L’Europa, e più in generale il mondo, sta attraversando una fase di crescente incertezza geopolitica, in cui il rischio di sanzioni, le differenze tra i quadri normativi e le interruzioni causate da attacchi informatici non sono più elementi astratti, ma variabili che incidono direttamente sulle decisioni dei consigli d’amministrazione.
La sovranità digitale sta passando dall’essere un’aspirazione a un requisito operativo, spinta dalla necessità di garantire resilienza, dalla dipendenza da servizi critici e dall’aumento dei rischi geopolitici e informatici.
Indice degli argomenti
Sovranità digitale, fra definizione e timori
Sebbene le definizioni di sovranità possano assumere significati diversi – da obblighi generalizzati di localizzazione dei dati a politiche industriali, fino alla tutela della sicurezza nazionale – l’assenza di una definizione condivisa non deve essere interpretata come una mancanza di intenti.
Al contrario, la sovranità digitale sta già orientando le decisioni in materia di procurement, conformità con le normative e strategie tecnologiche delle aziende.
Nel corso della mia esperienza professionale, maturata all’intersezione tra istituzioni e industria tecnologica, ho potuto osservare quanto rapidamente le policy in materia digitale possano tradursi in vincoli operativi.
Ho visto anche come il concetto di “sovranità” finisca spesso per racchiudere preoccupazioni ben più ampie: la dipendenza da soggetti esterni, le tensioni geopolitiche e il timore che, in situazioni di crisi, servizi critici possano non essere più disponibili.
I due aspetti in gioco per la sovranità digitale
Entrano in gioco due aspetti fondamentali. Il primo è che le istituzioni e responsabili delle politiche pubbliche hanno ragione: un’eccessiva dipendenza da tecnologie straniere può trasformarsi in un problema di resilienza nazionale.
Un esempio evidente è rappresentato dalla concentrazione del mercato del cloud. Lo scorso anno, in Europa, i tre principali provider cloud detenevano circa il 70% del mercato, mentre la quota complessiva dei fornitori europei si attestava intorno al 15%.
Di per sé, questa concentrazione non costituisce un problema di sicurezza, ma una dipendenza strategica che può diventare particolarmente critica quando i quadri normativi divergono, l’accesso ai servizi viene messo in discussione o uno shock geopolitico riduce i margini di manovra. Inoltre, aumenta il cosiddetto ripple effect: un’interruzione che colpisce un numero limitato di provider può propagarsi rapidamente, coinvolgendo migliaia di aziende e le relative supply chain.
Il secondo aspetto
Il secondo aspetto riguarda il fatto che anche i leader aziendali hanno ragione a preoccuparsi del rischio che iniziative di sovranità digitale poco mirate possano aumentare i costi e la complessità normativa.
Se la sovranità si traducesse in un obbligo stringente di localizzazione dei dati o in un approccio basato esclusivamente su uno “stack sovrano”, potrebbe comportare una duplicazione delle infrastrutture, ridurre competitività e agilità e rallentare i processi di modernizzazione.
Nella pratica, potrebbe inoltre limitare l’accesso alle tecnologie più avanzate disponibili sul mercato e costringere le aziende a mantenere più a lungo sistemi legacy rispetto a quanto pianificato.
Il ruolo della sovranità digitale nella competitività europea
Questo tema sta emergendo anche nel dibattito sulla competitività europea. L’ex presidente della BCE e del Consiglio italiano Mario Draghi ha sottolineato come la sicurezza sia un prerequisito per una crescita sostenibile e come dipendenze profonde possano rendere l’Europa vulnerabile a forme di pressione esterna, in un contesto di crescente instabilità geopolitica.
La questione, quindi, non è se la sovranità sia importante; il punto è come perseguirla senza trasformarla in un approccio ideologico agli acquisti tecnologici, con effetti controproducenti.
Dalla politica alla scelta della piattaforma
Una recente decisione del governo francese di limitare l’utilizzo di alcuni strumenti di videoconferenza sviluppati da aziende straniere, privilegiando una soluzione nazionale, evidenzia la direzione verso cui si sta muovendo l’Unione Europea.
Al di là del fatto che si condivida o meno questa scelta, il messaggio che emerge è più ampio: la sovranità digitale sta diventando sempre più un insieme di vincoli concreti in grado di influenzare rapidamente le scelte tecnologiche.
Molte aziende stanno reagendo con una terza conseguenza, altrettanto dannosa: il rinvio.
In una recente ricerca commissionata da Zscaler, il 73% degli intervistati ha dichiarato che le preoccupazioni legate alla sovranità digitale li hanno portati a ritardare o cancellare progetti di trasformazione.
Questa “dinamica della sospensione” è rischiosa. Prolungare i tempi significa mantenere più a lungo l’esposizione ai rischi legati ai sistemi legacy, indebolire la capacità di preparazione sul fronte cyber e rendere le aziende meno resilienti di fronte a interruzioni causate da ransomware, violazioni della supply chain, guasti sistemici o improvvisi cambiamenti nelle normative transfrontaliere, proprio in un momento in cui il panorama delle minacce evolve a una velocità senza precedenti.
Se l’Europa vuole una sovranità digitale in grado di rafforzare la resilienza anziché indebolirla, leader politici e manager aziendali devono adottare un modello pratico, misurabile e compatibile con i mercati aperti, che sappia valorizzare le competenze del settore tecnologico e che preveda controllo, libertà di scelta e continuità.
Per la sovranità digitale, un modello operativo incentrato sui risultati
La sovranità digitale parte da ciò che un’azienda è concretamente in grado di controllare: chi può accedere ai dati, chi può amministrare i sistemi, se un fornitore può avere visibilità sui contenuti dei clienti, dove vengono archiviati i log, come vengono gestite le chiavi, quali informazioni possono essere visualizzate dai subfornitori e in che modo le policy possono essere applicate. Controllo non equivale a isolamento. Ma significa disporre di una governance effettivamente applicabile e ridurre le dipendenze non visibili.
Inoltre la sovranità digitale richiede libertà di scelta: la disponibilità di alternative credibili quando vengono meno le condizioni iniziali su cui si basavano determinate decisioni.
Troppe aziende scoprono troppo tardi che la loro “strategia in termini di fornitori” è in realtà una strategia di dipendenza, con poche alternative realmente praticabili.
Tuttavia la libertà di scelta non si ottiene acquistando due di tutto, bensì attraverso architetture e contratti che consentano a un’azienda di mantenere la propria agilità ed evitare il rischio di dipendere da un unico fornitore (vendor lock-in):
- portabilità di dati e configurazioni;
- piena trasparenza sui soggetti da cui dipende, sulla collocazione degli accessi e sulle giurisdizioni e sui subfornitori coinvolti nella catena;
- percorsi di uscita definiti in anticipo e attuabili anche in condizioni di pressione temporale.
È inoltre necessario che i leader impediscano che il dibattito sulla sovranità digitale diventi un pretesto per fermare i processi di trasformazione. Ogni programma soggetto a vincoli di sovranità dovrebbe seguire un percorso decisionale strutturato: riprogettazione, mitigazione o uscita, con tempistiche definite.
Garantire la continuità
Infine c’è la continuità: garantire il funzionamento dei servizi critici in presenza di qualsiasi tipo di interruzione.
Se l’obiettivo della sovranità digitale è ridurre la vulnerabilità strategica, è proprio sulla continuità che si misura la sua efficacia: qui si dimostra se è un elemento concreto di resilienza o se rimane soltanto un esercizio di facciata.
La continuità è misurabile: attraverso gli obiettivi di tempo di ripristino (RTO, Recovery Time Objectives), test delle procedure di failover, simulazioni di indisponibilità dei fornitori ed esercitazioni per gestire scenari di cambiamento di giurisdizione.
In tutta Europa, questa urgenza è ulteriormente rafforzata dall’evoluzione del panorama delle minacce.
I dati di Zscaler ThreatLabz mostrano un aumento anno su anno del numero di attacchi ransomware con impatti rilevanti in diversi Paesi europei: Spagna (+116%), Germania (+74%), Belgio (+73%), Italia (+53%) e Francia (+34%), tra gli altri.
Una ricerca sulla resilienza ha evidenziato che il 52% dei dirigenti IT ritiene che le attuali misure di sicurezza siano insufficienti per contrastare minacce esistenti o emergenti, come l’intelligenza artificiale basata su agenti e il quantum computing.
Il contributo dell’AI nell’aumento dei rischi cyber
I rischi stanno aumentando a causa dell’intelligenza artificiale. L’AI offre già ai criminali informatici nuove capacità per incrementare velocità, portata e sofisticazione dei loro attacchi.
Le interruzioni sono inevitabili. L’unica scelta riguarda la capacità dei sistemi di farvi fronte e continuare a operare.
Definire gli obiettivi, non i fornitori
I leader aziendali sostengono che la sovranità digitale aumenterà i costi, accrescerà la complessità legata alla compliance e ridurrà l’accesso alle tecnologie più avanzate disponibili sul mercato. E spesso è così.
Anche le preoccupazioni dei responsabili politici sono fondate: le dipendenze strategiche possono compromettere la sicurezza nazionale e la resilienza.
L’errore consiste nel definire regole sulla sovranità che stabiliscano quali fornitori acquistare, invece di indicare quali controlli le aziende devono essere in grado di applicare per garantire la continuità dei servizi anche in caso di eventi critici.
I requisiti di sovranità digitale più utili sono quelli basati sui risultati: controllo applicabile e verificabile su accessi e dati, una reale capacità di scelta garantita dalla portabilità e da strategie di uscita, continuità dimostrata attraverso test e processi di ripristino.
Questo approccio consente alle aziende di utilizzare in sicurezza piattaforme globali, rispettando al contempo i requisiti locali, senza bloccare i percorsi di modernizzazione.
Se la sovranità digitale è ormai diventata un requisito operativo, ogni stakeholder ha un ruolo da svolgere.
Il ruolo di Cda e autorità di regolamentazione
I consigli di amministrazione dovrebbero definire cosa significhi essere “sufficientemente sovrani” per la propria azienda, quindi richiedere attività di reporting e test periodici, con incentivi collegati ai risultati in termini di resilienza.
CEO e COO dovrebbero considerare la sovranità digitale come un elemento di continuità operativa, finanziare i percorsi di modernizzazione che riducono la dipendenza da sistemi legacy fragili e imporre decisioni sui programmi bloccati.
CIO e CISO dovrebbero mappare e minimizzare gli accessi di terze parti, implementare strategie di localizzazione e resilienza multi-regionale laddove necessario e definire piani per affrontare l’indisponibilità di un fornitore o cambiamento di giurisdizione.
Le autorità di regolamentazione dovrebbero chiarire le definizioni, armonizzare i requisiti laddove possibile e creare percorsi di conformità con periodi di transizione che favoriscano la modernizzazione anziché incentivare il rinvio delle decisioni.
La soluzione deve essere basata sul rischio e definita attraverso un confronto con il settore.
Estendere controllo, libertà di scelta e continuità
Per rendere controllo, libertà di scelta e continuità realizzabili su larga scala, sono necessarie altre due componenti fondamentali: collaborazione e conformità.
La collaborazione consente di mantenere la sovranità compatibile con l’apertura, attraverso interoperabilità, preparazione condivisa agli incidenti, trasparenza nella gestione dei subfornitori e partnership affidabili con i fornitori, in grado di ridurre il rischio di concentrazione anziché limitarsi a spostarlo altrove.
Le soluzioni devono essere adattate alle esigenze locali e favorire investimenti negli ecosistemi del territorio.
La conformità rende la sovranità digitale misurabile attraverso definizioni chiare, evidenze verificabili e approcci normativi focalizzati sui controlli operativi, affinché le aziende possano accelerare la modernizzazione anziché rallentarla.
La sovranità digitale in chiave europea dovrebbe essere valutata sulla base dei risultati concreti, non della retorica: sulla capacità delle aziende di governare gli accessi, mantenere aperte le proprie opzioni, ripristinare rapidamente l’operatività in caso di incidenti e continuare a erogare servizi critici anche quando vengono meno alcune dipendenze.
Se applicata correttamente, la sovranità digitale può diventare un catalizzatore di resilienza, innovazione, crescita e competitività.
Se invece viene interpretata in modo rigido, rischia di trasformarsi in un freno proprio a quella trasformazione che dovrebbe contribuire a proteggere.
Partecipa alla community