Sovranità digitale nella PA: non esiste un cloud sicuro senza controllo

Parte da una notizia di forumpa.it del 14 settembre 2026: Sovranità digitale nella PA: non esiste un cloud sicuro senza controllo. Il 75% delle PA ha lasciato i server locali, ma metà ammette zone d'ombra su chiavi di cifratura ed exit strategy: ecco i punti deboli.

In evidenza

Liferay ha intervistato 36 enti pubblici durante FORUM PA 2026. Il 47% dichiara un livello solido, in linea con le direttive nazionali ed europee. Il restante 50% è in cammino ma riconosce lacune strutturali nelle aree a rischio legale e operativo. Intanto tre PA su quattro hanno abbandonato i server locali per un cloud certificato.

La sovranità, spiega l'indagine, si gioca su tre piani: giuridico, con leggi e giurisdizioni dei provider; tecnico, con chiavi di cifratura e portabilità; organizzativo, con policy e supervisione anche sull'intelligenza artificiale. La residenza del dato non basta: un'informazione in Italia resta dipendente se il contratto o la tecnica legano al fornitore.

Le dimensioni più fragili sono due. Sull'exit strategy, cioè cambiare fornitore senza perdere dati e servizi, il 64% degli enti è parzialmente conforme e l'11% in stato critico. Sulle chiavi di cifratura, cioè chi le detiene davvero, il 44% è parziale e il 19% critico.

Cosa significa per PA e imprese

• Il cloud senza via d'uscita è un lock-in: un Comune da 30mila abitanti che cambia gestionale anagrafe deve poter esportare tutto senza costi né fermi. Se il capitolato non prevede formati aperti ed esportazione assistita, ogni migrazione futura diventa un ricatto. La clausola sull'exit strategy va scritta prima di firmare, non dopo.
• Chiavi in mano a chi: cifrare non basta quando le chiavi restano al provider. Un ufficio che non sa chi può leggere i propri backup non controlla i propri dati. Nei contratti serve una riga chiara su detenzione e rotazione delle chiavi, con audit periodico documentato.
• Il controllo passa dai dati: dataset esposti come UrbanDataset, con tracciato noto e licenza chiara, restano utilizzabili con qualsiasi fornitore. È la declinazione operativa di SCPS 2.0 e UNI 11973: la sovranità si misura anche in formati che nessuno può sequestrare.

3 azioni concrete

1. Rileggi il contratto del gestionale principale e cerca le voci su esportazione dati, formati e tempi di migrazione: se mancano, annota il rinnovo come scadenza critica.
2. Chiedi per iscritto al fornitore cloud chi detiene le chiavi di cifratura dei tuoi backup e con quale procedura avviene la rotazione.
3. Prenota un confronto con Heartwood Labs per un assessment di sovranità su contratti, chiavi e dataset, con piano di rientro dalle dipendenze critiche.

Fonte primaria: forumpa.it. Approfondimento a cura di Heartwood Labs.