Hosting e cloud in Svizzera: ubicazione dati, SLA e costi per PMI

Hosting, cloud pubblico, privato o ibrido: quale modello per una PMI svizzera

La pagina EDÖB (edoeb.admin.ch) sul trattamento di dati nel cloud definisce il cloud computing. È la possibilità di acquisire applicazioni e software, capacità di memoria, strumenti di sviluppo, capacità di rete o potenza di calcolo tramite rete, per esempio Internet. L’acquisizione avviene presso un fornitore di servizi cloud, in base alle necessità.

kmu.admin.ch, portale federale per le PMI, aggiunge che il cloud computing indica lo stoccaggio e l’accesso ai dati via Internet invece che tramite il disco duro di un computer. L’infrastruttura a distanza (server, dischi, reti o data center) è affittabile puntualmente dalle imprese.

L’EDÖB cita esempi concreti: strumenti Office 365 per i collaboratori, gestione di indirizzi e-mail per newsletter o consulenza alla clientela, un CRM online e caricamento di video su piattaforme di streaming.

Per il grande pubblico i servizi più noti sono Google Drive, Dropbox, Microsoft OneDrive e Apple iCloud. Esistono offerte cloud specializzate per gli affari: molte imprese svizzere le propongono alle PMI che vogliono affidare loro i propri dati. La confidenzialità è spesso meglio assicurata dal fornitore professionale.

Per le PMI che vogliono accedere rapidamente a risorse IT scalabili senza costi iniziali elevati, il cloud pubblico è spesso la scelta più diffusa. Una guida di settore cita AWS, Microsoft Azure o Google Cloud. Descrive ambienti condivisi con pagamento a consumo, aggiornamento automatico delle piattaforme, disponibilità globale e accesso a tecnologie avanzate (AI, analytics, IoT).

Le criticità: i dati risiedono in data center condivisi, spesso all’estero, con dubbi su sovranità dei dati e conformità a normative come la nLPD o il GDPR. Il problema riguarda soprattutto le PMI in settori regolamentati o che gestiscono dati sensibili.

Il cloud privato offre risorse dedicate a una sola organizzazione, con maggiore controllo e isolamento. Di norma richiede investimenti e competenze gestionali superiori. Il cloud ibrido combina ambienti diversi.

Swisscom, per esempio, propone di integrare infrastruttura cloud o ibrida con soluzioni di backup. Cita il multicloud come combinazione di offerte diverse: cloud con giurisdizione svizzera per i dati clienti e Microsoft 365 per la comunicazione e la collaborazione interna.

Per una PMI svizzera non esiste una risposta unica. La scelta dipende dalla sensibilità dei dati, dal settore, dalle risorse IT interne, dal budget e dalle prospettive di crescita. Il cloud pubblico riduce gli investimenti iniziali e il carico sulla gestione IT. Un modello privato o ibrido può dare maggiore controllo sui dati critici, ma va valutato per costi e competenze.

La guida di settore indica quattro criteri di valutazione: performance, conformità normativa, costi di gestione e adattabilità al modello di business. Per le PMI svizzere si aggiungono protezione dei dati, sovranità digitale e disponibilità di supporto locale.

Qualunque sia il modello, prima della firma conviene farsi indicare tre valori per iscritto: il canone mensile in franchi, il prezzo delle componenti a consumo e la percentuale di disponibilità garantita. Senza questi dati il confronto tra offerte resta teorico.

Un esempio svizzero concreto: il listino dei Managed Flex Server di Hostpoint parte da CHF 140.00 al mese per Flex S (4 GB RAM, 4 vCPU) e arriva a CHF 630.00 al mese per Flex XXL (96 GB RAM, 16 vCPU). I prezzi sono pubblicati per durate di 1 mese, 6 mesi o 1 anno, con costi di configurazione di CHF 190.- e uno sconto del 25% sul primo periodo con il codice flex25.

Ubicazione dei dati: Svizzera, Paesi terzi e giurisdizione

L’ubicazione dei server e la giurisdizione applicabile stabiliscono quali leggi e autorità possono accedere ai dati. Stabiliscono anche quali obblighi devono rispettare fornitori e clienti.

La pagina dell’EDÖB (edoeb.admin.ch) sul trattamento di dati nel cloud annovera tra gli aspetti rilevanti la trasmissione di dati personali in Paesi terzi. Anche se il fornitore principale è svizzero, i dati possono essere trattati all’estero da sub-responsabili o su infrastrutture estere.

Molti provider attivi in Svizzera offrono conservazione dei dati in Svizzera e giurisdizione svizzera. Hostpoint dichiara un’infrastruttura gestita interamente in Svizzera e indipendente da fornitori terzi. Un’offerta può però prevedere che alcuni servizi o sub-responsabili si trovino in Paesi terzi. Va quindi distinto il luogo di conservazione principale dai trasferimenti effettivi, anche temporanei.

Anche Swisscom dichiara conservazione dei dati in Svizzera e giurisdizione svizzera. Nel confronto tra fornitori la dichiarazione va letta insieme alla sede dei sub-responsabili, che può stare altrove.

Per le PMI che trattano dati personali o sensibili, l’ubicazione incide sulla conformità alla LPD e, se applicabile, al GDPR. Una guida di settore segnala che l’archiviazione in data center condivisi, spesso all’estero, solleva dubbi su sovranità dei dati e conformità normativa.

In settori regolamentati, come quello finanziario, possono valere requisiti aggiuntivi, ad esempio quelli richiamati da Swisscom in relazione alla FINMA. La Svizzera è il 2° paese più attrattivo per l’installazione di data center in Europa, dopo i Paesi Bassi; secondo CBRE, nel 2021 il paese contava 93 data center.

In pratica, prima di firmare conviene chiedere: dove si trovano i data center primari e di backup? Il fornitore si avvale di sub-responsabili esteri? Quali procedure si applicano in caso di richieste di accesso da parte di autorità straniere? Le risposte dovrebbero essere documentate nel contratto e nelle informative sulla protezione dei dati.

Il contratto dovrebbe nominare l’ubicazione in modo verificabile: data center primario, data center di backup e sede dei sub-responsabili. Il solo riferimento al Paese non basta se una parte del servizio è erogata altrove.

Titolare, responsabile e sub-responsabile: cosa mettere nero su bianco

Secondo l’EDÖB (edoeb.admin.ch), il fornitore di servizi cloud agisce di regola come responsabile – o sub-responsabile – del trattamento dei dati del cliente ai sensi dell’articolo 9 della legge federale sulla protezione dei dati (LPD). Il cliente può essere a sua volta responsabile del trattamento oppure titolare.

Se il cliente è titolare, deve assicurarsi e garantire per contratto il rispetto dei requisiti relativi al trattamento dei dati da parte del responsabile. Il titolare resta responsabile affinché i trattamenti svolti su mandato da fornitori cloud siano conformi alla protezione dei dati. I diritti delle persone interessate non devono essere pregiudicati dalla delocalizzazione.

Chi affida dati a un fornitore cloud ricade nelle regole sull’outsourcing. L’EDÖB rinvia, per gli obblighi dell’utente cloud, alle proprie spiegazioni sull’outsourcing e sul trattamento di dati da parte di un responsabile.

Il contratto dovrebbe disciplinare istruzioni, misure di sicurezza, ricorso a sub-responsabili, comunicazioni all’estero, assistenza per le richieste degli interessati, notifica di violazioni, cancellazione o restituzione dei dati a fine rapporto. L’EDÖB ricorda che tra gli aspetti da considerare vi sono il ricorso a responsabili e sub-responsabili, la sicurezza del trattamento e la trasmissione di dati personali in Paesi terzi.

Se il fornitore si avvale di sub-responsabili, la PMI dovrebbe conoscerne identità e sedi di trattamento. Il contratto dovrebbe prevedere l’autorizzazione preventiva o le modalità di informativa in caso di cambiamenti, oltre a condizioni equivalenti a quelle applicate al fornitore principale.

La catena titolare–responsabile–sub-responsabile deve restare ricostruibile anche a distanza di tempo. In caso di verifica, la PMI deve poter esibire contratto, informative e registro dei trattamenti aggiornati.

SLA e continuità operativa: disponibilità, georidondanza e backup

Un accordo sul livello di servizio (SLA) non si limita alla percentuale di disponibilità. Swisscom cita tra gli elementi offerti la massima disponibilità, la protezione dalle interruzioni e la georidondanza. La georidondanza implica che dati e servizi siano replicati in più ubicazioni, così che un guasto in un data center non interrompa l’operatività.

La ridondanza non sostituisce il backup. Swisscom consiglia di integrare l’infrastruttura cloud o ibrida con una soluzione di backup per proteggersi dalle interruzioni operative. È utile definire frequenza dei backup, conservazione, ubicazione delle copie, tempi di ripristino (RTO) e punto di ripristino (RPO).

Anche la protezione da ransomware conta. Provider come Swisscom e Microsoft adottano misure di sicurezza specifiche.

Swisscom cita inoltre l’archiviazione sicura a fini di revisione tra gli elementi delle proprie soluzioni cloud. L’azienda dichiara di soddisfare i più alti standard di sicurezza e di coprire requisiti legali e normativi come la LPD e quelli posti dalla FINMA.

Hostpoint osserva che, quando si verifica un problema, è importante capire chi sia la persona preposta a risolverlo e come contattarla. L’SLA dovrebbe indicare canali di supporto, orari, tempi di risposta e modalità di escalation.

Tra i parametri da negoziare ci sono disponibilità garantita, penali, finestre di manutenzione, ridondanza geografica, backup, ripristino, supporto e comunicazione in caso di incidente. Questi elementi dovrebbero essere verificabili e allineati ai processi interni della PMI.

Nell’SLA la percentuale di disponibilità va letta insieme a penali o crediti per il mancato rispetto e ai tempi di risposta del supporto. Se il fornitore non indica questi valori in cifre, la PMI dovrebbe chiederli per iscritto prima della firma.

Il tempo di risposta fa la differenza soprattutto fuori dagli orari d’ufficio. La PMI dovrebbe chiarire in anticipo chi risponde di notte e nei fine settimana e con quale priorità vengono trattati i guasti critici.

Hostpoint indica il livello di supporto nel listino dei Managed Flex Server: Silver Support Level per Flex S, Gold Support Level da Flex M a Flex XXL. La voce «Costi SLA» è indicata come «incluso».

La finestra di ripristino dei dati è di 30 giorni su Flex S, 60 giorni su Flex M e 180 giorni da Flex L a Flex XXL. La connessione al server è indicata a 250 Mbit/s (best effort) su Flex S e Flex M e a 4000 Mbit/s da Flex L in su.

Gli elementi SLA dichiarati da Swisscom sono georidondanza, massima disponibilità, protezione dalle interruzioni e archiviazione sicura a fini di revisione. L’azienda aggiunge la copertura dei requisiti LPD e di quelli posti dalla FINMA.

Il livello di supporto segue il canone: Silver su Flex S, Gold da Flex M a Flex XXL. In cifre: CHF 140.00 al mese per il livello Silver e da CHF 170.00 a CHF 630.00 al mese per il Gold.

Indicatori SLA e prestazioni dei Managed Flex Server di Hostpoint

Costi di hosting e cloud: canone, consumo e spese nascoste

kmu.admin.ch rileva che l’outsourcing sul cloud interessa sempre più imprese perché spesso costa meno della gestione interna dei dati. Una PMI senza le risorse necessarie non deve investire in un parco informatico. Swisscom sottolinea che le soluzioni cloud e di backup in managed service eliminano investimenti in server e gestione dell’infrastruttura, riducendo rischi, costi d’investimento e complessità IT.

Le voci di costo tipiche comprendono: canone fisso (hosting, server dedicato, managed service), costi a consumo (capacità di memoria, potenza di calcolo, traffico, licenze), costi di integrazione e migrazione, connettività, backup e disaster recovery, supporto premium. Il cloud pubblico elimina i costi iniziali elevati e prevede pagamento a consumo. La flessibilità contrattuale permette di adeguare spazio, durata e numero di utenti in base alle necessità.

Poiché spazio di stoccaggio, durata di adesione e numero di utenti sono variabili, il preventivo dipende dall’uso effettivo. kmu.admin.ch rileva inoltre che l’accesso semplice ai documenti è particolarmente utile per gli impieghi temporanei.

Vanno considerate le spese nascoste: traffico in uscita, snapshot, backup aggiuntivi, supporto fuori orario, costi di migrazione in uscita. La PMI dovrebbe chiedere un preventivo dettagliato e verificare le condizioni di uscita.

La gestione interna comporta costi per alimentazione elettrica senza interruzioni, controlli degli accessi, protezione da guasti hardware, aggiornamenti e configurazioni di sicurezza. Swisscom ricorda che con il cloud questi compiti non devono più essere gestiti personalmente. Esternalizzarli può liberare risorse interne, ma va considerato il costo del coordinamento e della governance.

Il preventivo va chiesto in franchi e per iscritto: canone mensile, prezzo delle componenti a consumo, spese di migrazione e di uscita. Solo con importi e unità di misura omogenei le offerte diventano confrontabili.

Un inganno frequente è il costo per il traffico in uscita: un’applicazione che scambia molti dati con l’esterno può costare molto più del canone base. La PMI dovrebbe stimare il volume mensile previsto e farlo mettere per iscritto.

Un listino svizzero pubblicato permette il confronto: i Managed Flex Server di Hostpoint costano CHF 140.00 al mese (Flex S), CHF 170.00 (Flex M), CHF 230.00 (Flex L), CHF 400.00 (Flex XL) e CHF 630.00 (Flex XXL). A questi si aggiungono CHF 190.- di costi di configurazione.

Nel canone sono compresi da 4 a 96 GB di RAM, da 4 a 16 vCPU, da 1000 a 2000 GB di spazio di archiviazione web su SSD NVMe e caselle di posta illimitate da 5 GB ciascuna. Il traffico è illimitato nel «fair use»; database MariaDB su SSD e le versioni PHP 8.1, 8.2, 8.3 e 8.4 sono inclusi.

Nel canone rientrano anche i domini: 100 su Flex S, 200 su Flex M, 300 su Flex L e illimitati da Flex XL in su. I database MariaDB su SSD sono 100 su Flex S, 200 su Flex M, 300 su Flex L e illimitati da Flex XL in su; PHP 8.1, 8.2, 8.3 e 8.4 sono disponibili in parallelo.

Le durate selezionabili sono 1 mese, 6 mesi o 1 anno; il codice flex25 dà il 25% di sconto su tutti i server Flex per il primo periodo. Sono previste opzioni da CHF 250.00 al mese e CHF 400.00 al mese, attivabili quando il Managed Flex Server è disponibile.

Supporto e vicinanza: il valore di un provider svizzero nella pratica

Hostpoint sostiene che un provider svizzero come Hostpoint è l’opzione ideale per chi apprezza supporto vicino al cliente, servizio affidabile e offerte di alta qualità da un unico fornitore. Gestire un sito web non richiede solo infrastruttura stabile e tempi di caricamento rapidi: per molti gestori supporto e standard legali per la protezione dei dati sono altrettanto importanti.

Hostpoint evidenzia che la stretta connessione tra web hosting, e-mail e domini in un unico sistema garantisce maggiore efficienza e minori oneri amministrativi. Gestire tutto da un unico pannello e con un unico login evita di coordinare più provider. Il Pannello di controllo Hostpoint permette di gestire E-Mail & Cloud Office, domini, web hosting e Managed Flex Server.

Un interlocutore locale parla la lingua dell’azienda, opera nello stesso fuso orario e conosce il contesto normativo svizzero. Questo riduce i fraintendimenti e accelera la risoluzione dei problemi.

Hostpoint indica Claudius Röllin come co-fondatore e CPO. L’azienda cita un elevato standard legale per la protezione dei dati tra i fattori decisivi nella scelta di un hosting.

Hostpoint dichiara un’infrastruttura gestita interamente in Svizzera e indipendente da fornitori terzi, con investimenti pari a diversi milioni ogni anno in server e software. Anche Swisscom propone soluzioni con conservazione dei dati in Svizzera e giurisdizione svizzera. Per molte PMI, la vicinanza del provider è un criterio di scelta che va oltre il prezzo.

Dipendenza dal fornitore e dati sensibili: come mantenere il controllo

kmu.admin.ch avverte che lo stoccaggio sul cloud implica una dipendenza dal fornitore. Se il fornitore modifica le condizioni, aumenta i prezzi o cessa il servizio, la PMI deve poter migrare dati e applicazioni senza perdite.

Poiché il cloud è per definizione condiviso, le stesse indicazioni consigliano di conservare all’interno i dati più sensibili. Una guida di settore segnala che il cloud pubblico è particolarmente critico per le imprese attive in settori regolamentati o che gestiscono dati sensibili.

Per mantenere il controllo, la PMI può tenere i dati più sensibili su infrastrutture interne o cloud privato. Può usare un approccio ibrido o multicloud, come l’esempio di Swisscom: cloud a giurisdizione svizzera per i dati clienti e Microsoft 365 per la comunicazione interna.

Può prevedere backup locali o in una seconda sede, crittografare i dati con chiavi gestite internamente e definire una exit strategy con formati aperti e obblighi di esportazione.

Nel contratto è utile includere diritti di verifica, notifica di cambiamenti, reversibilità e cancellazione certificata. La dipendenza non è solo tecnica ma anche contrattuale: condizioni di rinnovo, durata e penali di uscita vanno negoziate prima della firma.

Prima di firmare conviene farsi quantificare in franchi i costi di migrazione in uscita e i tempi di restituzione dei dati. Queste due voci vanno messe per iscritto, insieme all’obbligo di esportazione in un formato aperto.

Anche la durata contrattuale pesa sulla dipendenza: i Managed Flex Server di Hostpoint sono sottoscrivibili per 1 mese, 6 mesi o 1 anno. Il canone mensile in franchi rende calcolabile la spesa per il periodo scelto.

Criteri di scelta per la PMI: ubicazione, conformità, SLA e costi

Non esiste una risposta unica. Per confrontare offerte di cloud e hosting, una PMI può usare una griglia semplice basata su alcuni criteri chiave.

Ubicazione e giurisdizione: data center in Svizzera? Sub-responsabili esteri? Giurisdizione applicabile? Conformità: LPD, nLPD, GDPR se applicabile, requisiti di settore (es. FINMA).

Ruoli e contratto: titolare/responsabile, sub-responsabili, trasferimenti all’estero. SLA e continuità: disponibilità, georidondanza, backup, RTO/RPO, supporto.

Costi: canone, consumo, migrazione, uscita. Supporto: lingua, fuso orario, integrazione domini/e-mail/hosting. Dipendenza: dati sensibili interni, exit strategy.

Nella griglia le risposte vanno date in cifre: percentuale di disponibilità, canone mensile in franchi, costi a consumo, tempi di risposta, ubicazione dei data center. Le risposte generiche non sono verificabili in caso di contenzioso.

Su Swisscom la griglia si compila con elementi qualitativi: georidondanza, massima disponibilità, protezione dalle interruzioni e archiviazione sicura a fini di revisione. L’azienda dichiara di coprire i requisiti LPD e quelli posti dalla FINMA.

Per molte PMI è ragionevole un modello ibrido: dati sensibili e applicazioni critiche in Svizzera o on premise, servizi collaborativi e non sensibili in cloud pubblico. Swisscom cita il multicloud come modo per soddisfare più esigenze contemporaneamente.

L’EDÖB rimanda al promemoria privatim «Cloud-spezifische Risiken und Massnahmen» (2022). Segnala anche due pubblicazioni dell’Ufficio federale tedesco per la sicurezza dell’informazione: «Sichere Nutzung von Cloud-Diensten – Schritt für Schritt von der Strategie bis zum Vertragsende» (2016), sull’uso sicuro dei servizi cloud, e «Checkliste zur Auswahl eines Cloud-Dienstes» (2022), una lista di controllo per la scelta di un servizio cloud. I documenti sono in tedesco.

La scelta va rivista periodicamente, perché requisiti normativi, offerte e esigenze aziendali cambiano. Documentare decisioni e controlli aiuta a dimostrare la dovuta diligenza in caso di verifica.

Dati verificabili per la griglia: canone da CHF 140.00 a CHF 630.00 al mese e CHF 190.- di costi di configurazione per i Managed Flex Server di Hostpoint. A questi si aggiungono il livello di supporto (Silver o Gold) e la finestra di ripristino dati, da 30 a 180 giorni.