Chi controlla la tecnologia controlla le regole: il conto per le imprese e la sovranità digitale

Ve lo ricordate il ragionier Ugo Fantozzi davanti al Megadirettore Galattico? Lo umiliano davanti a tutti e lui ringrazia con un inchino: «Com’è umano lei!». Mi è tornato in mente più di una volta negli ultimi due anni, guardando le facce di chi apriva il preventivo di rinnovo di VMware dopo l’acquisto da parte di Broadcom. Uno l’ho vissuto da vicino. A un mio cliente il costo delle licenze è quasi raddoppiato e l’azienda ha avviato la migrazione verso una tecnologia alternativa. Nel frattempo VMware ha fatto marcia indietro. A settembre Paul Turner, responsabile di prodotto di VMware by Broadcom, ha ammesso che spingere tutti verso il pacchetto più caro andava corretto e ha promesso una nuova versione di vSphere Standard per le piccole aziende, per ora senza prezzi né date. Il cliente ha deciso di andare avanti lo stesso. Un fornitore che cambia le regole in quel modo si è dimostrato inaffidabile, e con la NIS2 l’affidabilità dei fornitori non è più una questione di gusti (l’articolo 21 della direttiva chiede di gestire i rischi della catena di approvvigionamento).

I numeri pubblici sono questi. Dal 2024 non si vendono più licenze perpetue e il catalogo è passato da circa 8.000 codici a quattro pacchetti. Ad aprile 2025 è arrivato persino un minimo d’acquisto di 72 core (prima erano 16), comunicato tramite i distributori e ritirato nel giro di un paio di settimane dopo le proteste. AT&T ha portato in tribunale un aumento del 1.050%. Rijkswaterstaat, l’ente olandese che gestisce strade e acque, si è visto passare da 2,14 a 3,97 milioni di euro l’anno e ha ottenuto dal tribunale dell’Aia due anni di supporto garantito, giusto il tempo per andarsene. A marzo 2026 CISPE (l’associazione dei cloud provider europei) ha presentato un esposto alla Commissione europea, che a luglio ha mandato i questionari al mercato e a settembre non aveva ancora aperto un’istruttoria formale.

Broadcom, va detto, fa il suo mestiere. Ha pagato VMware circa 69 miliardi di dollari e vuole rientrare dall’investimento. Il problema è nostro, che per vent’anni abbiamo costruito i data center su un solo fornitore senza mai chiederci cosa sarebbe successo se avesse cambiato le regole.

Il legame con la sovranità digitale sta proprio nella dipendenza dal fornitore, che emerge già quando si discute di prezzi. Un fornitore che può decuplicare il prezzo da un anno all’altro può anche, per una sanzione, un dazio o una legge del suo paese, smettere di venderti il prodotto o di aggiornarlo. Ho esaminato sette fronti per capire a che punto siamo e cosa può comprare oggi un’azienda senza dipendere da fornitori extra UE.

Gli strumenti di difesa

A gennaio 2026 la Commissione ha proposto il nuovo Cybersecurity Act. Bruxelles potrà indicare i fornitori «ad alto rischio» e imporne l’eliminazione dalle reti mobili entro 36 mesi, con sanzioni fino al 7% del fatturato mondiale. Il bersaglio sono Huawei e ZTE, ma a maggio Germania e Spagna guidavano in Consiglio il fronte contrario. In Germania, a fine 2024, Huawei era ancora in circa il 60% dei siti 5G. In Italia la legge 90/2024 e il DPCM del 30 aprile 2025 danno 8 punti in più, nelle gare ICT di interesse strategico, a chi offre tecnologia italiana, europea o di paesi alleati, e chiedono la distinta dei componenti in formato CycloneDX. Un buon inizio, e un bel lavoro di carte per i fornitori.

Per la sicurezza informatica sono già disponibili diverse soluzioni europee mature. Per gli endpoint ci sono la slovacca ESET, la romena Bitdefender e la tedesca G DATA. Le francesi HarfangLab e Sekoia offrono insieme una piattaforma EDR e XDR con i dati in Europa. Per le vulnerabilità c’è Greenbone, la società tedesca dietro OpenVAS, e per la posta Libraesva, che è di Lecco. L’origine europea, però, non sempre coincide con la proprietà attuale. Nozomi Networks, nata da due ingegneri italiani, dal gennaio 2026 appartiene alla giapponese Mitsubishi Electric. Graylog è nata ad Amburgo ma ha la sede a Houston e Wazuh sta fra la California e la Spagna. Sono strumenti open source su cui ho scritto più di un manuale e che continuo a stimare, ma non chiamiamoli europei.

Nel cloud, i fornitori europei hanno il 15% del mercato continentale (erano il 29% nel 2017), mentre Amazon, Microsoft e Google insieme arrivano al 70%. La risposta degli americani è il «cloud sovrano». AWS ha aperto a gennaio in Brandeburgo un cloud gestito da società tedesche con personale residente nell’UE, ma controllato al 100% da Amazon e quindi soggetto al CLOUD Act. Nel giugno 2025 il direttore legale di Microsoft France ha detto sotto giuramento al Senato francese che l’azienda non può garantire che i dati non vengano consegnati alle autorità americane. Per come la vedo io, il cloud sovrano di un’azienda americana è un ossimoro con un ottimo ufficio marketing. Va benissimo per tanti carichi di lavoro, non per i dati strategici. La Corte penale internazionale, dopo le sanzioni americane al suo procuratore, sta spostando 1.800 postazioni su openDesk, una suite tedesca. Lo Schleswig-Holstein ha già migrato 40.000 caselle di posta.

Hardware, virtualizzazione e reti

Per uscire da VMware le strade europee ci sono. L’austriaco Proxmox VE conta un milione e mezzo di host installati e importa le macchine virtuali VMware in modo nativo. XCP-ng, della francese Vates, ha appena raccolto 30 milioni di euro e supera i mille clienti. Nutanix e OpenShift sono ottimi prodotti, ma sono americani, quindi si cambia padrone e non condizione.

Sull’hardware il discorso è più duro. A settembre 2025 il governo olandese ha preso il controllo di Nexperia, produttore di chip di proprietà cinese, Pechino ha bloccato l’export e alcune linee dell’auto europea si sono fermate. A marzo 2026 la sede olandese ha disattivato gli account Office 365 e SAP dei dipendenti cinesi, un «kill switch» al contrario. A maggio la Commissione ha escluso dai progetti finanziati dall’UE gli inverter dei fornitori ad alto rischio (i produttori cinesi hanno circa l’80% del mercato mondiale). Il Chips Act 2.0, presentato a giugno, ha abbandonato l’obiettivo del 20% di produzione mondiale di chip. La Corte dei conti europea prevedeva l’11,7% al 2030. Persino Rhea1, il processore europeo di SiPearl consegnato a settembre per il supercomputer JUPITER, è stampato da TSMC a Taiwan. Per gli apparati di rete restano Nokia, Ericsson e nomi meno noti come LANCOM e Genua in Germania o Ekinops in Francia.

Cifratura post-quantistica e generatori quantistici

Gli standard ci sono dall’agosto 2024 (NIST FIPS 203, 204 e 205). La roadmap europea chiede i primi passi e le roadmap nazionali entro la fine di quest’anno, la migrazione dei sistemi ad alto rischio entro il 2030 e del resto entro il 2035. Ad aprile il NIS Cooperation Group ha chiarito che i soggetti NIS2 devono almeno fare l’inventario della crittografia che usano. L’11 giugno l’ACN ha aggiornato le linee guida con il TLS post-quantistico, ma senza scadenze, e una roadmap italiana non è ancora uscita. Intanto il 23 settembre le tre autorità di vigilanza finanziaria europee hanno scritto che il Q-Day potrebbe arrivare prima delle applicazioni commerciali del quantum. I browser stanno già facendo la parte più semplice: oltre il 65% del traffico umano che passa da Cloudflare è protetto da algoritmi post-quantistici. Il lavoro più difficile, su VPN, firme digitali, HSM e applicativi di quindici anni fa, resta in casa nostra.

Conviene prepararsi anche se il computer quantistico capace di rompere la cifratura non c’è ancora: quello che viene copiato oggi si potrà leggere quel giorno. Contratti, brevetti e progetti che devono restare riservati per dieci anni sono già nel mirino, e chi ha fatto un minimo di igiene informatica sa che un inventario non si fa in un mese.

Sul mercato europeo ci sono chip certificati come quelli di Infineon, gli HSM di Utimaco, Thales ed Eviden. Sui generatori quantistici di numeri casuali (QRNG) c’è una notizia che si è letta poco. ID Quantique di Ginevra, il nome più noto del settore, da maggio 2025 è controllata dall’americana IonQ. Restano europee la spagnola Quside e due italiane, ThinkQuantum, nata come spin-off a Padova, e QTI di Firenze, che lavorano anche dentro QUID, la dorsale quantistica italiana da Torino a Matera.

Computer quantistici

Nel calcolo quantistico l’Europa costruisce già le proprie macchine. EuroHPC ha inaugurato sei computer quantistici e uno è a Bologna, al CINECA. Si chiama SOL, lo ha fatto la francese Pasqal, ha almeno 140 qubit ed è affiancato da una macchina della finlandese IQM collegata al supercomputer Leonardo. Le difficoltà arrivano quando queste aziende devono crescere. A luglio IQM si è quotata al Nasdaq, ad agosto Pasqal ha fatto lo stesso e la britannica Oxford Ionics è stata comprata da IonQ per oltre un miliardo di dollari. Il Quantum Act europeo, annunciato per la primavera, a settembre era ancora «più avanti quest’anno». Costruiamo le macchine e poi le quotiamo a New York… Un’azienda che vuole sperimentare può usare la piattaforma quantistica di OVHcloud, che offre i processori di Pasqal e Quandela, o i bandi EuroHPC. Il centro IBM di Ehningen, in Germania, è in Europa ma non è europeo.

Intelligenza artificiale

Nell’intelligenza artificiale si vede meglio l’Europa che regola invece di costruire. L’AI Act era appena entrato a regime quando, a luglio, il Digital Omnibus ha spostato gli obblighi sui sistemi ad alto rischio al dicembre 2027 e al 2028. In Italia la legge 132/2025 ha avuto il decreto attuativo il 7 ottobre, con l’ACN come autorità di sorveglianza. Le regole ci sono, i modelli meno. Mistral ha chiuso a settembre un round da 3 miliardi di euro guidato dalla coreana Samsung. La tedesca Aleph Alpha si sta fondendo con la canadese Cohere e ne prenderà il marchio. In Italia Domyn guida il consorzio scelto da Bruxelles per un modello europeo aperto oltre i 400 miliardi di parametri, e ci sono Velvet di Almawave, Minerva della Sapienza e MIIA di Fastweb e Vodafone. Per un’azienda la via più concreta oggi è un modello aperto come Mistral o EuroLLM, installato in casa o su un cloud italiano, come gli AI Endpoints di OVHcloud, l’offerta ospitata da Aruba o regolo.ai di Seeweb. Tutti, va detto, girano su schede NVIDIA. Anche un’azienda di cinquanta persone, secondo me, deve preoccuparsi di dove gira il suo assistente IA, se ci passano offerte, listini e dati dei clienti.

Supercalcolo

Nel supercalcolo l’Italia può andare a testa alta. Nella classifica TOP500 di giugno JUPITER, in Germania, è quinto ed è il primo exascale europeo. Al sesto posto c’è HPC7 di Eni, che insieme a HPC6 supera l’exaflop ed è il sistema industriale più potente al mondo. A Bologna Leonardo ha una nuova partizione per l’IA e ad aprile è stato firmato il contratto da 290 milioni per IT4LIA, la AI Factory italiana, con capofila la reggiana E4 Computer Engineering. Il 12 novembre scade il bando europeo per le AI Gigafactory e il governo sta mettendo insieme la candidatura italiana con Eni, Enel, Leonardo e gli altri grandi gruppi. Le PMI e le startup possono già chiedere ore di calcolo con i bandi delle AI Factory, e per i servizi alle imprese di IT4LIA l’ente attuatore è AI4I, a Torino.

Dorsali e porte d’ingresso di Internet

Il 99% del traffico intercontinentale passa sui cavi sottomarini. Le reti di Google, Meta, Microsoft e Amazon usano circa il 75% della banda internazionale e partecipano a due terzi dei nuovi cavi. Li posano l’americana SubCom, la francese ASN (che lo Stato francese ha ricomprato da Nokia), la giapponese NEC e la cinese HMN Tech. Quando un cavo si rompe, come nel Baltico a Natale 2024 o nel Mar Rosso a settembre 2025, servono in media una quarantina di giorni per ripararlo. L’Italia è una porta d’ingresso. In Sicilia approdano oltre venti cavi e a giugno Bruxelles ci ha affidato la guida dell’hub europeo per la sicurezza dei cavi nel Mediterraneo. A gennaio è nata per legge (la n. 9 del 2026) l’Agenzia per la sicurezza delle attività subacquee, che ad agosto non aveva ancora un direttore. La vendita di Sparkle, la società dei cavi di TIM, al Ministero dell’Economia e a Retelit continua a slittare, ora al 20 novembre.

Sul fronte satellitare il contratto con Starlink per le comunicazioni governative non è mai stato firmato e la costellazione europea IRIS² vedrà i primi lanci nel 2029. Nel frattempo i due satelliti militari italiani SICRAL 3, previsti nel 2027, partiranno su un razzo Falcon 9 di SpaceX. Proprio così, i satelliti della nostra difesa li manda in orbita Elon Musk.

E lunedì mattina?

A un’azienda biellese i sette fronti sembreranno lontani. Lo erano anche le licenze VMware, fino al giorno del rinnovo. Il mio consiglio è di partire dall’elenco dei fornitori e dei prodotti che arrivano da fuori dell’Unione europea: chiedetelo al vostro IT, dal software di virtualizzazione al firewall, dalla posta al DNS. Per ognuno valutate se, di fronte a un raddoppio del prezzo, potreste passare agevolmente a un’altra soluzione. Non serve buttare via tutto ciò che è americano o cinese (sarebbe impossibile, e in molti casi sbagliato). Serve sapere dove la risposta è no, e cominciare da lì.

Alternative europee già sul mercato

• Endpoint e XDR: ESET (SK), Bitdefender (RO), G DATA (DE), HarfangLab e Sekoia (FR).
• Vulnerability management: Greenbone/OpenVAS (DE).
• Sicurezza della posta: Libraesva (IT).
• Virtualizzazione al posto di VMware: Proxmox VE (AT), XCP-ng di Vates (FR).
• Cloud con sede e controllo in Europa: OVHcloud, Scaleway (FR), IONOS, STACKIT (DE), Aruba, Seeweb (IT).
• HSM e chip post-quantistici: Utimaco, Infineon (DE), Thales, Eviden (FR).
• Generatori quantistici (QRNG): Quside (ES), ThinkQuantum, QTI (IT).
• Calcolo quantistico in cloud: piattaforma OVHcloud con Pasqal e Quandela, bandi EuroHPC.
• Modelli di IA aperti: Mistral (FR), EuroLLM, Velvet, Minerva (IT).
• Ore di supercalcolo per PMI: bandi AI Factory EuroHPC, IT4LIA tramite AI4I (Torino).
• DNS, CDN e anti-DDoS: DNS4EU, Bunny.net (SI), Link11, Myra (DE), peering su MIX, Namex, TOP-IX.

Per maggiori informazioni:

Sito web: www.seccomarco.com

LinkedIn: https://www.linkedin.com/in/marco-secco-pqc/