi di amministrazione, e i cui dati possono essere ripresi. La definizione di marketing varia. I criteri, invece, si prestano a una griglia.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Aggiornato a ottobre 2026<\/b><\/span>8 min<\/b> di lettura<\/span>Fonti ufficiali citate<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Perch\u00e9 una griglia anzich\u00e9 un\u2019etichetta<\/h2>

Scrivere \u00abcloud sovrano\u00bb in una richiesta di offerta equivale a porre una domanda alla quale ogni candidato risponde s\u00ec. Le risposte diventano non confrontabili, e la scelta si fa sul prezzo o sull\u2019impressione lasciata dalla presentazione.<\/p>

Una griglia obbliga ogni candidato a rispondere alla stessa domanda, con un documento. Protegge anche l\u2019acquirente dopo la firma: un impegno scritto nella risposta alla gara pu\u00f2 essere ripreso nel contratto, mentre un aggettivo non si pu\u00f2 verificare. La nozione in s\u00e9 \u00e8 spiegata in che cos\u2019\u00e8 un cloud sovrano<\/a>. Questa pagina serve all\u2019acquisto.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Una definizione utilizzabile<\/h2>

Adotti questa.<\/p>

Un servizio digitale \u00e8 trattato come sovrano, per un acquirente europeo, quando la societ\u00e0 che lo gestisce rientra in un diritto europeo, i dati affidati e i relativi backup restano nel perimetro geografico dichiarato, gli accessi di esercizio sono identificati e il cliente pu\u00f2 esportare e poi far cancellare i propri dati.<\/p><\/blockquote>

Questa frase \u00e8 uno strumento di lavoro. Non \u00e8 un articolo del GDPR (Regolamento generale sulla protezione dei dati). Il regolamento definisce dei ruoli (titolare del trattamento, responsabile del trattamento), dei trasferimenti e dei diritti degli interessati. Non assegna alcuna etichetta \u00absovrano\u00bb.<\/p>

Ogni parte della frase rimanda a uno o pi\u00f9 dei criteri seguenti. \u00c8 questo che la rende utilizzabile: la si pu\u00f2 scomporre in domande e dare un punteggio alle risposte.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Dieci criteri<\/h2>

Ogni criterio si dimostra con un documento, non con un aggettivo.<\/p>

  1. Societ\u00e0 che gestisce il servizio.<\/strong> Ragione sociale, paese della sede e societ\u00e0 madre. Una filiale europea di un gruppo americano pu\u00f2 fatturare in euro pur appartenendo a un gruppo soggetto al diritto americano. \u00c8 il criterio che determina a chi pu\u00f2 rivolgersi un\u2019autorit\u00e0 straniera.<\/li>
  2. Diritto del contratto.<\/strong> Legge applicabile e foro competente. Verifichi che le condizioni generali e l\u2019accordo sul trattamento dei dati dicano la stessa cosa.<\/li>
  3. Perimetro dei dati.<\/strong> Contenuto (email, file), backup, log tecnici, dati di supporto. Il solo contenuto non basta: un impegno che copre solo le caselle di posta lascia fuori le copie.<\/li>
  4. Luogo.<\/strong> Paese o regione per ciascuna categoria del punto 3. \u00abEuropa\u00bb va precisato: Unione europea, AELS, o un paese indicato per nome.<\/li>
  5. Persone che amministrano.<\/strong> Dipendenti del gestore, subfornitori, reperibilit\u00e0 fuori zona. Un accesso remoto, anche temporaneo, \u00e8 un trattamento. Chieda anche se questi accessi sono registrati nei log e se il cliente pu\u00f2 consultare il registro.<\/li>
  6. Chiavi di cifratura.<\/strong> Chi le detiene, chi pu\u00f2 usarle per un ripristino, chi pu\u00f2 consegnarle a un terzo. La domanda non \u00e8 \u00abi dati sono cifrati?\u00bb, ma \u00abchi pu\u00f2 decifrarli?\u00bb.<\/li>
  7. Subfornitori.<\/strong> Elenco aggiornato: antispam, backup, supporto, misurazione dell\u2019audience, identit\u00e0. Un subfornitore soggetto a un altro diritto pu\u00f2 annullare l\u2019effetto del criterio 1.<\/li>
  8. Richieste delle autorit\u00e0.<\/strong> Procedura interna quando un\u2019autorit\u00e0 chiede dei dati, e diritto applicabile a tale richiesta. Chieda se il fornitore si impegna a informare il cliente, nella misura in cui la legge lo consente.<\/li>
  9. Reversibilit\u00e0.<\/strong> Formati, tempi, costi, e ci\u00f2 che non \u00e8 esportabile (cronologie delle chat, regole interne, log). La cosa pi\u00f9 sicura \u00e8 testare un\u2019esportazione prima di firmare.<\/li>
  10. Eventuale qualifica.<\/strong> Se l\u2019acquirente esige SecNumCloud, il nome del servizio qualificato deve essere quello del catalogo ANSSI. Un\u2019offerta ospitata su un\u2019infrastruttura qualificata non eredita la qualifica. Dalla versione 3.2 del suo referenziale (2022), SecNumCloud comprende requisiti di protezione nei confronti dei diritti extraeuropei, che riguardano la sede, il controllo del capitale, la localizzazione e il personale.<\/li><\/ol>

    Come ponderare<\/h3>

    I dieci criteri non hanno lo stesso peso per tutti gli acquirenti. Per la posta elettronica e la condivisione di file, i criteri 1, 3, 4, 5 e 9 fanno in genere la differenza tra le offerte. Il criterio 10 \u00e8 eliminatorio quando \u00e8 richiesto, e neutro altrimenti. Decida la ponderazione prima di aprire le risposte, non dopo.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    I limiti, detti chiaramente<\/h2>

    Il luogo non equivale al diritto.<\/strong> Un datacenter a Francoforte gestito da una societ\u00e0 americana resta un servizio di quella societ\u00e0. Il CLOUD Act americano riguarda i dati detenuti da un fornitore soggetto alle giurisdizioni degli Stati Uniti, qualunque sia il paese del disco. Si veda proteggere un\u2019azienda dal CLOUD Act<\/a> e il confronto cloud europeo o cloud americano<\/a>.<\/p>

    Il diritto europeo non equivale all\u2019assenza di richieste giudiziarie.<\/strong> Un giudice francese, tedesco o olandese pu\u00f2 ordinare la comunicazione di dati a un operatore di sua competenza. La differenza riguarda il giudice, la procedura e i mezzi di ricorso. Una griglia che lasciasse credere il contrario indurrebbe in errore l\u2019acquirente.<\/p>

    Il software e il gestore sono distinti.<\/strong> Nextcloud \u00e8 prodotto da Nextcloud GmbH, in Germania. Zimbra \u00e8 prodotto da Synacor, negli Stati Uniti. BlueMind \u00e8 una societ\u00e0 francese. In tutti e tre i casi, la sovranit\u00e0 del suo<\/em> servizio dipende da chi lo installa, chi ne fa il backup e chi risponde al telefono. La nazionalit\u00e0 del produttore del software conta soprattutto se ha accesso ai dati: in tal caso si tratta al criterio 7.<\/p>

    SecNumCloud \u00e8 ristretto.<\/strong> \u00c8 una qualifica ANSSI, offerta per offerta, con un perimetro e una data di scadenza. \u00c8 spesso richiesta per dati sensibili dello Stato. \u00c8 sproporzionata come unico criterio per una PMI che cerca la posta elettronica e la condivisione di file. \u00c8 insufficiente se la si invoca senza leggere la decisione.<\/p>

    Nessuna offerta copre tutti gli usi di Microsoft 365.<\/strong> Excel avanzato, Power BI, l\u2019ecosistema Teams e i componenti aggiuntivi di settore non hanno un equivalente generale presso gli operatori europei. Il criterio della sovranit\u00e0 non risolve questo punto. Vi si aggiunge. Se questi usi sono centrali, la griglia pu\u00f2 portare a mantenere Microsoft 365 con piena cognizione di causa: si veda Microsoft 365 a confronto con una soluzione sovrana<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Come scriverlo in un capitolato<\/h2>

    Sostituisca \u00abcloud sovrano\u00bb con i dieci criteri, ciascuno con una prova attesa. Potr\u00e0 allora confrontare un\u2019offerta Microsoft con confine europeo dei dati, un\u2019offerta Google con regione dei dati, un\u2019offerta svizzera come Infomaniak e un\u2019offerta gestita in Francia. Il confronto diventa una lettura di prove, non una battaglia di aggettivi.<\/p>

    Criterio<\/th>Domanda posta al candidato<\/th>Documento atteso<\/th><\/tr><\/thead>
    1. Societ\u00e0 che gestisce il servizio<\/td>Quale societ\u00e0 gestisce il servizio, e chi la controlla?<\/td>Visura camerale, organigramma del gruppo<\/td><\/tr>
    2. Diritto del contratto<\/td>Quale legge, quale foro?<\/td>Clausola delle condizioni generali e dell\u2019accordo sul trattamento<\/td><\/tr>
    3 e 4. Perimetro e luogo<\/td>Quali categorie di dati, in quali paesi?<\/td>Tabella per categoria: contenuto, backup, log, supporto<\/td><\/tr>
    5. Amministrazione<\/td>Chi amministra, da dove, con quale traccia?<\/td>Descrizione dei team e della registrazione nei log<\/td><\/tr>
    6. Chiavi<\/td>Chi pu\u00f2 decifrare, e in quali casi?<\/td>Descrizione dello schema di cifratura<\/td><\/tr>
    7. Subfornitori<\/td>Chi riceve una copia o un accesso?<\/td>Elenco nominativo con paese<\/td><\/tr>
    8. Autorit\u00e0<\/td>Che cosa fa di fronte a una richiesta?<\/td>Procedura scritta<\/td><\/tr>
    9. Reversibilit\u00e0<\/td>Come recuperiamo tutto, e in quanto tempo?<\/td>Procedura di esportazione, formati, prova<\/td><\/tr>
    10. Qualifica<\/td>L\u2019offerta proposta \u00e8 qualificata?<\/td>Riferimento al catalogo ANSSI, se richiesto<\/td><\/tr><\/tbody><\/table><\/div>

    Il dettaglio del solo criterio geografico \u00e8 trattato in Che cosa significa davvero \u00abdati ospitati in Europa\u00bb<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Esempio: un\u2019azienda di servizi di medie dimensioni che indice una gara<\/h2>

    Caso ipotetico. Un\u2019azienda di servizi di medie dimensioni rinnova la propria posta elettronica e la condivisione di file. La prima versione del suo capitolato chiede \u00abuna soluzione di cloud sovrano ospitata in Europa\u00bb. I tre candidati rispondono s\u00ec.<\/p>

    La direzione IT riscrive la richiesta di offerta con la griglia. Le risposte diventano leggibili. Il primo candidato ospita in Europa ma appartiene a un gruppo soggetto al diritto americano: criterio 1 non soddisfatto, criteri 3 e 4 ben documentati. Il secondo \u00e8 una societ\u00e0 europea, ma affida il supporto notturno a un subfornitore fuori zona: criterio 5 da negoziare. Il terzo soddisfa i criteri giuridici ma non copre un uso di settore: la direzione deve decidere. La griglia non ha scelto al posto dell\u2019azienda. Ha reso esplicita la scelta.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Gli errori frequenti<\/h2>