Dalla strategia al controllo: una sovranità misurabile

La sovranità digitale è passata dall'essere una considerazione strategica di lungo termine a una priorità immediata per le organizzazioni di tutto il mondo. La corsa all'innovazione, accelerata dall'intelligenza artificiale, si sviluppa infatti in un contesto caratterizzato da una crescente instabilità geopolitica. La sfida non riguarda più soltanto il luogo in cui risiedono i dati. Oggi il rischio legato alla sovranità comprende esposizione normativa, dipendenze dal cloud, concentrazione dei fornitori, controllo degli accessi, resilienza operativa e continuità del servizio. Le organizzazioni hanno bisogno di soluzioni innovative per rimanere competitive, ma devono anche affrontare il rischio che tali soluzioni possano scomparire dall'oggi al domani a causa di cambiamenti normativi o geopolitici.


Di conseguenza, i consigli di amministrazione richiedono sempre più spesso che i programmi di trasformazione siano accompagnati da un controllo dimostrabile su dati, workload, accessi e continuità del servizio. L'aumento dei rischi operativi e un contesto normativo sempre più rigoroso fanno sì che, secondo Gartner®, «entro il 2028 oltre il 75% delle imprese al di fuori degli Stati Uniti disporrà di una strategia di sovranità digitale».

La sovranità digitale richiede più delle sole definizioni

L'evoluzione continua di normative come NIS2, DORA e l'EU AI Act dimostra che un approccio basato sulla semplice conformità minima non è più sufficiente. Fare il minimo indispensabile può ridurre l'esposizione nel breve periodo, ma lascia comunque l'organizzazione vulnerabile ai cambiamenti geopolitici e normativi.


Le organizzazioni devono essere in grado di misurare e gestire la sovranità digitale e di comprendere le implicazioni più ampie di ogni decisione relativa ai workload. Devono poter valutare i compromessi tra prestazioni, agilità e rischio. Se la sovranità rimane un concetto astratto, i responsabili IT e aziendali non possono prendere decisioni consapevoli in materia di architettura, procurement o operazioni. Deve invece diventare un modello operativo continuo. Per questo motivo, collaborare con partner esperti che possiedono una visione più ampia delle esigenze in gioco può accelerare la definizione della strategia corretta.


Questa neutralità deve riflettersi anche nel modo in cui la sovranità viene misurata, non soltanto nel modo in cui viene erogata. Un modello che copre cloud pubblico, cloud privato e ambienti ibridi non può trattare ogni dimensione come un semplice elemento di una checklist. Nel modello di valutazione che utilizziamo, sovranità dei dati e giurisdizione hanno il peso maggiore, prima ancora della trasparenza della supply chain, del rischio di lock-in tecnologico e dell'indipendenza operativa. Questa ponderazione è fondamentale: due organizzazioni possono ottenere lo stesso punteggio complessivo ma presentare profili di rischio completamente diversi, ed è proprio la ponderazione a rendere visibili tali differenze.

I framework offrono una struttura, non una strategia

Modelli consolidati, come la definizione di sovranità proposta da Gartner®, sono eccellenti per costruire una tassonomia. Suddividono il concetto in dimensioni ben definite:

• Sovranità dei dati: controllo su dove i dati vengono archiviati, chi vi può accedere e come vengono protetti tramite crittografia. 
• Sovranità operativa: capacità di mantenere visibilità e controllo sulle operazioni, anche nel caso in cui un fornitore modifichi i termini del proprio servizio.
• Sovranità tecnologica: libertà di evitare situazioni di lock-in, garantendo portabilità e interoperabilità. 

Tuttavia, questi framework non definiscono le priorità specifiche di una singola organizzazione. Ogni realtà ha una diversa propensione al rischio, budget differenti ed esigenze operative proprie.


Per questo motivo, un modello realmente applicabile deve attingere a più fonti. L'approccio che adottiamo combina tre elementi: il Cloud Sovereignty Framework della Commissione Europea per i requisiti relativi a dati e AI, il framework di sovranità digitale del Dipartimento IT della Città di Monaco per la struttura delle dimensioni e la relativa ponderazione, e i criteri di sovranità operativa DICTU per gli aspetti legali vincolanti e le clausole di procurement. Nessuno di questi, preso singolarmente, è sufficiente.


Per passare dai principi normativi all'implementazione concreta, le organizzazioni hanno bisogno di un framework di governance che trasformi gli obiettivi di sovranità in decisioni operative quotidiane. Se il framework europeo definisce cosa deve essere protetto, una governance cloud efficace stabilisce come queste protezioni debbano essere applicate alla gestione finanziaria, alla sicurezza, alla conformità e alle operazioni cloud. Integrando la sovranità nei processi operativi, le organizzazioni possono bilanciare requisiti normativi, priorità aziendali e tolleranza al rischio. 

Dal framework al modello decisionale

Per trasformare la sovranità digitale in un modello operativo concreto, le organizzazioni dovrebbero adottare un approccio sequenziale e misurabile. 

1. Allinearsi agli obiettivi aziendali

Partire dalla strategia aziendale e IT. Valutare obblighi normativi, sensibilità dei workload ed esposizione geopolitica. Una multinazionale della logistica ha esigenze diverse rispetto a un operatore sanitario locale. È necessario identificare quali sistemi richiedano il massimo livello di isolamento e quali, invece, privilegino l'interoperabilità globale. 

2. Definire una baseline e fissare un obiettivo realistico

La sovranità non è una corsa al 100%. Una prima valutazione restituisce spesso un punteggio poco superiore al 40%, un livello che rientra nella fascia di sovranità insufficiente e che richiede interventi correttivi. Tuttavia, la destinazione corretta raramente coincide con il massimo punteggio possibile. Per un'organizzazione privata con attività globali, un obiettivo realistico è compreso tra il 65% e il 75%: un livello da adeguato a forte, con mitigazioni documentate nei casi in cui l'indipendenza totale non sia economicamente giustificabile. Un ente pubblico che gestisce dati dei cittadini o un'organizzazione soggetta a normative stringenti potrebbe invece puntare a un livello compreso tra l'80% e il 90%. Il valore non risiede nel numero in sé. Risiede nella decisione esplicita e condivisa a livello di board riguardo al livello di controllo che l'organizzazione intende acquistare e ai compromessi che è disposta ad accettare. 

3. Definire KPI concreti 

Tradurre le priorità strategiche in KPI misurabili utilizzando le dimensioni definite dal framework europeo. Invece di un obiettivo generico come "migliorare la privacy dei dati", definire una metrica specifica come "il 100% dei dati dei clienti di livello uno deve essere protetto tramite chiavi di crittografia gestite dal cliente". 

4. Integrare gli obiettivi nelle attività operative quotidiane 

Integrare questi KPI nel modello di governance cloud esistente. Distribuire la responsabilità tra sicurezza, gestione finanziaria (FinOps) e monitoraggio operativo. In questo modo la sovranità viene trattata come uno stato attivo e continuamente misurato, non come un semplice requisito da verificare durante un audit. 

Esempio pratico: una società europea di servizi finanziari

Immaginiamo un istituto finanziario europeo che sta espandendo i propri servizi a livello globale. L'organizzazione desidera utilizzare un grande hyperscaler per accelerare le proprie iniziative di AI, ma deve rispettare rigorosamente i requisiti DORA relativi alla resilienza operativa e al rischio di concentrazione dei fornitori.

Invece di escludere completamente gli hyperscaler o di accettarne i rischi senza un'analisi adeguata, l'organizzazione definisce una strategia di sovranità misurabile che possa estendersi ad ambienti ibridi o multicloud e che sia allineata ai criteri europei di sovranità.

Questo significa che alcuni workload possono rimanere in ambienti altamente controllati, mentre altri possono essere eseguiti su servizi cloud pubblici rafforzati da controlli di accesso, crittografia, monitoraggio e strategie di uscita più rigorose.

In un caso di questo tipo, la raccomandazione sarebbe quella di fissare un obiettivo di sovranità compreso tra il 70% e il 75%, invece di puntare al punteggio massimo. Questa fascia rappresenta un livello di sovranità adeguato o forte, con mitigazioni documentate laddove l'indipendenza totale non sia economicamente giustificabile, e trasforma un'ambizione generica in una posizione che il board può approvare, finanziare e monitorare.

Accanto al punteggio, tre aspetti legali verrebbero considerati requisiti imprescindibili e non semplici note all'interno di un modulo di procurement: verificare che la società madre finale abbia sede nell'Unione Europea, che il fornitore non sia soggetto a controllo diretto o indiretto da parte di soggetti extra-UE e che sia strutturalmente protetto da normative extraterritoriali come il CLOUD Act statunitense. Per i sistemi critici soggetti a DORA, una risposta negativa a uno qualsiasi di questi punti rappresenterebbe un momento decisionale obbligatorio per i team legali e di compliance.

Da dove iniziare: un workshop, un punteggio

Arrivare a una posizione misurabile non richiede un audit di sei mesi. Una valutazione strutturata, basata su attività preparatorie, una giornata di workshop facilitato e un report consolidato, fornisce in quattro-sei settimane una visione della maturità attuale, una prima visione dell'obiettivo futuro e un punteggio di sovranità. Ogni argomento viene valutato attraverso tre prospettive: controllo, ovvero chi mantiene il governo effettivo; conformità, ovvero se si è probabilmente allineati ai requisiti applicabili; e continuità, ovvero la capacità di continuare a operare. L'output non è una presentazione di principi teorici. È un punteggio, un elenco dei gap e una prima roadmap che può essere portata all'attenzione del board.

La sovranità digitale diventa realmente operativa solo quando è misurabile, governata e gestita in modo continuativo. Partendo dal contesto aziendale, definendo KPI chiari e integrando la sovranità nella governance e nelle operazioni cloud, le organizzazioni possono ridurre il rischio senza rallentare l'innovazione.

Con SoftwareOne, la sovranità digitale diventa più di una risposta ai requisiti di conformità. Diventa un modello operativo concreto per mantenere il controllo, aumentare la resilienza e adottare cloud e AI con fiducia.

SoftwareOne è un partner indipendente che aiuta le organizzazioni a orientarsi in queste decisioni complesse. Il nostro approccio vendor-neutral e la nostra esperienza internazionale nell'ambito cloud, software e managed services ci consentono di aiutarti a progettare un'architettura e un modello operativo in grado di bilanciare controllo, costi e innovazione.

Se i primi due aspetti possono generalmente essere affrontati internamente, il terzo è spesso meno chiaro. Il nostro Digital Sovereignty Strategy Workshop aiuta le organizzazioni a valutare la propria situazione attuale e a definire i passi successivi più appropriati. Sei pronto a valutare la tua postura di sovranità digitale e a definire un percorso concreto verso il futuro? Contatta i nostri esperti per pianificare un workshop e iniziare a trasformare la strategia in azione.

ⁱ Gartner ®. Forecast Analysis: Sovereign Cloud IaaS, Worldwide. Pubblicato l'11 dicembre 2025. Di Rene Buest, Fernando Pereiro, Gregor Petri e Hardeep Singh. 

ⁱⁱ Gartner, “Digital Sovereignty: Protecting Data & Operations”, Gartner, consultato il 10 settembre 2026. 

Disclaimer: GARTNER è un marchio registrato e un marchio di servizio di Gartner, Inc. e/o delle sue affiliate negli Stati Uniti e a livello internazionale ed è utilizzato nel presente documento con autorizzazione. Tutti i diritti riservati.