Fino a 7 miliardi di franchi: la Confederazione vuole i dati sensibili in Svizzera

La Confederazione vuole rafforzare il controllo sui propri dati. Martedì 20 ottobre ha aperto il concorso per la nuova Swiss Government Cloud: le informazioni sensibili dovranno restare in Svizzera, quelle che richiedono una protezione particolare nei centri di calcolo della Confederazione. Si cercano cinque fornitori per tre livelli di sicurezza. L’entrata in servizio è prevista per l’autunno 2027, con un tetto finanziario di sette miliardi di franchi sull’arco di 14 anni.

Il progetto ridefinisce dove l’Amministrazione federale potrà conservare le diverse categorie di dati. Oggi utilizza, tra gli altri, i servizi cloud di Amazon, Alibaba e IBM, con infrastrutture distribuite nel mondo. In futuro sarà il grado di protezione richiesto a determinare se un’informazione potrà essere archiviata all’estero oppure dovrà rimanere entro i confini svizzeri.

L’apertura del concorso non equivale all’attribuzione dei mandati: le imprese incaricate non sono ancora state scelte. L’indirizzo è però definito. Per i dati delicati, Berna vuole vincoli geografici e operativi più stretti, senza rinunciare ai servizi cloud internazionali per tutte le altre informazioni.

Tre livelli di sicurezza, non un archivio unico

La Swiss Government Cloud non sarà un contenitore indistinto per tutti i dati dell’amministrazione. La sua struttura prevede tre livelli di sicurezza, perché le informazioni accessibili al pubblico non richiedono le stesse garanzie di quelle riservate, come i dati finanziari o fiscali.

Il primo livello comprende le informazioni meno delicate. L’Ufficio federale dell’informatica cita come esempio i dati meteorologici, che potranno continuare a essere conservati in qualsiasi parte del mondo. Per questa categoria saranno selezionati due fornitori. Non è dunque previsto un rientro generalizzato in Svizzera di tutti i dati federali oggi archiviati altrove.

Il secondo livello riguarda informazioni più sensibili. Qui il requisito geografico è preciso: i dati dovranno rimanere in Svizzera. Anche per questo ambito la Confederazione cerca due fornitori. Rispetto al primo livello, si restringono quindi i luoghi ammessi per l’archiviazione e si aggiungono condizioni specifiche in materia di protezione dei dati e sovranità.

Le regole più severe valgono per il terzo livello. I dati particolarmente degni di protezione, ad esempio quelli finanziari o fiscali, dovranno restare nei centri di calcolo della Confederazione. Saranno questi il vero «bunker dei dati» del progetto. È previsto un solo fornitore: non basterà una sede di archiviazione in Svizzera, servirà anche l’utilizzo dell’infrastruttura federale.

Le imprese estere non sono escluse

Alla base del progetto c’è la crescente importanza della sicurezza dei dati. Nei servizi cloud non conta soltanto il luogo in cui si trova un server. È rilevante anche il diritto al quale è sottoposto il gestore e a quali condizioni un’autorità straniera possa esigere l’accesso alle informazioni conservate.

In particolare, le disposizioni statunitensi sull’accesso delle autorità ai dati e i timori per la sicurezza legati ai fornitori cinesi hanno sensibilizzato amministrazioni e imprese svizzere. Conservare le informazioni sul territorio nazionale non risolve quindi, da solo, ogni interrogativo sul loro controllo. È proprio su questo punto che intervengono i requisiti supplementari dei due livelli superiori.

La Confederazione non esclude tuttavia a priori le aziende degli Stati Uniti o della Cina. Il concorso deve rispettare le regole dell’Organizzazione mondiale del commercio, l’OMC. L’accesso alla procedura non viene perciò limitato in modo generalizzato in base alla provenienza delle imprese.

Saranno invece le condizioni sulla protezione dei dati e sulla sovranità a restringere la cerchia dei possibili fornitori per il secondo e il terzo livello. Per le aziende sarà decisiva la capacità di soddisfare i requisiti della categoria interessata. Una soluzione svizzera per le autorità, dunque, ma non necessariamente affidata soltanto a imprese svizzere.

Sette miliardi sono un limite, non una spesa già decisa

Il quadro finanziario dà la misura di un progetto ampio e di lungo periodo: al massimo sette miliardi di franchi in 14 anni. Questa cifra non va però confusa con una spesa già stabilita. La Confederazione pagherà soltanto le prestazioni effettivamente richieste.

Se, ad esempio, servirà meno spazio di archiviazione, i costi di quella prestazione diminuiranno di conseguenza. Il tetto indica quindi la portata potenziale dell’acquisto, non una fattura che arriverà necessariamente a quell’importo. La spesa finale dipenderà dall’utilizzo effettivo dei servizi.

La distinzione è centrale per valutare il progetto. L’avvio del concorso non comporta un esborso immediato di sette miliardi, né definisce già tutti gli acquisti futuri. L’orizzonte di 14 anni mostra però che la Confederazione intende dotarsi di una base duratura per la conservazione dei dati dell’amministrazione.

Un’opzione anche per Cantoni e Comuni

La nuova cloud non sarà riservata all’Amministrazione federale. Anche Cantoni e Comuni potranno conservarvi i propri dati, senza alcun obbligo di aderire. Le autorità cantonali e comunali manterranno quindi la scelta se utilizzare o meno l’offerta, una possibilità che riguarda anche la Svizzera italiana.

Per la popolazione, il progetto tocca una questione fondamentale dell’amministrazione digitale: a quali condizioni vengono custodite le informazioni sensibili trattate dalle autorità? I tre livelli dovranno rispondere a esigenze di protezione diverse. Per i dati più delicati, la garanzia prevista non sarà soltanto la permanenza in Svizzera, ma l’archiviazione nei centri di calcolo federali.

Il prossimo passaggio sarà verificare, attraverso il concorso, quali fornitori soddisfino le prestazioni e le condizioni di protezione richieste. L’aggiudicazione resta una tappa decisiva prima dell’entrata in servizio prevista nell’autunno 2027. La Confederazione ha delineato come intende proteggere i propri dati nella cloud; resta da stabilire chi realizzerà questa architettura.