Lukas Schönbächler · 14 gennaio 2026 · 8 minuti di lettura
Perché è importante
La maggior parte delle organizzazioni europee fa oggi passare ogni login e ogni documento attraverso una manciata di cloud provider statunitensi. Questo interpone leggi straniere, politica straniera e le operazioni di qualcun altro tra i vostri dipendenti e il loro lavoro. Il 2025 ha mostrato quanto costa:
- A giugno 2025 Microsoft France ha dichiarato sotto giuramento al Senato francese che non può garantire che i dati europei restino fuori dalla portata delle autorità statunitensi. Il CLOUD Act raggiunge i dati ovunque un provider statunitense li conservi.
- L’identità cloud è un single point of failure: due incidenti nel 2025 (febbraio e ottobre) hanno messo fuori uso a livello globale l’accesso a Microsoft Entra ID. Ogni applicazione dietro di esso ha smesso di autenticare.
- Lo Schleswig-Holstein sta rimuovendo Microsoft da 30.000 postazioni di lavoro governative e prevede di risparmiare oltre 15 milioni di euro di costi di licenza nel 2026. La sovranità digitale è passata dai position paper agli appalti.
- L’autenticazione è il punto in cui la sovranità si vince o si perde: chi gestisce il vostro identity provider controlla l’accesso a tutto ciò che vi sta dietro.
- Il SSO mobile non richiede un cloud gestito dagli Stati Uniti. Kerberos on-premise con i certificati mantiene l’intero percorso di autenticazione dentro la vostra rete e la vostra giurisdizione, con qualsiasi MDM.
Per anni la sovranità digitale è stata un tema da tavola rotonda: teoricamente importante, praticamente ignorata. Il 2025 ha cambiato le cose. Gli avvertimenti sono diventati testimonianze in aula, ordini esecutivi e post-mortem di interruzioni. Se la vostra flotta mobile si autentica attraverso un servizio di identità cloud gestito dagli Stati Uniti, l’anno scorso vi ha consegnato tre motivi concreti per ripensarci, e una via d’uscita architetturale.
2025: l’anno in cui gli avvertimenti sono diventati prove
10 giugno 2025, Senato francese. Anton Carniaux, direttore degli affari pubblici e legali di Microsoft France, è stato interrogato sotto giuramento sulla possibilità di garantire che i dati dei cittadini francesi non sarebbero mai stati trasmessi alle autorità statunitensi senza esplicita autorizzazione francese. La sua risposta: «No, non posso garantirlo.» Ha aggiunto che Microsoft si oppone alle richieste che considera infondate e che lo scenario non si era ancora verificato. L’onestà va a suo merito. La posizione giuridica che descrive è il punto: in base al CLOUD Act statunitense, un provider statunitense può essere obbligato a consegnare i dati indipendentemente da dove sono conservati. L’EU Data Boundary di Microsoft mantiene i dati europei residenti in Europa, ma la residenza non è giurisdizione. Il Senato lo ha fatto mettere a verbale.
Da febbraio a maggio 2025, l’episodio della CPI. Dopo che a febbraio un ordine esecutivo statunitense ha sanzionato il procuratore capo della Corte penale internazionale, a maggio la stampa ha riferito che aveva perso l’accesso al suo account email Microsoft ed era passato a un provider svizzero. Microsoft nega di aver interrotto il servizio. Ciò che non è in discussione è l’effetto: il governo olandese ha avviato una rivalutazione formale della propria dipendenza dai fornitori tecnologici statunitensi, e la «sovranità digitale» è entrata nei dibattiti parlamentari di tutta Europa. L’episodio ha dimostrato il meccanismo che conta: le leggi sulle sanzioni vincolano i vendor statunitensi, e l’accesso alla vostra infrastruttura può diventare un danno collaterale della geopolitica di qualcun altro.
Due interruzioni dell’autenticazione. Il 25 febbraio 2025 una pulizia DNS in Microsoft ha rimosso un dominio usato dal seamless single sign-on di Entra ID. Per oltre un’ora l’accesso cloud è fallito a livello globale; nessun domain controller on-premises è stato consultato, perché il percorso cloud non li interpella. Il 29 ottobre 2025 un errore di configurazione in Azure Front Door ha messo fuori uso Microsoft 365 ed Entra ID per gran parte di una giornata lavorativa, con compagnie aeree e catene retail che segnalavano sistemi interni bloccati. Nessuno dei due incidenti è stato un attacco. Entrambi sono stati banali errori operativi presso un vendor che non potete sottoporre ad audit e con cui non potete andare oltre una pagina di stato.
Lo Schleswig-Holstein vota con il proprio bilancio. Il Land tedesco settentrionale ha deciso nell’aprile 2024 di far uscire la propria amministrazione dallo stack Microsoft: LibreOffice al posto di Office, Linux al posto di Windows, Open-Xchange e Thunderbird al posto di Exchange e Outlook, e un servizio di directory per sostituire Active Directory. A ottobre 2025 aveva migrato 40.000 caselle di posta; a dicembre 2025 LibreOffice era lo standard vincolante su circa l’80 percento delle postazioni statali. Il Land prevede di risparmiare oltre 15 milioni di euro di costi di licenza nel 2026. Qualunque cosa pensiate dell’approccio, ha chiuso una discussione: una pubblica amministrazione europea può funzionare senza lo stack predefinito.
Figura 1: quattro prove da un solo anno. Testimonianze, sanzioni, interruzioni e un’uscita completata: nel 2025 il dibattito sulla sovranità ha prodotto prove. Le fonti sono linkate nelle descrizioni degli eventi qui sopra.
Perché l’autenticazione è la questione di sovranità
La maggior parte dei dibattiti sulla sovranità si concentra su dove risiedono i file. Così si perde di vista la dipendenza più critica. Chi gestisce il vostro identity provider decide, sul piano operativo, se qualcuno possa accedere o meno. I file potete copiarli e ospitarli altrove. L’autenticazione è un servizio vivo: se è fuori uso, sanzionata o oggetto di un mandato, le conseguenze arrivano nel giro di minuti e riguardano ogni applicazione che vi sta dietro.
L’esposizione legale segue l’operatore, non il data center. Il CLOUD Act del 2018 ha formalizzato ciò che l’era del Patriot Act aveva già stabilito nella pratica: le autorità statunitensi possono obbligare i provider statunitensi a produrre i dati sotto il loro controllo, ovunque si trovino. Un data center europeo gestito da un’azienda statunitense non cambia la giurisdizione, che è esattamente ciò che la testimonianza al Senato francese ha confermato. La Corte di giustizia dell’UE era giunta alla conclusione speculare già nel 2020 con Schrems II, quando ha invalidato il Privacy Shield a causa della normativa statunitense sulla sorveglianza.
Quindi la domanda onesta per un CISO non è «i miei dati sono cifrati at rest a Francoforte», ma «quali ordini legali stranieri e quali incidenti del vendor possono impedire alla mia organizzazione di autenticarsi». Per una flotta mobile che accede tramite un cloud identity provider, la risposta li include tutti.
L’alternativa on-premise esiste già
Ecco la parte che si perde nel dibattito sulla sovranità: per l’autenticazione aziendale, l’architettura sovrana non è qualcosa che l’Europa deve ancora costruire. È Kerberos verso la vostra Active Directory, e la maggior parte delle organizzazioni la usa già. Il divario non è mai stato sul lato server. Era il mobile: Android e iOS non hanno un modo nativo di partecipare a Kerberos on-premises, ed è così che le flotte hanno finito per autenticarsi attraverso il cloud.
Quel divario si può colmare a livello applicativo. Hypergate Authenticator porta un client Kerberos sui dispositivi Android e iOS gestiti: il dispositivo ottiene il ticket direttamente dal vostro domain controller usando la pre-autenticazione basata su certificato (PKINIT), con certificati emessi dalla vostra CA tramite il vostro MDM. Da lì, browser e applicazioni aziendali ottengono il single sign-on verso le risorse on-premises. Il percorso di autenticazione completo, dalla credenziale al ticket fino all’applicazione, si svolge dentro la vostra rete, sotto la vostra giurisdizione, gestito da voi. Funziona in ambienti completamente air-gapped, che è la dichiarazione di sovranità più forte che un’architettura possa fare: non ha bisogno di internet, figuriamoci del cloud straniero.
La sovranità ha anche un secondo asse: il vendor lock-in. Un livello di autenticazione legato a un solo UEM vi toglie silenziosamente la libertà di cambiare fornitore di device management. Hypergate è deliberatamente MDM-agnostic: si configura tramite managed configuration standard e funziona allo stesso modo con Intune, Workspace ONE, Ivanti, SOTI o qualsiasi altro UEM Android Enterprise o iOS. La vostra architettura di identità smette di essere il motivo per cui non potete lasciare un vendor, su entrambi i livelli.
| Percorso identità cloud | Percorso Kerberos on-premise | |
|---|---|---|
| Dove vengono verificate le credenziali | Cloud del vendor (operatore USA) | I vostri domain controller |
| Giurisdizione applicabile | USA (il CLOUD Act si applica all’operatore) | La vostra |
| Raggio d’impatto di un’interruzione del vendor | Tutti i login, tutte le app (25 feb e 29 ott 2025) | Nessuno: nessuna dipendenza dal cloud nel percorso di autenticazione |
| Funziona air-gapped | No | Sì |
| Esposizione alle sanzioni | L’operatore deve rispettare gli ordini esecutivi USA | Il software che gestite voi continua a funzionare |
| Accoppiamento con l’MDM | Spesso legato all’ecosistema del vendor | Qualsiasi UEM tramite managed configuration |
Figura 2: un solo confine. Il percorso identità cloud lo attraversa a ogni login; il percorso Kerberos on-premise non lascia mai la vostra rete.
Sovranità significa controllo operativo, non purezza
Una precisazione, perché i dibattiti sulla sovranità attirano l’assolutismo: anche Active Directory è software Microsoft. La differenza non è il passaporto del vendor, è chi gestisce il sistema e cosa succede quando il rapporto entra in tensione. Il software che eseguite sul vostro hardware continua a funzionare durante un’interruzione del vendor, un ordine sanzionatorio o una controversia contrattuale. Un servizio cloud no. Lo Schleswig-Holstein può permettersi anni per sostituire Active Directory proprio perché lo stack on-premises continua a funzionare nel frattempo; nessuno può spegnerlo da remoto. Questa è la definizione operativa di sovranità digitale che vale la pena avere: la capacità di operare, e la capacità di andarsene, secondo i propri tempi.
La stessa logica vale sia che la vostra directory resti Active Directory per il prossimo decennio, sia che migri verso qualcos’altro: Kerberos è un protocollo aperto, e un’architettura di autenticazione costruita su di esso, con certificati della vostra CA, si sposta con voi.
Cosa significa per voi
Non dovete copiare lo Schleswig-Holstein per mettere a frutto le lezioni del 2025. Il primo passo pragmatico è più piccolo: fate l’inventario dei flussi di autenticazione che dipendono da un servizio cloud gestito dagli Stati Uniti, partendo dal mobile. Se i vostri telefoni e tablet possono raggiungere le applicazioni on-premises solo attraverso un cloud identity provider, avete importato la giurisdizione del CLOUD Act, l’esposizione alle sanzioni e le interruzioni di qualcun altro in ogni login mobile. Spostare l’autenticazione mobile su Kerberos on-premises rimuove quella dipendenza con l’infrastruttura che già possedete, funziona con l’MDM che già avete e lascia aperta ogni opzione futura, inclusa una migrazione della directory.
Volete un’autenticazione che risponda solo a voi?
Hypergate Authenticator porta il SSO Kerberos on-premise sui dispositivi Android e iOS gestiti: i vostri domain controller, la vostra CA, la vostra giurisdizione, qualsiasi MDM. Sviluppato e gestito dalla Svizzera.
