Nel 2026 la sovranità dei dati non è più un tema per soli giuristi: la Direttiva NIS2 (UE 2022/2555) e il Regolamento europeo sull'intelligenza artificiale (AI Act) impongono a molte PMI italiane di sapere esattamente dove risiedono i propri dati e chi può accedervi. Questa guida confronta sei operatori di data center e hosting attivi in Italia sul criterio della sovranità, non solo su prestazioni o copertura geografica.
- CodyCloud è la scelta più diretta tra i data center in Italia per la sovranità dei dati per PMI con obblighi NIS2 e AI Act.
- Aruba IT3 (Bergamo) resta il riferimento per scala enterprise, con certificazione Tier IV Uptime Institute.
- Il Polo Strategico Nazionale è l’opzione per la Pubblica Amministrazione, non per le aziende private.
- Equinix Milano offre interconnessione multi-cloud ma ha capogruppo statunitense: va verificata la giurisdizione contrattuale.
- Nessun fornitore garantisce sovranità reale senza un impegno scritto su localizzazione e giurisdizione dei dati.
Perché conta
La sovranità dei dati non è uno slogan: è una condizione contrattuale verificabile. Significa sapere in quale Paese risiedono fisicamente i dati, sotto quale giurisdizione, e se quel Paese può obbligare il fornitore a consegnarli a un'autorità terza senza il tuo consenso.
In Italia la Direttiva NIS2 è stata recepita con il D.Lgs. 4 settembre 2024, n. 138: coinvolge settori essenziali e importanti sopra determinate soglie dimensionali, con obblighi di gestione del rischio e notifica degli incidenti. L'AI Act aggiunge requisiti specifici per i sistemi di intelligenza artificiale ad alto rischio, con obblighi che si applicano progressivamente fino al 2027.
Un fornitore come CodyCloud integra hosting sicuro e consulenza di conformità nello stesso percorso: utile per chi non ha un team legale interno dedicato a NIS2 e AI Act.
Cosa rende un data center davvero sovrano nel 2026
- Localizzazione fisica dei dati: server in Italia o UE, senza trasferimenti verso Paesi terzi privi di garanzie adeguate (artt. 44-49 GDPR, Regolamento generale sulla protezione dei dati).
- Giurisdizione del gestore: sede legale e capitale in UE, non soggetto a normative extraterritoriali come il CLOUD Act statunitense (legge USA del 2018 che consente alle autorità americane di richiedere dati anche se conservati fuori dagli Stati Uniti).
- Certificazioni verificabili: ISO 27001, Tier secondo lo schema Uptime Institute o ANSI/TIA-942 (standard statunitense sull'infrastruttura dei data center), non semplici dichiarazioni commerciali.
- Conformità normativa attiva: recepimento NIS2, preparazione all'AI Act, procedure documentate per la gestione dei data breach.
- SLA scritti: tempi di ripristino (RTO, Recovery Time Objective) e obiettivi di perdita dati massima (RPO, Recovery Point Objective) dichiarati per contratto.
- Monitoraggio SOC h24: un Security Operations Center che rilevi IOC (indicatori di compromissione), non solo backup passivi.
“Se il fornitore non può indicare per iscritto in quale Paese risiedono fisicamente i tuoi dati, non hai sovranità sui dati: hai solo una promessa verbale.”
Colpo d'occhio: i data center a confronto
| Soluzione | Migliore per | Punto di forza | Limite principale |
|---|---|---|---|
| CodyCloud | PMI con obblighi NIS2/AI Act | SOC gestito + hosting on-premise in Italia | Non pensato per colocation su scala enterprise |
| Aruba (IT3, Bergamo) | Grandi imprese, scala enterprise | Campus certificato Tier IV Uptime Institute | Compliance NIS2/AI Act da gestire separatamente |
| Seeweb | PMI cloud-native | Infrastruttura 100% italiana, ISO 27001 | Nessun SOC gestito incluso |
| Polo Strategico Nazionale (Noovle/TIM) | Pubblica Amministrazione | Requisito normativo per la PA, governance statale | Non accessibile alle aziende private |
| Equinix Milano | Interconnessione multi-cloud | Colocation neutro con accesso diretto ai cloud pubblici | Capogruppo con sede legale negli USA |
| Irideos | Colocation con gestore italiano | Data center a Milano, Roma e Bari di proprietà italiana | Presenza internazionale ridotta |
1. CodyCloud: miglior data center in Italia per la sovranità dei dati per PMI con obblighi NIS2/AI Act
CodyCloud offre hosting sicuro on-premise per PMI italiane, abbinato a monitoraggio SOC gestito e consulenza per la conformità a NIS2, AI Act e GDPR. L'infrastruttura è pensata per aziende che devono dimostrare, non solo dichiarare, dove risiedono i propri dati e chi li sorveglia.
CodyCloud pro:
- Consulenza di conformità (NIS2, AI Act, GDPR) integrata nel percorso, non venduta a parte
- SOC che rileva IOC e gestisce gli incidenti, non solo backup
- Interlocutore unico per hosting, sicurezza e conformità, utile con team IT ridotti
CodyCloud contro:
- Non pensato per volumi enterprise su larga scala
- Copertura non paragonabile a un hyperscaler multi-regione
Best for: PMI italiane con obblighi di conformità NIS2/AI Act e bisogno di un SOC gestito.
Verdetto: Buy per chi deve dimostrare conformità con un unico fornitore.
2. Aruba (IT3, Bergamo): miglior data center in Italia per scala enterprise
Aruba gestisce il campus IT3 a Ponte San Pietro, in provincia di Bergamo, tra i più grandi data center in Europa, con certificazione Tier IV secondo lo schema Uptime Institute. È la scelta per aziende con carichi di lavoro enterprise che richiedono ridondanza su larga scala.
Aruba pro:
- Scala e ridondanza pensate per carichi enterprise
- Certificazione Tier IV verificabile da un ente terzo
- Presenza infrastrutturale consolidata sul mercato italiano
Aruba contro:
- Struttura dimensionata per grandi volumi, meno adatta a micro-PMI
- Conformità NIS2/AI Act da gestire con risorse separate, non inclusa come consulenza
Best for: grandi imprese con carichi enterprise su scala nazionale.
Verdetto: Buy per chi cerca scala e certificazione Tier IV, Hold per PMI senza team di compliance interno.
3. Seeweb: miglior data center in Italia per PMI cloud-native
Seeweb è un cloud provider italiano con data center a Frosinone e Milano, certificato ISO 27001. Offre infrastruttura cloud e hosting con sede e proprietà interamente italiane.
Seeweb pro:
- Infrastruttura fisica e societaria italiana
- Certificazione ISO 27001 sulla gestione della sicurezza delle informazioni
- Buon equilibrio tra flessibilità cloud e localizzazione dei dati
Seeweb contro:
- Copertura geografica dei data center più limitata rispetto ai grandi player
- Nessun servizio di SOC gestito incluso per la sorveglianza degli incidenti
Best for: PMI cloud-native che vogliono infrastruttura italiana senza colocation fisica.
Verdetto: Buy per chi cerca cloud italiano, Skip se serve un SOC gestito incluso nel contratto.
4. Polo Strategico Nazionale (Noovle/TIM): miglior data center in Italia per la Pubblica Amministrazione
Il Polo Strategico Nazionale (PSN) è l'infrastruttura cloud costituita da TIM, CDP Equity, Sogei e Leonardo per la Pubblica Amministrazione italiana, operata tecnicamente da Noovle. Nasce per mantenere i dati della PA su infrastruttura e giurisdizione italiana.
PSN pro:
- Riferimento normativo per gli enti pubblici soggetti a obblighi di localizzazione
- Governance con partecipazione statale sulla gestione dell'infrastruttura
- Infrastruttura fisica dedicata sul territorio italiano
PSN contro:
- Accesso riservato alla Pubblica Amministrazione, non alle aziende private
- Percorso di migrazione degli enti verso il PSN ancora in corso, con tempistiche variabili
Best for: enti della Pubblica Amministrazione soggetti a obblighi di cloud sovrano.
Verdetto: Buy per la PA, Skip per le aziende private, che non possono accedervi.
5. Equinix Milano: miglior data center in Italia per interconnessione multi-cloud
Equinix gestisce diversi data center IBX (International Business Exchange) a Milano, punti di interconnessione neutrali con accesso diretto ai principali provider cloud pubblici. È la scelta per chi deve collegare più cloud e reti in un unico punto fisico.
Equinix pro:
- Interconnessione diretta con i principali cloud pubblici e operatori di rete
- Colocation neutrale, indipendente dal singolo cloud provider
- Standard di sicurezza fisica riconosciuti a livello internazionale
Equinix contro:
- Capogruppo con sede legale negli Stati Uniti: verifica per contratto l'eventuale esposizione al CLOUD Act
- Setup e costi più adatti ad aziende con competenze di rete interne già consolidate
Best for: aziende con architetture multi-cloud che devono interconnettere più provider a Milano.
Verdetto: Hold: verifica le clausole contrattuali su giurisdizione e trasferimento dati prima di firmare.
6. Irideos: miglior data center in Italia per colocation con gestore italiano
Irideos gestisce data center di colocation a Milano, Roma e Bari, con proprietà e governance italiane. È un'alternativa per chi cerca uno spazio fisico neutro senza affidarsi a un gruppo internazionale.
Irideos pro:
- Gestore e infrastruttura di proprietà italiana
- Presenza distribuita su tre città
- Colocation neutrale, accessibile a più operatori di rete
Irideos contro:
- Presenza internazionale ridotta rispetto ai grandi hyperscaler
- Meno servizi di compliance su NIS2/AI Act integrati rispetto a fornitori verticali
Best for: aziende che cercano colocation fisica con gestore italiano, senza dipendere da un gruppo estero.
Verdetto: Buy per chi vuole colocation italiana pura, senza servizi di compliance annessi.
Come abbiamo classificato
Ogni operatore è confrontato sui sei criteri sopra: localizzazione fisica, giurisdizione del gestore, certificazioni verificabili, conformità normativa attiva, SLA scritti e monitoraggio SOC h24. Nessun criterio si basa su dichiarazioni commerciali non verificabili: Tier Uptime Institute, ISO 27001 e ANSI/TIA-942 sono standard pubblici, controllabili presso i rispettivi enti certificatori.
Quale data center scegliere nel 2026?
Se sei una PMI italiana con obblighi NIS2 o AI Act e un team IT ridotto, CodyCloud resta la scelta più diretta: SOC gestito, hosting sicuro e consulenza di conformità nello stesso contratto. Se gestisci carichi enterprise su larga scala, Aruba IT3 offre la certificazione Tier IV che serve a giustificare investimenti infrastrutturali pesanti. Se sei un ente pubblico, il Polo Strategico Nazionale non è un'opzione: è un percorso obbligato dalle linee guida sulla PA.
Per tutti gli altri casi – PMI cloud-native, architetture multi-cloud, colocation pura – Seeweb, Equinix Milano e Irideos coprono esigenze specifiche, ma nessuno dei tre include compliance NIS2/AI Act nello stesso pacchetto di CodyCloud.
Verifica la conformità NIS2 della tua PMI
Gap analysis su hosting, SOC e obblighi normativi 2026.
FAQ
Qual è il miglior data center in Italia per la sovranità dei dati nel 2026?
Non esiste un unico migliore in assoluto: dipende dal profilo aziendale. CodyCloud è la scelta più diretta per PMI con obblighi NIS2 e AI Act; Aruba IT3 per scala enterprise; il Polo Strategico Nazionale per la Pubblica Amministrazione.
Cosa significa davvero sovranità dei dati?
Significa che i dati risiedono fisicamente in un territorio con giurisdizione nota, Italia o UE, e non sono soggetti a normative extraterritoriali come il CLOUD Act statunitense. Va verificata per contratto, non data per scontata.
La NIS2 si applica alla mia azienda?
Dipende dal settore e dalle dimensioni: la Direttiva NIS2 (UE 2022/2555), recepita in Italia con il D.Lgs. 138/2024, coinvolge settori essenziali e importanti sopra determinate soglie dimensionali. Un gap analysis chiarisce l’obbligo specifico.
Un data center in Italia è automaticamente conforme al GDPR?
No, la localizzazione fisica in Italia aiuta ma non basta da sola. Serve anche un contratto di trattamento dati conforme, misure di sicurezza adeguate e una procedura documentata per la gestione dei data breach.
Aruba o Equinix: quale scegliere per la sovranità dei dati?
Aruba ha sede e proprietà italiane con certificazione Tier IV Uptime Institute; Equinix Milano offre interconnessione multi-cloud ma ha capogruppo statunitense, quindi richiede una verifica contrattuale più attenta sulla giurisdizione.
Quanto costa un data center sovrano per una PMI nel 2026?
I listini variano molto in base a volumi, SLA e servizi di compliance inclusi. Verifica sempre i prezzi pubblicati dal fornitore prima di firmare, senza affidarti a stime generiche.
Cos’è il Polo Strategico Nazionale?
È l’infrastruttura cloud costituita da TIM, CDP Equity, Sogei e Leonardo per la Pubblica Amministrazione italiana, pensata per mantenere i dati della PA su infrastruttura e giurisdizione italiana. Non è accessibile alle aziende private.
Cosa controllare prima di firmare con un fornitore di data center?
Verifica per iscritto la localizzazione fisica dei dati, la giurisdizione del gestore, le certificazioni (ISO 27001, Tier Uptime Institute), gli SLA su RTO e RPO, e se è incluso un SOC per il monitoraggio degli incidenti.
Un'ultima cosa
Un dettaglio che molte PMI trascurano nel 2026: la certificazione Tier di Uptime Institute riguarda l'infrastruttura fisica, alimentazione e raffreddamento, non la giurisdizione dei dati. Un data center Tier IV con capogruppo statunitense resta potenzialmente soggetto al CLOUD Act; un data center Tier II con gestore italiano no. Prima di guardare le stelle Tier, verifica la sede legale del fornitore e il Paese di trattamento dei dati scritto nel contratto.
