Dall'11 settembre l'incidente si segnala a ore, non a giorni. E il cloud sovrano non è più una scelta.

L'11 settembre 2026 scattano gli obblighi di segnalazione delle vulnerabilità e degli incidenti gravi previsti dal pacchetto di regolamentazione digitale europea. In ottobre parte formalmente la fase di enforcement della direttiva NIS2. DORA, applicabile già dal gennaio 2025 per gli operatori finanziari, entra nel 2026 nel suo primo vero ciclo di vigilanza sostanziale: i regolatori hanno già segnalato pubblicamente che colpiranno con priorità i ritardi nelle segnalazioni di incidenti e le carenze persistenti nel Registro delle informazioni sui fornitori terzi.

La grandezza che decide tutto: le ore

Il cuore operativo di queste tre normative — NIS2, DORA, e in parte anche l'AI Act per i sistemi ad alto rischio — è una sola grandezza misurabile: quante ore hai a disposizione per segnalare un incidente prima che il ritardo stesso diventi una violazione autonoma, distinta e cumulativa rispetto all'incidente originario. Non è più sufficiente gestire bene la crisi tecnica. Bisogna gestire bene, in parallelo, l'orologio regolatorio che scorre indipendentemente da quanto la crisi tecnica sia sotto controllo.

Il cloud sovrano smette di essere una preferenza strategica

Tre regolamenti europei che agiscono insieme — NIS2, DORA e l'AI Act — stanno trasformando il cloud sovrano da scelta strategica opzionale a requisito di conformità effettivo per determinati carichi di lavoro. Non per una moda geopolitica: perché la catena di responsabilità imposta da queste norme e i tempi di segnalazione stringenti impongono di sapere con precisione dove risiedono fisicamente i dati e chi, in concreto, ha accesso tecnico per aprirli in caso di richiesta di un'autorità straniera o di un incidente. Un fornitore cloud extraeuropeo soggetto a normative di accesso governativo del proprio Paese d'origine introduce una variabile di rischio che, sotto questi regimi, deve essere mappata e contrattualizzata esplicitamente, non semplicemente accettata implicitamente nel contratto standard del fornitore.

Il Data Act, silenziosamente, diventa prassi quotidiana

In vigore dal settembre 2025, il Data Act nel 2026 smette di essere una novità normativa da studiare e diventa, secondo gli osservatori di settore, "business normale": la portabilità dei dati generati dalle macchine e la loro condivisione strutturata tra fornitori diversi passano da eccezione contrattuale negoziata caso per caso a prassi che i clienti aziendali iniziano a pretendere come standard in ogni nuovo contratto di fornitura tecnologica.

Dove si concentra il rischio reale, punto per punto

• Contratti cloud e clausole di uscita dal fornitore. Quelle clausole che nessuno legge con attenzione finché non serve — nel momento in cui servono davvero, di solito è già tardi per rinegoziarle da una posizione di forza.
• Applicazione di NIS2 e DORA. Determinare con precisione chi, nella catena contrattuale tra impresa cliente e fornitore cloud, risponde di un incidente e in quante ore esatte va segnalato all'autorità competente — non è un dettaglio da rimandare al legale interno dopo la firma, va negoziato prima.
• Mappatura delle dipendenze da fornitori extraeuropei, condotta fornitore per fornitore, non a livello aggregato — perché il rischio normativo cambia sensibilmente a seconda della giurisdizione di origine del singolo fornitore critico.
• Identità digitale, pagamenti istantanei e accesso ai dati generati dalle macchine (eIDAS 2, PSD3, Data Act) si intrecciano sempre più spesso nello stesso contratto di fornitura infrastrutturale, rendendo la revisione legale più complessa di quanto fosse anche solo due anni fa.

Dove sta davvero la chiave

La sovranità non è dove pianti la bandiera. È dove tengono la chiave che apre i tuoi dati.

Dall'11 settembre 2026 quella chiave ha anche un cronometro attaccato: se il fornitore la perde — subisce un incidente, una violazione, un accesso non autorizzato — l'impresa cliente ha poche ore per determinarlo, valutarlo e comunicarlo all'autorità competente, indipendentemente da quanto tempo il fornitore stesso ha impiegato per informare a sua volta il cliente. Il ritardo del fornitore a monte non giustifica il ritardo del cliente a valle nei confronti del regolatore: è il cliente finale, spesso, a portare la responsabilità primaria della segnalazione tempestiva.

La clausola che oggi va negoziata prima, non dopo

La clausola di uscita dal fornitore cloud, quella che disciplina cosa succede ai dati dell'impresa il giorno in cui il contratto termina o il fornitore cambia condizioni unilateralmente, non è più semplice burocrazia contrattuale accessoria. In un contesto NIS2/DORA è la differenza tra un'uscita ordinata, pianificata e documentata, e un vero e proprio incidente da segnalare formalmente all'autorità di vigilanza. Va negoziata quando l'impresa ha ancora potere contrattuale — all'inizio del rapporto, prima della firma — perché dopo, quando la dipendenza operativa dal fornitore è già consolidata, resta solo il cronometro imposto dal regolamento, senza più margine di negoziazione reale.