Cosa verificano davvero gli acquirenti pubblici italiani negli appalti cloud

Gli acquirenti del settore pubblico italiano parlano meno di «sovranità» di quanto lasci intendere il marketing che la circonda. Ciò che compare realmente nei bandi cloud della pubblica amministrazione centrale — compreso l'accordo quadro Consip per i servizi applicativi in ottica cloud, ID 2860, pubblicato a dicembre 2025 per le Pubbliche Amministrazioni Centrali — è un insieme di requisiti concreti e verificabili, non uno slogan.

La soglia di qualificazione che continua a comparire

Nei recenti accordi quadro cloud di Consip, un requisito ricorrente è che i servizi siano qualificati dall'Agenzia per la cybersicurezza nazionale, ACN, almeno al livello di qualificazione 1, comunemente indicato come QC1 per i servizi cloud che trattano dati ordinari, o AI1 per l'equivalente livello infrastrutturale. I criteri pubblicati dall'ACN per il livello 1 richiedono la conformità autocertificata alla gestione della qualità ISO 9001, insieme a caratteristiche di sicurezza, prestazioni, scalabilità, interoperabilità e portabilità previste dal regolamento sui servizi cloud per la pubblica amministrazione. Si tratta di una qualificazione specifica e verificabile, non di un sinonimo di «conforme».

La localizzazione dei dati e le condizioni di uscita contano più dell'etichetta

In questa tipologia di bandi compaiono ripetutamente altre due condizioni: dove risiedono fisicamente dati e backup, di norma richiesti all'interno dell'UE o del SEE, e come il fornitore lo dimostra, oltre alle condizioni contrattuali per chiudere il rapporto senza perdere l'accesso ai dati o affrontare costi proibitivi per uscire. L'affermazione commerciale di un fornitore di essere un «cloud sovrano» non sostituisce il rispetto diretto di nessuna di queste condizioni.

Cosa verificare prima di trattare uno slogan come una risposta

Prima che un'offerta ripeta espressioni come «sovereign cloud» o citi una certificazione come se fosse scontata, le domande operative sono: la qualificazione copre davvero il livello ACN richiesto da questo specifico bando, le evidenze sulla localizzazione dei dati e sul disaster recovery sono aggiornate e cosa dice il contratto su condizioni e tempi di uscita. Verifica sempre la documentazione di gara aggiornata sul sito di Consip prima di basarti su una sintesi: i testi di gara vengono modificati attraverso i chiarimenti e una lettura precedente può risultare superata quando scade il termine per presentare l'offerta.

Fonti: Consip — ID 2860, ACN — requisiti di qualificazione QC1.