La sovranità del dato è la capacità di un’organizzazione di stabilire dove si trovano i propri dati, quale legge si applica e chi può accedervi o spostarli. Si misura su tre livelli distinti: residenza fisica, giurisdizione applicabile e controllo operativo.
La classica frase “i nostri dati restano in Italia” risponde soltanto al primo livello, eppure è ancora la lettura prevalente. Secondo l’Osservatorio Cloud Ecosystem & Sovereignty del Politecnico di Milano, presentato a ottobre 2026, il 70% delle grandi e grandissime imprese italiane associa la sovranità digitale quasi esclusivamente alla residenza fisica dei dati. Nelle imprese analizzate, tuttavia, il 78% della spesa in servizi IaaS e PaaS finisce ai grandi operatori statunitensi.
Con le normative NIS2 e DORA, chi sceglie un data center deve poter dimostrare ai vari stakeholder di avere sotto controllo anche giurisdizione e accessi, non solo conoscerne la collocazione geografica.
I tre livelli della sovranità del dato
Ogni livello risponde a una domanda diversa e si verifica con documenti diversi. Un fornitore può soddisfarne uno e restare scoperto sugli altri due.
| Livello | Domanda a cui risponde | Cosa verificare | Rischio se manca |
|---|---|---|---|
| Residenza fisica | Dove sono archiviati ed elaborati i dati, compresi backup, log e copie di disaster recovery? | Elenco dei siti nel contratto e obbligo di preavviso in caso di spostamento | Dati replicati fuori dal perimetro dichiarato senza che il cliente lo sappia |
| Giurisdizione applicabile | Quale legge può obbligare il fornitore a consegnare o bloccare i dati? | Sede legale e catena di controllo societario del fornitore e dei suoi subfornitori | Richieste di autorità extra UE che il fornitore non è in grado di rifiutare |
| Controllo operativo | Chi amministra l’infrastruttura, chi custodisce le chiavi di cifratura, chi accede e da quale paese? | Log degli accessi, gestione delle chiavi, sede del personale tecnico, piano di uscita | Dipendenza da persone, software o supporto che il cliente non governa |
Residenza fisica: il punto di partenza
Da un lato è il livello più semplice da dichiarare, dall’altro è anche quello che si dà più facilmente per scontato. Indicare “Italia” o “Europa” significa dire dove gira il servizio principale, ma non per forza dove finiscono backup, snapshot, log di sistema e copie di disaster recovery, né da dove lavora, ad esempio, il supporto tecnico.
Per questo la residenza va verificata sull’intero ciclo di vita del dato.
Giurisdizione: quale legge può arrivare ai dati
Il CLOUD Act è la legge federale statunitense del 2018 che consente alle autorità USA di ordinare ai fornitori soggetti alla loro giurisdizione la consegna dei dati che hanno in possesso, in custodia o sotto controllo, a prescindere da dove si trovino fisicamente i server. Ciò significa che un data center a Milano, gestito da una società con capogruppo americana, resta raggiungibile da un ordine emesso negli Stati Uniti.
In quest’ottica, il GDPR europeo, in particolare l’articolo 48, stabilisce che sentenze e decisioni di autorità di paesi terzi, che impongono il trasferimento di dati personali, possono essere riconosciute solo se fondate su un accordo internazionale, come un trattato di mutua assistenza giudiziaria. Per i dati non personali, l’articolo 32 del Data Act chiede ai fornitori di servizi cloud di adottare misure contro gli accessi governativi extra UE in conflitto con il diritto dell’Unione.
Ovviamente questo porta a un dedalo di leggi che il fornitore deve sapere gestire.
Controllo operativo: chi ha davvero le mani sull’infrastruttura
Il terzo livello riguarda la gestione quotidiana, ovvero chi possiede le credenziali amministrative, da quale paese opera il personale tecnico, chi custodisce le chiavi di cifratura, chi rilascia aggiornamenti e patch, quanto è realistico portare i dati altrove se il rapporto si interrompe.
Per uno o più di questi punti, un’infrastruttura localizzata in Europa potrebbe dipendere comunque da un operatore extraeuropeo.
La Commissione europea ha provato a rendere misurabile questo aspetto con il Cloud Sovereignty Framework, che assegna ai servizi cloud un livello di garanzia che va da SEAL-0, assenza di sovranità dimostrata, a SEAL-4, filiera interamente europea. In questa scala, a pesare è soprattutto chi esercita il controllo.
Detto questo, la sovranità del dato non va applicata con la stessa intensità a ogni informazione. La posta elettronica aziendale e un archivio di cartelle cliniche hanno profili di rischio molto diversi. La scelta più solida parte da una classificazione delle informazioni e assegna a ciascuna categoria il fornitore e le garanzie adeguate.
Le leggi che compongono il quadro normativo
Il GDPR resta la base, ma negli ultimi due anni si è creato un ecosistema normativo che sposta l’attenzione dalla protezione del singolo dato personale alla resilienza dei servizi e alla gestione dei fornitori.
| Norma | Applicabile dal | A chi si rivolge | Effetto sulla scelta del fornitore |
|---|---|---|---|
| GDPR (Reg. UE 2016/679) | 25 maggio 2018 | Chiunque tratti dati personali | Regole sui trasferimenti extra UE (artt. 44-49) e sulle richieste di autorità straniere (art. 48) |
| Regolamento cloud per la PA (Determinazione ACN 21007/2024) | 1° agosto 2024 | Pubbliche amministrazioni e loro fornitori cloud | Infrastrutture e servizi qualificati in base alla classe dei dati |
| NIS2 (D.Lgs. 138/2024) | 16 ottobre 2024 | Soggetti essenziali e importanti di 18 settori, PA dell’Allegato III | Sicurezza della catena di approvvigionamento ed elenco annuale dei fornitori rilevanti da comunicare all’ACN |
| DORA (Reg. UE 2022/2554 e D.Lgs. 23/2025) | 17 gennaio 2025 | Entità finanziarie e, indirettamente, i loro fornitori ICT | Registro dei contratti ICT, clausole contrattuali minime, strategie di uscita |
| Data Act (Reg. UE 2023/2854) | 12 settembre 2025 | Fornitori e clienti di servizi cloud ed edge | Diritto di cambiare fornitore, costi di switching azzerati dal 12 gennaio 2027, tutele contro accessi governativi extra UE |
| Legge italiana sull’IA (L. 132/2025, art. 5) | 10 ottobre 2025 | PA che acquistano sistemi e modelli di IA | Possibilità di privilegiare fornitori che localizzano dati strategici, disaster recovery e business continuity in data center italiani |
| AI Act (Reg. UE 2024/1689, modificato dal Reg. UE 2026/1744) | Graduale: divieti dal 2 febbraio 2025, obblighi di trasparenza dal 2 agosto 2026, sistemi ad alto rischio dell’Allegato III dal 2 dicembre 2027 | Fornitori e utilizzatori di sistemi di IA | Governance e tracciabilità dei dati con cui i sistemi vengono addestrati e alimentati |
Cosa tenere d’occhio nei prossimi mesi
Lo scorso giugno la Commissione europea ha presentato la proposta Cloud and AI Development Act (CADA), che punta a introdurre quattro livelli di garanzia per i servizi cloud acquistati dal settore pubblico. Per distinguerli considera, oltre alla localizzazione dei dati, la proprietà e il controllo societario del fornitore. La proposta è ancora in discussione tra Parlamento e Consiglio.
Il Digital Omnibus, invece, ha già cambiato il calendario dell’AI Act con il Regolamento UE 2026/1744. La parte che modifica il GDPR, a ottobre 2026, è invece ancora in negoziato e fino all’approvazione valgono le regole attuali.
Lo schema europeo di certificazione dei servizi cloud (EUCS), infine, attende da anni l’adozione, rallentato proprio dal confronto sui requisiti di sovranità.
Chi è coinvolto (e chi ancora non sa di esserlo)
La NIS2 copre 18 settori, dall’energia alle infrastrutture digitali. In Italia include una lunga serie di aziende e PA, suddivise in soggetti essenziali e importanti, nonché in soglie dimensionali. DORA, invece, si applica principalmente a una ventina di categorie di entità finanziarie.
In questo quadro, il tema che spesso sfugge è la catena di fornitura. Il decreto NIS obbliga i soggetti in perimetro a gestire la sicurezza dei propri fornitori. Dal 2026 devono anche comunicare ogni anno all’ACN l’elenco dei fornitori rilevanti. DORA, dal canto suo, impone alle entità finanziarie clausole contrattuali minime con tutti i fornitori di servizi ICT, e il D.Lgs. 23/2025 prevede anche la possibilità di ispezioni presso i fornitori terzi di servizi ICT ritenuti essenziali.
In pratica, gli effetti di normative come DORA e NIS2 riguardano anche realtà che non sono direttamente coinvolte ma che fanno parte della catena di fornitura di un’organizzazione oggetto della legge.
Pubblica Amministrazione: classificazione dei dati e cloud qualificato
Per la PA il riferimento è il Regolamento unico per le infrastrutture digitali e i servizi cloud, adottato con la Determinazione ACN 21007/2024 del 27 giugno 2024 e applicabile dal 1° agosto 2024. Ogni amministrazione deve classificare dati e servizi in base al danno che una loro compromissione provocherebbe al Paese e scegliere infrastrutture e servizi qualificati di livello adeguato.
| Classe | Quando si applica | Esempi | Livello minimo richiesto |
|---|---|---|---|
| Ordinari | La compromissione non pregiudica funzioni rilevanti per lo Stato o la società | Portali istituzionali, buona parte dei servizi di comuni e scuole | Livello 1 |
| Critici | La compromissione può pregiudicare funzioni rilevanti per la società, la salute, la sicurezza pubblica o il benessere economico | Gran parte dei servizi sanitari, servizi che trattano grandi volumi di dati personali | Livello 2 |
| Strategici | La compromissione può avere un impatto sulla sicurezza nazionale | Servizi collegati al Perimetro di sicurezza nazionale cibernetica | Livello 3 o 4 |
Un comune sotto i 100.000 abitanti e non capoluogo tratta in genere servizi ordinari e può rivolgersi a servizi qualificati di livello 1 o superiore. Sopra quella soglia, o se è capoluogo di regione, rientra anche nel perimetro NIS.
Un’azienda sanitaria gestisce soprattutto servizi critici, quindi servono infrastrutture e servizi almeno di livello 2. È inoltre un soggetto NIS.
Una scuola tratta quasi solo servizi ordinari, ma deve comunque scegliere servizi presenti nel catalogo ACN.
Un ministero o un’agenzia centrale gestisce anche dati critici e, in alcuni casi, strategici; per questi ultimi servono infrastrutture e servizi di livello 3 o 4.
Sanità: dati particolari e scelta del provider
I dati sanitari sono categorie particolari ai sensi dell’articolo 9 del GDPR. Il loro trattamento è vietato salvo eccezioni specifiche, come la cura della persona o i motivi di interesse pubblico nel settore della sanità. Quando il trattamento avviene su larga scala serve anche una valutazione d’impatto (articolo 35).
Le strutture pubbliche seguono le regole della PA. Il Dipartimento per la trasformazione digitale e l’ACN hanno preclassificato 45 servizi tipici del settore: 28 critici e 17 ordinari, nessuno strategico.
Le strutture private, invece, rispondono al GDPR. Se raggiungono almeno la dimensione di media impresa, rispondono anche alla NIS2, che elenca i prestatori di assistenza sanitaria tra i settori ad alta criticità. La legge non impone loro di tenere i dati in Italia: il trattamento all’interno dell’Unione europea è pienamente lecito, mentre i trasferimenti fuori dall’UE richiedono le garanzie del capo V del GDPR.
Alcuni elementi rendono comunque la scelta del provider più delicata che in altri settori:
- La durata. La documentazione clinica ha tempi di conservazione molto lunghi e per la cartella clinica la regola è la conservazione illimitata. Si sceglie un fornitore per decenni, e la possibilità di uscire con dati in formati leggibili diventa un requisito.
- L’interoperabilità. Il Fascicolo Sanitario Elettronico 2.0 e lo Spazio europeo dei dati sanitari aumentano gli scambi di dati tra sistemi diversi e con loro le superfici da proteggere.
- La telemedicina. Piattaforme e dispositivi spesso prevedono l’assistenza remota del produttore, quindi va verificato da dove opera quel supporto e quali subfornitori accedono ai dati.
- La continuità. Un reparto o un pronto soccorso non possono restare in attesa del ripristino di un sistema remoto. Disaster recovery e tempi di intervento vanno valutati sulla distanza reale tra struttura, data center e tecnici.
Provider italiano o europeo per la sanità: come orientarsi
Un fornitore UE, sotto controllo europeo e con subfornitori chiari, è sufficiente per la maggior parte dei trattamenti di una struttura privata. Un provider italiano diventa la scelta più lineare se si lavora per la sanità pubblica o se bandi e contratti richiedono la localizzazione nazionale. Vale lo stesso quando si vuole eliminare l’esposizione a giurisdizioni extra UE sui dati particolari, o quando disaster recovery e assistenza devono stare vicino alla struttura.
Finance: cosa chiede DORA in pratica
DORA (Reg. UE 2022/2554) si applica dal 17 gennaio 2025 a banche, istituti di pagamento e di moneta elettronica, imprese di investimento, imprese di assicurazione, fondi pensione, prestatori di servizi per le cripto-attività e altre categorie. Per le microimprese è previsto un regime semplificato.
Per la scelta dei fornitori ICT contano quattro obblighi.
Il registro delle informazioni (art. 28, par. 3). Ogni entità mappa tutti i contratti per servizi ICT, la loro criticità e le dipendenze. Per i soggetti vigilati dalla Banca d’Italia, la comunicazione del 13 febbraio 2026 ha fissato l’invio annuale entro il 15 marzo, con dati riferiti al 31 dicembre dell’anno precedente. Partendo da questi registri, il 18 novembre 2025 le autorità europee di vigilanza hanno designato i primi 19 fornitori ICT critici, tra cui i principali hyperscaler, ora sottoposti a vigilanza diretta europea. La designazione non sposta la responsabilità e il rischio resta in capo all’entità finanziaria.
Le clausole contrattuali (art. 30). Il contratto deve indicare, tra l’altro, le regioni o i paesi in cui il servizio viene erogato e i dati vengono trattati e conservati. Il fornitore ha l’obbligo di avvisare in anticipo prima di cambiarli. Per le funzioni critiche o importanti si aggiungono diritti di accesso, ispezione e audit, oltre a periodi di transizione in caso di uscita.
La strategia di uscita (art. 28, par. 8). Per i servizi che supportano funzioni critiche o importanti l’entità deve avere strategie di uscita documentate e realistiche. Deve poter lasciare il fornitore senza interrompere l’operatività e senza compromettere la conformità. Dal 12 gennaio 2027 il Data Act aiuta, perché i fornitori di servizi cloud non potranno più addebitare costi per il cambio di provider. La parte tecnica, cioè formati e tempi di migrazione, resta da progettare prima di firmare.
I test di resilienza (artt. 24-26). Ogni entità deve avere un programma di test. Quelle individuate dalle autorità svolgono almeno ogni tre anni test di penetrazione basati sulle minacce (TLPT), che possono coinvolgere anche i fornitori.
Cosa pretendere da un data center provider nel 2026
Sono le domande da fare a qualunque fornitore, noi compresi, in fase di selezione o di rinnovo. Valgono in tutti i regimi visti finora, con pesi diversi a seconda del caso.
| Cosa chiedere | Perché conta | Riferimento |
|---|---|---|
| Elenco dei siti in cui risiedono dati, backup, log e copie di disaster recovery, con obbligo di preavviso per ogni cambio | Rende verificabile la residenza su tutto il ciclo di vita del dato | DORA art. 30; GDPR artt. 44-49 |
| Sede legale e catena di controllo societario del fornitore e dei subfornitori | Chiarisce a quali giurisdizioni sono esposti i dati | CLOUD Act; GDPR art. 48; Data Act art. 32 |
| Procedura scritta per le richieste di autorità straniere, con impegno a informare il cliente quando la legge lo consente | Evita che i dati vengano consegnati senza che il titolare lo sappia | GDPR art. 48; Linee guida EDPB 02/2024 |
| Registro degli accessi amministrativi consultabile, autenticazione a più fattori, indicazione del paese da cui opera il personale | Rende tracciabile chi entra nei sistemi e da dove | Misure di sicurezza di base NIS2 |
| Chiavi di cifratura gestite dal cliente o custodite nel perimetro UE | Un dato cifrato con chiavi fuori dalla disponibilità del fornitore è inutilizzabile da terzi | Raccomandazioni EDPB 01/2020 sulle misure supplementari |
| Certificati emessi da enti terzi, con un perimetro (scope) che copra il servizio acquistato: ISO/IEC 27001, 27017 e 27018, ISO 22301, ISO/IEC 20000-1; per l’infrastruttura fisica ISO/IEC 22237 o ANSI/TIA-942 | Un certificato vale solo per ciò che il suo scope include | Misure di sicurezza di base NIS2; DORA |
| Qualificazione ACN del livello adeguato, se il cliente finale è una PA | È la condizione per l’acquisto da parte della pubblica amministrazione | Determinazione ACN 21007/2024 |
| Diritto di audit e report periodici sui controlli | Le autorità chiedono evidenze documentate | DORA art. 30; NIS2 |
| Tempi di notifica degli incidenti compatibili con i propri obblighi (preallarme NIS entro 24 ore, notifica entro 72) | Spesso il fornitore è il primo a vedere l’incidente | D.Lgs. 138/2024; DORA |
| Piano di uscita con formati, tempi, assistenza e costi definiti nel contratto | Permette di cambiare fornitore senza fermarsi | DORA art. 28; Data Act |
| SLA di disponibilità misurabili, con penali | Trasforma la continuità in un impegno verificabile | Contratto di servizio |
In materia di data center, abbiamo scritto un glossario dedicato a chi non è un tecnico.
Sovranità dei dati con Planetel
Siamo una società italiana e i dati dei nostri clienti stanno in data center che possediamo o che gestiamo direttamente. Si tratta di sette strutture dislocate tra Lombardia e Veneto conformi almeno allo standard Tier III, alle quali si aggiunge un data center di proprietà anch’esso Tier III. Sono collegate dalla nostra rete in fibra di oltre 3.500 km e interconnesse a doppio anello ai punti di interscambio MIX di Milano e VSIX di Padova.
Sui tre livelli della sovranità dei dati questo si traduce così:
- Residenza. Dati, backup e disaster recovery possono restare interamente nei nostri data center italiani, con siti dichiarati e verificabili.
- Giurisdizione. Planetel S.p.A. ha sede a Treviolo, in provincia di Bergamo: la società e l’infrastruttura rispondono al diritto italiano ed europeo.
- Controllo operativo. La rete e i data center sono presidiati H24 dal nostro NOC, con tecnici che lavorano in Italia. L’assistenza è fatta di persone che conoscono il territorio, non da un call center.
I nostri servizi cloud IaaS e PaaS sono qualificati ACN di livello QC2, quindi adatti a ospitare i dati ordinari e critici della Pubblica Amministrazione. Le certificazioni ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, 27017 e 27018, ISO/IEC 20000-1, ISO 22301 e ISO 37001 sono rilasciate da Bureau Veritas e verificate con audit periodici.
La nostra divisione Orazero aggiunge il presidio di sicurezza, con SOC H24, incident response, gap analysis e percorsi di adeguamento alla NIS2.
Avere un unico interlocutore dalla connettività alla sicurezza significa anche una catena di fornitura più corta da documentare, nel registro DORA come nell’elenco dei fornitori rilevanti NIS.
Se vuoi approfondire con noi il tema della sovranità del dato, contattaci allo 035 204461 o a [email protected].
Domande frequenti sulla sovranità del dato
La sovranità del dato è la capacità di un’organizzazione di stabilire dove si trovano i propri dati, quale legge si applica e chi può accedervi o spostarli. Si misura su tre livelli: residenza fisica, giurisdizione a cui è soggetto il fornitore e controllo operativo su accessi e chiavi di cifratura. È una componente della sovranità digitale, che riguarda più in generale l’autonomia di uno Stato o di un’organizzazione sulle tecnologie da cui dipende.
Il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, obbliga i soggetti NIS a gestire la sicurezza della catena di approvvigionamento. Devono valutare i fornitori, inserire requisiti di sicurezza nei contratti e, dal 2026, comunicare ogni anno all’ACN l’elenco dei fornitori rilevanti, come previsto dalla Determinazione ACN 127437/2026. Per questo anche i fornitori che non sono soggetti NIS ricevono richieste di evidenze e clausole specifiche.
No. Il Regolamento UE 2022/2554, applicabile dal 17 gennaio 2025, riguarda una ventina di categorie di entità finanziarie, tra cui banche, istituti di pagamento e di moneta elettronica, imprese di investimento, assicurazioni, fondi pensione e prestatori di servizi per le cripto-attività. Coinvolge anche i fornitori di servizi ICT: i contratti con loro devono contenere clausole specifiche, e quelli designati come critici sono vigilati direttamente dalle autorità europee.
Solo in parte. I dati restano soggetti al GDPR e al diritto europeo e italiano, ma se il fornitore è una società statunitense o controllata da una società statunitense è soggetto anche al CLOUD Act, che consente alle autorità USA di ordinargli la consegna dei dati ovunque siano archiviati. L’articolo 48 del GDPR limita il riconoscimento di questi ordini, creando un conflitto di leggi che la sola posizione dei server non risolve.
È la verifica con cui l’Agenzia per la Cybersicurezza Nazionale attesta che un’infrastruttura o un servizio cloud rispetta i requisiti per trattare dati della Pubblica Amministrazione di una determinata classe. Il Regolamento unico (Determinazione ACN 21007/2024) prevede quattro livelli: il livello 1 per i dati ordinari, il 2 per i critici, il 3 e il 4 per gli strategici. Le PA devono scegliere servizi qualificati di livello adeguato, consultabili nel catalogo ACN.
In generale no. Il GDPR consente di trattare i dati personali in qualsiasi paese dell’Unione europea e ammette i trasferimenti extra UE con garanzie adeguate. Requisiti più stringenti emergono in casi specifici, per esempio quando si lavora per la PA, che deve usare servizi qualificati ACN, o quando un contratto o un bando impone la localizzazione nazionale. Nei settori regolati la scelta resta una valutazione del rischio da documentare.
Il Data Act (Regolamento UE 2023/2854), applicabile dal 12 settembre 2025, obbliga i fornitori di servizi cloud a facilitare il passaggio a un altro provider o a un’infrastruttura propria, con informazioni chiare, esportazione dei dati e assistenza. Fino al 12 gennaio 2027 i costi di switching possono coprire solo le spese direttamente legate alla migrazione. Da quella data non potranno più essere addebitati.
Fonti
Osservatorio Cloud Ecosystem & Sovereignty, School of Management del Politecnico di Milano, risultati della ricerca presentati il 16 ottobre 2026
Regolamento UE 2016/679 (GDPR), artt. 9, 35, 44-49; EDPB, Linee guida 02/2024 sull’art. 48 e Raccomandazioni 01/2020
Clarifying Lawful Overseas Use of Data Act (CLOUD Act), Stati Uniti, 2018
Commissione europea, Cloud Sovereignty Framework e comunicato del 17 aprile 2026 sulla gara per il cloud sovrano
Commissione europea, proposta di Cloud and AI Development Act (3 giugno 2026)
D.Lgs. 4 settembre 2024, n. 138; Determinazione ACN 127437/2026
ACN, Regolamento unico per le infrastrutture digitali e i servizi cloud per la PA (Determinazione 21007/2024)
Regolamento UE 2022/2554 (DORA); D.Lgs. 10 marzo 2025, n. 23; Comunicazione Banca d’Italia del 13 febbraio 2026; ESAs, designazione dei fornitori ICT critici (18 novembre 2025)
Regolamento UE 2023/2854 (Data Act)
Regolamento UE 2024/1689 (AI Act) e Regolamento UE 2026/1744
Legge 23 settembre 2025, n. 132, art. 5
Regolamento UE 2025/327 sullo Spazio europeo dei dati sanitari
Dipartimento per la trasformazione digitale, Allegato 2 all’avviso Misura 1.1 per ASL e aziende ospedaliere