Appalti cloud, CADA: l'Europa vale 15 punti su 120. Il CESE ne chiede 40, la BDI vuole cancellare l'art. 31(3)

Il 28 settembre 2026 il Segretariato generale del Consiglio dell'Unione ha ricevuto, con la nota di trasmissione 13682/26, il parere del Comitato economico e sociale europeo (CESE) sul Cloud and AI Development Act, in sigla CADA. Il parere, codice INT/1126, relatore Miroslav Hajnoš, era stato adottato in plenaria il 23 settembre con 212 voti a favore, nessun contrario e 3 astenuti. Sei giorni dopo, il 5 ottobre (la pagina è datata 7 ottobre), la BDI, la federazione dell'industria tedesca, ha pubblicato la propria posizione sullo stesso testo. Due documenti, due soggetti diversi per natura (un organo consultivo dell'Unione e un'associazione industriale), un solo testo sul tavolo: la proposta COM(2026) 502 della Commissione, datata 3 giugno 2026, procedura 2026/0138(COD).

Io ho letto i testi, non la sintesi del sito di qualcuno: la proposta, gli allegati, il parere del CESE con i suoi emendamenti e il position paper della BDI. Perché la notizia vera, in questa fase, non è che «l'Europa fa il cloud sovrano». È un numero: 15 su 120. È il tetto indicativo di punti che una stazione appaltante può assegnare al «valore aggiunto europeo» nel valutare un'offerta cloud. Il CESE lo vuole portare a 40. La BDI non cita quel numero, ma chiede che i criteri dell'articolo 32 abbiano un peso significativo e, nello stesso tempo, vuole cancellare la norma che potrebbe estendere i vincoli ai privati. Chi controlla quanto pesa quel numero controlla chi vince le gare cloud pubbliche europee dal 2029 in poi (la data è una stima di un commentatore, da verificare).

Dove siamo nella procedura, con le date

Data	Evento	Fonte
gennaio 2026	Il Parlamento adotta la relazione d'iniziativa 2025/2007(INI) sulla sovranità tecnologica europea, che chiede un CADA e una definizione di cloud sovrano	Parlamento europeo, Legislative Train
3 giugno 2026	La Commissione pubblica la proposta COM(2026) 502; base giuridica artt. 114 e 173, par. 3, TFUE	Commissione, pagina digital-strategy; nota del Consiglio 13682/26
24 giugno 2026	Trasmissione al Parlamento europeo	Nota del Consiglio 13682/26
8 settembre 2026	Adozione in sezione del parere CESE	Nota del Consiglio 13682/26
18 settembre 2026	Trasmissione al Consiglio	Nota del Consiglio 13682/26
20 settembre 2026	Ultimo aggiornamento della scheda del Parlamento: competenza congiunta ITRE e IMCO, relatori Diego Solier (ECR) e Reinier Van Lanschot (Verdi/ALE), fascicolo «in attesa della decisione della commissione»	Parlamento europeo, Legislative Train
23 settembre 2026	Il CESE adotta il parere INT/1126 (212/0/3)	CESE; nota del Consiglio 13682/26
28 settembre 2026	Il parere arriva al Consiglio	Consiglio, doc. 13682/26
5 ottobre 2026	Position paper della BDI	BDI
21-22 ottobre 2026	Plenaria CESE n. 609: parere d'iniziativa TEN/878-EESC-2026 sulle dipendenze digitali, relatore Thomas Kattnig, sullo stesso sfondo (non è il parere sul CADA)	CESE

Nessun progetto di relazione del Parlamento risulta pubblicato alla data in cui scrivo (da verificare sulla scheda OEIL, perché il quadro cambia in fretta). Un commentatore indica che la Commissione si aspetta di chiudere il negoziato entro la fine del 2027, con applicazione intorno al 2029: è una stima di studio legale, non una data di legge. La data certa è nel testo: il regolamento entra in vigore il ventesimo giorno dopo la pubblicazione in Gazzetta ufficiale UE e si applica un anno dopo l'entrata in vigore (art. 48 della proposta).

L'architettura: quattro gradini, e non sono quelli che pensate

Il CADA ha tre pilastri: ricerca e innovazione, capacità dei data center, «autonomia». La Commissione lo presenta insieme al Chips Act 2.0 e alla strategia open source, come parte del pacchetto sulla sovranità tecnologica. L'obiettivo dichiarato nella relazione illustrativa è triplicare la capacità dei data center europei entro cinque-sette anni e raggiungere la capacità necessaria entro il 2035. Ma ai fini di questo articolo conta il terzo pilastro: un unico quadro europeo di valutazione della sovranità del cloud, con quattro Union assurance levels (livelli di garanzia dell'Unione) definiti nell'Allegato II.

Prima la meccanica, perché la parola «sovrano» da sola non dice niente. Un fornitore chiede il riconoscimento all'autorità nazionale competente dello Stato in cui è stabilito (art. 17). Per il livello 1 basta una dichiarazione UE di conformità, frutto di autovalutazione (art. 19): le PMI ottengono il riconoscimento diretto e automatico in tutti gli Stati membri. Per i livelli 2, 3 e 4 serve un audit indipendente a spese del fornitore (art. 20), e i livelli sono cumulativi: chi fallisce un requisito del livello inferiore non può avere il superiore. L'autorità ha 60 giorni per valutare, poi parte un riesame di 60 giorni da parte delle altre autorità nazionali; in caso di obiezione motivata decide la Commissione con decisione vincolante (art. 17, commi 5-10). I servizi riconosciuti finiscono in un registro centrale tenuto dalla Commissione (art. 22). La Commissione deve rivedere i criteri almeno ogni 18 mesi (art. 16, comma 3).

Ecco i criteri, come li ho letti dall'Allegato II della proposta (la sintesi è mia, le formule complete sono nell'allegato):

Criterio	Livello 1	Livello 2	Livello 3	Livello 4
Stabilimento	Il fornitore è stabilito nell'Unione	Fornitore e subfornitori coinvolti stabiliti nell'Unione	Come livello 2	Come livello 2
Dati, metadati e telemetria	Restano nell'Unione, salvo diversa richiesta dell'ente pubblico	Come livello 1	Come livello 1	Restano nell'Unione per i dati identificati come sensibili dopo la valutazione del rischio
Personale	Nessun requisito di cittadinanza	Personale localizzato nell'Unione; se l'ente lo richiede, personale selezionato con requisito di cittadinanza UE	Personale (anche dei subfornitori) cittadino UE, con nulla osta ove serva	Personale cittadino UE; assistenza tecnica da residenti nell'Unione
Controllo di un Paese terzo	Ammesso, con garanzia che il Paese terzo non imponga la segnalazione preventiva di vulnerabilità software alle sue autorità	Ammesso, con misure giuridiche, tecniche e organizzative che impediscano accesso ai dati, interruzioni e sanzioni extra-UE	Non ammesso, salvo Paesi terzi riconosciuti dalla Commissione con atto di esecuzione (art. 18)	Non ammesso
Certificazione cyber UE (Reg. 2019/881)	Rispetto dello stato dell'arte	Almeno livello «substantial» (se lo schema esiste; altrimenti schemi nazionali)	Almeno «substantial»	«High»
Dati usati per addestrare IA di Paesi terzi	Non previsto	Vietato	Vietato	Vietato
Catena del software	Trasparenza sui subfornitori	SBOM completa, blocco delle funzioni remote, audit del codice dei componenti critici	Come livello 2	SBOM e prova che nessun Paese terzo ha il controllo effettivo su progettazione, sviluppo, manutenzione ed evoluzione dei componenti
Verifica	Autovalutazione	Audit indipendente	Audit indipendente	Audit indipendente

Due osservazioni da giurista. La prima: il livello 2 è il vero terreno di scontro, perché ammette che un fornitore controllato da un Paese terzo ottenga il riconoscimento se dimostra misure di separazione. Un hyperscaler con un'entità europea separata può puntare lì; un fornitore interamente europeo, secondo la valutazione d'impatto riportata dalla scheda del Parlamento, arriva al 3 con relativa facilità. Questa lettura, che compare anche nelle analisi di settore, non è un'opinione mia: discende dal confronto tra la lettera (g) del punto 2.1 e la lettera (g) del punto 3.1. La seconda: nell'Allegato II la deroga per i Paesi terzi riconosciuti rinvia a un «atto di esecuzione ai sensi dell'articolo 19», mentre i criteri di riconoscimento stanno nell'articolo 18 (condizioni cumulative, tra cui una decisione di adeguatezza GDPR e l'assenza di norme che consentano di imporre sanzioni o degradare il servizio). Sembra un refuso di numerazione, ma è nel testo della Commissione e conviene segnalarlo (da verificare nella versione definitiva).

Chi deve comprare cosa: gli articoli 29 e 30

I livelli non obbligano nessun privato a niente. Obbligano chi compra con denaro pubblico. L'articolo 29 impone agli Stati membri e alle istituzioni dell'Unione una valutazione del rischio entro un anno dall'entrata in vigore, da ripetere ogni due anni o quando serve. La valutazione deve individuare le attività del settore pubblico che usano il cloud e che contribuiscono alla tutela dell'ordine pubblico nei settori degli Allegati I e II della direttiva NIS2 (2022/2555) e nelle aree sicurezza nazionale, sicurezza interna, gestione delle frontiere esterne, difesa, giustizia e contrasto penale, e per ciascuna stabilire se serve il livello 2, 3 o 4. I fattori minimi: sensibilità e criticità dei dati, rischio di accesso illecito da parte di un Paese terzo, rischio di interruzione del servizio. Gli Stati comunicano i risultati alla Commissione entro tre mesi, che può imporre il livello con atti di esecuzione se ritiene inadeguata la scelta nazionale (comma 5).

L'articolo 30 traduce tutto in obbligo di acquisto. Le attività non qualificate «di ordine pubblico» usano almeno il livello 1. Le attività qualificate possono acquistare solo servizi riconosciuti ai livelli 2, 3 o 4. Sono previste deroghe eccezionali e motivate in tre casi: nessun servizio riconosciuto nel registro può soddisfare l'oggetto della gara (senza restringimento artificioso dei parametri); una procedura analoga lanciata nell'anno precedente è andata deserta; l'applicazione comporterebbe costi sproporzionati.

Due dettagli che nei convegni non sento mai. Primo, l'articolo 29, comma 6: se la valutazione impone la migrazione a un altro servizio, la migrazione deve avvenire in un periodo transitorio ragionevole che «non supera 12 mesi». Per un ente con un gestionale sul cloud sbagliato è un cronoprogramma da progetto, non da convegno. Secondo, l'articolo 29, comma 9: le amministrazioni devono considerare se una strategia multi-vendor o multi-cloud sia appropriata. Ricordatevelo quando negoziate le clausole di uscita.

Il 15 su 120: il numero che decide le gare

L'articolo 32 stabilisce che nelle procedure per servizi cloud e sistemi di IA «innovativi» le stazioni appaltanti includano, nella valutazione qualitativa, criteri di aggiudicazione non legati al prezzo che misurino il contributo dell'offerente all'ecosistema europeo. Il comma 2 li incatena: collegati all'oggetto del contratto, senza libertà illimitata di scelta, indicati nei documenti di gara, e soprattutto «ancillary and not decisive»: accessori e non decisivi. Il comma 3 elenca i fattori: rafforzamento della catena di approvvigionamento digitale dell'Unione, integrazione di tecnologie sviluppate nell'Unione, innovazione che contribuisce alla sicurezza degli approvvigionamenti, uso di componenti hardware critici progettati o fabbricati nell'Unione, quando possibile.

Il numero compare nel considerando 67: le stazioni appaltanti «potrebbero considerare» un peso massimo di 15 punti su 120 per il valore aggiunto europeo. Facciamo il conto con il codice, non a mente: 15 su 120 è il 12,5%. Il CESE, con l'emendamento 3, propone di portarlo a 40 su 120, cioè il 33,3%, e motiva così: a 15 punti, e solo come indicazione non vincolante, il criterio «non può incidere in modo significativo» sugli esiti degli appalti alla scala necessaria a invertire la dipendenza dagli hyperscaler extra-UE. Rimarrebbe subordinato a prezzo e merito tecnico, aggiunge il parere, in coerenza con l'articolo 32, comma 2, lettera d).

Un esempio mio, non del testo, per capire la scala: due offerte identiche per prezzo e qualità tecnica, una di un fornitore europeo che prende il massimo sui criteri europei, una di un fornitore che non ne soddisfa nessuno. Con la griglia da 120 punti e il tetto di 15, la distanza tra le due è di 15 punti. Con il tetto a 40, di 40. Nella realtà le offerte non sono mai identiche, ed è per questo che il peso del criterio non decide da solo: ma sposta il punto di pareggio. Chi prepara gare, o vi partecipa, dovrebbe iniziare a leggere ogni disciplinare con questa domanda.

La BDI interviene sullo stesso articolo da un'altra direzione. Chiede che il valore aggiunto europeo sia inteso come «Made with Europe» e non «Made in Europe»: criteri che premiano la protezione dei dati e il GDPR, la sicurezza con operazioni e monitoraggio in UE, le opzioni di residenza dei dati, catene di fornitura trasparenti e verificabili, investimenti in ricerca e competenze, senza preferenze basate sulla nazionalità e senza escludere chi dimostra di rispettare i requisiti. Nello stesso documento, però, la BDI scrive che i criteri dell'articolo 32 «dovrebbero avere un peso significativo» e che l'amministrazione deve fare da cliente-àncora (anchor customer) per l'offerta cloud europea. La posizione è meno contraddittoria di come sembra: l'industria tedesca vuole domanda pubblica prevedibile per i fornitori europei, ma una definizione di «europeo» che includa chi investe in Europa, non solo chi ci è nato.

Due letture dello stesso testo

Tema	CESE (parere INT/1126, 23 settembre)	BDI (position paper, 5 ottobre)
Peso del valore aggiunto europeo (art. 32; cons. 67)	Da 15 a 40 punti su 120	Peso significativo; «Made with Europe», non «Made in Europe»
Estensione ai privati (art. 31, comma 3)	Nessuna richiesta in merito (parere centrato su appalti, finanziamento, partecipazione sociale)	Cancellare il comma: la Commissione non deve poter imporre per atto delegato valutazioni e misure ai privati, già soggetti a NIS2, DORA e discipline settoriali
Periodo di migrazione (art. 29, comma 6)	Nessuna richiesta in merito	Almeno 24 mesi, o proroghe da parte dell'autorità se 12 mesi creano rischio operativo inaccettabile
Stabilità dei criteri (art. 16, comma 3)	Nessuna richiesta in merito	Riesami non più frequenti di 36 mesi, con almeno 24 mesi di transizione per i servizi riconosciuti
Riconoscimento (art. 17)	Nessuna richiesta in merito	Passaporto unico UE
Quota PMI (art. 33, comma 4)	L'obiettivo indicativo del 25% deve diventare requisito condiviso, con incentivi concreti (lotti più piccoli, riserve, qualificazione semplificata)	Il 25% è eccessivo, perché la maggior parte dei servizi cloud è offerta da grandi imprese
Finanziamento	Da garantire, non presumere: priorità protetta nel prossimo quadro finanziario pluriennale; panoramica consolidata dei fondi UE prima della scadenza delle strategie nazionali (art. 7); mobilitazione di fondi pensione e assicurazioni	Accelerare gli investimenti in capacità, permessi più rapidi, accesso certo alla rete e energia a prezzo accessibile
Rete elettrica e data center	Obbligo per i gestori di rete di indicare la capacità di connessione entro sei mesi dalla richiesta; verifica che la generazione elettrica regga il triplicamento	Accesso prevedibile alla rete e energia a basse emissioni; il calore di scarto va incoraggiato ma non deve diventare una barriera
Valutazioni del rischio pubbliche (art. 29, comma 2)	Nuovo criterio (d): dipendenza organizzativa dal servizio e capacità umana indipendente di svolgere, verificare o ripristinare l'attività	Proporzionalità dei livelli rispetto alla sensibilità del caso d'uso

Il punto che trovo più originale, e meno commentato, è l'emendamento 4 del CESE. Il parere osserva che l'articolo 29 valuta il fornitore (controllo giurisdizionale, accesso ai dati, interruzioni) ma non l'ente: se, dopo anni di dipendenza, l'amministrazione saprebbe ancora svolgere o almeno verificare la funzione affidata al servizio. Il CESE lo chiama rischio di erosione silenziosa e richiama l'automation surprise, il fenomeno dell'aviazione per cui la supervisione umana fallisce proprio perché la competenza manuale si è atrofizzata. La frase da ricordare è nel parere: un'istituzione che non sa più svolgere né controllare le funzioni delegate «ha cambiato il fornitore della propria dipendenza», non ne è uscita. Se passasse, il criterio entrerebbe nelle valutazioni di rischio che ogni ente pubblico dovrà comunque fare.

Le obiezioni che arrivano da altre parti

Non c'è solo il binomio CESE-BDI. Secondo un'analisi pubblicata il 22 settembre 2026 da InfoWorld, che a sua volta richiama un servizio del Financial Times (non verificato da me), funzionari della difesa di diversi Stati membri, soprattutto dell'Est e del Nord vicini a un confine conteso, si oppongono ai requisiti più stringenti perché potrebbero limitare l'accesso ai servizi cloud e IA degli hyperscaler statunitensi e complicare l'interoperabilità con i sistemi NATO. Lo stesso articolo ricorda che tre fornitori non europei controllano circa il 70% del mercato cloud europeo e propone un approccio per carico di lavoro: cloud sovrano dove la legge o la sicurezza lo impongono, hyperscaler dove manca l'alternativa. Un'altra sintesi, di uno studio legale, riporta che la quota dei fornitori europei sarebbe scesa dal 29% (2017) al 15% (2022), per poi stagnare, e che l'Europa avrebbe circa il 20% della capacità installata globale di data center contro il 42% degli Stati Uniti: sono cifre che attribuisco alla fonte e che non ho riscontrato sul documento di valutazione d'impatto SWD(2026) 502 (da verificare).

Io leggo queste obiezioni come una conferma, non come una smentita, del disegno a gradini. Il fatto che la Commissione abbia previsto quattro livelli e non uno significa che sa di non poter spostare tutto sul 4. Un commentatore riporta, citando la valutazione d'impatto della Commissione, che solo l'1% dei servizi pubblici europei richiederebbe il livello più stringente (da verificare sul documento originale). La battaglia vera, quindi, è su dove si colloca la massa degli enti pubblici: tra il 1 e il 2. E su chi passa il 2.

Il confronto con l'Italia: abbiamo già una scala, e misura un'altra cosa

L'Italia non parte da zero. Il Regolamento dell'Agenzia per la cybersicurezza nazionale per le infrastrutture digitali e i servizi cloud per la pubblica amministrazione è stato adottato con decreto direttoriale n. 21007/24 del 27 giugno 2024, ai sensi dell'art. 33-septies, comma 4, del D.L. 179/2012, ed è efficace dal 1° agosto 2024; ha abrogato il precedente regolamento AgID (Delibera 628/2021). Distingue dati e servizi ordinari, critici e strategici, e prevede livelli di qualificazione dei servizi (QC1-QC4) e delle infrastrutture (QI1-QI4), con corrispondenti livelli di adeguamento (AC e AI) per gli operatori pubblici. Secondo la tabella riportata da una testata specializzata (ICT Power), per i dati ordinari sono ammessi i livelli da 1 a 4, per i critici da 2 a 4, per gli strategici solo 3 e 4 (da verificare sull'Allegato del regolamento). Per i fornitori privati la qualifica richiede una verifica di conformità ex ante e la pubblicazione nel catalogo ACN; per gli operatori pubblici basta una dichiarazione di conformità inviata all'Agenzia.

Aspetto	Italia: Regolamento ACN (2024)	UE: CADA (proposta 2026)
Base	Decreto direttoriale ACN 21007/24, art. 33-septies c. 4 D.L. 179/2012	Regolamento (proposta COM(2026) 502), artt. 114 e 173(3) TFUE
Gradini	QC1-QC4 / QI1-QI4, con AC e AI per gli enti pubblici	Union assurance level 1-4
Chi decide il gradino	La classificazione dei dati e dei servizi (ordinari, critici, strategici)	La valutazione del rischio per attività di ordine pubblico (art. 29)
Che cosa misura, in prevalenza	Qualità, sicurezza, prestazioni, scalabilità; al livello 2 anche continuità operativa e gestione del servizio con autocertificazioni ISO 22301 e ISO 20000 (secondo la sintesi ACN, da verificare sul portale)	Chi controlla il fornitore, dove stanno dati e personale, chi tocca il software
Verifica	Ex ante per i privati, dichiarazione per i pubblici	Autovalutazione al livello 1, audit indipendente a spese del fornitore ai livelli 2-4
Autorità	ACN	Autorità nazionale competente da designare entro un anno dall'entrata in vigore (art. 25); in Italia il nome è una scelta nazionale (da verificare)

Sono due scale a quattro gradini, e per questo qualcuno dirà che si sovrappongono. Non è così, e questa è la lettura che propongo ai colleghi che assistono enti pubblici e fornitori. La scala ACN, per quanto ho potuto verificare, risponde alla domanda «quanto è robusto, sicuro e continuativo il servizio che contiene questo dato». La scala CADA risponde a «chi lo controlla, giuridicamente e tecnicamente». Un servizio può essere un ottimo QC3 italiano e fermarsi al livello 1 o 2 europeo se il controllo ultimo è extra-UE. Per un'amministrazione italiana, a regime, significherà fare due classificazioni e incrociarle: la classe dei dati per l'ACN, il livello di assurance per il CADA. Come lo farà il legislatore italiano nell'allineare le due discipline non lo so: è una domanda aperta, non una previsione.

C'è poi un altro fronte, quello dei privati. Il CADA rinvia agli Allegati I e II della NIS2 per individuare i settori; in Italia la direttiva è stata recepita con il D.Lgs. 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore, secondo le fonti consultate, il 16 ottobre 2024 (da verificare su Normattiva). L'articolo 31 del CADA lascia ai soggetti dell'Allegato I della NIS2 la facoltà di fare valutazioni analoghe a quelle dell'articolo 29, ma il comma 3 apre la porta ad atti delegati che le rendano obbligatorie, con misure di mitigazione, per i settori ad alta criticità. È esattamente la porta che la BDI vuole chiudere. Se siete una banca, un operatore energetico, un ospedale o un fornitore di servizi digitali già dentro NIS2 e DORA, questa è la riga della proposta da seguire più da vicino, perché è l'unica che può trasformare un obbligo pubblico in un obbligo privato.

Cosa fare lunedì mattina

Niente panico e niente acquisti d'impulso: la proposta non è legge, i criteri possono cambiare e il Parlamento non ha ancora una relazione. Ma c'è lavoro utile da fare adesso, e costa poco.

1. Fate la mappa dei servizi cloud in uso. Una tabella con quattro colonne: servizio, dati trattati, chi è il fornitore e chi lo controlla (la capogruppo, non il contratto), dove stanno dati, metadati e telemetria. Se non sapete rispondere sulla telemetria, è già un risultato.
2. Affiancate la classe ACN e un livello CADA provvisorio. Per ogni servizio scrivete la classe di dati secondo il regolamento ACN e provate a collocarlo nell'Allegato II: livello 1 se è europeo e trasparente sui subfornitori; livello 2 solo se potete documentare le misure di separazione rispetto a un eventuale controllo extra-UE; livelli 3 e 4 solo con assenza di controllo di un Paese terzo. È una pre-lettura, non una certificazione.
3. Segnate i contratti con uscita a più di 12 mesi. Se per una funzione di ordine pubblico il livello richiesto potrebbe essere superiore a quello attuale, l'articolo 29, comma 6, parla di 12 mesi per migrare. Controllate le clausole di exit, di portabilità dei dati e di assistenza alla migrazione, e se esiste una strategia multi-vendor (comma 9).
4. Se partecipate a gare cloud o IA, preparate il dossier dell'articolo 32, comma 3. Quattro schede: quanta catena di fornitura è nell'Unione; quali tecnologie UE integrate; quale innovazione fa sicurezza degli approvvigionamenti; quale hardware critico è progettato o fabbricato nell'Unione. Chi arriva con le evidenze pronte, quando il peso sarà fissato, parte in vantaggio. Il peso, oggi, è indicativo: 15 su 120 nella proposta, 40 su 120 per il CESE.
5. Se siete un soggetto NIS2, leggete l'articolo 31 e decidete se avete una posizione. Se il vostro settore è ad alta criticità, siete il destinatario potenziale del comma 3. Una nota interna di due pagine con le dipendenze cloud già censite per NIS2 e DORA vi serve comunque, anche se il comma sarà cancellato.
6. Portate la questione a chi ha voce. La posizione si costruisce adesso, nelle associazioni di categoria e con i referenti italiani nelle commissioni ITRE e IMCO. Il CESE tornerà sull'argomento il 21-22 ottobre con il parere d'iniziativa sulle dipendenze digitali (TEN/878-EESC-2026), ma su un altro testo.
7. Per i fornitori: scegliete il gradino che potete davvero raggiungere. Un livello 1 si ottiene con una dichiarazione di conformità che vi rende responsabili del suo contenuto (art. 19, comma 2): non è un timbro, è una assunzione di responsabilità. Se siete una PMI, il riconoscimento automatico in tutti gli Stati è un incentivo vero.

La mia conclusione

Il CADA è, tra le righe, un testo sull'asimmetria di potere contrattuale. Tre fornitori controllano circa il 70% del mercato europeo del cloud secondo le fonti che ho citato, e l'amministrazione pubblica è l'unico cliente abbastanza grande per cambiare quel rapporto. Il CESE chiede che la leva sia più forte e più finanziata; la BDI chiede che sia più proporzionata, più stabile e che non scavalchi i privati. Io credo che il testo finale si deciderà in un posto preciso: il confine tra il livello 2 e il livello 3. Lì si stabilirà se «sovrano» significa «con garanzie contrattuali europee» o «con controllo europeo». Chi lavora con l'Europa del cloud farebbe bene a sapere, già adesso, da che parte di quel confine sta.

Una nota di metodo. Ho letto la proposta nella versione del 3 giugno 2026 e i documenti citati; il testo è in evoluzione e ogni cifra, numero di articolo e criterio va ricontrollato sulla versione che verrà adottata. Dove una informazione non ho potuto confermarla su una fonte primaria, l'ho segnata come «da verificare».

Questa analisi ha finalità informative e di approfondimento; non costituisce parere legale né consulenza e non promette alcun risultato. Per decisioni su gare, contratti o obblighi di conformità occorre una valutazione sul caso concreto.

Fonti

• Commissione europea, Proposta di Regolamento Cloud and AI Development Act, COM(2026) 502 final, 3 giugno 2026, e Allegati (Allegato II, criteri dei livelli): https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada
• Consiglio dell'Unione europea, doc. 13682/26 del 28 settembre 2026, nota di trasmissione del parere CESE INT/1126 (adottato il 23 settembre 2026, 212/0/3): https://data.consilium.europa.eu/doc/document/ST-13682-2026-INIT/en/pdf
• CESE, Cloud and AI Development Act, news del 23 settembre 2026: https://www.eesc.europa.eu/en/news-media/news/cloud-and-ai-development-act-how-europe-can-build-capacity-and-strategic-autonomy
• BDI, Cloud and AI Development Act, position paper del 5 ottobre 2026 (pagina del 7 ottobre): https://bdi.eu/en/publications/cloud-und-ai-development-act
• Parlamento europeo, Legislative Train, Cloud and AI development act, procedura 2026/0138(COD), aggiornamento del 20 settembre 2026: https://www.europarl.europa.eu/legislative-train/theme-a-new-plan-for-europe-s-sustainable-prosperity-and-competitiveness/file-cloud-and-ai-development-act
• CESE, parere d'iniziativa TEN/878-EESC-2026, plenaria 21-22 ottobre 2026: https://www.eesc.europa.eu/en/our-work/opinions-information-reports/opinions/overcoming-digital-dependencies-protects-workers-rights-and-data-eu-sovereignty-cloud-ai-and-information-society
• InfoWorld, The EU cloud sovereignty trap, 22 settembre 2026 (che richiama il Financial Times, non verificato): https://www.infoworld.com/article/4224647/the-eu-cloud-sovereignty-trap-when-rules-outrun-reality.html
• activemind.legal, guida al CADA (stima dei tempi, quote di mercato; fonte secondaria): https://www.activemind.legal/guides/cada/
• Jones Day, European Commission's Proposed Cloud Sovereignty Framework, giugno 2026 (stima sull'1% dei servizi al livello 4; fonte secondaria): https://www.jonesday.com/en/insights/2026/06/european-commissions-proposed-cloud-sovereignty-framework-creates-new-compliance-tiers-for-software-providers
• Agenda Digitale, Il nuovo regolamento per il cloud della PA (abrogazione Delibera AgID 628/2021, efficacia dal 1 agosto 2024; consultata tramite ricerca): https://www.agendadigitale.eu/infrastrutture/il-nuovo-regolamento-per-il-cloud-della-pa-novita-e-impatti/
• Diritto.it, In GU il decreto NIS 2 (D.Lgs. 138/2024, GU n. 230 del 1 ottobre 2024; consultata tramite ricerca, da verificare su Normattiva): https://www.diritto.it/in-gu-decreto-nis-2-chi-si-deve-adeguare-come/
• ICT Power, Regolamento cloud per la PA adottato dall'ACN (decreto direttoriale n. 21007/24 del 27 giugno 2024): https://www.ictpower.it/cloud/infrastrutture-di-prossimita-cosa-prevede-il-regolamento-cloud-per-la-pa-adottato-dallacn.htm
• ACN, La qualificazione dei Servizi Cloud e delle Infrastrutture dei Servizi Cloud: https://www.acn.gov.it/en/strategia/strategia-cloud-italia/qualificazione-cloud