OVHcloud ottiene SecNumCloud per il cloud pubblico: cosa cambia per chi rivende hosting in Italia

OVHcloud ha ottenuto il 1° settembre 2026 la qualificazione SecNumCloud da ANSSI, l'agenzia francese per la sicurezza informatica, per la sua piattaforma SNC Cloud Platform. Lo si legge nel comunicato ufficiale del gruppo. Non è un dettaglio da addetti ai lavori francesi: OVHcloud ha annunciato che la piattaforma arriverà anche nelle regioni cloud pubblico di Italia, Germania e Polonia, con ogni deployment conforme al quadro normativo nazionale. Per chi in Italia rivende hosting o gestisce infrastrutture per clienti enterprise, è il momento di capire di cosa si tratta prima che lo chieda un cliente.

Cos'è SecNumCloud, in pratica

SecNumCloud è un audit approfondito, condotto da un valutatore indipendente sotto l'autorità di ANSSI, che copre quasi 1.200 requisiti lungo tutta la catena del valore: infrastruttura, operazioni, governance, organizzazione e sicurezza. Non è un'autocertificazione: il fornitore qualificato deve dimostrare protezione contro l'accesso extraterritoriale ai dati, autonomia operativa, infrastruttura e operazioni basate nella UE, e meccanismi di isolamento e sicurezza robusti.

Per OVHcloud è la terza linea a ottenere il bollino. Le altre due sono Hosted Private Cloud powered by VMware, qualificata da dicembre 2023, e Bare Metal Pod, qualificata da marzo 2025. SNC Cloud Platform è la prima a replicare il modello del Public Cloud "normale" dell'operatore: fatturata a consumo, basata su API aperte e standard open source, per facilitare l'interoperabilità con gli ambienti esistenti e la reversibilità dei dati.

Perché proprio adesso

La tempistica non è casuale. L'articolo 31 della legge francese n. 2024-449 e il suo decreto attuativo del 14 aprile 2026 impongono l'uso di servizi cloud certificati per i dati sensibili dello Stato francese e dei suoi operatori. La stessa pressione normativa si sta estendendo a settori regolati come sanità, finanza, industria ed energia, oltre che ai fornitori di software che lavorano con la pubblica amministrazione.

Dove e quando arriva in Europa

Il gruppo sta estendendo SNC Cloud Platform alle proprie regioni Public Cloud in Europa, con Italia, Germania e Polonia come prossimi passi, e ogni deployment conforme ai quadri normativi nazionali applicabili. In Francia il calendario di disponibilità generale, pubblicato sul blog ufficiale OVHcloud, è scaglionato:

Regione / servizio	Disponibilità generale
Gravelines (GRA)	Già disponibile
Strasburgo (SBG)	Inizio novembre 2026
Roubaix (RBX)	Gennaio 2027
Istanze Metal e VM su host dedicati	Fine novembre 2026
Istanze GPU	Fine febbraio 2027

Per Italia, Germania e Polonia non è ancora stata pubblicata una data di disponibilità generale: OVHcloud parla genericamente di prossimi passi.

Sede in UE non è la stessa cosa di "qualificato SecNumCloud"

Qui sta il punto che un rivenditore italiano deve avere chiaro, senza bisogno di vendere alla PA. Un'infrastruttura con sede legale e server in Unione Europea può comunque essere soggetta a leggi extraterritoriali se la società madre o parte del capitale è controllata da soggetti extra-UE: è il caso tipico sollevato da normative come il CLOUD Act statunitense o il FISA. SecNumCloud, al contrario, obbliga il fornitore qualificato a dimostrare protezione contro l'accesso extraterritoriale ai dati e autonomia operativa, non a promettere genericamente che i dati "restano in Europa".

A chi serve, e perché conta anche a chi non vende alla PA

La qualificazione serve oggi a enti pubblici francesi, operatori di infrastrutture critiche e settori come sanità e finanza che hanno rapporti contrattuali con operatori francesi o con filiali regolamentate in Francia. Per un rivenditore italiano che non tratta con la PA, il punto pratico è un altro: se un cliente enterprise ha una capogruppo francese, una filiale regolata o partecipa a gare che richiedono fornitori con questo bollino, sapere che OVHcloud lo sta portando anche sulle regioni italiane permette di rispondere a una richiesta specifica invece di scoprirla durante una trattativa persa.