Il cloud sovrano europeo non passa più soltanto dalla tormentata certificazione Eucs. A oltre un anno dal report del Cep che descriveva il progetto europeo di certificazione dei servizi cloud in una fase di stallo, Bruxelles ha modificato sostanzialmente il perimetro della partita. L’Eucs non è stato abbandonato e figura ancora tra gli schemi di certificazione in sviluppo presso Enisa, ma nel frattempo la Commissione ha aperto due cantieri molto più ampi. Da un lato la revisione del Cybersecurity Act, presentata il 20 gennaio 2026, dall’altro il Cloud and AI Development Act, proposto il 3 giugno, che porta il principio di sovranità direttamente dentro la politica europea per infrastrutture cloud e AI.È quindi cambiata la domanda politica. Nel 2025 il confronto era soprattutto su quali requisiti inserire nella certificazione Eucs. Ci si chiedeva anche se subordinare il livello più elevato di sicurezza a condizioni come localizzazione dei dati nell’Ue, controllo societario europeo e immunità dalle legislazioni extraterritoriali. Oggi Bruxelles sta cercando di separare più nettamente cybersecurity, sovranità e politica industriale, costruendo strumenti differenti ma coordinati.La distinzione non è marginale. Era precisamente uno dei punti centrali dell’analisi del Cep. Utilizzare una certificazione tecnica di cybersecurity per perseguire obiettivi di autonomia strategica avrebbe esposto il progetto a contestazioni giuridiche, economiche e commerciali. Il think tank proponeva quindi di adottare rapidamente l’Eucs senza requisiti di sovranità e di affrontare questi ultimi mediante atti legislativi ordinari, coinvolgendo Parlamento e Consiglio.Indice degli argomenti