Bruxelles pubblica la sua prima pagella di sovranità
La Commissione europea ha assegnato il 17 aprile 2026 i primi contratti del suo nuovo Cloud Sovereignty Framework, un quadro di appalto da 180 milioni di euro su sei anni nell'ambito del sistema dinamico di acquisto Cloud III della Commissione, avviato già nell'ottobre 2025 secondo quanto riportato da Help Net Security. Con l'assegnazione, la Commissione ha introdotto una scala di valutazione graduale chiamata SEAL, da Sovereignty Effectiveness Assurance Level, che va da SEAL-0 a SEAL-4, dove SEAL-0 segna la totale assenza di sovranità e SEAL-4 richiede una catena di fornitura interamente europea, dai chip al software.
I fornitori dovevano raggiungere almeno SEAL-2, descritto dalla Commissione come un livello di Sovranità dei Dati, solo per poter concorrere a un contratto. Questa soglia conta perché sostituisce una vaga dichiarazione autoreferenziale di sovranità con una barriera concreta che ogni candidato doveva superare prima ancora che Bruxelles considerasse la sua offerta, valutata su otto obiettivi ponderati riguardanti strategia, tutela legale, controllo operativo, responsabilità ambientale, trasparenza della catena di fornitura, apertura tecnologica, sicurezza e conformità al diritto dell'UE.
Quattro vincitori, due livelli di sovranità diversi
Quattro consorzi hanno superato la soglia e detengono ora contratti nell'ambito del framework, ciascuno radicato in un diverso paese dell'UE e ciascuno collocato su un diverso livello SEAL. Post Telecom, con sede in Lussemburgo, ha vinto insieme alle francesi OVHcloud e CleverCloud; la tedesca STACKIT, di proprietà del gruppo Schwarz, che possiede anche Lidl e Kaufland, ha vinto da sola; la francese Scaleway, di proprietà di Iliad, ha vinto anch'essa da sola; e un consorzio guidato dalla belga Proximus insieme a S3NS, Clarence e all'azienda francese di intelligenza artificiale Mistral AI ha vinto il quarto contratto.
| Consorzio | Paese di origine | Livello SEAL raggiunto |
|---|---|---|
| Post Telecom con OVHcloud e CleverCloud | Lussemburgo / Francia | SEAL-3 |
| STACKIT (gruppo Schwarz) | Germania | SEAL-3 |
| Scaleway (Iliad) | Francia | SEAL-3 |
| Proximus con S3NS, Clarence e Mistral AI | Belgio / Francia | SEAL-2 |
Post Telecom, STACKIT e Scaleway hanno raggiunto tutte SEAL-3, il livello che la Commissione definisce immune da interruzioni di una catena di fornitura esterna all'UE. Il consorzio guidato da Proximus ha raggiunto SEAL-2, esattamente la soglia minima, il che riflette come il suo ambiente tecnico si appoggi su tecnologia Google Cloud, pur essendo ogni azienda operativa della catena con sede nell'UE.
Una lista da cui comprare oggi, non una promessa per domani
Gran parte della politica di sovranità dell'UE si è fermata finora al livello di una data obiettivo o di un documento strategico. Questo framework è diverso: nomina quattro fornitori concreti, indica il livello di sovranità raggiunto da ciascuno e permette a qualsiasi azienda dell'UE che stia valutando la propria esposizione al CLOUD Act statunitense o a una futura interruzione geopolitica dell'accesso al cloud di acquistare già da oggi da una lista classificata e citabile.
Questa immediatezza è la vera notizia, non la meccanica dell'appalto. Un'azienda preoccupata che un governo straniero possa forzare l'accesso ai propri dati in cloud non deve più attendere un futuro regime normativo che le dica chi qualifica; può indicare STACKIT, Scaleway, il consorzio Post Telecom guidato da OVHcloud o il gruppo Proximus legato a Mistral AI, e chiedere a ciascuno, direttamente, quale livello SEAL possa effettivamente documentare.
Il divario tra SEAL-2 e SEAL-3 è il vero segnale per gli acquisti
Tre dei quattro vincitori hanno raggiunto SEAL-3 mentre uno solo ha raggiunto SEAL-2, e quella linea l'ha tracciata la Commissione stessa, non il linguaggio di marketing. Un fornitore che si definisce sovrano afferma così un livello molto preciso su una scala a cinque gradini, e il divario tra SEAL-2 e SEAL-3 segna la differenza tra sovranità dei dati e reale immunità da interruzioni di una catena di fornitura esterna all'UE.
Ogni team acquisti che valuti un contratto cloud dovrebbe porre questo divario al proprio fornitore, etichettato come sovrano o meno: quale livello SEAL raggiungerebbe davvero, e su quale degli otto obiettivi ponderati resterebbe indietro. La Commissione ha ora dimostrato che questa domanda ha una risposta concreta e valutabile, non una risposta di marketing.
Da leggere ora: Berlino impara la sovranità da chi non ha vinto | L'accordo di sovranità di Airbus lascia Skywise su AWS
