Cosa hanno davvero verificato ANSSI e BSI

Il 17 agosto 2026 l'agenzia francese per la cibersicurezza ANSSI ha concesso a Nextcloud Files, versione 31.0.7.2, la certificazione CSPN, il livello base di sicurezza richiesto dal paese per il software destinato agli appalti pubblici. I tecnici hanno condotto test di vulnerabilità e penetrazione su cinque funzioni precise, autenticazione, controllo degli accessi, protezione dei dati archiviati, comunicazioni HTTPS e registrazione, in una configurazione on-premise, senza rilevare problemi. Separatamente, un'installazione Nextcloud gestita da Dataport, il fornitore IT pubblico di diversi Land tedeschi, opera ora all'interno di un ambiente certificato secondo lo schema BSI IT-Grundschutz, integrato nel sistema di gestione della sicurezza di Dataport stesso invece che certificato come prodotto autonomo.

Una certificazione, due paesi

Ciò che trasforma due approvazioni nazionali separate in un'unica storia è il riconoscimento, non la coincidenza. La BSI tedesca tratta formalmente la CSPN dell'ANSSI come equivalente al proprio schema accelerato, la Beschleunigte Sicherheitszertifizierung, perché entrambe corrispondono allo stesso standard europeo, la EN 17640, costruito per essere compatibile con il Cybersecurity Act UE. In pratica un fornitore non deve più superare due audit nazionali separati per dimostrare la stessa garanzia di sicurezza nei due maggiori mercati di appalto pubblico dell'UE; una sola certificazione fa ora il lavoro di due.

La promessa del Cybersecurity Act UE, messa alla prova

Il Cybersecurity Act è stato scritto sulla premessa che un unico schema di certificazione a livello UE potesse sostituire 27 regimi nazionali frammentati, tagliando i costi di conformità duplicati per qualunque fornitore che vende oltre confine. Gran parte di quella promessa è rimasta teorica perché gli schemi della legge sono ancora in costruzione; il riconoscimento tra ANSSI e BSI è uno dei primi casi in cui ha funzionato visibilmente per un prodotto reale, e a beneficiarne non è stato un colosso tecnologico americano, ma una piattaforma di collaborazione open source che la maggior parte degli acquirenti pubblici europei non sceglie ancora di default.

Cosa cambia per chi acquista

Per qualsiasi organizzazione UE o del Regno Unito che valuti un'alternativa ospitata nella UE a Microsoft 365 o Google Workspace per motivi di conformità, il cambiamento pratico è meno attrito negli appalti: una certificazione di cui la controparte pubblica tedesca si fida già ora vale anche in una gara francese, e viceversa, senza un nuovo ciclo di audit. Questo non rende Nextcloud di per sé più sicura dei fornitori affermati, e copre una versione di prodotto e una configurazione di hosting specifiche, non ogni installazione. Ma è il primo caso di riferimento transfrontaliero a cui un team di procurement può davvero appellarsi, invece della sola dichiarazione di conformità di un fornitore.

Da leggere ora: La Francia sposta il suo database sanitario fuori da Azure  |  Un livello IA sovrano ora parla l'API di OpenAI