Sovranità Digitale e Cloud Qualificato ACN: la guida pratica per le Pubbliche Amministrazioni nel 2026

Con l’approssimarsi delle scadenze di migrazione al Cloud Nazionale, molte Pubbliche Amministrazioni si trovano a dover scegliere tra provider qualificati con requisiti tecnici complessi e un quadro normativo ancora in evoluzione. Una guida operativa per orientarsi senza commettere errori strategici difficili da correggere.

Il framework ACN: qualificazione Cloud e classificazione dei dati

L’Agenzia per la Cybersicurezza Nazionale ha definito uno schema di qualificazione che distingue i servizi Cloud in tre categorie in base alla sensibilità dei dati trattati: ordinari, critici e strategici. Per ciascuna categoria esistono requisiti tecnici e organizzativi specifici che i provider devono soddisfare per poter fornire servizi alla PA. Il Marketplace Cloud Italia è il riferimento ufficiale per verificare la qualificazione dei provider.

Un errore frequente nelle PA è quello di classificare dati critici come ordinari per semplificare il processo di migrazione, esponendosi a rischi di compliance e a potenziali violazioni del GDPR, con conseguenze sanzionatorie significative.

Sovranità Digitale: oltre la localizzazione dei dati

La sovranità digitale non si esaurisce nella localizzazione fisica dei server in territorio italiano o europeo. Include la capacità di esercitare controllo effettivo sui propri dati, l’assenza di dipendenza da fornitori extra-UE soggetti a legislazioni con effetti extraterritoriali (come il Cloud Act americano) e la possibilità di migrare verso altri provider senza perdita di dati o lock-in tecnologico.

Per approfondire gli aspetti giuridici, il documento Cloud Computing e protezione dei dati del Garante Privacy rimane un riferimento fondamentale, così come le linee guida AgID sulla migrazione al Cloud PA.

Ambienti ibridi: quando il cloud pubblico non basta

Non tutti i carichi di lavoro sono adatti al cloud pubblico, anche qualificato. Applicazioni con requisiti di latenza ultra-bassa, sistemi legacy non modernizzabili e dati con vincoli di riservatezza assoluta spesso richiedono soluzioni on-premise o ibride. Il modello ibrido — cloud pubblico qualificato per i dati ordinari, private cloud o on-premise per i dati critici — è nella maggior parte dei casi la scelta più equilibrata per le PA di medie e grandi dimensioni.

In questo contesto, la funzione di Solution Architect ricoperta da CEFITEC diventa critica: definire l’architettura cloud corretta prima di avviare le gare d’appalto evita costosi riprogetti e garantisce che i capitolati tecnici siano effettivamente in grado di selezionare provider adeguati.

Il ruolo della consulenza indipendente nel procurement pubblico

Uno dei problemi strutturali del procurement IT pubblico italiano è la dipendenza da consulenti legati a specifici vendor, che produce capitolati tecnici “tagliati” su determinate soluzioni. La consulenza vendor-independent di CEFITEC — certificata e conforme agli standard ACN — produce documentazione di gara neutrale che massimizza la concorrenza, riduce il TCO e garantisce la possibilità di exit strategy in caso di necessità di cambio fornitore. Un approccio che tutela la PA sia sul piano economico che su quello della compliance normativa.