Per soddisfare i requisiti normativi relativi al luogo in cui i propri dati vengono archiviati e utilizzati, molte organizzazioni ritengono di poter semplicemente acquistare una soluzione cloud sovrana da un hyperscaler e considerare la questione risolta. Tuttavia, ciò è ben lontano da quanto effettivamente richiesto – cosa che potrebbero scoprire solo quando un’autorità di regolamentazione chiederà loro di dimostrare che un set di dati non ha mai lasciato un’area geografica definita, che nessun personale soggetto a giurisdizione straniera vi ha avuto accesso e che sono in grado di recuperarlo entro 24 ore in caso di incidente.
In un recente webinar, ho partecipato insieme ad Alex Zinin, direttore generale di Commvault e responsabile della nostra task force sulla sovranità digitale, a Jakub Lewandowski, nostro consulente legale associato per l’area EMEA, e a Pranay Ahlawat, nostro responsabile della tecnologia e dell’intelligenza artificiale, per esaminare quali elementi debba includere un approccio completo alla sovranità digitale e in quali ambiti la maggior parte dei programmi risulti carente.
Guarda il webinar completo e scarica il rapporto completo “Digital Sovereignty Decoded” sulla preparazione e il quadro di implementazione.
Punti di forza
- Il quadro di riferimento dell’UE sulla sovranità nel cloud definisce otto obiettivi di sovranità, solo uno dei quali riguarda l’ubicazione dei dati.
- La scelta di una regione cloud sovrana risolve la questione di dove risiedono i dati, ma non chi può accedervi, sotto quale autorità giuridica, né se sia possibile recuperarli in condizioni reali.
- Una posizione di sovranità completa si articola su quattro pilastri interdipendenti: l’ubicazione dei dati, la sovranità tecnologica, la sovranità operativa e la sovranità giurisdizionale.
- I programmi di sovranità che trattano l’architettura di Recovery separatamente dalla governance primaria dei dati comportano un rischio non valutato che può emergere durante gli incidenti.
- Anziché perseguire una politica di massima sovranità a tutti i costi, le organizzazioni dovrebbero progettare la propria strategia intorno alla «sovranità minima necessaria»: i controlli giusti, applicati in modo coerente e calibrati in base agli obblighi effettivi.
La sovranità digitale diventa un requisito aziendale
Negli ultimi dieci anni, le norme più severe in materia di sovranità digitale e dei dati si sono applicate principalmente al settore pubblico, alla difesa e ad altri ambiti legati alla sicurezza nazionale. Al di fuori dei settori altamente regolamentati, molte imprese hanno considerato i principi di sovranità come linee guida di progettazione piuttosto che come un vincolo architettonico rigido.
Ora la situazione sta cambiando. L’applicazione del GDPR si è evoluta da semplice orientamento a sanzioni sostanziali per le carenze operative, mentre i regimi più recenti come DORA, NIS2, le norme KRITIS tedesche e il Data Act dell’UE hanno inasprito le aspettative in materia di controllo giurisdizionale e resilienza operativa.
Le questioni relative alla sovranità stanno ora emergendo anche nelle richieste di offerta (RFP), nella due diligence relativa a fusioni e acquisizioni e nelle valutazioni dei rischi a livello di consiglio di amministrazione.
Il Quadro di riferimento dell’UE sulla sovranità del cloud, pubblicato nell’ottobre 2025, chiarisce quali aspetti vengano effettivamente valutati nell’ambito di tale esame. Dei suoi otto obiettivi di sovranità, solo uno riguarda la localizzazione dei dati. Gli altri sette riguardano il controllo degli accessi, le dipendenze operative, l’esposizione giurisdizionale e Recovery.
Per le imprese, questa struttura rappresenta ora la lente attraverso la quale devono essere valutate le capacità dei fornitori.
Anteprima: Ripensare la sovranità e la resilienza
In questo estratto dal webinar, Jakub spiega come la sovranità sia una posizione di rischio, piuttosto che un singolo prodotto. Le organizzazioni necessitano di una strategia olistica che combini architettura, operazioni, governance, verificabilità e pianificazione del Recovery per affrontarla.
La residenza dei dati non equivale alla sovranità
La residenza dei dati risponde solo alle domande relative al “dove”. Le normative sulla sovranità richiedono inoltre di poter spiegare “chi”, “come” e “a quali condizioni”.
In termini pratici, un approccio completo alla sovranità si basa su quattro pilastri interdipendenti.
1. Localizzazione dei dati
Questo pilastro non riguarda solo il luogo in cui i dati sono archiviati, ma anche il percorso che compiono. Gli artefatti del piano di controllo, i metadati e la telemetria possono attraversare i confini geografici anche quando i dati primari rimangono all’interno della regione.
2. Sovranità tecnologica
Questo pilastro riguarda il fatto che l’organizzazione controlli o meno i meccanismi che proteggono i dati:
- Come viene concesso l’accesso.
- Come vengono crittografati i dati.
- Se la custodia delle chiavi di crittografia viene mantenuta in ogni circostanza.
Un concetto chiave in questo contesto (gioco di parole intenzionale) è la distinzione tra Bring Your Own Key (BYOK), in cui le chiavi di crittografia dell’organizzazione vengono gestite all’interno della piattaforma del fornitore, e Hold Your Own Key (HYOK), in cui l’organizzazione mantiene la custodia indipendente delle chiavi interamente al di fuori dell’ambiente del fornitore.
Per le organizzazioni soggette a regolamentazione con rigorosi requisiti di sovranità, il modello BYOK potrebbe non fornire una protezione sufficiente qualora un’autorità giudiziaria straniera possa obbligare il fornitore a cedere l’accesso alle chiavi in determinate circostanze.
3. Sovranità operativa
Questo aspetto riguarda chi gestisce l’ambiente e da dove, compreso il fatto che il personale di supporto o i fornitori terzi siano soggetti a giurisdizione straniera.
4. Sovranità giurisdizionale
Questo pilastro finale definisce il quadro giuridico in base al quale vengono erogati i servizi e stabilisce se esistano protezioni esplicite contro l’accesso extraterritoriale, come le situazioni transfrontaliere discusse nel CLOUD Act statunitense.
Ciascuno di questi pilastri è essenziale per garantire la conformità. Una posizione solida in materia di localizzazione dei dati, abbinata a controlli operativi carenti, può comportare rischi non valutati.
Dove falliscono i programmi di sovranità digitale
Le mie esperienze sul campo hanno rivelato uno schema ricorrente: quando la sovranità diventa una discussione tecnica, si restringe troppo, troppo in fretta. I workshop si concentrano su dove risiedono i dati, i team si mettono al lavoro su quell’unica questione e poi passano oltre, lasciando gli altri tre pilastri in gran parte non esaminati.
Entrano in gioco anche problemi strutturali. La sovranità digitale deve essere trattata come un programma continuo che coinvolge soggetti interessati a livello legale, tecnico e operativo, non come un progetto IT che viene spuntato una volta completato.
Le organizzazioni possono inoltre essere fuorviate da alcuni miti. Uno di questi, come abbiamo già discusso, è l’impressione che sovranità equivalga a residenza.
C’è poi il mito della sovranità assoluta, l’idea che sia possibile raggiungere la completa indipendenza da tutte le giurisdizioni e dipendenze esterne. In pratica, la sovranità comporta sempre un compromesso tra controllo, costi, velocità tecnologica e capacità di innovare.
L’obiettivo dovrebbe essere quello di trovare il giusto equilibrio tra l’indipendenza dalle giurisdizioni straniere e le esigenze della propria attività. È inoltre importante comprendere che la sovranità non è un prodotto che si può acquistare, ma una strategia di gestione del rischio costruita su architettura, operazioni, contratti, certificazioni e verificabilità continua.
La resilienza rientra nei confini della sovranità
La sovranità operativa è il pilastro più difficile da verificare e quello più comunemente sottovalutato. Se il vostro ambiente necessitasse di un accesso per la manutenzione ordinaria stasera, chi la eseguirebbe, da quale paese e sotto quale giurisdizione legale? La maggior parte delle organizzazioni, quando affronta questa domanda per la prima volta, individua almeno un percorso di supporto che attraversa un confine giurisdizionale che non era stato mappato.
Questa lacuna diventa particolarmente rilevante durante il ripristino. La maggior parte dei programmi di sovranità regola gli ambienti di dati primari, ma gestisce l’infrastruttura di backup, la sequenza di ripristino e la gestione dei punti di ripristino secondo una serie di controlli separata – e spesso più debole. Quando si verifica un incidente, il personale addetto al ripristino potrebbe non soddisfare i requisiti giurisdizionali e l’architettura di sovranità progettata per proteggere i dati può complicare attivamente il ripristino se la resilienza non è stata progettata fin dall’inizio.
Il modello operativo di resilienza di Commvault, ResOps™, risponde direttamente a questa esigenza inquadrando Recovery come una disciplina operativa continua che deve essere progettata, testata e convalidata all’interno dello stesso perimetro di sovranità dei dati che protegge.
Sovranità minima necessaria: il giusto livello di controllo, non il massimo
Un approccio assolutista alla sovranità digitale può gravare sulle risorse, limitando al contempo inutilmente la capacità di un’azienda di raggiungere i propri obiettivi aziendali.
Un sistema di gestione delle buste paga, un database delle transazioni dei clienti e uno strumento interno per le risorse umane non comportano gli stessi obblighi di sovranità. Adottare un approccio binario alla conformità può portare a un sottoinvestimento dove è importante o a un sovrainvestimento oltre quanto effettivamente richiesto.
La sovranità minima necessaria definisce un obiettivo più pratico: i controlli giusti, applicati in modo coerente e dimostrati continuamente, calibrati in base a ciò che ogni carico di lavoro richiede effettivamente in tutti e quattro i pilastri.
Le organizzazioni dispongono di un’ampia gamma di opzioni su come implementare i controlli di sovranità nel proprio ambiente, ciascuna delle quali offre controlli diversi.
Come Commvault sta affrontando la questione della sovranità digitale
Il framework Geo Shield di Commvault è progettato per aiutare le organizzazioni a orientarsi in questo panorama. Anziché offrire un unico SKU sovrano, Geo Shield si adatta all’intera gamma di modelli di implementazione:
- Servizi cloud sovrani regionali forniti come SaaS
- Partnership con hyperscaler per il lancio di soluzioni sovrane
- Offerte sovrane nazionali gestite da partner e realizzate con fornitori di servizi locali
- Ambienti privati sovrani interamente controllati dal cliente e conformi a standard quali FedRAMP High.
In questo modo, le organizzazioni possono raggiungere un livello di sovranità digitale che regge nelle condizioni del mondo reale, anche in caso di incidenti.
Guarda il webinar completo e scarica il rapporto sulla Readiness
Nel webinar completo, disponibile on demand, scoprirai:
- Perché la sovranità digitale è più di una semplice soluzione tecnologica.
- Il ruolo dell’architettura e delle operazioni nella strategia di sovranità.
- In che modo la governance, i contratti e la verificabilità influiscono sulla resilienza.
- Perché la sovranità deve reggere durante gli incidenti informatici e le interruzioni di servizio.
- L’importanza di un approccio olistico e basato sul rischio alla sovranità.
Guarda il webinar e scarica il rapporto completo “Digital Sovereignty Decoded” e il quadro di riferimento di accompagnamento per la Readiness.
Domande frequenti
D: Qual è la differenza tra residenza dei dati e sovranità digitale?
R: La residenza dei dati riguarda il luogo in cui i dati sono fisicamente archiviati. La sovranità digitale è un concetto più ampio: riguarda chi può accedere ai dati, in base a quale autorità legale, attraverso quali canali operativi e se è possibile recuperarli in modo integro in condizioni reali.
Un’organizzazione può avere i dati residenti nel paese giusto pur rimanendo soggetta a giurisdizione straniera attraverso il proprio personale di supporto, gli accordi di accesso con i fornitori o l’infrastruttura di backup. La residenza è la condizione di partenza; la sovranità è la posizione completa costruita su di essa.
D: Che cos’è il Quadro di riferimento dell’UE sulla sovranità nel cloud e perché è importante?
R: Il Quadro di riferimento dell’UE sulla sovranità nel cloud è uno strumento di valutazione strutturato sviluppato dalla Commissione europea per valutare i fornitori di servizi cloud e tecnologici in base a criteri di sovranità durante le procedure di appalto.
Esso definisce otto obiettivi di sovranità, con livelli di garanzia che vanno da zero a quattro per ciascuno. Solo uno degli otto obiettivi riguarda l’ubicazione dei dati; gli altri riguardano i controlli operativi, la custodia delle chiavi, l’esposizione giurisdizionale e Recovery.
Il quadro rappresenta il quadro pubblico più completo per la valutazione della posizione in materia di sovranità ed è sempre più utilizzato come riferimento da altre regioni e da enti appaltanti al di fuori dell’UE.
D: Qual è la differenza tra BYOK e HYOK, e perché è importante per la sovranità?
R: Il modello “Bring Your Own Key” (BYOK) consente a un’organizzazione di fornire le proprie chiavi di crittografia, ma tali chiavi sono in genere gestite all’interno della piattaforma del fornitore. Il modello “Hold Your Own Key” (HYOK) implica che l’organizzazione mantenga la custodia indipendente delle chiavi interamente al di fuori dell’ambiente del fornitore, anche in condizioni di crisi o in caso di obbligo legale.
Per le organizzazioni soggette a regolamentazione con rigorosi requisiti di sovranità, il BYOK potrebbe non fornire una protezione sufficiente qualora un’autorità giudiziaria straniera potesse obbligare il fornitore a concedere l’accesso alle chiavi. Il CLOUD Act statunitense, ad esempio, può estendersi ai fornitori che operano sotto la giurisdizione degli Stati Uniti indipendentemente dal luogo in cui i dati sono fisicamente archiviati.
L’HYOK affronta direttamente tale esposizione, sebbene possa richiedere un livello di piattaforma superiore nelle implementazioni SaaS.
D: Perché la maggior parte delle strategie di sovranità trascura la sovranità operativa?
R: La sovranità operativa, che riguarda chi gestisce l’ambiente e da dove, è il pilastro più difficile da verificare poiché richiede l’inventario dei contratti di assistenza, degli accordi di accesso dei fornitori e delle dipendenze da terze parti lungo l’intera catena operativa.
La maggior parte delle organizzazioni avvia programmi di sovranità incentrati sull’ubicazione e sulla crittografia dei dati, aspetti più visibili. Le dipendenze operative tendono ad emergere solo quando vengono sottoposte a verifica esplicita o quando un incidente ne impone l’analisi.
Come primo passo per valutare la sovranità operativa, è necessario identificare ogni percorso di accesso al proprio ambiente sovrano e la giurisdizione legale di ciascuna parte in possesso di tale accesso.
D: In che modo le organizzazioni dovrebbero considerare Recovery nel contesto della sovranità?
R: L’architettura di Recovery deve soddisfare gli stessi requisiti di sovranità degli ambienti di dati primari, ma spesso non è così. Nella maggior parte delle organizzazioni, l’infrastruttura di backup, la sequenza di ripristino e la gestione dei punti di ripristino sono spesso regolate da una serie separata di controlli, oppure non lo sono affatto.
Durante un incidente, il personale autorizzato a eseguire il ripristino potrebbe non soddisfare i requisiti giurisdizionali, i punti di ripristino potrebbero non essere stati convalidati come puliti e non compromessi e l’architettura sovrana progettata per proteggere i dati può complicare attivamente il ripristino se la resilienza non è stata integrata nel progetto originale. Una revisione della sovranità dovrebbe sempre includere la pianificazione del ripristino.
D: Cosa significa in pratica “sovranità minima praticabile”?
R: La sovranità minima praticabile significa identificare il giusto livello di controllo per ogni carico di lavoro, calibrato in base agli obblighi normativi effettivi, alla tolleranza al rischio e ai vincoli operativi, piuttosto che applicare in modo uniforme il massimo livello di controlli.
La sovranità massima comporta dei veri e propri compromessi: complessità tecnologica, onere operativo, limitazioni del servizio e costi. Le organizzazioni che definiscono i requisiti in base al carico di lavoro attraverso i quattro pilastri, mappano tali requisiti ai modelli di implementazione e raccolgono prove di un’applicazione coerente si trovano in una posizione di gran lunga più solida rispetto a quelle che perseguono approcci “tutto o niente”.
D: Che ruolo svolgono certificazioni come C5, SecNumCloud e ISO 27001 in una strategia di sovranità?
R: Le certificazioni contribuiscono a fornire prove verificabili del fatto che i controlli siano stati verificati in modo indipendente, un elemento importante di qualsiasi approccio alla sovranità difendibile. C5 in Germania, SecNumCloud in Francia e ISO/IEC 27001 stabiliscono ciascuno requisiti di base che i fornitori devono dimostrare tramite audit indipendenti.
Le strategie di sovranità più solide considerano queste certificazioni come un requisito minimo, in grado di fornire le prove necessarie dell’esistenza dei controlli, ma non come un sostituto dei test operativi in condizioni realistiche.
Darren Thomson è vicepresidente e direttore tecnico (CTO) per l’area EMEA presso Commvault. Non perdetevi la sua partecipazione alla serie di podcast STRIVE.
