Cloud sovrano in Svizzera: criteri per scegliere un hosting

« Ospitato in Svizzera » non è sinonimo di sovranità

L'illusione più diffusa è di natura geografica. Agli Swiss Cyber Security Days 2026, Léopold Jacquot, Principal Engineer presso Infomaniak, l'ha riassunta con un'immagine. Una cassaforte si trova fisicamente a Zurigo, è in acciaio svizzero ed è dotata di una serratura svizzera. Ma la chiave appartiene a un'azienda di San Francisco: la cassaforte è svizzera, ma il suo contenuto non lo è più.

In vigore dal 2018, il CLOUD Act obbliga le aziende tecnologiche statunitensi a fornire dati alle autorità, anche se questi sono archiviati all'estero. Che il data center si trovi a Berna, Francoforte o Parigi non cambia nulla. Se il gestore è americano o controllato da un gruppo statunitense, i dati rimangono giuridicamente accessibili dagli Stati Uniti.

Bisogna tenere separate due nozioni: la conformità normativa e la sovranità sono due temi distinti. La sovranità non si riduce alla localizzazione dei dati. Del resto, non esiste una definizione unica di cloud sovrano, ma diversi gradi di sovranità.

Un'etichetta « ospitato in Svizzera » non indica né chi controlla il gestore, né chi detiene le chiavi. Non dice nemmeno da dove provengono le licenze software, quale diritto si applica al contratto, né cosa accade il giorno in cui desiderate cambiare fornitore. È questo elenco di criteri verificabili, e non un'etichetta, che l'articolo esamina.

Chi controlla l'operatore: il criterio giurisdizionale prima di tutto

Il CLOUD Act del 2018 consente alle autorità statunitensi di costringere le aziende americane a divulgare dati archiviati all'estero. Questo vale anche per i dati appartenenti a cittadini europei e ospitati in data center dell'UE o della Svizzera. Lo scenario non ha nulla di teorico.

La prima domanda da porre a un provider di hosting non è quindi « dove si trovano i vostri server? ». La domanda è: « qual è la nazionalità della vostra società e qual è la sua struttura di controllo? ». Specificare società madre, holding, azionariato, identità dei subappaltatori successivi. Una filiale svizzera di un gruppo estero rimane, su questo punto, nel perimetro decisionale della sua casa madre.

Il quadro normativo svizzero è noto: legge rivista sulla protezione dei dati (LPD), articolo 10a LPD sul subappalto, requisiti dello Swiss Government Cloud, prescrizioni settoriali. Queste includono in particolare le circolari dell'Autorità federale di vigilanza sui mercati finanziari (FINMA) e la legge federale sulla sorveglianza della corrispondenza postale e delle telecomunicazioni (LSCPT). Per un'organizzazione che tratta dati personali sensibili o informazioni regolamentate, la sovranità digitale rientra nella necessità strategica, non in un optional di comfort.

L'articolo 10a LPD disciplina il ruolo del prestatore di servizi. Questi può trattare i dati personali solo nel modo in cui il mandante stesso sarebbe autorizzato a farlo. Qualsiasi trattamento per fini propri è inammissibile. Il mandante — voi — rimane responsabile del rispetto dei requisiti della LPD, anche quando il trattamento è affidato a un fornitore cloud.

Chi detiene le chiavi di cifratura?

La cifratura protegge solo se la gestione delle chiavi sfugge al fornitore. Come riassume Léopold Jacquot (Infomaniak), i vostri dati possono essere cifrati in AES-256 e ospitati in un data center europeo, con un SLA solido. Se le chiavi sono gestite da un servizio operato da AWS, Azure o Google Cloud, è come cifrare i vostri dati e poi inviare la chiave per posta negli Stati Uniti.

La distinzione ha anche una conseguenza giuridica documentata dalla Federazione svizzera degli avvocati. Nell'IaaS, se il cliente cifra i suoi dati prima di trasferirli, il fornitore si limita ad archiviarli senza poterli leggere. Nel SaaS, invece, può leggerli: si tratta allora di un trattamento di dati personali da parte di terzi. Questo trattamento è soggetto all'articolo 10a LPD, con contratto di subappalto e allegato che descrive la natura del trattamento.

In pratica, la questione riguarda l'intero ciclo di vita della chiave. Dove viene generata e archiviata la chiave, e chi può utilizzarla? Il fornitore può accedere al testo in chiaro tramite il supporto, i backup o la replica? Un host incapace di rispondere con precisione a questi quattro punti non può dimostrare che i vostri dati gli siano illeggibili.

Dipendenze software e capacità di uscita

La sovranità è un problema di catena del valore, non solo di sala server. Un'applicazione sviluppata da un'azienda europea e venduta come « 100% locale » può girare su un sistema la cui licenza appartiene a un editore straniero, con server di licenze negli Stati Uniti. Tutto funziona fino al giorno in cui l'editore modifica le sue condizioni, aumenta le tariffe del 300% o interrompe l'accesso. Alcune offerte di « cloud sovrano » si basano così interamente su tecnologie straniere: l'attore locale è solo una facciata, ma il livello che tocca i vostri dati è controllato dall'estero.

Nessuna organizzazione è totalmente indipendente. Ciascuna può tuttavia gestire le proprie dipendenze piuttosto che subirle. Si tratta di determinare quali sistemi devono sostenere l'innovazione e dove il controllo è indispensabile per garantire costi, conformità e flessibilità. Bisogna anche mantenere aggiornata una mappatura dei dati che indichi dove sono archiviati, elaborati e replicati, e garantire la capacità di uscita quando i requisiti esterni evolvono.

A ciò si aggiunge un principio contrattuale semplice: nessun contratto deve impedire di andarsene in caso di emergenza.

Il quadro europeo fornisce un punto di riferimento, senza costituire un obbligo svizzero. Il regolamento europeo sui dati (« Data Act ») è in vigore dal 12 settembre 2025. A partire dal 12 gennaio 2027, i costi legati al cambio di fornitore cloud saranno completamente eliminati.

Il Data Act non si applica automaticamente in Svizzera, che non è membro dell'Unione europea. Le aziende svizzere possono tuttavia essere interessate se sono attive sul mercato europeo o vi offrono servizi o prodotti. Per questi clienti, la reversibilità senza costi diventa un elemento contrattuale di riferimento; per gli altri, rimane un criterio di confronto utile.

Calibrare il livello di sovranità in base ai dati e al settore

Non esiste una risposta unica: il livello di sovranità necessario dipende dai rischi, dai dati e dal settore. Un hyperscaler può offrire garanzie di sovranità, proprio come un fornitore europeo o svizzero può presentare alcune dipendenze. La scelta giusta consiste soprattutto nel conservare sufficiente controllo sui propri dati, sulle proprie tecnologie e sui propri fornitori.

La definizione di lavoro adottata in uno studio commissionato dalla Conferenza latina dei direttori cantonali del digitale lo conferma. La sovranità digitale è « la capacità di autodeterminazione di un'entità (giuridica) per quanto riguarda l'intero ciclo di vita di un sistema digitale, dalla progettazione all'utilizzo fino alla dismissione dei sistemi digitali e dei dati che vengono elaborati e archiviati, nonché dei processi che essi rappresentano ». Un'organizzazione è quindi sovrana quando mantiene sufficiente controllo sui propri sistemi e sui propri dati dall'inizio alla fine del loro utilizzo — restando da fissare il cursore caso per caso.

Questa graduazione si legge su tre assi. Il primo è la sensibilità dei dati: dati personali sensibili, informazioni regolamentate, dati commerciali ordinari. Il secondo è la criticità aziendale, ovvero quanto costa un'interruzione o una perdita. Il terzo riguarda i requisiti settoriali.

Per il settore pubblico — Cantoni, uffici federali, imprese parapubbliche — lo Swiss Government Cloud è un obbligo. Per le organizzazioni che trattano dati personali sensibili o informazioni regolamentate, la sovranità digitale rientra nella necessità strategica. Altrove, rimane una scelta proporzionata a questi tre assi, e non un massimo applicato per principio.

Cosa deve garantire l'esercizio sul campo

Dal lato infrastrutturale, gli elementi sono verificabili e di natura diversa dalle questioni giuridiche. L'operatore svizzero Protocol SA gestisce data center a Bussigny e Ginevra. Documenta una sorveglianza umana e video 24/7, con sensori, sonde di allarme e spegnimento automatico degli incendi. Menziona anche un'omologazione TIER III e la norma antieffrazione WK3.

Protocol SA annuncia un SLA di disponibilità del 99,9% e un tempo di intervento inferiore a 15 minuti. L'alimentazione elettrica è duplicata e supportata da UPS e generatore ausiliario; le apparecchiature essenziali sono ridondanti.

I dati sono replicati su due siti distinti. I backup sono esternalizzati su un secondo sito sicuro, archiviati su NAS cifrati ed effettuati quotidianamente. I firewall sono in cluster, senza ambiente condiviso.

Queste garanzie misurano la resilienza operativa, non la sovranità. Un data center TIER III situato in Svizzera, con ridondanza elettrica e backup off-site, può essere gestito da una società soggetta al CLOUD Act. Rimane quindi giuridicamente accessibile dall'estero. Al contrario, un host sovrano può conservare dipendenze software straniere. Le due serie di criteri si verificano separatamente, su documenti diversi: rapporti operativi e impegni di servizio da un lato, struttura di controllo e diritto applicabile dall'altro.

Indicatori operativi dei data center svizzeri

Contratti, trasparenza e prove da esigere

Il subappalto dei dati deve basarsi su un accordo tra il cliente e il prestatore, ovvero il contratto di servizi cloud. Secondo l'analisi della Federazione svizzera degli avvocati, il fornitore può trattare i dati personali trasmessi solo nel modo in cui il mandante stesso sarebbe autorizzato a farlo. Un trattamento per fini propri è inammissibile.

La natura del trattamento deve quindi essere descritta nel contratto o in un allegato. È il mandante che rimane responsabile del rispetto dei requisiti della LPD.

In materia di trasparenza, una mappatura dei dati aggiornata è il pezzo forte: dove sono archiviati, elaborati e replicati i dati? Dal lato dell'uscita si aggiungono la garanzia esplicita di poter cambiare fornitore e un diritto di audit e controllo. Questo diritto permette di verificare gli impegni piuttosto che crederci sulla parola. I contratti che privano il cliente della possibilità di lasciare il servizio in situazione di emergenza sono da scartare.

Conformità normativa e sovranità si documentano separatamente: un dossier di conformità LPD o settoriale non prova nulla sulla giurisdizione del gestore. Un impegno di diritto applicabile svizzero non dispensa dall'allegato di subappalto. Attendete quindi due set di prove distinti, ciascuno con i propri documenti. Verificate che il diritto applicabile annunciato figuri nel contratto firmato, e non solo sulla pagina marketing.

Punti di verifica per una sovranità digitale effettiva

Griglia decisionale: le domande da porre al vostro host

Per confrontare concretamente diverse offerte, ponete domande chiuse ed esigete risposte scritte. Giurisdizione: qual è la nazionalità della società madre, qual è la sua struttura di controllo e questa struttura figura nero su bianco? Chiavi: dove vengono generate e archiviate le chiavi, chi può utilizzarle, il fornitore può leggere il testo in chiaro tramite il supporto, i backup o la replica?

Dipendenze: quali componenti software si basano su licenze o server di attivazione di terzi e dove sono ospitati? Uscita: quali sono le condizioni di reversibilità, i dati e i formati restituiti, e il cliente può recedere in situazione di emergenza? Contratti: quali documenti vengono forniti — contratto di subappalto conforme all'articolo 10a LPD, allegato che descrive la natura e la finalità del trattamento, impegno di diritto applicabile, diritto di audit?

Esercizio, infine: siti di hosting, ridondanza elettrica, backup replicati su un secondo sito distinto, SLA di disponibilità e tempo di intervento contrattuale. Sei blocchi di domande — giurisdizione, chiavi, dipendenze, uscita, contratti, esercizio — bastano a distinguere offerte che si definiscono tutte « sovrane ». Aiutano a scegliere un livello proporzionato ai vostri dati e al vostro settore.

Criteri chiave per valutare la sovranità del cloud in Svizzera