La sovranità digitale europea si misura quando un’infrastruttura deve continuare a funzionare anche senza dipendere dal soggetto che l’ha costruita. È questo il punto ancora aperto nel caso dell’AWS European Sovereign Cloud, la piattaforma di Amazon Web Services progettata per rispondere alle esigenze europee di controllo dei dati e autonomia operativa. Secondo le informazioni riportate, il Bundesamt für Sicherheit in der Informationstechnik (BSI), l’autorità tedesca per la sicurezza informatica, non ha ancora completato le verifiche sulle garanzie di sicurezza e sovranità del servizio. Il nodo riguarda soprattutto la possibilità di separare effettivamente l’infrastruttura europea dal resto dell’ambiente AWS, una condizione che, se confermata dai test, avrebbe conseguenze concrete per la valutazione dei rischi da parte di governi e imprese.
La questione merita attenzione perché il cloud è ormai un’infrastruttura economica essenziale. Le organizzazioni non vi trasferiscono soltanto archivi e applicazioni, ma anche processi decisionali, sistemi di identità e servizi dai quali dipende la continuità operativa. La localizzazione dei dati, dunque, non esaurisce il problema della sovranità. Un centro di elaborazione situato in Germania può rispettare determinati requisiti territoriali senza garantire automaticamente che ogni componente tecnologica, procedura amministrativa o dipendenza operativa sia controllabile in Europa. La distinzione è decisiva: ospitare dati nel territorio europeo non equivale necessariamente a poter gestire l’intero sistema in autonomia.
Amazon ha dichiarato investimenti superiori a 100 miliardi di euro in Germania dal 2010, destinando una parte rilevante delle risorse alle infrastrutture cloud. Per il 2024-2040, secondo i dati citati nella notizia, sono stati stanziati 7,8 miliardi di euro per l’AWS European Sovereign Cloud. La dimensione economica dell’iniziativa indica quanto il mercato europeo sia strategico per il gruppo statunitense. Indica anche perché la discussione sulla sovranità non possa essere ridotta a una disputa terminologica: dietro l’etichetta commerciale si trova un investimento di lungo periodo, destinato a incidere sulle scelte infrastrutturali di aziende private e amministrazioni pubbliche.
La novità più rilevante, rispetto alla fotografia iniziale della vicenda, è che AWS aveva programmato per il 24 ottobre 2026 un test di indipendenza operativa. L’esercizio prevedeva di scollegare per alcune ore la European Sovereign Cloud dal backbone privato globale di Amazon, interrompendo anche il canale utilizzato per alcuni trasferimenti controllati di dati operativi. La connettività sarebbe stata mantenuta attraverso collegamenti Internet dedicati e fornitori europei. AWS ha dichiarato che avrebbe condiviso i risultati con clienti e autorità; nelle fonti consultate non emerge ancora un resoconto conclusivo verificabile dell’esercizio. Il test, pertanto, non può essere considerato una certificazione già ottenuta.
La distinzione tecnica è sostanziale. Un’infrastruttura può funzionare temporaneamente senza collegamento alla rete globale del proprio fornitore e continuare, tuttavia, a dipendere da componenti software, processi di aggiornamento o meccanismi di controllo progettati e governati dalla stessa organizzazione internazionale. La prova di disconnessione verifica una proprietà circoscritta: la continuità operativa in determinate condizioni. Non dimostra automaticamente che l’intero servizio possa essere sviluppato, mantenuto e amministrato in modo indipendente nel lungo periodo. Per questo, la domanda posta dalla presidente del BSI, Claudia Plattner, sulla possibilità di ottenere un’istanza cloud europea realmente autonoma individua il cuore del problema. La risposta deve arrivare da evidenze tecniche verificabili, non dalla denominazione del prodotto.
AWS sostiene di aver progettato un ambiente fisicamente e logicamente separato dalle altre regioni, con una propria partizione e personale operativo situato nell’Unione europea. La documentazione aziendale descrive inoltre un sistema dedicato alla gestione dei trasferimenti limitati di informazioni operative. Si tratta di garanzie rilevanti, ma occorre distinguere le caratteristiche dichiarate dal fornitore dagli esiti delle verifiche indipendenti. La stessa AWS prevede un audit esterno basato sul proprio Sovereign Reference Framework, mentre le valutazioni sulla conformità e sull’effettiva operatività dei controlli devono essere lette alla luce del loro ambito specifico.
Il tema assume un peso particolare per i clienti che hanno già avviato la migrazione. Schufa, società tedesca attiva nelle informazioni creditizie, e Diehl Metering, impegnata nelle tecnologie per la misurazione intelligente, rappresentano due esempi di organizzazioni che possono avere interesse a utilizzare l’ambiente sovrano. Nel caso dei sistemi di misurazione, la gestione dei dati è legata anche a servizi essenziali come la distribuzione dell’acqua. La scelta dell’infrastruttura non riguarda quindi soltanto il reparto IT: coinvolge la continuità dei servizi, gli obblighi contrattuali e la capacità di dimostrare ai clienti e alle autorità dove risiedono i dati e chi può amministrarli.
Per un’impresa, il criterio corretto non dovrebbe essere la presenza di un’etichetta sovrana nel contratto, ma la possibilità di verificare quali componenti siano indipendenti, quali dipendenze rimangano e cosa accada quando il fornitore perde una parte delle proprie capacità globali. La stessa analisi deve comprendere le procedure di emergenza, la gestione delle identità, gli aggiornamenti software e la disponibilità delle competenze necessarie a mantenere il servizio. La sovranità, in altri termini, è una proprietà che va dimostrata attraverso test e controlli, con limiti dichiarati e risultati documentati.
Rimane infine la questione geopolitica. AWS è un’impresa statunitense, anche quando offre infrastrutture fisicamente collocate in Europa e gestite da personale europeo. La separazione tecnica può ridurre specifiche dipendenze operative, ma non modifica di per sé la proprietà del fornitore né risolve automaticamente ogni questione relativa alla giurisdizione applicabile. È questo il punto che il dibattito europeo sul cloud tende talvolta a semplificare: la residenza dei dati, l’autonomia operativa e il controllo giuridico sono dimensioni diverse, che devono essere valutate separatamente.
I 7,8 miliardi di euro destinati da Amazon al progetto fino al 2040 confermano la rilevanza economica dell’iniziativa. Ma la misura della sovranità europea non sarà l’ammontare degli investimenti stranieri, per quanto utili allo sviluppo delle infrastrutture. Sarà la capacità delle istituzioni europee di verificare le promesse dei fornitori, rendere confrontabili le garanzie offerte e mantenere alternative credibili sul mercato. Il cloud sovrano diventa una scelta strategica soltanto quando l’autonomia dichiarata può essere sottoposta a una verifica indipendente e quando il cliente conosce, prima di migrare, ciò che accade se quella promessa non regge alla prova dei fatti.
Per approfondire, la documentazione ufficiale di AWS sull’architettura e sulle garanzie del servizio è disponibile nella pagina di governance della European Sovereign Cloud, mentre il resoconto tecnico dell’esercizio di disconnessione è stato annunciato nel blog AWS Security.