1. Una mappa nazionale delle dipendenze digitali
Censire, con priorità alle amministrazioni centrali e ai servizi essenziali:
- dati e applicazioni, infrastrutture cloud e centri dati;
- sistemi operativi, posta, documenti, collaborazione e identità amministrative;
- reti, connettività, hardware e componenti difficili da sostituire;
- sistemi di intelligenza artificiale, modelli e capacità di calcolo;
- fornitori diretti, subfornitori, licenze e competenze necessarie per operare.
Usare la classificazione esistente dei dati e servizi pubblici come base, integrandola con una valutazione delle dipendenze tecnologiche, societarie e giuridiche. Il sistema di qualificazione cloud deve restare quello delle autorità competenti; i nuovi requisiti di autonomia non vanno confusi con una certificazione già ottenuta. Fonte: Cloud Italia, catalogo e Regolamento ACN.
Per ogni dipendenza ad alto rischio individuare una delle tre azioni: sostituire, quando esiste un’alternativa adeguata; diversificare, quando la sostituzione integrale non è ragionevole; mantenere temporaneamente con mitigazioni, responsabilità e una scadenza di riesame. Pubblicare indicatori aggregati, proteggendo i dettagli che esporrebbero vulnerabilità.
2. Investire in capacità digitali pubbliche italiane ed europee
Avviare un programma pluriennale per dotare lo Stato di infrastrutture e servizi sui quali esercitare un controllo operativo effettivo: capacità di calcolo, archiviazione, reti di collegamento, gestione delle identità e delle chiavi, monitoraggio e ripristino.
Valutare prima la capacità già disponibile presso soggetti pubblici, PSN, fornitori qualificati e infrastrutture europee. Acquisire, aggiornare o costruire soltanto quanto serve a coprire carenze documentate, evitando di finanziare centri dati inutilizzati o duplicazioni prive di beneficio.
Le nuove componenti finanziate integralmente dal programma dovranno avere proprietà pubblica oppure diritti pubblici permanenti e verificabili di uso, modifica, manutenzione e trasferimento, coerenti con la natura del bene. La governance del nucleo strategico resterà pubblica. Imprese qualificate potranno realizzare opere, sviluppare software e fornire manutenzione attraverso contratti contendibili; nessun contratto dovrà sottrarre allo Stato le capacità necessarie per continuare a operare.
Per i servizi più sensibili richiedere controllo italiano o europeo dei livelli decisionali e operativi rilevanti, accessi privilegiati governabili e valutazione delle dipendenze residue. Le componenti estere non sostituibili resteranno esplicite, con misure di continuità e diversificazione: non saranno presentate come indipendenza già raggiunta.
3. Prima la PA: un catalogo di servizi gestiti e utilizzabili
Il primo committente e utilizzatore sarà l’amministrazione dello Stato, con sperimentazioni anche presso enti territoriali e sanitari.
Il catalogo iniziale coprirà quattro famiglie di servizi:
1. capacità di calcolo e archiviazione;
2. backup, conservazione delle copie e ripristino;
3. posta elettronica, calendario e collaborazione sui documenti;
4. videoconferenza e scambio sicuro di file.
Prevedere migrazione assistita, formazione, assistenza continuativa, accessibilità, compatibilità documentale e obiettivi contrattuali di qualità. Gli applicativi specialistici saranno affrontati successivamente, in base alla criticità e alla disponibilità di alternative.
Privilegiare software riutilizzabile, codice aperto e standard documentati, sostenendo anche manutenzione e correzione delle vulnerabilità dei progetti utilizzati. Il codice aperto deve poter essere mantenuto e verificato da più operatori: il solo accesso al sorgente non basta a renderlo sicuro.
Questa impostazione sviluppa le regole italiane sulla valutazione comparativa e sul riuso, che già prevedono il rilascio del software di titolarità pubblica secondo le condizioni e le eccezioni applicabili. Fonte: AgID, linee guida su acquisizione e riuso.
4. Appalti che acquistano autonomia verificabile
Introdurre nei nuovi affidamenti requisiti proporzionati alla criticità del servizio:
- formati e interfacce documentati e interoperabili;
- esportazione e reimportazione di dati, configurazioni e metadati necessari;
- disponibilità di documentazione, strumenti e competenze per il subentro;
- trasparenza su proprietà, subfornitori, giurisdizioni e accessi privilegiati;
- gestione delle vulnerabilità, aggiornamenti e tracciabilità delle componenti software;
- prova pratica di trasferimento e prosecuzione del servizio su un’alternativa.
Favorire lo sviluppo di capacità italiane ed europee attraverso domanda pubblica, ricerca e criteri di sicurezza motivati, nel rispetto delle regole applicabili su appalti, concorrenza e aiuti. Evitare preferenze generiche fondate soltanto sulla nazionalità del marchio o dichiarazioni di “immunità” non dimostrate.
Il piano di uscita deve essere collaudato e finanziato. La portabilità dei dati non implica automaticamente quella dell’applicazione o il trasferimento delle competenze. Il Data Act offre un quadro europeo per il cambio di fornitore; l’eliminazione degli specifici oneri di switching dal 12 gennaio 2027 non rende gratuiti tutti i costi tecnici della migrazione. Fonte: Bundesnetzagentur, regole sul provider switching.
5. Infrastrutture interoperabili, costruite sulle basi esistenti
Rafforzare identità digitale, pagamenti pubblici e scambio autorizzato dei dati, integrandosi con SPID/CIE, pagoPA, PDND e con l’evoluzione europea dell’identità digitale. Queste piattaforme sono già parte della strategia italiana di digitalizzazione: il programma dovrà renderne interoperabilità e continuità verificabili, evitando di ricrearle. Fonte: Dipartimento per la trasformazione digitale, Digitalizzazione della PA.
Gli scambi dovranno rispettare finalità, autorizzazioni, minimizzazione e tracciabilità degli accessi. Il programma non prevede un’unica banca dati contenente tutte le informazioni sui cittadini.
Per l’IA collegare la domanda della PA alle proposte Synedrion su modelli europei plurali, dataset verificabili e capacità computazionale. Selezionare i servizi mediante prove di qualità, sicurezza e adeguatezza, mantenendo supervisione umana e possibilità di sostituzione.
6. Poi le imprese: una capacità pubblica che abilita un mercato
Dopo la validazione dei servizi per la PA, aprire gradualmente alle imprese italiane un’offerta di capacità e servizi digitali affidabili, con priorità alle PMI e alle filiere strategiche. L’accesso sarà volontario e regolato con criteri coerenti con il mercato europeo.
L’offerta potrà comprendere cloud, backup, collaborazione, sicurezza e capacità per applicazioni di IA, erogati direttamente quando giustificato oppure tramite più operatori e integratori qualificati. Le imprese potranno scegliere servizi e fornitori e trasferire i propri dati.
L’apertura sarà subordinata a verifica indipendente di capacità disponibile, qualità, sicurezza e sostenibilità economica. Risorse, dati e accessi della PA resteranno separati da quelli delle imprese. La domanda privata non dovrà ridurre la continuità dei servizi pubblici.
Pubblicare condizioni di accesso e prezzi; separare contabilmente missione pubblica, contributi e attività commerciali. Eventuali agevolazioni alle PMI dovranno avere finalità, durata, coperture e criteri di valutazione espliciti. L’investimento deve favorire concorrenza e crescita di fornitori italiani ed europei, evitando un nuovo monopolio tecnologico.
7. Continuità anche in caso di crisi internazionale
Prevedere copie indipendenti e protette dalle modifiche malevole, siti geograficamente separati, procedure di funzionamento degradato e prove periodiche di ripristino. Valutare anche la perdita improvvisa di un fornitore, di un’autorizzazione o di una connessione internazionale.
Misurare separatamente il tempo necessario a ripristinare il servizio dopo un incidente e quello necessario a trasferirlo a un altro operatore. I fornitori alternativi dovranno essere indipendenti anche nelle dipendenze essenziali, quando necessario per lo scenario di rischio.
Per determinati dati e servizi valutare accordi europei di continuità ispirati alle ambasciate dei dati estoni. Queste richiedono accordi giuridici e controllo operativo: una semplice copia ospitata all’estero non offre le stesse garanzie. L’accordo Estonia–Lussemburgo costituisce un precedente documentato. Fonte: Governo estone, accordo del 2017.
8. Competenze e responsabilità pubbliche
Affidare il coordinamento politico alla Presidenza del Consiglio e al Dipartimento per la trasformazione digitale, con responsabilità operative pubblicamente assegnate e finanziate. Coinvolgere ACN per gli aspetti di sicurezza e qualificazione di competenza, AgID per interoperabilità e riuso, Consip per gli strumenti di acquisto e MEF per coperture e sostenibilità. Le autorità indipendenti mantengono le proprie competenze.
Costituire una struttura di programma entro le istituzioni esistenti, con personale tecnico stabile e competenze giuridiche ed economiche, evitando la creazione automatica di una nuova agenzia. Separare committenza, gestione e verifica indipendente.
Finanziare formazione del personale, percorsi universitari e tecnici, manutentori del software aperto e ricerca su sicurezza e tecnologie critiche. Lo Stato deve conservare la capacità di valutare le soluzioni e dirigere una transizione anche quando affida servizi a imprese esterne.
9. Un investimento pubblico con piano finanziario e verifiche
Prevedere un programma iniziale quinquennale. La dotazione dovrà derivare da una ricognizione dei fabbisogni e da un piano tecnico-finanziario, non da una cifra presentata come già dimostrata.
Prima degli investimenti principali confrontare almeno tre opzioni: prosecuzione dell’assetto attuale, migrazione selettiva verso servizi italiani ed europei e sviluppo di capacità pubbliche condivise. Per ciascuna stimare costi su cinque e dieci anni, personale, migrazione, duplicazione temporanea dei sistemi, licenze, energia, manutenzione, sicurezza e sostituzione delle apparecchiature.
Distinguere spesa di investimento e gestione ricorrente. Usare stanziamenti nazionali pluriennali e strumenti europei effettivamente disponibili e ammissibili al momento dell’attuazione. Non contabilizzare come coperture risparmi sulle licenze ancora da conseguire, futuri ricavi dalle imprese o finanziamenti europei non assegnati.
Verificare disponibilità energetica e idrica, efficienza, riuso di infrastrutture e domanda prima di autorizzare nuovi centri dati. Procedere per lotti, con verifiche di risultati e possibilità di correggere o interrompere gli interventi inefficaci.
Esperienze da adattare
- Francia — qualificare il controllo effettivo. SecNumCloud considera dimensioni tecniche, operative e giuridiche delle offerte cloud e i rischi legati alle leggi extraterritoriali. Da adattare il metodo di verifica, in coerenza con il quadro italiano ed europeo. La qualificazione dell’offerta non certifica automaticamente ogni applicazione che vi viene ospitata. ANSSI, Cloud e SecNumCloud.
- Germania — migrare servizi concreti. Lo Schleswig-Holstein ha comunicato nel 2025 il completamento della migrazione della posta dell’amministrazione a Open-Xchange e Thunderbird. Il caso mostra un percorso delimitato e operativo; non dimostra che ogni applicativo o l’intero sistema pubblico sia stato sostituito. Governo dello Schleswig-Holstein, 6 ottobre 2025.
- Estonia — continuità oltre il singolo territorio. L’accordo con il Lussemburgo offre un precedente per la protezione e la continuità dei sistemi pubblici attraverso intese tra Stati, da valutare secondo le esigenze italiane. Governo estone, 20 giugno 2017.
- India — infrastrutture interoperabili con più partecipanti. UPI, sviluppato da NPCI, soggetto regolato dalla banca centrale, è un riferimento per l’interoperabilità tra operatori. Non viene assunto come modello di proprietà statale integrale né come ragione per replicare sistemi biometrici o concentrare i dati personali. NPCI, FAQ UPI.
- Europa — strategia e capacità condivise. Il rapporto EuroStack del 2025 offre una visione industriale da discutere e sviluppare, non un’infrastruttura pubblica unica già operativa. Il programma potrà partecipare a progetti europei su infrastrutture federate, dati, calcolo e software quando producano capacità verificabili. Bertelsmann Stiftung, EuroStack.