Costi di migrazione dati verso un cloud svizzero: le voci

Perché spostare i dati in Svizzera cambia la struttura dei costi

Conservare i dati in Svizzera non è solo conformità: cambia il preventivo. Nel 2023 la Svizzera ha revisionato integralmente la legge federale sulla protezione dei dati per allinearla al Regolamento generale sulla protezione dei dati dell'Unione europea. Applica inoltre regole severe ai trasferimenti transfrontalieri. Chi migra deve budgetare, oltre allo spostamento tecnico, verifiche sul paese di destinazione, documenti contrattuali e misure di sicurezza a carico del fornitore.

Pesa la giurisdizione del fornitore. Gli Stati Uniti non hanno un'unica legge federale organica sulla protezione dei dati personali, ma un mosaico di normative settoriali: HIPAA per la sanità, GLBA per la finanza, COPPA per i minori. Si aggiungono i poteri di intervento della Federal Trade Commission.

Il Cloud Act del 2018 autorizza le autorità statunitensi ad accedere, a determinate condizioni legali, ai dati detenuti da società americane anche se conservati fuori dagli Stati Uniti.

Il Foreign Intelligence Surveillance Act consente alle agenzie di intelligence di accedere a dati relativi a cittadini stranieri per sicurezza nazionale, senza obbligo di informare gli interessati né di garantire loro un ricorso legale. La Sezione 702 è stata molto criticata per i programmi di sorveglianza di massa.

La Corte di giustizia dell'Unione europea ha invalidato accordi di trasferimento come il Privacy Shield. Il Data Privacy Framework istituito nel 2023 è a sua volta sotto esame.

La Svizzera non vieta i trasferimenti transfrontalieri: li autorizza solo verso paesi considerati dotati di una protezione adeguata. Dimostrare l'adeguatezza costa ore di consulenza legale e documentazione da aggiornare a ogni cambio di fornitore o subfornitore. In franchi è una tariffa oraria moltiplicata per un numero di ore, non una percentuale.

Sul budget queste regole si traducono in voci assenti dal listino cloud: cifratura e gestione delle chiavi, separazione dei carichi di lavoro per giurisdizione, documentazione delle valutazioni di rischio e supporto legale per i trasferimenti. Un fornitore interamente sotto giurisdizione svizzera riduce queste voci; uno esposto a meccanismi di accesso esteri le aumenta. Il confronto va fatto prima della firma, non dopo.

Nel preventivo la giurisdizione diventa righe di ore, ognuna con un nome: consulenza legale sui trasferimenti, configurazione della cifratura, gestione delle chiavi, separazione dei carichi di lavoro. Per ognuna servono il numero di ore e la tariffa oraria in franchi. Una voce espressa in percentuale non è verificabile.

La differenza tra un fornitore sotto giurisdizione svizzera e uno esposto al Cloud Act non è l'elenco delle misure, ma il numero di ore. Le stesse voci compaiono in entrambi i preventivi; cambia quanto costano in franchi. Il confronto va fatto su quelle ore, non sul canone mensile d'ingresso.

Il costo di una migrazione verso un cloud svizzero si legge in tre blocchi. Il primo è la giurisdizione: consulenza legale sui trasferimenti. Il secondo è la tecnica: prezzo al GB o TB trasferito e ore di engineering di migrazione. Il terzo è la conformità: ore di classificazione, analisi d'impatto e documentazione. Ogni blocco si quota in franchi.

Per le soluzioni aziendali il prezzo si ottiene su offerta: l'Enterprise Service Cloud di Swisscom si richiede al fornitore. Il preventivo di migrazione si compone di voci precise, ognuna con quantità e prezzo unitario in franchi.

Vantaggi e costi aggiuntivi della giurisdizione svizzera vs. Stati Uniti

Le voci di costo di una migrazione dati verso un cloud svizzero

Una migrazione si stima per fasi, non con un prezzo unico. Le voci tipiche comprendono inventario e classificazione dei dati (quali esistono, dove risiedono, quali sono personali o sensibili) e valutazione dell'ambiente esistente (applicazioni, dipendenze, volumi, finestre di fermo).

Le voci che compongono il costo di una migrazione sono undici, tutte da quotare in franchi. Sono queste: inventario e classificazione; prezzo al GB o TB trasferito; ore di engineering di migrazione; ore di consulenza legale sui trasferimenti; canone mensile di capacità; importo mensile a consumo; canone mensile di connettività; conversione delle licenze e delta annuo; formazione; doppio esercizio; uscita.

Seguono trasferimento (banda, strumenti, tempi), adeguamento di applicazioni e processi (interfacce, identità, latenza, procedure operative), integrazione con la rete aziendale, formazione del personale, servizi gestiti e costi ricorrenti di esercizio.

L'integrazione è una voce a sé e non è opzionale. Il private cloud di Swisscom è descritto come integrato nella rete aziendale, nell'infrastruttura e nei processi del cliente, con servizi di rete, Security e Managed Services disponibili all'occorrenza. L'offerta di cloud ibrido include esplicitamente security, compliance, connectivity e governance.

Il fornitore deve quotare queste categorie separatamente: un importo unico complessivo non permette di capire dove si concentra la spesa. Chiedere anche la distinzione tra costi una tantum (analisi, trasferimento, adeguamento applicativo, formazione iniziale) e ricorrenti (canoni di capacità o consumo, servizi gestiti, connettività, licenze, aggiornamento delle competenze interne).

Swisscom elenca tra i propri servizi Cloud Sourcing, Data Center, Cloud Security e Managed Services. Offre inoltre Professional Services per la migrazione su cloud, con consulenza, gestione del progetto ed engineering, e mette a disposizione oltre 250 esperti. Ogni voce va quotata separatamente.

Per i servizi di migrazione conviene definire in offerta l'ambito coperto (consulenza, gestione del progetto, engineering) e come si determina il prezzo. Swisscom combina Private Cloud, Public Cloud o una combinazione dei due.

Per le licenze, Swisscom offre Microsoft Licensing Services con consulenza e ottimizzazione. La conversione delle licenze è quindi una voce di costo a sé, da preventivare.

Il preventivo si costruisce voce per voce, in franchi. Servono quattro colonne: voce, quantità, unità di misura, prezzo unitario. Una quinta colonna riporta il totale per voce. Senza questa struttura due offerte non sono confrontabili.

Il confronto tra offerte si fa sulla somma a tre o cinque anni, non sul canone mensile d'ingresso.

La somma a tre anni ha tre addendi: i costi una tantum, il ricorrente annuo moltiplicato per tre, il costo di uscita. Ogni addendo va esposto in franchi con la sua unità di misura, altrimenti il totale non è ricostruibile.

Ogni voce va chiesta con due numeri: la quantità — GB o TB trasferiti, ore di engineering, mesi di coesistenza, postazioni da formare — e il prezzo unitario in franchi. Senza quantità il preventivo resta una percentuale, non un importo.

Le offerte svizzere non si presentano tutte allo stesso modo. Swisscom struttura il percorso verso il cloud in fasi, dalla concezione alla gestione operativa e all'ottimizzazione continua.

Voce per voce, l'unità di misura in franchi cambia: GB o TB per il trasferimento, ore di engineering per l'adeguamento, mesi per la coesistenza dei due ambienti, postazioni per la formazione, canoni mensili o annui per capacità e servizi gestiti, importi per prodotto per le licenze.

Il prezzo al GB o TB trasferito va chiesto in offerta indicando il volume previsto. Senza volume il prezzo unitario non è confrontabile tra fornitori.

Per le licenze servono due importi in franchi: il costo una tantum della conversione e il canone annuo successivo. Il delta annuo si calcola prodotto per prodotto, sottraendo il canone attuale da quello futuro.

La formazione è una voce ricorrente, non solo iniziale: il personale cambia e le piattaforme si aggiornano. In Svizzera la sensibilizzazione è prassi anche nel settore pubblico: l'11 settembre 2022 il Dipartimento delle istituzioni del Canton Ticino ha annunciato un seminario dedicato ai Comuni sulla sicurezza informatica.

Accanto a Cloud Sourcing, Data Center, Cloud Security e Managed Services, Swisscom elenca Cloud Native e la voce «Cloud e sovranità dei dati». L'Enterprise Service Cloud copre infrastruttura (IaaS) e piattaforme (PaaS). Un ingegnere Swisscom può seguire personalmente il progetto.

Voci di costo principali per la migrazione dati in cloud svizzero

Elementi da verificare nel preventivo di migrazione cloud svizzero

Conformità alla nLPD: cosa incide sul budget

La nuova legge federale sulla protezione dei dati, con le relative ordinanze esecutive, è in vigore dal 1° settembre 2023. Si applica solo ai dati delle persone fisiche, non più a quelli delle persone giuridiche. Delimitare bene il perimetro è già un risparmio: meno dati da classificare, meno trattamenti da documentare.

La nLPD nasce da una revisione totale, dopo le revisioni parziali del 2009 e del 2019. La prima legge federale sulla protezione dei dati risale al 1992. Il Parlamento ha adottato la nuova legge nella sessione autunnale 2020.

Le disposizioni esecutive sono due: la nuova ordinanza sulla protezione dei dati (OPDa) e la nuova ordinanza sulle certificazioni in materia di protezione dei dati (OCPD). Sono in vigore dal 1° settembre 2023 insieme alla legge. In preventivo conviene citarle per nome.

La compatibilità con il RGPD serve a preservare la libera circolazione dei dati con l'Unione europea ed evitare perdite di competitività per le imprese svizzere. Per il budget significa che i trasferimenti verso l'estero restano possibili solo verso paesi considerati dotati di una protezione adeguata.

La nLPD introduce otto cambiamenti principali per le imprese. Delimitare il perimetro ai soli dati delle persone fisiche riduce il numero di trattamenti da documentare.

I cambiamenti della nLPD che pesano sul preventivo cloud sono: perimetro limitato ai dati delle persone fisiche, dati genetici e biometrici tra i dati sensibili, «Privacy by Design», «Privacy by Default», analisi d'impatto. Ognuno si traduce in ore da quotare: classificazione, configurazione, test, documentazione.

I principi di «Privacy by Design» e «Privacy by Default» richiedono che software, materiale e servizi siano configurati fin dalla messa in circolazione per proteggere i dati e limitarne l'utilizzo. Le misure vanno attivate automaticamente.

In un progetto cloud ciò comporta configurazione, test e documentazione, da preventivare nell'adeguamento applicativo. Si aggiungono le analisi d'impatto previste dalla legge, che richiedono risorse interne o consulenza esterna.

L'estensione della nozione di dati sensibili ai dati genetici e biometrici aumenta i trattamenti che richiedono attenzione particolare. Servono classificazione più fine in fase di inventario, controlli di accesso e misure di sicurezza più stringenti. Ne derivano costi aggiuntivi tecnici e organizzativi.

Sul fronte dei diritti, la nLPD consente alle persone interessate di avanzare pretese verso i titolari del trattamento. Serve un processo funzionante per ricevere, evadere e documentare le richieste, con strumenti e personale dedicati, non un indirizzo e-mail generico.

La governance dei fornitori è la terza voce. Prima di trasferire dati in cloud occorre sapere quali subfornitori trattano i dati e dove, quali obblighi contrattuali vengono assunti e chi risponde in caso di incidente. Mantenere aggiornata questa documentazione e verificarla periodicamente è un costo ricorrente, non un adempimento una tantum.

Queste voci si quotano in ore: analisi d'impatto, classificazione dei dati genetici e biometrici, processo per le richieste delle persone interessate, aggiornamento della documentazione sui subfornitori. Per ognuna servono il numero di ore e il prezzo unitario in franchi.

In franchi, ogni adempimento è ore moltiplicate per una tariffa oraria: analisi d'impatto, classificazione, configurazione, test, documentazione, processo per le richieste. Il preventivo nLPD è la somma di queste moltiplicazioni. Un importo forfettario non permette di verificare quante ore copre.

Sul fronte della sicurezza, la gestione operativa è un processo permanente, con ore proprie: chi gestisce le segnalazioni, con quale documentazione e con quale periodicità. L'Ufficio federale della cibersicurezza (UFCS) ha pubblicato il 24 agosto il rapporto semestrale 2026/1.

Cloud privato, pubblico o ibrido: l'architettura determina la spesa

Nel cloud privato la spesa si concentra sull'infrastruttura riservata. L'offerta privata di Swisscom fornisce larghezza di banda e capacità di memoria esclusive, con funzionamento isolato in Svizzera e bassa latenza. Chi sceglie questa strada paga soprattutto il sovradimensionamento per la ridondanza, la gestione dell'isolamento e le competenze per governare l'ambiente.

Nel cloud pubblico il costo si sposta su consumo e governance. Il documento della Confederazione sullo Swiss Government Cloud descrive il cloud pubblico come offerta con un'ampia gamma di funzioni, accesso a soluzioni innovative e un elevato grado di flessibilità. Comporta meno investimento iniziale, ma spesa variabile da controllare e verifiche su dove risiedono i dati e su chi vi può accedere.

Il cloud pubblico dello SGC comprende servizi di noti fornitori. È la parte dell'infrastruttura che introduce nel preventivo il consumo variabile.

La soluzione ibrida combina ambienti interni e servizi esterni ed è particolarmente esposta ai costi di collegamento. Lo SGC stesso è concepito come infrastruttura multi-cloud ibrido composta da tre parti, che include offerte di cloud pubblico e privato. Swisscom dichiara che il proprio private cloud si interfaccia con i centri di calcolo on premise e con l'infrastruttura public cloud del cliente.

L'approccio multi-cloud ibrido della Confederazione risale alla strategia cloud adottata dal Consiglio federale l'11 dicembre 2020. Nel 2022 l'appalto «Cloud pubblico della Confederazione» aveva già integrato i cloud privati dell'Amministrazione federale con cloud pubblici di offerenti esterni. Lo SGC prosegue su questa linea.

In questo modello la voce principale non è il calcolo, ma la connettività tra sedi, l'orchestrazione tra ambienti, la sicurezza del collegamento e la governance dei dati che attraversano il confine tra interno ed esterno.

Per il settore pubblico, il progetto SGC ha un credito d'impegno di 246,9 milioni di franchi e un costo complessivo di 319,4 milioni, realizzato nel 2025–2032. L'infrastruttura multi-cloud ibrido è composta da tre parti e prevede investimenti in cinque settori. Sono cifre di capacità sovrana, non di migrazione d'impresa.

In franchi, l'architettura sposta la spesa tra tre voci: capacità riservata, consumo variabile e connettività. Il cloud privato si paga a capacità, il pubblico a consumo, l'ibrido somma le due e aggiunge il collegamento tra gli ambienti.

Le tre voci hanno pesi diversi secondo il modello: nel privato domina la capacità riservata, in franchi al mese; nel pubblico domina il consumo, in franchi al mese; nell'ibrido domina la connettività tra i due ambienti.

Questi importi vanno chiesti in franchi con la stessa periodicità: canone mensile di capacità, importo mensile a consumo, canone mensile di connettività. Periodicità diverse rendono il confronto tra architetture impossibile.

Swisscom descrive cinque scenari per un ambiente cloud ibrido sicuro. Il primo è Cloud Foundation, la scelta della strategia. La connettività tra gli ambienti resta la voce che li attraversa tutti.

Costi di migrazione dati verso un cloud svizzero: confronto tra architetture

Costi nascosti: doppio esercizio, licenze e uscita dal fornitore

Il doppio esercizio è la voce che sfugge più spesso. Durante la transizione il vecchio ambiente resta attivo mentre il nuovo viene popolato e collaudato: si pagano due volte canoni, licenze e infrastruttura, e il personale lavora su due sistemi. Per quantificarlo già in offerta servono due dati: la durata prevista della coesistenza, in mesi, e il costo mensile documentato dell'ambiente uscente, comprese le licenze non disdicibili prima della scadenza.

Il canone mensile dell'ambiente uscente è già in fattura: è l'unico importo del doppio esercizio verificabile senza trattativa. Il canone del nuovo ambiente e i mesi di coesistenza vanno chiesti in franchi nell'offerta.

Le licenze vanno mappate prima, non dopo. Il passaggio al cloud può cambiare modello di licenza, metrica di conteggio e titolarità delle licenze esistenti. Il coordinamento tra tecnologia e implementazione è un servizio a sé: Swisscom, per esempio, offre Microsoft Licensing Services con consulenza e ottimizzazione delle licenze, segno che la materia richiede competenze dedicate.

Da chiedere al fornitore: quali licenze attuali restano valide, quali vanno convertite, quali diventano superflue e chi sostiene il costo della conversione.

L'uscita dal fornitore va negoziata all'ingresso. Criteri pratici da mettere per iscritto: in quale formato e con quali strumenti si esportano i dati, chi sostiene il costo dell'estrazione e entro quali tempi. Va indicato anche quale documentazione tecnica viene consegnata alla fine del contratto e per quanto tempo il fornitore deve collaborare con il subentrante.

Per l'uscita chiedere in cifre le ore di assistenza del fornitore uscente, gli strumenti di estrazione e i tempi. Per le licenze, il delta annuo tra costo attuale e costo dopo la conversione, prodotto per prodotto. Sono i due importi che rendono reversibilità e licenze voci verificabili.

Doppio esercizio, licenze e uscita non compaiono nel canone d'ingresso. Il doppio esercizio pesa sul ricorrente, la conversione delle licenze sull'una tantum, l'uscita sull'ultimo addendo del totale a tre anni.

Un progetto cloud ibrido che combina componenti interne e servizi esterni aumenta la dipendenza se le interfacce tra i due mondi sono proprietarie: è qui che una migrazione successiva diventa onerosa.

Il doppio esercizio si mette in franchi con due moltiplicazioni: mesi di coesistenza per il canone mensile del nuovo ambiente, mesi di coesistenza per il canone mensile del vecchio. Il secondo importo è già in fattura e quindi verificabile; il primo va chiesto in offerta.

L'uscita si quantifica con tre importi: ore di assistenza del fornitore uscente per la tariffa pattuita, costo degli strumenti di estrazione, ore interne necessarie al subentrante. Chiesti all'ingresso, questi importi rendono la reversibilità una voce di preventivo.

Scegliere il fornitore cloud svizzero: criteri e confronto

Un riferimento dimensionale utile viene dal settore pubblico. Con lo Swiss Government Cloud sarà creata presso l'Ufficio federale dell'informatica e della telecomunicazione una nuova infrastruttura multi-cloud ibrido adeguata ai requisiti della Confederazione, realizzata negli anni 2025–2032. Il credito d'impegno richiesto ammonta a 246,9 milioni di franchi; il costo complessivo previsto del progetto è di 319,4 milioni.

L'infrastruttura multi-cloud ibrido dello SGC è costituita da tre parti e include offerte di cloud pubblico e privato. L'attuale offerta cloud dell'UFIT sarà sostituita dallo SGC. Il progetto prevede investimenti in cinque settori di rilievo.

Lo SGC è progettato per le autorità federali. Anche Cantoni, Città e Comuni interessati potranno beneficiare dell'offerta. Per il settore privato non è previsto alcun servizio legato allo SGC. Non è quindi un'opzione per un'impresa, ma indica l'ordine di grandezza degli investimenti infrastrutturali necessari a costruire capacità cloud sovrana.

Il costo di 319,4 milioni di franchi riguarda la costruzione di capacità cloud sovrana per la Confederazione, non la migrazione di un'impresa.

Swisscom pubblica un listino per myCloud, servizio di archiviazione per clienti privati: 10 GB gratuiti, 250 GB a 3.90 al mese, 2 TB a 9.90 al mese. È un prezzo di capacità, non di migrazione: non copre trasferimento, adeguamento applicativo o formazione.

myCloud è però un'offerta per clienti privati: chi opera come cliente commerciale viene rimandato all'area clienti commerciali. I prezzi di 3.90 e 9.90 al mese non sono quindi un riferimento per una migrazione d'impresa.

Swisscom mette a disposizione oltre 250 esperti per i Professional Services. L'offerta copre consulenza, gestione del progetto ed engineering per la migrazione, con Amazon Web Services, Microsoft o le soluzioni Swisscom.

Per valutare un fornitore locale conviene usare criteri verificabili. Competenze: chi gestisce il progetto, con quale esperienza su ambienti complessi e con quale aggiornamento continuo delle conoscenze, come dichiara di fare Swisscom per la propria piattaforma. Trasparenza sui costi: separazione tra una tantum e ricorrenti, metriche di addebito comprensibili, costi di uscita definiti contrattualmente.

Sicurezza e compliance: dove risiedono i dati, chi vi accede, quali misure sono documentate per i dati sensibili. Continuità del servizio: ubicazione dei centri di calcolo in Svizzera, ridondanza, tempi di ripristino garantiti, servizi gestiti e supporto con livelli di servizio misurabili.

Un'ultima verifica riguarda la giurisdizione: la legislazione cui sono soggetti il fornitore e i suoi subfornitori determina quali misure tecniche e legali aggiungere al progetto. È un criterio che si valuta leggendo il contratto e l'elenco dei subfornitori, non l'opuscolo commerciale.

Sul mercato svizzero i fornitori da confrontare sono più di uno. Swisscom propone Enterprise Service Cloud e soluzioni ibride. MTF indica tra i propri servizi la migrazione IT nel cloud aziendale, con dati cifrati in centri dati svizzeri ridondanti.

Cifre verificate da citare in preventivo: SGC con 246,9 milioni di franchi di credito d'impegno e 319,4 milioni di costo complessivo nel 2025–2032; myCloud con 10 GB gratuiti, 250 GB a 3.90 al mese e 2 TB a 9.90 al mese; Professional Services Swisscom con oltre 250 esperti. Sono prezzi di capacità e di competenza, non di trasferimento. Il prezzo al gigabyte trasferito va chiesto in offerta.

Un preventivo verificabile espone tre totali: una tantum, ricorrente annuo e uscita. Il confronto tra fornitori si fa sulla somma a tre o cinque anni. Una voce senza quantità e prezzo unitario in franchi resta fuori dal confronto.

Quanto costa in franchi migrare i dati di un'impresa verso un cloud svizzero si legge solo voce per voce. Le voci hanno nomi precisi: inventario e classificazione; prezzo al GB o TB trasferito; ore di engineering di migrazione; ore di consulenza legale sui trasferimenti; canone mensile di capacità; importo mensile a consumo; canone mensile di connettività; conversione delle licenze e delta annuo; formazione; doppio esercizio; uscita. Ognuna con quantità e prezzo unitario in franchi, nello stesso documento.

Il preventivo si compila in un ordine preciso: prima le quantità, poi i prezzi unitari in franchi. Le prime tre voci da ottenere sono il prezzo al GB o TB trasferito, la tariffa oraria dell'engineering di migrazione e quella della consulenza legale sui trasferimenti. Da queste si ricostruisce il totale a tre anni, con gli altri addendi: doppio esercizio, licenze e uscita.

Indicativi finanziari del progetto Swiss Government Cloud (SGC)