L’evoluzione geopolitica degli ultimi anni ha dato centralità all’obiettivo di autonomia strategica dell’Europa, che comporta non solo la necessità di ridurre la dipendenza da prodotti di terzi, in particolare se provenienti da imprese di Paesi ad alto rischio, ma anche di rivedere i disegni architetturali delle infrastrutture per garantire sicurezza e resilienza delle stesse.
In tale contesto, le infrastrutture svolgono un ruolo fondamentale, sia per la competitività, che per la resilienza e la sicurezza del sistema di comunicazioni. Nell’era della digitalizzazione, infatti, tale sistema occupa il ruolo di sistema nervoso centrale per i rapporti economici, sociali e istituzionali.
Indice degli argomenti
L’infrastruttura dell’autonomia strategica digitale europea
Ne deriva che deve essere ripensato il rapporto tra Stato e gestori delle infrastrutture, rinnovando il quadro degli obiettivi e dei relativi obblighi ai quali sono sottoposti i gestori di infrastrutture.
Non si tratta di una coincidenza di calendario. Le diverse iniziative nascono da un’unica matrice politica e da un’unica diagnosi: l’infrastruttura digitale europea – che include le reti in fibra, il 5G e il 6G, i sistemi satellitari, i cavi sottomarini, il cloud, i data center – non è più soltanto un fattore abilitante della crescita economica e della coesione sociale, ma è diventata una variabile geopolitica di primo piano, un terreno su cui si gioca la capacità dell’Unione di decidere autonomamente il proprio destino economico, industriale e di sicurezza.
È in questo scenario che, nel primo semestre del 2026 l’Unione Europea ha completato un disegno normativo che, osservato nel suo insieme, segna un cambio di paradigma nella politica digitale europea: dalla riforma del mercato delle telecomunicazioni (Digital Networks Act, 21 gennaio 2026) alla revisione del quadro di cybersicurezza (Cybersecurity Act, 20 gennaio 2026), fino al Tech Sovereignty Package presentato il 3 giugno 2026, che include il Cloud and AI Development Act (CADA) e il Chips Act 2.0.
Queste iniziative, lette insieme, rispondono a un’unica diagnosi: la competitività, la sicurezza e persino la libertà d’azione politica dell’Unione dipendono sempre più dalla disponibilità di infrastrutture digitali – reti, cloud, data center, capacità di calcolo – che siano al tempo stesso performanti, integrate a livello europeo e non esposte a dipendenze critiche da fornitori extra-UE. Questo articolo ricostruisce le ragioni di questa strategia e approfondisce, in particolare, il nesso tra sicurezza delle reti di comunicazione elettronica e sovranità del cloud e dei data center, un’interazione che il CADA rende per la prima volta esplicita.
Gli shock dietro l’autonomia strategica digitale europea
La svolta europea nasce da una sequenza di shock che hanno smentito l’assunto, dominante per decenni, secondo cui l’interdipendenza economica globale fosse di per sé un fattore di stabilità. La crisi dei semiconduttori del 2021-2022, l’interruzione delle forniture di gas russo dopo l’invasione dell’Ucraina, l’inasprimento della rivalità tecnologica tra Stati Uniti e Cina e la moltiplicazione di attacchi ibridi contro le infrastrutture critiche europee – dai cavi sottomarini nel Baltico alle campagne ransomware contro ospedali e pubbliche amministrazioni – hanno reso evidente che la dipendenza da un numero ristretto di fornitori esterni, specie se situati in giurisdizioni geopoliticamente non allineate, si traduce in una leva di ricatto nei momenti di crisi.
I rapporti Draghi e Letta
I rapporti di Mario Draghi e di Enrico Letta, pubblicati nel 2024, hanno tradotto questa diagnosi in termini di policy, documentando come il mercato europeo delle telecomunicazioni resti frammentato in ventisette mercati nazionali e come l’intera economia digitale europea rischi di restare strutturalmente dipendente da tecnologie cloud, di intelligenza artificiale e di calcolo quantistico sviluppate altrove.
Il principale dato citato dalla Commissione stessa per motivare il Tech Sovereignty Package è che in ambito digitale l’Unione dipende oggi da paesi terzi per oltre l’80% dei prodotti, servizi, infrastrutture e proprietà intellettuale. Nel solo mercato cloud, la quota detenuta da fornitori europei è scesa da circa il 29% nel 2017 a circa il 15% nel 2022, a fronte di un mercato che nel frattempo si è moltiplicato per sei volte, restando concentrato per circa il 70% in tre fornitori statunitensi.
È in risposta a questa constatazione – riassunta dalla vicepresidente esecutiva Henna Virkkunen nell’espressione “vogliamo essere certi che nessuno abbia un interruttore generale” sui dati europei più sensibili – che la Commissione ha scelto di intervenire simultaneamente su reti, sicurezza cibernetica, cloud e semiconduttori.
Autonomia digitale europea tra reti, cybersicurezza e calcolo
Il Digital Networks Act punta a costruire un mercato unico della connettività attraverso un’autorizzazione unica (“Single Passport”), l’armonizzazione delle condizioni di accesso allo spettro, un quadro europeo per completare la transizione dal rame alla fibra e un Piano di Preparazione dell’Unione per le Infrastrutture Digitali, incorporando requisiti di sicurezza fin dalla fase autorizzatoria, incluse le autorizzazioni per le reti satellitari, condizionate a stabilimento nell’Unione, controllo permanente sulle trasmissioni e capacità di intercettazione legale.
La revisione del Cybersecurity Act rafforza il ruolo di ENISA, che da organismo consultivo diventerebbe un’infrastruttura operativa dotata di piattaforme di allerta, di un database europeo delle vulnerabilità e di una riserva di cybersicurezza mobilitabile in caso di crisi, introduce un quadro orizzontale per la sicurezza della catena di approvvigionamento ICT e misure di “derisking” delle reti mobili e fisse rispetto ai fornitori di paesi terzi classificati ad alto rischio, oltre a un quadro di certificazione (ECCF) semplificato e più rapido.
Il Tech Sovereignty Package, presentato il 3 giugno 2026, completa l’architettura estendendola dalle reti alla capacità di calcolo. Si articola in quattro componenti: il Chips Act 2.0, che aggiorna il regolamento sui semiconduttori del 2023 rafforzando le misure dal lato della domanda, in un contesto in cui l’Unione produce oggi meno del 10% dei semiconduttori mondiali; il Cloud and AI Development Act (CADA); una strategia europea sull’open source, pensata per evitare che la sovranità digitale si traduca in una semplice sostituzione di fornitori extra-UE con pochi grandi fornitori europei; e una Strategic Roadmap per la digitalizzazione e l’intelligenza artificiale nel settore energetico, che integra esplicitamente i data center nei sistemi energetici locali.
CADA e autonomia del cloud europeo
Il Cloud and AI Development Act è l’elemento del pacchetto più direttamente rilevante per comprendere l’interazione tra infrastrutture di rete e infrastrutture di calcolo. La proposta muove da una duplice constatazione: un deficit strutturale di capacità di data center in Europa e una dipendenza da un numero ristretto di fornitori cloud extra-UE.
Per rispondere al primo problema, il CADA fissa l’obiettivo di triplicare la capacità dei data center europei in 5-7 anni, in modo da soddisfare pienamente la domanda di imprese e pubbliche amministrazioni entro il 2035, introducendo semplificazioni autorizzative per i progetti che rispettano criteri di efficienza energetica, raffreddamento innovativo e integrazione con le reti elettriche locali, oltre a corsie preferenziali per l’allacciamento alla rete elettrica per chi utilizza componenti prodotti in Europa o soluzioni a basso impatto energetico.
Quattro livelli di sovranità cloud e AI
Per rispondere al secondo problema, il CADA introduce un quadro europeo di sovranità cloud e AI articolato in quattro livelli di “Union assurance”, che le pubbliche amministrazioni – e, indirettamente, tutta la filiera dei loro fornitori, comprese le software house e i system integrator – dovranno applicare in base alla sensibilità del carico di lavoro.
Il primo livello richiede semplicemente infrastrutture localizzate nell’Unione ed è già soddisfatto dalla gran parte dei grandi fornitori; il secondo richiede la dimostrazione di indipendenza da paesi terzi sotto il profilo dei dati e della catena di fornitura software; il terzo impone vincoli stringenti su proprietà, controllo societario e personale di matrice europea, con una possibile apertura per strutture di fornitori extra-UE che adottino salvaguardie forti, sul modello delle joint venture come quella tra Google e Thales in Francia;
il quarto, riservato ai carichi più sensibili (sanità, energia, sicurezza, giustizia, difesa – gli stessi settori già coperti da NIS2 – oltre a settori come la gestione delle frontiere), richiede piena trasparenza sulla catena di fornitura e assenza di qualunque interferenza esterna, un livello che i fornitori statunitensi troverebbero difficile raggiungere a causa del CLOUD Act, la legge che obbliga le aziende americane a consegnare dati alle autorità statunitensi indipendentemente da dove siano fisicamente conservati.
Il valore aggiunto unionale negli appalti pubblici
Il CADA introduce inoltre il criterio del “valore aggiunto unionale” negli appalti pubblici di servizi cloud e AI, imponendo alle amministrazioni di considerare, accanto a prezzo e qualità tecnica, quanto un fornitore contribuisca a rafforzare la catena di fornitura tecnologica europea, integri tecnologie sviluppate nell’Unione o utilizzi componenti hardware progettati o fabbricati in Europa.
Reti, cloud e data center come sistema di sicurezza europeo
È qui che il nesso con il Digital Networks Act e con la revisione del Cybersecurity Act diventa evidente e, per certi versi, strutturale. Un data center certificato al massimo livello di sovranità secondo il CADA resta comunque vulnerabile se la rete che lo collega agli utenti finali attraversa apparati di fornitori ad alto rischio, se lo spettro satellitare che ne assicura la ridondanza è controllato da attori extra-UE senza requisiti di sicurezza equivalenti, o se un cavo sottomarino danneggiato interrompe la connettività internazionale necessaria a servire i carichi di lavoro distribuiti.
La sovranità del cloud, in altre parole, non può esistere senza la sicurezza e la resilienza della rete che lo alimenta: sono due facce della stessa infrastruttura fisica, non due dossier regolatori indipendenti.
Connettività fisica per data center e AI
Questa interdipendenza si manifesta su almeno tre piani concreti. Il primo è quello della connettività fisica: la crescita esponenziale della domanda di intelligenza artificiale generativa richiede reti in fibra e 5G/6G capaci di trasportare, con bassissima latenza e capacità dell’ordine di 10-50 Gb/s e oltre, i volumi di dati generati dai carichi di lavoro distribuiti tra data center, con il risultato che l’obiettivo del DNA di accelerare la transizione verso reti ad alta capacità diventa una precondizione infrastrutturale, non un obiettivo parallelo, rispetto alla possibilità stessa di triplicare la capacità di data center prevista dal CADA. Senza una rete capace di collegare in modo affidabile le nuove infrastrutture di calcolo, la capacità computazionale aggiuntiva rischierebbe di restare isolata o sotto-utilizzata.
Sicurezza degli apparati tra reti e cloud
Il secondo piano è quello della sicurezza degli apparati: le misure di derisking dei fornitori di rete ad alto rischio introdotte dalla revisione del Cybersecurity Act si applicano tanto agli apparati delle reti mobili (e, con tempi da definire, anche fisse) quanto, in prospettiva, alla componentistica di interconnessione tra reti e data center, poiché un data center classificato al livello 3 o 4 di sovranità secondo il CADA perderebbe gran parte del proprio valore se i router, gli switch o gli apparati di trasmissione che lo collegano al resto della rete fossero forniti da un produttore considerato a rischio geopolitico elevato.
La coerenza tra i due impianti normativi richiede quindi che i criteri di derisking applicati alle reti di comunicazione elettronica siano sostanzialmente equivalenti a quelli applicati, dal CADA, ai fornitori cloud.
Data center e resilienza della rete elettrica
Il terzo piano è quello energetico, esplicitamente affrontato dalla Strategic Roadmap sull’energia inclusa nel Tech Sovereignty Package: la crescita dei data center, la cui domanda elettrica globale è stimata da uno studio dell’Università delle Nazioni Unite destinata a raggiungere entro il 2030 livelli paragonabili al consumo attuale del Giappone, unitamente a un fabbisogno idrico annuo nell’ordine di 9.300 miliardi di litri, rende la resilienza della rete elettrica una componente ormai inseparabile della resilienza digitale complessiva.
Un’interruzione energetica, accidentale o dolosa, può oggi produrre un’interruzione della connettività e dei servizi cloud con la stessa rapidità di un attacco informatico diretto, il che spiega perché il Piano di Preparazione dell’Unione per le Infrastrutture Digitali del DNA e la roadmap energetica del Tech Sovereignty Package debbano essere concepiti in modo coordinato, e non come iniziative settoriali indipendenti.
Mercato e criticità dell’autonomia strategica digitale europea
Per gli operatori di telecomunicazioni, questa architettura integrata comporta opportunità e oneri che si sommano a quelli già descritti a proposito del DNA e del Cybersecurity Act: da un lato la prospettiva di un mercato in forte espansione per la connettività dedicata ai data center e per i servizi di interconnessione a bassa latenza richiesti dall’intelligenza artificiale distribuita; dall’altro la necessità di allineare i propri fornitori di apparati di rete ai medesimi criteri di affidabilità e sovranità che il CADA richiede ai fornitori cloud, pena il rischio di rendere vano, per ragioni di connettività, lo sforzo di sovranità realizzato a livello di data center.
Per gli operatori infrastrutturali che già oggi costruiscono e gestiscono reti in fibra dedicate a clienti wholesale, l’espansione dei data center prevista dal CADA rappresenta inoltre un’opportunità diretta: la localizzazione di nuove strutture di calcolo sul territorio nazionale richiede infatti reti di backhaul ad altissima capacità, ridondanza geografica e bassa latenza, requisiti che solo un’infrastruttura in fibra capillare e diffusa può soddisfare in modo economicamente sostenibile.
Fibra, data center e mercato italiano
Da queste considerazioni emerge chiaramente come il processo di migrazione da rame a fibra previsto nel DNA sia da guardare in coordinamento con l’evoluzione di tutta la filiera digitale, sia per supportare le maggiori capacità e minore latenza necessarie, sia per bilanciare i maggiori consumi energetici dei data center con minori consumi dell’infrastruttura.
Anche per un mercato come quello italiano, caratterizzato da un percorso di separazione tra infrastruttura e servizi già relativamente avanzato, il combinato disposto di DNA e CADA pone interrogativi concreti: la localizzazione di nuovi data center sul territorio nazionale – per rispondere sia agli obiettivi europei di raddoppio o triplicazione della capacità, sia alla domanda di sovranità del settore pubblico italiano – richiederà investimenti coordinati tra operatori di rete, fornitori di energia e operatori di data center, in un contesto in cui la disponibilità di capacità elettrica dedicata e di permessi autorizzativi rapidi rappresenta oggi, più della componente di rete, il principale collo di bottiglia allo sviluppo di nuova capacità di calcolo.
Le semplificazioni autorizzative previste dal CADA per i progetti sostenibili e a basso impatto energetico rispondono direttamente a questa criticità, ma la loro efficacia dipenderà in larga misura dal grado di recepimento e di coordinamento a livello di autorità regionali e locali, che restano competenti per gran parte delle autorizzazioni edilizie ed elettriche necessarie alla realizzazione di nuovi impianti.
Mercato, hyperscaler e sovranità a strati
Restano tuttavia aperte alcune criticità significative. La prima riguarda l’equilibrio tra apertura di mercato e protezionismo: la Commissione ha più volte precisato che il CADA non introduce un divieto generalizzato verso gli hyperscaler extra-UE, ma una griglia di requisiti graduati per rischio, lasciando aperta la possibilità che fornitori statunitensi raggiungano i livelli di sovranità più elevati attraverso strutture societarie dedicate; un equilibrio che dovrà essere precisato nel negoziato tra Parlamento europeo e Consiglio, e che rappresenterà con ogni probabilità uno dei principali terreni di scontro nei triloghi.
Come ha osservato un dirigente di un operatore cloud europeo, la sovranità digitale non dovrebbe tradursi in un muro, ma in una gradazione di garanzie proporzionata alla sensibilità dei dati trattati: i carichi di lavoro più sensibili in data center europei ad alta sicurezza, il resto affidato, se necessario, anche a fornitori extra-UE, secondo una logica di “sovranità a strati” piuttosto che di autarchia digitale.
Impatto ambientale dell’espansione dei data center
La seconda criticità riguarda la sostenibilità ambientale dell’espansione dei data center: alcuni europarlamentari hanno già segnalato che il pacchetto rischia di trascurare l’impatto dei nuovi data center su consumi energetici, risorse idriche e territorio, chiedendo che la trasparenza sui consumi diventi un requisito esplicito, in analogia con quanto già discusso durante i negoziati sull’AI Act, e mettendo in guardia dal rischio di “foreste fatte solo di data center” se la crescita infrastrutturale non sarà accompagnata da criteri stringenti di efficienza energetica e idrica.
Tempi di attuazione e divario tecnologico
La terza criticità riguarda i tempi di attuazione: con un iter legislativo tipico di due anni per proposte di questa complessità, e un’applicazione operativa del CADA attesa non prima del 2028-2029, il rischio è che il divario tra l’Unione e i concorrenti globali in termini di capacità cloud e di calcolo continui ad allargarsi proprio nella fase in cui le regole comuni sono ancora in fase di negoziazione.
A ciò si aggiunge, sul fronte dei semiconduttori, la constatazione che il Chips Act 2.0 interviene in un contesto in cui l’Unione produce oggi meno del 10% dei semiconduttori avanzati a livello mondiale, un divario che nessuna riforma regolatoria può colmare nel breve periodo senza investimenti industriali di scala pluriennale, a partire dalla costruzione di capacità fonderia dedicata alle tecnologie più avanzate, esplicitamente indicata come priorità dalla Commissione nel presentare il pacchetto.
Il fabbisogno finanziario dell’autonomia digitale
La quarta criticità riguarda il fabbisogno finanziario pubblico e privato per i prossimi sette anni per realizzare tutte le misure necessarie a realizzare gli obiettivi sopra menzionati. Infatti, la Commissione Europea stima in 424 miliardi tale fabbisogno (120 miliardi per la strategia sui semiconduttori, 200 miliardi per espandere la capacità dei data center europei, 100 miliardi per la piena realizzazione delle iniziative legate alla Cloud and AI leadership, AI factories e Gigafactories e, infine, 2 miliardi per realizzare la strategia open source. In una fase in cui le priorità sono molte e le discussioni sul prossimo bilancio settennale sono ancora lontane da un accordo, appare necessario trovare delle policy che stimolino gli investimenti privati.
In ogni caso, le Istituzioni Europee dovranno essere ambiziose sul budget o rivedere a ribasso i propri obiettivi. Ciò è certamente più complesso in un contesto in cui il prossimo bilancio europeo è vincolato dalla progressiva restituzione dei prestiti presi per finanziare il recovery plan.
Il futuro dell’autonomia strategica digitale europea
Il percorso normativo avviato tra gennaio e giugno 2026 – Digital Networks Act, revisione del Cybersecurity Act, Tech Sovereignty Package – non va letto come una somma di iniziative settoriali, ma come un unico disegno strategico che riconosce, per la prima volta in modo esplicito, che la sovranità digitale europea si gioca sull’intera catena infrastrutturale: dalle reti di comunicazione elettronica che trasportano i dati, alla sicurezza degli apparati che le compongono, fino ai data center e ai servizi cloud che elaborano quei dati e alimentano l’intelligenza artificiale europea.
Il Cloud and AI Development Act rende evidente che nessuno di questi elementi può essere reso sovrano in isolamento: un data center certificato al più alto livello di sovranità resta vulnerabile se la rete che lo alimenta non lo è altrettanto, così come una rete sicura produce benefici limitati se non è in grado di sostenere la capacità di calcolo necessaria a un’intelligenza artificiale realmente europea.
Tre pilastri normativi
Questa lettura integrata suggerisce anche una chiave di valutazione per i prossimi mesi di negoziato: la coerenza tra i tre pilastri normativi – armonizzazione del mercato delle reti accompagnata dalla migrazione alla fibra ottica, derisking e certificazione della sicurezza cibernetica, sovranità di cloud e data center – sarà più determinante, ai fini del successo complessivo della strategia, della singola ambizione di ciascuno dei tre atti considerato isolatamente.
Un Digital Networks Act pienamente attuato ma non accompagnato da una crescita reale della capacità di calcolo europea lascerebbe l’Unione con reti eccellenti ma prive di contenuti e servizi sovrani da veicolare; un CADA ambizioso ma privo di una rete altrettanto sicura e completamente in fibra ottica rischierebbe di produrre data center sovrani ma isolati; una revisione del Cybersecurity Act rigorosa ma disallineata rispetto ai criteri di sovranità del CADA lascerebbe aperti varchi di dipendenza proprio nei punti di giunzione tra rete e cloud, i più difficili da presidiare perché meno visibili nel dibattito pubblico.
È in questa capacità di tenere insieme, e non solo di sommare, i tre pilastri che si misurerà, nei prossimi anni, il successo o il fallimento dell’ambizione europea di autonomia strategica.
Partecipa alla community