Sovereign-Audit è un audit strutturato che valuta la vostra dipendenza dai fornitori cloud (Microsoft 365 in particolare) e la vostra reale capacità di recuperare i dati e di cambiare fornitore. Non certifichiamo una «sovranità»: misuriamo, documentiamo e stabiliamo le priorità.
La dipendenza digitale viene raramente misurata, e l'argomento sta diventando normativo
Il Regolamento (UE) 2023/2854 (Data Act) contiene un capitolo dedicato al passaggio tra servizi di trattamento dei dati, con obblighi di rimozione degli ostacoli tecnici e contrattuali al cambio di fornitore. Poche organizzazioni sanno oggi a che punto si trovano su questo tema.
Account di emergenza, federazione delle identità, Copilot, cifratura nativa, applicazioni Teams personalizzate: ogni scelta tecnica crea un po' più di dipendenza, senza che sia stata presa alcuna decisione esplicita.
I contratti cloud contengono clausole di recupero dei dati e di uscita, ma vengono firmati una sola volta e mai riesaminati alla luce dell'uso reale del tenant.
Il Data Act, SecNumCloud e Gaia-X definiscono un vocabolario e requisiti di portabilità, ma tradurli in un riscontro operativo sul VOSTRO tenant richiede un metodo e un tempo che i team IT interni non hanno.
Un metodo strutturato, basato su un catalogo di 32 controlli di dipendenza e di portabilità
Confronto con la direzione o con il responsabile IT per definire il perimetro (tenant M365, entità, controllate, fornitori chiave) e le questioni di dipendenza proprie della vostra organizzazione.
Esame della configurazione di Microsoft 365 (identità, backup, residenza dei dati, cifratura, applicazioni) e delle clausole contrattuali di reversibilità presso i vostri fornitori.
Ogni controllo è valutato secondo uno stato chiaro (coperto, parziale, assente, da verificare sul piano contrattuale), con una corrispondenza verso gli ambiti Microsoft 365 interessati.
Le risultanze sono collegate, quando pertinente, ai requisiti del Data Act europeo e al vocabolario di riferimento SecNumCloud/Gaia-X, senza mai presentarlo come una certificazione ottenuta.
Consegna di una relazione chiara alla direzione, con un piano d'azione con priorità per ridurre i punti di dipendenza più critici.
Un insieme chiaro di documenti utilizzabili dalla vostra direzione e dai vostri team IT
Valutazione documentata dei 32 controlli del catalogo, con uno stato per ciascun controllo.
Una visione d'insieme di dove si concentra la vostra dipendenza da Microsoft.
Uno strumento per rileggere con i vostri team legali i contratti cloud esistenti.
Corrispondenza tra le vostre risultanze e il vocabolario dei quadri di riferimento.
Raccomandazioni ordinate per criticità e facilità di attuazione.
Documenti in formati utilizzabili dai vostri team.
Sovereign-Audit si basa su quadri pubblici esistenti: non rilasciamo alcuna certificazione
Testo europeo che contiene un capitolo dedicato al passaggio tra servizi di trattamento dei dati (portabilità e interoperabilità del cloud). Sovereign-Audit si basa su questo capitolo per strutturare le domande dell'audit, senza presentare un articolo specifico come un obbligo già opponibile alla vostra organizzazione senza una verifica giuridica.
I controlli organizzativi relativi ai rapporti con i fornitori e alla continuità operativa strutturano una parte dell'analisi della dipendenza.
Quadro di riferimento per la qualificazione volontaria dell'ANSSI. La sua clausola di reversibilità contrattuale serve qui da griglia di lettura, anche se Microsoft 365 standard non è qualificato SecNumCloud.
Quadro europeo volontario e non vincolante, che fornisce un vocabolario comune di sovranità e di interoperabilità tra gli attori del cloud, qui utilizzato come griglia di lettura.
Ogni incarico è definito su preventivo, in base alle dimensioni e alla complessità del vostro ambiente
PMI, tenant M365 unico
PMI/medie imprese, più entità o controllate
Organizzazioni con un piano di rimedio
Su questa pagina non è fissata in anticipo alcuna tariffa
Il perimetro esatto (numero di entità, dimensioni del tenant, profondità dell'analisi contrattuale) viene definito con voi prima di qualsiasi preventivo.
Non solo i grandi gruppi né i settori «sensibili»: la dipendenza da un fornitore cloud riguarda imprese molto diverse, per ragioni diverse. Ecco i criteri ufficiali, senza confondere obbligo giuridico e buona prassi.
Il CLOUD Act statunitense (legge federale, Public Law 115-141) si applica ai «providers of electronic communication services or remote computing services» statunitensi e consente di obbligarli a trasmettere alla giustizia statunitense i dati in loro «possession, custody, or control», anche se tali dati sono archiviati fuori dagli Stati Uniti (disposizione codificata in 18 U.S.C. § 2713). In concreto: una PMI francese che ospita la posta elettronica o l'ERP presso un fornitore statunitense, o una controllata europea di un gruppo statunitense, può essere interessata per il solo fatto di questo legame di controllo, anche se i suoi dati sono ospitati in Francia o nell'UE. Testo ufficiale (Congress.gov)
Il Data Act (regolamento (UE) 2023/2854), applicabile dal 12 settembre 2025, è un testo trasversale che «si applica a tutti i settori». Il suo capitolo sul cambio di fornitore cloud dà a qualsiasi cliente, a prescindere dalle dimensioni, il diritto di «passare effettivamente a un altro fornitore di servizi di trattamento dei dati» (portabilità, interoperabilità), senza esenzione generale per le piccole imprese. Commissione europea - Data Act
La direttiva NIS2 copre 18 settori (energia, trasporti, sanità, finanza, gestione delle acque, infrastrutture digitali, comunicazioni elettroniche, piattaforme digitali, gestione dei rifiuti, fabbricazione di prodotti critici, servizi postali, spazio, pubblica amministrazione). Per questi settori, «di norma, le entità di medie e grandi dimensioni dovranno adottare misure adeguate di gestione dei rischi di cibersicurezza», il che include la gestione del rischio legato ai loro fornitori, compresi i loro fornitori cloud. Commissione europea - NIS2
La qualificazione SecNumCloud dell'ANSSI «riconosce offerte cloud affidabili» mediante un visto di sicurezza. Non è un obbligo giuridico generalizzato per le imprese private: è una qualificazione volontaria, raccomandata per proteggere dati sensibili o ospitare nel cloud sistemi informativi sensibili. ANSSI - cyber.gouv.fr
In sintesi, quattro profili tipicamente interessati
1. Una PMI che ospita posta elettronica, ERP o CRM presso un fornitore cloud statunitense di grande scala (o una controllata
europea di un gruppo statunitense): interessata dal CLOUD Act, indipendentemente dalle dimensioni.
2. Qualsiasi impresa europea, di qualsiasi dimensione, che utilizzi un servizio cloud
(SaaS, PaaS o IaaS): interessata dal 12/09/2025 dai nuovi diritti di portabilità del
Data Act.
3. Un'impresa media o grande di uno dei 18 settori critici NIS2 (energia, sanità,
trasporti, finanza, infrastrutture digitali...): deve gestire il rischio legato ai fornitori, cloud
compreso.
4. Un ente pubblico o un'impresa che ospita dati sensibili: obiettivo raccomandato
(non sistematicamente obbligatorio) della qualificazione SecNumCloud.
Questi criteri derivano da testi e pagine ufficiali citati sopra. Non è un parere legale: la vostra situazione esatta dipende dal vostro settore, dalle vostre dimensioni e dai vostri contratti, da far confermare da un giurista se necessario.
Ciò che è un vero obbligo giuridico, ciò che è una buona prassi raccomandata e ciò che sta per arrivare, spiegato in modo semplice, con il supporto di fonti ufficiali.
Se la vostra impresa fa ospitare dati personali (dipendenti, clienti) presso un fornitore cloud situato fuori dall'Unione europea, è la vostra impresa, e non il fornitore, a restare giuridicamente responsabile della protezione di tali dati ai sensi dell'RGPD. Dovete assicurarvi che tale trasferimento poggi su una garanzia riconosciuta: o il paese è ritenuto sicuro dall'Unione europea («decisione di adeguatezza»), oppure firmate con il fornitore le clausole contrattuali tipo fornite dalla Commissione europea. Si tratta di documenti standard da integrare nel contratto, non di una negoziazione da inventare da soli.
Fonte: CNIL, quadro dei trasferimenti di dati al di fuori dell'UE previsto dall'RGPD (capo V, articoli 45 e 46) - cnil.fr, consultato il 18/07/2026.
Dal 12 settembre 2025, un regolamento europeo (il «Data Act») obbliga i fornitori di servizi cloud ad agevolare il cambio di fornitore: devono ridurre progressivamente i costi di uscita e fornire i vostri dati in un formato che potete riutilizzare altrove. In concreto, se un fornitore vi risponde che «non è possibile» o vi fattura somme sproporzionate per recuperare i vostri stessi dati, da questa data non è più normale. Il calendario preciso di soppressione totale di tali costi è fissato dal testo normativo: fatelo verificare dal vostro giurista o dal vostro fornitore se vi viene fatturato un importo.
Fonte: Commissione europea, «Data Act» (Regolamento (UE) 2023/2854, capo VI) - digital-strategy.ec.europa.eu, consultato il 18/07/2026.
SecNumCloud è una qualificazione rilasciata dall'ANSSI (l'agenzia francese per la cibersicurezza) che consente di riconoscere le offerte cloud ritenute affidabili per ospitare dati sensibili. Non è un obbligo giuridico per un'impresa privata. Si impone soprattutto alle amministrazioni e agli enti che gestiscono sistemi informativi sensibili per lo Stato. Per una PMI, è un punto di riferimento utile per confrontare le offerte cloud tra loro, non una norma da rispettare per legge.
Fonte: ANSSI (cyber.gouv.fr), pagina «Cloud» - cyber.gouv.fr, consultato il 18/07/2026.
La CNIL raccomanda, senza che si tratti di un obbligo quantificato e dettagliato nella legge, di elencare i servizi cloud effettivamente utilizzati nella vostra impresa, di verificare il livello di sicurezza del fornitore prima di firmare, di scrivere nero su bianco nel contratto chi fa cosa in materia di sicurezza e di cifrare i dati sensibili. Il principio da ricordare: il fornitore mette in sicurezza la propria infrastruttura, ma spetta a voi configurare correttamente gli accessi e gli account dei vostri team. Una cattiva configurazione da parte vostra non è coperta dalla sicurezza del fornitore.
Fonte: CNIL, «Sicurezza del cloud (informatica in nuvola)» - cnil.fr, consultato il 18/07/2026.
La Commissione europea ha avviato la discussione su un progetto di regolamento, il «Cloud and AI Development Act», per rafforzare le capacità europee di cloud e di intelligenza artificiale e ridurre la dipendenza dai grandi fornitori non europei. Questo testo non è ancora in vigore: è una proposta in corso di esame, non una regola da applicare oggi. Prevede un sistema di livelli di fiducia per valutare la sovranità di un'offerta cloud. Da seguire, senza trarne alcuna conclusione operativa immediata.
Fonte: Commissione europea, «Cloud and AI Development Act» - digital-strategy.ec.europa.eu, pagina aggiornata al 03/06/2026, consultata il 18/07/2026.
Questa sezione vi dà punti di riferimento chiari, non un parere legale. Per una situazione specifica (contratto in corso, trasferimento di dati specifico), fate convalidare dal vostro servizio legale o da un avvocato.
Cinque domande che si pongono i dirigenti di PMI, ciascuna con risposta in 2 minuti e con la relativa fonte ufficiale
Queste risposte riassumono pagine ufficiali consultate nel luglio 2026 (Commissione europea, CNIL, ANSSI, Gaia-X). Non costituiscono un parere legale e non sostituiscono un'analisi dedicata alla vostra situazione.
Contattateci per ricevere un preventivo adatto al vostro perimetro.