Guida al cloud: sovranità, GDPR e scelta del provider

Parte 1 — Fondamenti

Cosa devi sapere sul mondo del cloud.

Confrontare i provider cloud: i criteri che contano

Prima di confrontare, conosci i tuoi requisiti. Solo allora le caratteristiche del provider diventano valutabili. Queste sei categorie coprono il nucleo decisionale.

Servizi

Compute, storage, database, AI & altro — la profondità batte l'ampiezza.

Costi

CPU, GPU, storage, egress, sconti — pensa al TCO su più anni.

Sicurezza

Crittografia, sovranità delle chiavi, segmentazione di rete.

Compliance

Certificazioni, standard, report di audit e conformità GDPR.

Disponibilità

Regioni, availability zone, fault tolerance, difesa DDoS.

Sovranità

Residenza dei dati, controllo, struttura operativa, quadro legale.

Cloud UE vs. hyperscaler USA: cosa conta davvero

Cloud UE

Residenza dei dati in Europa
Conformi a GDPR & C5
Maggiore sovranità & controllo
Infrastruttura dedicata & locale
Supporto personale & regionale

Hyperscaler USA

Scala globale
Catalogo servizi più ampio
Massima velocità di innovazione
Forte ecosistema globale
Vasta rete di partner

Nessun vincitore. La scelta giusta dipende dal caso d'uso concreto — non dal brand.

Cosa significa davvero «cloud sovrano»?

Cloud sovrano non è un'etichetta di marketing ma un concetto tecnico-giuridico: chi ha accesso a dati, chiavi e operazioni? Il modello SEAL rende misurabile la maturità. Importante: la sovranità misura l'indipendenza, non la sicurezza: anche gli hyperscaler possono essere molto sicuri senza essere pienamente sovrani.

Modello SEAL: maturità della sovranità

SEAL 1

Dati nell'UE

SEAL 2

Operazioni nell'UE

SEAL 3

Accesso controllato

SEAL 4

Pienamente sovrano

EU Sovereignty Framework (SOV1–SOV8)

Il framework della Commissione UE definisce otto principi misurabili per la sovranità digitale. Ognuno risponde a una domanda concreta che orienta contratti, architettura e scelta del provider per i clienti orientati alla sovranità.

SOV1

Residenza dei dati

Archiviazione esclusivamente in regioni UE.

SOV2

Sovranità operativa

Operato da personale UE — nessun accesso privilegiato USA.

SOV3

Sovranità legale

Diritto UE; CLOUD Act / FISA 702 esclusi.

SOV4

Sovranità di chiavi e accessi

BYOK / HYOK / HSM — nessun accesso senza consenso.

SOV5

Trasparenza

Sub-processor, richieste di accesso e audit trasparenti.

SOV6

Portabilità e reversibilità

Vera strategia di uscita senza lock-in.

SOV7

Resilienza e continuità

Resiliente sotto stress geopolitici e di supply chain.

SOV8

Indipendenza tecnologica

Standard aperti, nessun dictat del vendor.

Per chi è rilevante?

Settore pubblico

Finance

Sanità

KRITIS

Come si prendono davvero le decisioni cloud

Le decisioni cloud raramente sono guidate dai dati — più spesso sono storiche o intuitive. Tre schemi tipici:

Schema 1

Il team usa Windows — quindi «prendiamo Azure», anche se il caso d'uso è ben diverso.

Schema 2

Un ingegnere sperimenta privatamente con un hyperscaler e lo porta in azienda senza confronti.

Schema 3

Il management «ha sentito qualcosa» e decide in base alla fiducia nel marchio invece che ai fatti.

Cosa conta davvero: Quale cloud si adatta al caso d'uso dell'azienda — non alla zona di comfort dell'IT.

Parte 2 — Fattori decisionali

Cosa conta davvero per costi, compliance e sicurezza.

Costi cloud: perché il listino non basta

I provider attirano con sconti aggressivi all'ingresso per battere la concorrenza. Più alto il volume, maggiore lo sconto — nel breve. Dopo qualche anno questi sconti spariscono e il cambio è tecnicamente e contrattualmente costoso.

Fattori di costo a confronto

Hyperscaler A
Hyperscaler B
Cloud UE A

Valori indicativi — più basso = più costoso.

Offerte civetta

Sconti volume e free tier mascherano i veri costi di esercizio.

Trappola egress

Il traffico in uscita è spesso la voce più costosa — e rende poco attrattivo cambiare.

Lock-in

I servizi proprietari creano dipendenza tecnica — e fanno lievitare l'architettura nel lungo termine.

Chiediti: Il prezzo d'ingresso allettante è ancora conveniente all'anno 3, 5 e 7?

Compliance & certificazioni: quali contano davvero?

BSI C5

ISO 27001

Sicurezza delle informazioni

ISO 27017

Cloud security

ISO 27018

Protezione dei dati personali

ISO 27701

Gestione delle informazioni privacy

SOC 1 / 2 / 3

Report di audit

GDPR

Conforme

Importante: Le certificazioni non sono un nice-to-have — decidono la fattibilità nei settori regolamentati.

Standard e normative nel dettaglio

I framework di sovranità e compliance rilevanti — con il link alla rispettiva fonte primaria ufficiale.

C5BSI C5Catalogo di audit del BSI tedesco per la sicurezza cloud — standard locale.EUCSEUCSSchema di certificazione UE previsto per i servizi cloud (ENISA).SecNumCloudSecNumCloudSchema dell'ANSSI francese che richiede immunità dalle leggi non europee.ISOISO/IEC 27001Standard internazionale per i sistemi di gestione della sicurezza delle informazioni.ISOISO/IEC 27017Controlli di sicurezza specifici per i servizi cloud.ISOISO/IEC 27018Protezione dei dati personali nel cloud.EUGDPRRegolamento generale UE sulla protezione dei dati — base giuridica di ogni trattamento.SOCSOC 2Report di audit su sicurezza, disponibilità e riservatezza.

Sicurezza: gestione delle chiavi a colpo d'occhio

Chi tiene le chiavi tiene i dati. Quattro modelli determinano quanto controllo mantieni davvero.

Modello	Cos’è?	Chi controlla la chiave?	Sicurezza	Uso
BYOKBring Your Own Key	Generi e gestisci le chiavi nel tuo KMS o HSM e le porti nel cloud.	Tu (cliente)	Molto alta	Massimi requisiti di sicurezza e compliance
CMKCustomer Managed Key	Generi e gestisci le chiavi nel KMS del cloud provider.	Tu (cliente)	Alta	Standard per la maggior parte delle esigenze enterprise
PMKProvider Managed Key	Il cloud provider crea, gestisce e ruota le chiavi al posto tuo.	Provider	Media	Dati non critici o meno sensibili
HSMHardware Security Module	Le chiavi sono generate e conservate in hardware dedicato e certificato.	Tu o un HSM dedicato (a seconda del modello)	Molto alta	Carichi critici, regolati e altamente sensibili (KRITIS, Finance)

Regola generale: Più i dati sono sensibili, più controllo dovresti mantenere sulla chiave.

Parte 3 — Confronto pratico

Punti di forza a confronto.

Cosa rende forti i cloud UE

Prezzi competitivi
Conformità GDPR
Sovranità & controllo
Vicinanza regionale
Fedeltà & supporto locali

Quando gli hyperscaler sono la scelta migliore

Scala & portata globali
Vantaggio in AI & ML
Catalogo servizi più ampio
Velocità di innovazione
Applicazioni globali

Parte 4 — La tua decisione

Dal compass alla scelta.

Come funziona il Cloud Compass

Capire i requisiti

I tuoi obiettivi & workload

Pesare i criteri

Cosa è importante per te?

Confrontare i dati

100+ criteri × 13 provider

Calcolare la raccomandazione

Cloud migliore per il tuo use case & prossimi passi

Affidabile: Neutrale rispetto ai vendor, criteri trasparenti, fonti documentate.

Raccomandazione per il tuo use case

92/100Best fit

OVHCloud

Punteggio di esempio · calcolo basato sui dati

Sovranità elevata
Compliance solida (C5)
Buon rapporto prezzo/qualità
Su misura per il tuo workload

Il Cloud Compass è una consulenza?

Cloud Compass

Veloce, gratuito, basato sui dati

Veloce e disponibile subito
Basato sui dati & oggettivo
Indica la giusta direzione

Cloud Assessment (Consulenza)

Approfondito, individuale, strategico

Analisi deep-dive individuale
Architettura & migrazione nel dettaglio
Workshop & raccomandazioni d'azione

Il nostro consiglio

Inizia con il Cloud Compass e approfondisci con un Cloud Assessment quando serve.

Compass = punto di ingresso

Compass ≠ consulenza completa

La sovranità nel dettaglio: i concetti che fanno la differenza

Residenza dei dati vs. sovranità dei dati

La residenza dei dati indica solo il luogo di archiviazione fisica (es. una regione UE).
La sovranità aggiunge: nessun accesso da parte di paesi terzi e gestione secondo il diritto UE.
Archiviare in UE i dati di un fornitore statunitense non protegge dallo US CLOUD Act.

US CLOUD Act & FISA 702

Il CLOUD Act obbliga le aziende statunitensi a consegnare i dati — in tutto il mondo, inclusi i data center UE.
FISA 702 consente alle agenzie di intelligence USA di accedere ai dati dei fornitori statunitensi.
Conta il gruppo societario del fornitore, non la posizione del server.

Controllo delle chiavi: BYOK, HYOK & HSM

BYOK (Bring Your Own Key): gestisci tu la chiave, il fornitore la usa.
HYOK (Hold Your Own Key): la chiave non lascia mai il tuo controllo.
Un HSM (modulo di sicurezza hardware) protegge le chiavi da manomissioni.

EUCS, SecNumCloud & Schrems II

Schrems II ha invalidato il Privacy Shield — i trasferimenti verso gli USA richiedono garanzie aggiuntive.
SecNumCloud (Francia) richiede immunità dalle leggi non europee.
EUCS mira a creare uno schema di certificazione UE unificato per i servizi cloud.

Sovranità ≠ sicurezza

La sicurezza protegge i dati sul piano tecnico: crittografia, controllo degli accessi e certificazioni, cosa che anche gli hyperscaler garantiscono nelle regioni UE.
La sovranità aggiunge l'indipendenza giuridico-operativa dai Paesi terzi (ad esempio la protezione dall'US CLOUD Act).
Un provider può essere sicuro e tuttavia non sovrano: valuta separatamente entrambe le dimensioni e ponderale per ogni workload.

Domande frequenti sul cloud sovrano

Che cos'è una cloud sovrana?

Una cloud in cui dati, gestione e controllo sono interamente soggetti al diritto europeo — senza possibilità di accesso da parte di paesi terzi. Combina residenza dei dati, sovranità operativa e controllo delle chiavi.

Lo US CLOUD Act si applica ai data center UE?

Sì. Se un gruppo statunitense gestisce il data center, può essere obbligato ai sensi del CLOUD Act a consegnare i dati — indipendentemente dal fatto che i server siano a Francoforte o in Virginia.

La residenza dei dati in UE basta per la sovranità?

No. La residenza regola solo il luogo di archiviazione. La sovranità richiede inoltre protezione dall'accesso estero, gestione da parte di personale UE e controllo delle chiavi.

In cosa differiscono BSI C5, EUCS e SecNumCloud?

BSI C5 (Germania) è un catalogo di audit per la sicurezza cloud, SecNumCloud (Francia) richiede in più immunità dalle leggi non europee, ed EUCS è lo schema di certificazione previsto a livello UE.

Cosa significano BYOK e HYOK?

BYOK (Bring Your Own Key) significa che fornisci la tua chiave di cifratura. HYOK (Hold Your Own Key) va oltre: la chiave non lascia mai il tuo controllo e il fornitore non vede mai i dati in chiaro.

Una cloud sovrana è più costosa?

Non necessariamente. Fornitori europei come OVHcloud o Hetzner sono spesso più economici degli hyperscaler, soprattutto sui costi di egress. Le funzioni di sovranità dedicate possono però comportare un sovrapprezzo.

Quali fornitori UE sovrani esistono?

Tra gli altri STACKIT, OVHcloud, IONOS, Scaleway, T Cloud Public (Telekom), SysEleven, Hetzner e Infomaniak — con profili di sovranità, portfolio e certificazione differenti.

«Non sovrano» significa anche «non sicuro»?

No. Sovranità e sicurezza sono due dimensioni diverse. La sicurezza nasce da crittografia, controllo degli accessi, certificazioni e una gestione operativa impeccabile: cosa che anche gli hyperscaler garantiscono a livelli elevati nelle regioni UE. La sovranità descrive inoltre l'indipendenza giuridico-operativa dai Paesi terzi. Un provider può quindi essere molto sicuro e al tempo stesso non pienamente sovrano.

Ogni workload deve davvero essere sovrano?

No. Quanta sovranità serve a un workload dipende dalla classificazione dei dati, dalla regolamentazione e dal rischio. Per i dati pubblici o non critici contano spesso di più l'ampiezza del portafoglio, la copertura globale, il ritmo di innovazione o i costi. Per i dati regolamentati, personali o particolarmente meritevoli di tutela, la sovranità passa in primo piano. È utile una classificazione per ogni workload anziché una decisione forfettaria.

Gli hyperscaler sono insicuri e i provider UE automaticamente migliori?

No, entrambi hanno la loro ragion d'essere. Gli hyperscaler si distinguono per l'ampiezza dei servizi, la scalabilità globale e una sicurezza matura, ma in quanto gruppi statunitensi sono soggetti a una giurisdizione estera. I provider europei si distinguono per la sovranità, la giurisdizione UE e prezzi spesso più trasparenti, a fronte di un portafoglio più focalizzato. Non si tratta di buoni o cattivi, ma di scegliere il provider adatto al workload specifico.

Whitepaper, studi & pubblicazioni

SEAL: lo standard UE che rende misurabile la sovranità cloud

Sovereign Cloud: potenza hyperscaler con controllo europeo dei dati

Podcast novaCapta #9: intelligenza artificiale & security

Usare STACKIT in modo mirato: collocare bene il cloud sovrano

CloudRider #21: dal buzzword al benchmark – SEAL, C3A e la nuova realtà cloud europea

Guida: come ottenere la sovranità cloud digitale

CloudRider #20: cloud senza compromessi – sovranità digitale made in Europe

B2BEST Barometer 2026: resilienza digitale

Costi giù, valore su: dimezzare i costi IT