Sovranità digitale nella PA: non esiste un cloud sicuro senza controllo 

La sovranità digitale nella PA è un tema centrale per le organizzazioni pubbliche italiane e mondiali. Le implicazioni legate alla migrazione in cloud dei dati pubblici sono svariate e proprio questa molteplicità di diramazioni può creare errori e confusione nella trattazione di questo argomento.

Se da un lato, grazie al PNRR, buona parte delle PA italiane che gestiscono dati strategici e servizi critici sono ormai migrate sul Polo Strategico Nazionale, ci sono ancora molti enti che stanno completando il percorso di migrazione.

Secondo i dati del Dipartimento per la trasformazione digitale, ad oggi, il 75% delle pubbliche amministrazioni italiane ha abbandonato i server locali, migrando i propri dati in un cloud sicuro certificato.

Parliamo di dati positivi, che ci allineano con il resto dei paesi europei. Il problema scaturisce proprio nella fase che possiamo definire di “post migrazione”.

Sappiamo benissimo, infatti, che, sebbene i dati possano trovarsi in cloud, e quindi archiviati online, queste informazioni si trovano materialmente ospitate in server dislocati in giro per il mondo.

Il PSN, ad esempio, si appoggia su server italiani, ma cosa succede a tutte le altre centinaia di PA che si affidano a provider che detengono strutture dislocate all’estero? Chi possiede fisicamente questi dati? Sotto quale giurisdizione si trovano? E inoltre, chi detiene le chiavi di sicurezza?

Sono queste le domande che oggi dobbiamo porci per capire seriamente il problema della sovranità digitale. Un tema che non lambisce solamente la geopolitica, ma, come dicevamo all’inizio, presuppone una sfilza di diverse variabili.

Per tentare di capire a che punto si trovano le PA italiane in questo processo, Liferay, durante FORUM PA 2026, ha realizzato un’indagine campione su 36 enti pubblici italiani. I risultati della survey hanno mostrato un livello medio di maturità significativo, ma anche una distanza ancora evidente tra consapevolezza strategica e capacità operativa.

La sovranità digitale su vari livelli

Come detto, la sovranità digitale è la capacità di un ente (nel nostro caso un ente pubblico) di mantenere il pieno controllo sui propri dati, sulle infrastrutture che li ospitano e sul modo di governarli.

La sovranità digitale può essere analizzata schematicamente basandosi su tre livelli:

• Piano giuridico e normativo: relativo alle leggi e ai regolamenti che intervengono sui provider e sui server dislocati sui vari territori.

• Piano tecnico: relativo al controllo delle chiavi di cifratura, alla sicurezza, alla portabilità e alla possibilità di migrare dati e applicazioni.

• Piano organizzativo: relativo alle policy e alla supervisione delle tecnologie, inclusa l’intelligenza artificiale.

La sovranità digitale non coincide quindi con la semplice residenza del dato. Un’informazione può essere conservata in un’infrastruttura localizzata sul territorio nazionale e restare comunque soggetta a forme di dipendenza tecnica, contrattuale o operativa.

Allo stesso modo, un’amministrazione può aver completato la migrazione al cloud senza disporre di una strategia per trasferire i servizi altrove. Oppure può utilizzare sistemi di cifratura senza avere un quadro chiaro di chi controlli effettivamente le chiavi.

Una PA a due velocità

Analizzando il test di autovalutazione somministrato da Liferay durante FORUM PA 2026, emerge chiaramente un dato di fatto: nel campo della sovranità del dato pubblico, ci troviamo di fronte a una PA che va a due velocità.

Dei 36 enti pubblici coinvolti, infatti, il 47% di questi si dichiara “con una postura solida e in linea con le direttive nazionali ed europee”. Il 50%, invece, “ha intrapreso il percorso ma mantiene lacune strutturali in aree ad alto rischio legale e operativo”.

Non si tratta semplicemente di un ritardo fisiologico nella roadmap, ma di una chiara presa di coscienza: il 50% degli enti che hanno partecipato alla survey ammette di avere dei coni d’ombra, delle zone in cui non è ben chiara la strategia di ottimizzazione della sicurezza né tantomeno la capacità effettiva di proteggere i dati.

Le zone più a rischio: exit strategy e chiavi di cifratura

Nel documento, che può essere consultato integralmente a questo link, non ci si limita solamente a constatare questo dato di fatto. Nella survey vengono analizzate 10 dimensioni diverse, sempre relative alla sovranità digitale, con i rispettivi punteggi delle PA rispondenti. Ed è proprio qui che emergono i settori più delicati.

Le PA si trovano in situazioni più critiche, o comunque solo parzialmente conformi, soprattutto nelle dimensioni relative alle exit strategy e alle chiavi di cifratura. Per la prima dimensione, parliamo della “capacità di un ente di cambiare fornitore tecnologico o piattaforma senza perdere dati, funzionalità o continuità del servizio”. Qui, il 64% degli enti pubblici si dichiara parzialmente conforme, mentre l’11% dice di trovarsi in una situazione critica.

Per quello che riguarda le chiavi di cifratura, cioè “chi detiene e gestisce concretamente le chiavi usate per cifrare i dati sensibili”, il 44% degli enti si trova in una situazione parzialmente conforme, mentre il 19% di questi in una condizione critica.

Il vero problema del cloud: il controllo

Sebbene il campione analizzato sia circoscritto, il report mostra chiaramente una tendenza che potrebbe riguardare altre centinaia di amministrazioni pubbliche.

Non è bastato (e non basterà) migrare i dati in cloud delle pubbliche amministrazioni italiane: bisogna mettere a terra una strategia di controllo e di protezione che possa andare oltre il singolo dato e consentire alle PA un vero controllo sui dati dei cittadini e delle cittadine. Un controllo che parte dal dato, fino ad arrivare a chi questo dato lo conserva e lo protegge, in una logica onnicomprensiva.

L’Osservatorio Liferay sulla Sovranità Digitale nella Pubblica Amministrazione Italiana, con l’analisi delle 10 dimensioni di maturità e le raccomandazioni operative per gli enti pubblici, è disponibile per il download qui