Per anni, chi scriveva di sovranità digitale in Portogallo doveva scrivere al condizionale. Si parlava di ciò che lo Stato dovrebbe fare, di ciò che sarebbe auspicabile, di ciò che altri paesi stavano già facendo.
Questo è cambiato nel maggio 2026. La Risoluzione del Consiglio dei Ministri n. 102/2026, pubblicata il 27 di quel mese, ha approvato il Piano Nazionale per il Cloud Sovrano. Per la prima volta esiste un documento ufficiale che riconosce la dipendenza tecnologica dello Stato come un rischio e traccia un percorso per ridurla.
È una buona notizia. Ma tra il piano e la realtà sul campo c’è un divario che vale la pena misurare con onestà, soprattutto se guardiamo alla parte della pubblica amministrazione più esposta e meno attrezzata: i comuni.
Cosa dice il piano
Il Piano Nazionale per il Cloud Sovrano si fonda su tre dimensioni: classificare i processi, i dati e i sistemi della pubblica amministrazione; definire requisiti di sovranità, sicurezza e resilienza per ciascun livello; adottare per fasi un’infrastruttura digitale sovrana.
La logica è solida e merita riconoscimento, perché rompe con quindici anni di trattamento indifferenziato. Non tutti i dati dello Stato richiedono lo stesso grado di protezione, e per la prima volta si riconosce formalmente che esiste un livello di criticità che richiede un’infrastruttura sotto controllo rafforzato dello Stato.
Gli elementi operativi sono altrettanto concreti:
- Il monitoraggio è di competenza dell’ Agenzia per la Riforma Tecnologica dello Stato, in coordinamento con il Centro Nazionale di Cibersicurezza.
- L’infrastruttura è di competenza di IP Telecom, con un data center sovrano previsto per il 2027 e il completamento della struttura fissato come obiettivo per il 2030.
- Tutte le organizzazioni della pubblica amministrazione devono avere i propri processi mappati e classificati entro il 30 giugno 2027.
- C’è un incentivo finanziario insolito: metà del denaro risparmiato grazie alla migrazione resta all’ente stesso.
- È prevista una formazione in sovranità digitale per almeno il 10% degli specialisti IT della pubblica amministrazione entro il 2028, e per oltre mille dirigenti entro il 2030.
È un piano serio. Il problema non è ciò che dice. È quanto tempo richiederà, e chi resta esposto nel frattempo.
Sul campo: 308 comuni, una sola superficie di attacco
L’ultima fotografia dei comuni portoghesi non è rassicurante.
Nel rapporto sulla cibersicurezza 2024 del Centro Nazionale di Cibersicurezza, le amministrazioni comunali sono identificate come bersaglio privilegiato, con un aumento degli incidenti di 9,4 punti percentuali dal 2021. Un quarto dei comuni ha dichiarato di aver rilevato incidenti in quell’anno. A livello nazionale, il CERT.PT ha registrato un aumento del 36% degli incidenti rispetto all’anno precedente.
Uno studio accademico che ha analizzato i siti web di tutti i 308 comuni ha concluso che, nonostante i miglioramenti, permangono vulnerabilità significative, alcune delle quali, secondo le parole dei ricercatori, non richiederebbero un attaccante particolarmente sofisticato per essere sfruttate. Il punteggio medio nazionale sull’indicatore di cibersicurezza è stato di 0,660, su una scala da zero a uno.
Un altro dato aiuta a spiegare la natura del problema: il malware per il furto di credenziali ha rappresentato oltre l’80% dell’attività malware registrata nel terzo trimestre del 2025. E il tipo di incidente più frequente resta il phishing, con campagne che imitano sempre più spesso la stessa pubblica amministrazione.
Mettendo insieme tutto questo, il quadro diventa chiaro. Il punto d’ingresso dominante non è qualche esotica falla di un server. È un’e-mail che qualcuno apre.
L’asimmetria che nessun piano può correggere
L’amministrazione centrale portoghese dispone di team IT, di budget propri e della capacità di assumere. Lo dimostrano i dati stessi del rapporto: il 63% dell’amministrazione centrale utilizza almeno due fattori di autenticazione, una percentuale superiore a quella delle imprese portoghesi.
Un comune di ventimila abitanti è un’altra realtà. Spesso ha una o due persone responsabili di tutta l’informatica, compresi il supporto agli utenti, il portale comunale, i sistemi di gestione documentale, l’urbanistica, l’acqua, le tariffe e le licenze. La cibersicurezza compete con tutto questo per lo stesso tempo e lo stesso budget.
Non è mancanza di volontà. È aritmetica. Ed è per questo che contano iniziative come l’esercitazione nazionale di cibersicurezza per gli enti locali, che ha coinvolto oltre 270 comuni e circa mille partecipanti in scenari di ransomware e phishing: non perché addestrino la tecnologia, ma perché addestrano il processo decisionale in organizzazioni dove non esiste un team di crisi permanente.
Il Piano Nazionale per il Cloud Sovrano si rivolge alla pubblica amministrazione nel suo insieme. Da solo, non risolve il divario di capacità tra un ministero e un piccolo comune dell’interno.
Il divario che nessuno può ignorare
Vale la pena leggere le date con attenzione. Classificazione dei processi entro metà 2027. Data center sovrano previsto per il 2027. Completamento della struttura fissato come obiettivo per il 2030.
Sono scadenze ragionevoli per una trasformazione di questa portata. Ma significano che, nei prossimi anni, le comunicazioni tra lo Stato e i cittadini continueranno a passare sull’infrastruttura che esiste oggi. E quell’infrastruttura, in molti comuni, si basa su servizi contrattati da fornitori soggetti alle leggi di paesi terzi.
La domanda pratica, per chi guida oggi un comune o un servizio pubblico, non è “cosa cambierà nel 2030”. È “cosa posso decidere nel prossimo contratto che firmo”.
Tre decisioni che non dipendono dall’attesa
Primo: trattare la giurisdizione come un requisito, non come un criterio di spareggio. Non serve nessuna nuova legislazione. I capitolati di gara possono già oggi richiedere che il fornitore sia soggetto esclusivamente al diritto portoghese ed europeo, e che non vi siano trasferimenti verso paesi terzi. È una riga di testo.
Secondo: iniziare dall’e-mail. È da lì che entrano gli attacchi, è lì che vivono le informazioni più sensibili del rapporto con i cittadini, ed è il sistema più facile da cambiare, perché è costruito su protocolli aperti. È da lì che hanno iniziato Germania e Francia, e non per caso.
Terzo: esigere prove invece di promesse. Un fornitore deve essere in grado di rispondere per iscritto e senza esitazioni a domande semplici: dove si trovano i dati, a quale legge è soggetta la società che li gestisce, per quanto tempo vengono conservati i log, e cosa succede alla fine del contratto.
Nessuna di queste tre decisioni richiede budget aggiuntivo, modifiche legislative o l’attesa di un’infrastruttura nazionale. Richiedono soltanto di porre le domande giuste al momento della contrattazione.
Cosa c’è davvero in gioco
Per la maggior parte delle persone, il comune è il volto più vicino dello Stato. È lì che si gestisce una licenza, si segnala un problema, si chiede un sostegno sociale, si risolve un guasto all’acqua. Le informazioni che passano attraverso queste comunicazioni sono spesso più sensibili di quelle che passano da un ministero.
Il Portogallo ha compiuto un passo importante approvando un piano nazionale. Ma la sovranità digitale non si decide soltanto in Consiglio dei Ministri. Si decide, soprattutto, nelle migliaia di procedure di appalto che gli enti pubblici avviano ogni anno, molto prima che qualsiasi infrastruttura nazionale sia pronta.
Il piano fissa la destinazione. Ogni contratto firmato fino ad allora traccia il percorso.