Quali infrastrutture sono «critiche» per l’UE? L’elenco del Parlamento europeo
7 min di lettura
Oggi, 5 agosto 2026, la Gazzetta ufficiale dell’Unione europea pubblica la risoluzione del Parlamento europeo del 22 gennaio 2026 sulla sovranità tecnologica europea e le infrastrutture digitali (2025/2007(INI)), atto P10_TA(2026)0022, serie C, C/2026/3697. Non è una legge, e lo diciamo subito perché conta più di ogni altra cosa scritta qui sotto. Ma dentro c’è un paragrafo che chi scrive un capitolato può usare da stamattina: un elenco, messo per iscritto da un’istituzione europea, di che cosa conta come infrastruttura digitale critica. È il punto 24, ed è il cuore di questo pezzo.
L’elenco, punto per punto
Il Parlamento «riconosce l’importanza strategica delle infrastrutture digitali critiche e la necessità di rafforzarne la sicurezza e la resilienza», poi elenca: «cavi (terrestri e sottomarini), torri per la rete cellulare, sistemi di comunicazione satellitare, apparecchiature radio e di spettro, server cloud che contengono informazioni sensibili e centri dati che trattano informazioni sensibili, come pure alcuni elementi software, compresi software di sicurezza che proteggono le reti e i centri di dati critici».
Leggetela come una lista di controllo, non come un proclama. Sette voci, e ciascuna corrisponde a qualcosa che entra davvero in una fornitura: un tracciato in fibra, un traliccio, un terminale VSAT, un impianto radio, una sala che tratta dati sensibili, l’agente software che ne protegge l’accesso. Se una di queste voci compare nel vostro appalto o nel vostro parco impianti, per il Parlamento europeo è dentro il discorso della resilienza — non domani, da oggi che l’elenco è pubblico. Il considerando H allarga la cornice: l’infrastruttura digitale è fatta di «elementi hardware relativi alla connettività, tra cui fibra, 5G e 6G, cavi sottomarini, satelliti e spettro, e relativi al calcolo, tra cui semiconduttori, centri dati, HPC e tecnologie quantistiche», più gli elementi software e «il livello di intermediazione». Il punto 24 non è quindi un elenco isolato: è la traduzione operativa di una definizione che il Parlamento aveva già posto poche pagine prima.
Giurisdizione, non geografia
Il punto 25 aggiunge la richiesta, ed è la parte con più conseguenze pratiche: il Parlamento «pone in risalto la necessità di garantire che tali infrastrutture siano soggette alla giurisdizione dell’UE e che quindi siano pienamente conformi al diritto dell’UE». Non chiede dove sta fisicamente il cavo o il server — chiede a quale diritto risponde chi lo controlla. È esattamente la distinzione che il Data Act già impone di dichiarare, articolo 28: la giurisdizione dell’infrastruttura TIC, non l’indirizzo del data center. Ne abbiamo scritto ieri, a proposito dei fornitori cloud — chi deve dichiararla e come si verifica in dieci minuti. Il punto 25 estende la stessa logica a tutto l’elenco del punto 24, non solo al cloud: cavi, torri, satelliti, sale dati.
La legge sui fornitori ad alto rischio non c’è ancora
Il resto del punto 25 è una richiesta, non un fatto compiuto: il Parlamento «invita pertanto la Commissione a introdurre una legislazione volta a mitigare i rischi posti dai fornitori ad alto rischio provenienti da paesi terzi, compresi i rischi posti da fornitori di risorse energetiche controllate da soggetti esteri». La Commissione non l’ha ancora presentata. Sul segmento delle reti mobili, il punto 45 va oltre e chiede «misure più rigorose per ridurre il rischio dei fornitori ad alto rischio nelle reti 5G e 6G», insieme a una diffusione capillare di piccole celle e macrotorri nelle zone a copertura disomogenea — di un obbligo analogo, limitato al mobile e con un iter legislativo diverso, abbiamo già scritto qui. Ma un criterio vincolante e trasversale per «fornitore ad alto rischio» — valido per un cavo, una torre, una sala dati — oggi non esiste. Chi deve scegliere un fornitore per una tratta o un armadio non ha un elenco a cui appoggiarsi: il criterio se lo deve scrivere da sé, in capitolato. È il punto più operativo di questo pezzo.
Quanto pesano queste infrastrutture, secondo il Parlamento
Tre considerando danno la misura di ciò che è in gioco — e vanno letti per quello che sono: affermazioni del Parlamento, riportate nei considerando che introducono la risoluzione, non misurazioni indipendenti che l’articolo faccia proprie. Il considerando AF osserva che «la capacità e la disponibilità affidabili di conservazione dei dati sono essenziali per la resilienza e lo sviluppo dell’Europa», e che «la maggior parte dei centri dati in Europa non appartiene a imprese europee». Il considerando AH afferma che «circa il 9 % del consumo globale di energia elettrica è imputabile a centri dati, servizi cloud e connettività»: nel testo che abbiamo verificato questa cifra non è accompagnata da alcun rimando a una fonte, a differenza di altri passaggi della stessa risoluzione che citano studi con tanto di nota; va quindi trattata come un’affermazione del Parlamento, non come un dato misurato e verificabile in autonomia. Il considerando AI, infine, richiama ciò di cui abbiamo scritto il 19 luglio a proposito dei cavi sottomarini tranciati nel Baltico e nel Mar Rosso: «i cavi sottomarini sono infrastrutture critiche per la connettività, la stabilità economica e la sicurezza globali, dato che oltre il 99 % delle comunicazioni internazionali è trasportato attraverso di essi, e che rimangono vulnerabili ai danni fisici, alle minacce informatiche e ai rischi geopolitici».
Il limite: una risoluzione non è una legge
Va detto con la stessa chiarezza con cui si è detto il resto. Una risoluzione del Parlamento europeo di iniziativa (INI) non crea obblighi, non modifica una norma esistente, non si può citare in un contenzioso come fonte di un dovere. Il punto 24 non obbliga nessuno a fare nulla. Il suo valore è un altro, ed è comunque un valore: è una lista pubblica, datata, citabile, di che cosa un’istituzione europea considera infrastruttura digitale critica, e un’indicazione affidabile di dove sta andando la normativa nei prossimi anni. Chi la mette in capitolato la adotta come criterio scelto, non la subisce come norma cogente — è una differenza da scrivere esplicitamente nel documento, non da lasciare intendere.
C’è un secondo dato di realtà, ed è la data. La risoluzione è stata approvata il 22 gennaio 2026 ed è pubblicata in Gazzetta oggi, 5 agosto: sei mesi e mezzo dopo. Non è un’anomalia — le risoluzioni del Parlamento seguono tempi di pubblicazione propri, indipendenti dal ritmo con cui si scrivono i regolamenti — ma è un’informazione da tenere presente quando la si legge: un testo pubblicato oggi descrive il quadro di gennaio. Nel frattempo, per fare un esempio concreto, l’obbligo di trasparenza sulla giurisdizione del Data Act di cui abbiamo scritto ieri era già in vigore da mesi, e continua a esserlo indipendentemente da questa risoluzione.
Il punto.
L’elenco del punto 24 è utile esattamente nella misura in cui lo si tratta come una lista di controllo del perimetro, non come un’etichetta da citare a voce. Per ognuna delle sue voci — cavi, torri, sistemi satellitari, apparecchiature radio, server e sale che trattano dati sensibili, software di sicurezza — la domanda del capitolato è sempre la stessa: chi è il fornitore, a quale giurisdizione risponde, che cosa si verifica in collaudo, quale documentazione resta agli atti. È il lavoro che portiamo dentro ogni capitolato di conformità che scriviamo per un data center o per una rete di telecomunicazioni: tracciati, contratti dei fornitori, giurisdizioni dichiarate e verifiche in accettazione smettono di essere fascicoli sparsi in cartelle diverse e diventano una mappa unica del sito e della rete, su cui un’AI segnala che un tratto critico dipende oggi da un fornitore la cui posizione societaria è cambiata, o che una sala che tratta informazioni sensibili non ha mai avuto una giurisdizione dichiarata per iscritto — insieme a CSIDIA, l’altra società del gruppo. L’AI gira nel perimetro del cliente, non fuori: su macchine autonome on-premise che non richiedono integrazione profonda nella rete esistente, o in cloud dedicato con data center in Italia, con gestione condivisa e squadre nostre, senza subappalto, su impianti multimodello.
Dovete scrivere un capitolato che tenga conto delle voci dell’elenco del Parlamento, o verificare quali fornitori del vostro perimetro sono già coperti? Parlatene con un tecnico: il sopralluogo è senza costi, e l’elenco si legge in dieci minuti, non alla prossima gara.