Quanto è sicuro un cloud da cui non possiamo uscire?

Tempo fa era più facile: parlavamo di cloud e pensavamo all'efficienza, scalabilità e costi. Oggi le cose stanno cambiando, e non di poco: infatti con l'aumento delle tensioni geopolitiche e la crescente centralità delle infrastrutture digitali, nella valutazione dei fornitori entra con più forza anche un'altra variabile, che è quella della dipendenza tecnologica.

Proviamo a spiegarci partendo da qualche numero: il Cloud Report 2026 di Bitkom, basato su una rilevazione rappresentativa di 603 imprese tedesche, fotografa bene il problema. L'85% delle aziende considera la Germania troppo dipendente dai cloud provider statunitensi, mentre il 43% ritiene che per le proprie esigenze non esistano ancora alternative europee equivalenti agli hyperscaler americani. C'è poi una distanza significativa tra ciò che le imprese utilizzano e ciò che preferirebbero utilizzare. Il 71% ricorre oggi a servizi cloud statunitensi, ma soltanto l'8% li indica come scelta preferita.

Una dipendenza così forte ha anche una conseguenza sul piano della cybersecurity. Più servizi, dati e processi critici vengono concentrati su pochi fornitori, più aumenta l'impatto potenziale di un incidente, di un'interruzione o di una compromissione lungo la supply chain digitale. Per questo la sicurezza del cloud non riguarda soltanto la protezione dagli attacchi, ma anche la capacità di ridurre i punti di dipendenza e mantenere alternative praticabili.

“Ok, basta cambiare fornitore” potrebbe pensare qualcuno. Purtroppo non è né semplice, né automatico. Molte aziende hanno costruito nel tempo processi, applicazioni e servizi attorno a ecosistemi tecnologici molto complessi, dai quali non sempre è facile uscire senza costi, tempi di migrazione e conseguenze operative.

Quanto costa dipendere da un solo cloud

Allora, non abbiamo via d'uscita verso una maggiore dipendenza? Quanto sono sostituibili i servizi digitali sui quali poggia il funzionamento dell'azienda?

Un'interruzione può dipendere da un incidente informatico, da un problema tecnico del provider, da nuove restrizioni normative o anche dall'evoluzione dei rapporti tra Paesi. In tutti questi casi conoscere la posizione geografica dei dati continua a essere importante, ma da sola non basta. Un'azienda dovrebbe sapere quali applicazioni, dati e processi critici dipendono da un determinato fornitore e quanto quella dipendenza sia profonda, perché spesso non riguarda soltanto lo spazio di archiviazione, ma anche servizi di autenticazione, database, strumenti di sicurezza, sistemi di backup, API e componenti applicative difficili da separare dall'ecosistema cloud scelto.

La domanda da porsi è quindi quanto sarebbe realmente possibile continuare a operare se uno di questi servizi venisse meno. Significa valutare i tempi di ripristino, verificare se dati e applicazioni possano essere trasferiti altrove senza bloccare il business, disporre di backup effettivamente recuperabili e prevedere procedure di uscita dal provider prima che servano davvero.

Anche aspetti come la gestione delle identità e degli accessi, il controllo delle chiavi di cifratura o la disponibilità dei log possono diventare decisivi nel momento in cui bisogna migrare o ricostruire rapidamente un servizio.

La sovranità digitale finisce così per intrecciarsi direttamente con la cyber resilience; questo non significa eliminare ogni dipendenza tecnologica, ma conoscerla, misurarne l'impatto e predisporre alternative credibili. Perché un'infrastruttura può essere sicura dal punto di vista tecnico e restare comunque fragile se l'azienda non è in grado di sostituirla, ripristinarla o continuare a operare quando viene meno uno degli elementi su cui ha costruito i propri servizi.

L'Europa prova a riprendersi il controllo del cloud

In Europa qualcosa si sta muovendo. Il 1° settembre OVHcloud - gruppo francese tra i principali operatori europei di servizi cloud - ha ottenuto dall'ANSSI la qualificazione SecNumCloud per la propria piattaforma di public cloud. L'ANSSI è l'Agenzia nazionale francese per la sicurezza dei sistemi informativi e SecNumCloud è la qualifica con cui certifica servizi cloud che rispettano requisiti particolarmente elevati di sicurezza, anche sul piano tecnico, organizzativo e giuridico.

Si tratta di uno standard particolarmente rilevante per la gestione di dati sensibili e per i settori regolamentati. OVHcloud sta ora preparando l'estensione della piattaforma in altri mercati europei, tra cui Italia, Germania e Polonia.

A giugno la Commissione ha presentato il pacchetto sulla sovranità tecnologica europea, che comprende interventi sui semiconduttori, sul cloud e sull'intelligenza artificiale e una nuova strategia open source. L'obiettivo è la riduzione delle dipendenze critiche e il rafforzamento dell'autonomia e della resilienza dell'ecosistema digitale europeo.

Multi-cloud, ma non abbastanza: il caso Railway mostra dove si nasconde il vero punto debole

Per capire quanto una dipendenza tecnologica possa essere profonda, e quanto possa sfuggire anche in architetture distribuite su più provider, vale la pena guardare a un incidente recente che ha coinvolto Railway, piattaforma cloud utilizzata per sviluppare e distribuire applicazioni.

Nel maggio 2026 Railway è rimasta sostanzialmente inaccessibile per diverse ore dopo che Google Cloud aveva sospeso automaticamente e per errore il suo account di produzione. L'interruzione ha mandato offline API, database e servizi ospitati su GCP, ma il problema non si è fermato lì.

Railway utilizzava infatti anche infrastrutture proprie e risorse su AWS. Una componente centrale della rete, il control plane che permetteva di aggiornare le informazioni necessarie per instradare il traffico, continuava però a dipendere da Google Cloud. Quando le informazioni presenti nelle cache sono scadute, anche workload che stavano continuando a funzionare su altre infrastrutture sono diventati irraggiungibili.

Dopo l'incidente, la stessa Railway ha riconosciuto come una singola dipendenza da un provider fosse riuscita a propagarsi fino a coinvolgere l'intera piattaforma. Il caso mostra perché parlare di resilienza non significhi semplicemente utilizzare più cloud provider. Serve conoscere le dipendenze tra le diverse componenti dell'architettura e individuare quei servizi che, se vengono meno, possono trascinare con sé tutto il resto

Dalla scelta del provider alla continuità del business

Per un'azienda, tutto questo non si traduce necessariamente nella ricerca di un'impossibile autosufficienza tecnologica; oggi applicazioni, infrastrutture, software e servizi digitali sono costruiti su ecosistemi globali, con componenti, piattaforme e fornitori spesso distribuiti tra più Paesi e strettamente interconnessi. Pensare di sostituire integralmente queste dipendenze con soluzioni proprietarie o soltanto nazionali avrebbe costi, tempi e complessità difficilmente sostenibili.

Tuttavia, la priorità è capire quali dipendenze possono essere gestite e quali rischiano invece di diventare un punto di vulnerabilità. Sapere quali servizi sono realmente critici, quanto sarebbe complesso sostituirli, se dati e applicazioni possono essere trasferiti con tempi compatibili con il business e quali procedure attivare in caso di indisponibilità diventa parte della stessa valutazione che già facciamo per altri rischi operativi.