Il cloud sovrano europeo non passa più soltanto dalla tormentata certificazione Eucs. A oltre un anno dal report del Cep che descriveva il progetto europeo di certificazione dei servizi cloud in una fase di stallo, Bruxelles ha modificato sostanzialmente il perimetro della partita. L’Eucs non è stato abbandonato e figura ancora tra gli schemi di certificazione in sviluppo presso Enisa, ma nel frattempo la Commissione ha aperto due cantieri molto più ampi. Da un lato la revisione del Cybersecurity Act, presentata il 20 gennaio 2026, dall’altro il Cloud and AI Development Act, proposto il 3 giugno, che porta il principio di sovranità direttamente dentro la politica europea per infrastrutture cloud e AI.
È quindi cambiata la domanda politica. Nel 2025 il confronto era soprattutto su quali requisiti inserire nella certificazione Eucs. Ci si chiedeva anche se subordinare il livello più elevato di sicurezza a condizioni come localizzazione dei dati nell’Ue, controllo societario europeo e immunità dalle legislazioni extraterritoriali. Oggi Bruxelles sta cercando di separare più nettamente cybersecurity, sovranità e politica industriale, costruendo strumenti differenti ma coordinati.
La distinzione non è marginale. Era precisamente uno dei punti centrali dell’analisi del Cep. Utilizzare una certificazione tecnica di cybersecurity per perseguire obiettivi di autonomia strategica avrebbe esposto il progetto a contestazioni giuridiche, economiche e commerciali. Il think tank proponeva quindi di adottare rapidamente l’Eucs senza requisiti di sovranità e di affrontare questi ultimi mediante atti legislativi ordinari, coinvolgendo Parlamento e Consiglio.
Indice degli argomenti
L’EUCS resta aperto, mentre la politica corre più veloce
Il paradosso europeo è che il problema individuato dal Cep non è scomparso, ma il quadro normativo gli è cresciuto intorno. Enisa continua a indicare l’European Cybersecurity Certification Scheme for Cloud Services tra gli schemi in preparazione, insieme a quelli relativi a 5G, portafogli europei di identità digitale e managed security services. Non risulta quindi ancora completato il percorso che avrebbe dovuto creare un riferimento unico europeo per attestare il livello di sicurezza dei servizi cloud.
Il ritardo è tanto più significativo perché il sistema europeo di certificazione ha iniziato nel frattempo a produrre risultati in altri ambiti. Lo schema Eucc, basato sui Common Criteria per i prodotti Ict, è stato adottato nel 2024 ed è applicabile dal 27 febbraio 2025. La Commissione ha inoltre proposto nel gennaio 2026 una revisione del Cybersecurity Act che punta a rendere il nuovo European Cybersecurity Certification Framework più rapido e prevedibile. Obiettivo indicativo: sviluppare gli schemi entro 12 mesi.
È un segnale piuttosto chiaro. Lo stallo dell’Eucs non è stato interpretato soltanto come un dissenso politico sul cloud, ma anche come un problema nel meccanismo con cui l’Ue costruisce le proprie certificazioni. La revisione punta infatti a semplificare governance e procedure e ad ampliare il ruolo della certificazione come strumento di conformità rispetto alla legislazione europea. Per le imprese significa che la certificazione potrebbe diventare progressivamente meno un’etichetta volontaria isolata e più una componente dell’architettura europea di compliance. È un passaggio importante soprattutto per operatori soggetti a Nis2, fornitori di infrastrutture critiche e Pubblica amministrazione.
La sovranità esce dalla certificazione e diventa politica industriale
Il cambio più rilevante arriva tuttavia dal Cloud and AI Development Act. La proposta della Commissione introduce infatti un quadro europeo per la valutazione della sovranità di cloud e AI. Questo è concepito per consentire alle PA e agli operatori strategici di graduare le proprie scelte in funzione del rischio, della sensibilità dei dati e della criticità delle applicazioni utilizzate.
L’impostazione è significativamente diversa dalla logica che aveva alimentato lo scontro sull’Eucs. I requisiti collegati alla sovranità non vengono più concentrati all’interno di uno schema pensato principalmente per attestare il livello di cybersecurity di un servizio cloud. Vengono invece inseriti in un quadro più ampio, che combina valutazione del rischio, resilienza delle infrastrutture, dipendenze strategiche e politica industriale.
La Commissione presenta esplicitamente il nuovo impianto come uno strumento volto a rafforzare l’autonomia digitale europea e a proteggere applicazioni critiche e dati sensibili. Al contempo si punta a mantenere però aperta la maggior parte del mercato ai partner considerati affidabili. È una formula che cerca di evitare i due estremi che avevano polarizzato il dibattito precedente. Da una parte una sovranità coincidente con l’esclusione sistematica dei fornitori extra-Ue, dall’altra una neutralità tecnologica incapace di tenere conto delle dipendenze geopolitiche.
Il punto diventa quindi determinare non se un cloud sia genericamente “europeo” o “non europeo”. Ma quale livello di controllo operativo, giuridico e tecnologico sia richiesto per uno specifico workload.
Il nodo degli hyperscaler non è stato risolto
Il cambio di impostazione normativa non elimina però il problema economico da cui era partito il report del Cep. Il cloud europeo continua a essere caratterizzato da una dipendenza molto elevata dai grandi hyperscaler statunitensi. Nel documento del 2025 si richiamavano le valutazioni del rapporto Draghi e i dati di Synergy Research Group, secondo cui Amazon Web Services, Microsoft Azure e Google Cloud concentravano insieme circa due terzi del mercato.
La questione è diventata ancora più importante con l’espansione dell’AI generativa. Cloud e capacità di calcolo non sono più soltanto infrastrutture per ospitare applicazioni aziendali. Costituiscono la base sulla quale vengono addestrati ed eseguiti i modelli di AI, vengono costruiti agenti e servizi digitali e vengono gestite quantità crescenti di dati industriali. È il motivo per cui la Commissione nel giugno 2026 ha inserito il Cloud and AI Development Act all’interno di un più ampio Tech Sovereignty Package, destinato a rafforzare l’autonomia europea in semiconduttori, AI, cloud e open source.
La strategia europea si sposta così dalla sola regolazione del mercato alla costruzione di capacità. Certificare servizi sicuri resta necessario, ma non crea automaticamente un’alternativa industriale ai grandi provider globali. Per ridurre una dipendenza occorrono data center, capitale, energia, competenze, software, ecosistemi di sviluppatori e una domanda sufficientemente ampia. È qui che si misura il limite strutturale dell’approccio seguito negli ultimi anni. La sovranità non può essere prodotta per decreto se manca una base tecnologica competitiva.
Pubblica amministrazione come leva di mercato
Un secondo elemento che emerge dal nuovo quadro è il ruolo della domanda pubblica. Nel report Cep uno dei percorsi proposti per uscire dall’impasse consisteva proprio nell’utilizzare in modo più coerente le regole sugli appalti pubblici per sostenere servizi cloud cyber-sicuri e resilienti. La direzione intrapresa dalla Commissione rende questa ipotesi più concreta. Collegare la valutazione della sovranità e del rischio alle scelte delle amministrazioni pubbliche significa trasformare il procurement in uno dei principali strumenti di indirizzo del mercato.
Per i provider europei può essere un’opportunità importante. Una domanda pubblica aggregata e prevedibile potrebbe generare volumi che oggi il mercato privato difficilmente assicura. Ma l’effetto dipenderà dal disegno delle regole e dalle modalità con cui verranno applicati i futuri criteri europei di valutazione.
Se i requisiti saranno eccessivamente rigidi, il rischio sarà restringere la concorrenza senza creare automaticamente campioni europei capaci di offrire lo stesso livello di funzionalità, scalabilità e innovazione. Se saranno troppo deboli, invece, la nozione di sovranità potrebbe ridursi a un adempimento formale senza incidere realmente sulle dipendenze tecnologiche. La variabile decisiva sarà dunque l’applicazione di un approccio proporzionato al rischio, evitando di trattare nello stesso modo un archivio amministrativo ordinario e un sistema indispensabile per la continuità operativa di un’infrastruttura critica.
Data Act e Nis2 cambiano il contesto
Anche il quadro regolatorio generale è oggi diverso da quello in cui era nata la discussione sull’Eucs. Il Data Act, pienamente applicabile dal settembre 2025, contiene già obblighi rivolti ai fornitori di servizi di trattamento dati per contrastare accessi governativi illeciti da Paesi terzi. Il report Cep sottolineava proprio come queste norme intercettassero una parte delle preoccupazioni che i sostenitori dei requisiti di sovranità volevano affrontare attraverso l’Eucs.
In parallelo, il pacchetto sulla cybersecurity proposto dalla Commissione nel gennaio 2026 comprende anche modifiche alla Nis2 e punta a utilizzare maggiormente la certificazione come strumento per dimostrare la conformità e ridurre i costi amministrativi. Ne deriva una stratificazione che per le imprese può diventare complessa. Data Act, Gdpr, Nis2, Cybersecurity Act, eventuale EUCS e futuro Cloud and AI Development Act insistono tutti, da prospettive differenti, sulla gestione del rischio, sul controllo dei dati, sulla supply chain digitale e sui rapporti con fornitori extra-Ue.
La sfida per Bruxelles sarà evitare che l’autonomia strategica produca una nuova frammentazione normativa proprio mentre l’Ue cerca di ridurre quella nazionale.
Sovranità non significa autarchia tecnologica
Il punto più attuale del dibattito riguarda probabilmente la definizione stessa di cloud sovrano. Nella fase iniziale dell’Eucs, la sovranità veniva spesso tradotta in requisiti territoriali e proprietari: sede nell’Ue, dati nell’Ue, personale nell’Ue, assenza di controllo da parte di soggetti di Paesi terzi. L’evoluzione del 2026 suggerisce una concezione più graduata. La Commissione parla di autonomia digitale e resilienza ma, contemporaneamente, sottolinea la volontà di mantenere aperto il mercato ai partner affidabili. È una distinzione fondamentale per un continente che non dispone oggi di un hyperscaler comparabile per scala ai leader statunitensi e che difficilmente potrebbe sostituire nel breve periodo l’intero stack tecnologico importato.
La sovranità europea appare quindi sempre meno come sinonimo di autosufficienza e sempre più come capacità di scegliere, controllare e sostituire i fornitori quando necessario. Portabilità dei workload, interoperabilità, accesso alle chiavi crittografiche, trasparenza sulla catena dei subfornitori e possibilità concreta di migrare dati e applicazioni possono diventare indicatori di autonomia altrettanto rilevanti della nazionalità societaria.
Per il mercato la vera partita comincia ora
A distanza di oltre un anno, dunque, il report del Cep resta utile soprattutto per capire da dove nasce il problema, ma non descrive più l’intero campo di gioco. L’Eucs rimane incompiuto, mentre la politica europea è passata dalla domanda “quali requisiti di sovranità inserire nella certificazione cloud?” a una questione assai più ampia: quali infrastrutture digitali l’Europa deve poter controllare e in quali circostanze questa autonomia deve diventare un requisito di mercato.
La revisione del Cybersecurity Act punta a rendere più efficace la certificazione. Il Cloud and AI Development Act porta invece la sovranità dentro una politica industriale che lega cloud, capacità di calcolo e AI. Sono due livelli diversi, destinati però a convergere nelle decisioni di imprese e amministrazioni.
Per gli hyperscaler la sfida sarà dimostrare di poter offrire livelli crescenti di separazione operativa, controllo locale e protezione dalle interferenze giuridiche esterne senza perdere i vantaggi della propria scala globale. Per i provider europei si apre uno spazio potenzialmente più ampio, ma la regolazione da sola non basterà: serviranno capacità tecnologiche e investimenti sufficienti a trasformare la preferenza per la sovranità in un’offerta realmente competitiva.
Il rischio, altrimenti, è sostituire una dipendenza con una scarsità di alternative. La vera misura della sovranità digitale europea non sarà quindi quanti fornitori stranieri verranno esclusi, ma quanto sarà credibile la possibilità per imprese e istituzioni di continuare a operare anche quando condizioni geopolitiche, commerciali o tecnologiche renderanno necessario cambiare partner. È su questo terreno, più che sulla sola etichetta Eucs, che nei prossimi anni si giocherà la politica europea del cloud.
Partecipa alla community