Lo studio per misurare il livello di maturità delle imprese sul tema “Sovranità Digitale” ha fornito risultati che meritano una lettura attenta: le imprese si stanno muovendo, ma partendo dagli interventi più semplici. È stato presentato all’inizio del mese di ottobre 2026 dai professori del Politecnico di Milano Raffaello Balocco e Andrea Rangone, entrambi co-founder di Digital360 e Nextwork360.
L’obiettivo è stato verificare quanto la Sovranità Digitale sia già entrata concretamente nei processi di sourcing e vendor rating, quali dipendenze siano identificate nello stack tecnologico e se abbia già influenzato decisioni importanti. L’indagine ha coinvolto 203 CIO di grandi imprese italiane, con un confronto su 50 CISO. Gli stessi autori precisano che i risultati non hanno significatività statistica: vanno quindi letti come indicazioni di tendenza.
Indice degli argomenti
Sovranità digitale: quando l’interdipendenza tecnologica diventa una leva di pressione
Gli eventi politici internazionali degli anni recenti e la pervasività della tecnologia ci hanno mostrato l’importanza e la strategicità della Sovranità Digitale. Essa è passata da uno slogan di nicchia, a lungo letto come protezionismo economico mascherato, a priorità europea. La geopolitica ha infatti cambiato i propri strumenti. L’interdipendenza tecnologica, che inizialmente sembrava garanzia di prosperità economica e di pace, oggi è usata come leva per raccogliere informazioni o esercitare coercizione e minaccia. È quella che Henry Farrell e Abraham Newman hanno chiamato “interdipendenza armata”: chi controlla i nodi centrali delle reti globali può usarli per sorvegliare o per escludere.
Il conflitto tra potenze oggi passa sempre meno per carri armati e territori e sempre più per il controllo delle infrastrutture. Gli esempi recenti non mancano: le sanzioni statunitensi contro il procuratore della Corte penale internazionale che nel 2025 è rimasto senza accesso alla posta elettronica fornita da Microsoft, i controlli cinesi sulle esportazioni di terre rare, la dipendenza dell’Ucraina da Starlink. Mario Draghi, a un anno dal suo rapporto sulla competitività europea, ha riconosciuto che le sfide individuate si erano aggravate, a partire dalle dipendenze tecnologiche e dal ritardo nell’innovazione digitale. Come ha osservato lo stesso prof. Rangone, la sovranità digitale va inoltre affrontata in modo organico lungo l’intera catena tecnologica, dal livello fisico della connessione fino allo strato applicativo.
Sovranità digitale nei vertici aziendali: cosa vedono CIO e CISO
Quasi la metà dei Chief Information Officer e oltre la metà dei Chief Information Security Officer ritiene che il tema della Sovranità Digitale sia di interesse medio-alto per il vertice aziendale e il CDA. È un inizio sorprendente, per nulla scontato. In molti avrebbero perso scommettendo per un interesse minore, perché stiamo parlando dell’impatto degli eventi politici internazionali sulle strategie dei vertici delle Imprese private.
Il dato tuttavia va anche letto in modo speculare: per il 56% dei CIO l’interesse del vertice è basso o medio-basso e solo il 13% lo giudica alto. Il tema è arrivato nei consigli di amministrazione, ma non ancora in cima all’agenda. Colpisce inoltre che i CISO percepiscano sistematicamente più attenzione dei CIO, uno scarto che si ripete spesso: segno, forse, che la Sovranità Digitale è ancora vista come più attinente alla sicurezza che alla strategia. È un limite, perché le scelte inerenti a fornitori, architetture, contratti pluriennali sono decisioni strategiche e di budget.
Sourcing e vendor rating: la sovranità digitale è considerata, ma poco formalizzata
Ormai solo una esigua minoranza di CIO ancora non considera nel vendor rating e nelle strategie di sourcing gli aspetti più critici della Sovranità Digitale quali la localizzazione, la governance e la protezione dei dati, la continuità di servizio e il rischio di switch off. Si tratta di una quantità così limitata – in media il 10% dei CIO – da poter essere considerata marginale.
Per il 55% dei CIO e il 65% dei CISO la localizzazione, la governance e la protezione dei dati sono criteri di acquisto formalizzati o che hanno già influenzato scelte. La continuità di servizio e il rischio di switch off sono criteri formalizzati o alla base di scelte per il 41% e il 52% rispettivamente di CIO e CISO.
È significativo osservare che gli aspetti più impattanti della Sovranità Digitale già condizionano così tanto le strategie di sourcing e di selezione dei Fornitori.
Nazionalità del fornitore e lock-in: i criteri più deboli
Il quadro cambia però guardando agli altri due criteri. La nazionalità del fornitore non è considerata affatto dal 29% dei CIO, il valore più alto tra i criteri esaminati. Il rischio di lock-in, pur “considerato” dal 60%, è formalizzato o ha inciso su una scelta solo nel 23% dei casi. Eppure un dato conservato in un data center italiano da un fornitore extraeuropeo resta soggetto alla giurisdizione del Paese del fornitore, come prevede per esempio il CLOUD Act statunitense: la residenza del dato non coincide con la sovranità. E senza una strategia di uscita, la continuità del servizio dipende dalla buona volontà del fornitore.
Questi numeri mostrano che siamo passati dalla fase di preoccupazione a quella della consapevolezza, ma non ancora pienamente all’azione: per tutti i criteri la dichiarazione più frequente è infatti “considerato, non formalizzato”. Se ne parla, ma raramente diventa una regola scritta di acquisto.
Lo conferma il fatto che circa la metà dei CIO e dei CISO (51% e 50%) negli ultimi dodici mesi non ha modificato alcuna decisione di sourcing per aumentare il livello di Sovranità Digitale. Il 38% dei CIO e il 37% dei CISO lo ha già fatto, mentre solo l’11% e il 13% hanno valutato l’opzione senza poi cambiare la decisione.
Costi e compromessi delle scelte di sourcing
La scelta ha spesso un conto da pagare, non solo economico. La maggioranza dei CISO (53%) che ha modificato almeno una scelta di sourcing ha aumentato i costi e in misura minima (12%) ha ridotto funzionalità o performance. La situazione è più mitigata ma non lontana per i CIO che hanno modificato almeno una scelta di sourcing, il 37% dei quali ha accusato maggiori costi e il 16% ha dovuto accettare funzionalità o performance minori. Il dato sui CISO si basa però su appena 19 risposte e va preso come un’indicazione. Più interessante è l’altra faccia della medaglia: il 47% dei CIO che ha modificato una decisione di sourcing non ha dovuto accettare alcun compromesso. Sovranità e competitività, dunque, non sono sempre in conflitto. E il costo della scelta andrebbe confrontato con quello della dipendenza, che oggi non compare in nessun bilancio solo perché non si è ancora manifestato.
Dipendenze tecnologiche: solo il 27% dei CIO ha svolto un’analisi strutturata
Il dato più critico dello studio è che solo il 27% dei CIO dichiara di aver effettuato un’analisi dello stato attuale dei sistemi interni rispetto alla Sovranità Digitale. In altre parole, in tre grandi imprese su quattro manca una valutazione strutturata condotta con questa finalità. Non significa necessariamente che le imprese ignorino le proprie dipendenze tecnologiche, ma solleva un interrogativo sulla loro capacità di valutarle e governarle in modo sistematico. Tra i CIO che hanno effettuato l’analisi, nella maggior parte dei livelli tecnologici prevalgono le situazioni in cui sono state rilevate dipendenze oppure sono stati pianificati o avviati interventi. Va però considerato che i 55 CIO che l’hanno condotta sono probabilmente i più sensibili al tema: i loro risultati descrivono l’avanguardia, non la media. Sorprende anche quanto questa tendenza sia riscontrabile nell’intero stack infrastrutturale, dal livello fisico al cloud. Parlando di stack fa eccezione il livello network e connettività, dove nel 54% dei casi l’analisi non ha evidenziato criticità tali da richiedere l’identificazione di dipendenze, la pianificazione o l’esecuzione di interventi. È un esito ragionevole: reti e connettività sono in larga parte gestite da operatori europei, soggetti alla giurisdizione europea e a una regolazione di settore consolidata.
IA, SaaS e fornitori: dove la sovranità digitale resta più fragile
Il punto più delicato emerge però salendo lungo lo stack. Gli interventi si concentrano negli strati bassi: hardware e data center, cloud e dati. Negli strati alti la dipendenza viene riconosciuta, ma gli interventi sono circa la metà che negli strati bassi. Sull’intelligenza artificiale il 67% dei CIO ha identificato una dipendenza e solo il 16% ha pianificato o avviato interventi; su applicazioni e SaaS la dipendenza è stata identificata dal 47% e solo il 18% ha pianificato o avviato interventi. Proprio in questi strati si sono manifestati gli episodi più recenti: la posta elettronica nel caso della Corte penale internazionale, la sospensione nel giugno 2026 dell’accesso ad alcuni modelli di intelligenza artificiale per effetto dei controlli sull’esportazione. Le imprese hanno iniziato a proteggere i dati; non hanno ancora iniziato a proteggersi dai fornitori.
Sovranità digitale europea: perché le imprese chiedono un intervento legislativo
Oltre la metà dei CIO e quasi due terzi dei CISO (53% e 63%) ritiene opportuno un intervento legislativo per imporre azioni a favore della Sovranità Digitale Europea.
È un classico problema di azione collettiva. Chi sceglie per primo un fornitore europeo paga costi più alti mentre i concorrenti no. Solo una regola comune elimina lo svantaggio di chi si muove per primo. È coerente con i dati sui costi. In passato abbiamo assistito a un massivo ricorso a nuove norme per affrontare i rischi inerenti alle nuove tecnologie e in particolare l’IA, anche con gravi effetti collaterali. Ma qui la situazione è diversa: serve più una politica della domanda che nuovi divieti, a partire dagli appalti pubblici, che possono dare ai fornitori europei la scala che oggi manca. Ma la preferenza dovrebbe essere effettivamente europea mentre oggi in Italia i criteri di premialità negli appalti di tecnologie di cybersicurezza valgono per tutti i Paesi NATO e non distinguono un fornitore europeo da uno statunitense. L’intervento legislativo è auspicabile perché le contromisure per la sovranità digitale sono efficaci solo se adottate da tutti e in tutta la UE senza lasciare anelli deboli.
DORA e Cloud and AI Development Act: due modelli di intervento
Un esempio di come una norma ben scritta funzioni esiste già: per banche e assicurazioni il regolamento DORA impone strategie di uscita dai fornitori ICT che supportano funzioni critiche o importanti, trasformando il rischio di lock-in da criterio “considerato” a obbligo. Quanto alla preferenza europea, il Cloud and AI Development Act, proposto dalla Commissione europea nel giugno 2026 e ancora in discussione, potrebbe correggere questa impostazione introducendo nelle gare pubbliche per cloud e IA un criterio di “valore aggiunto dell’Unione” e livelli di sovranità che vincolano i fornitori del settore pubblico e dei settori critici. Per le imprese private che acquistano questi servizi non prevede per ora obblighi, sebbene la Commissione potrà estenderli in futuro.
Tuttavia chiedere al legislatore di imporre azioni quando tre imprese su quattro non hanno ancora condotto un’analisi strutturata delle proprie dipendenze rappresenta una criticità tutt’altro che trascurabile. Una legge può spingere le imprese a scegliere fornitori europei, ma non può sostituirsi a loro nel capire quali fornitori usano oggi e quanto ne dipendono. Senza questa analisi, anche la norma migliore rischia di restare sulla carta. Che il tema non sia ancora maturo lo indica anche il fatto che circa un intervistato su quattro, alla domanda sull’intervento legislativo, risponde “non so”. Il primo passo spetta quindi a CIO e CISO: capire da quali fornitori dipendono e lavorare su quelli più difficili da sostituire.
Partecipa alla community