Le interruzioni che interessano diversi servizi Microsoft 365 sollevano interrogativi sulla continuità operativa delle imprese e delle istituzioni. ATED richiama la risoluzione di privatim del novembre 2025 e propone un confronto istituzionale sulla sicurezza, sulla protezione dei dati e sulla capacità delle amministrazioni pubbliche di garantire i servizi essenziali ai cittadini.
IN SINTESI
Il disservizio Microsoft 365 riapre interrogativi sulla resilienza digitale delle imprese e delle amministrazioni pubbliche. ATED richiama l'attenzione su cinque aspetti fondamentali:
1. Dipendenza tecnologica e continuità operativa. Le interruzioni dei servizi Microsoft 365 evidenziano i rischi derivanti dalla concentrazione di comunicazioni, documenti e processi essenziali presso un unico fornitore, soprattutto in assenza di adeguati piani alternativi.
2. Le cinque criticità evidenziate da privatim. La risoluzione del 18 novembre 2025 pubblicata su ti.ch richiama importanti limitazioni all'esternalizzazione di determinate categorie di dati pubblici verso grandi fornitori SaaS internazionali, citando espressamente Microsoft 365. ATED si interroga sull'effettiva applicazione di queste indicazioni.
3. Un possibile sesto elemento: la continuità dei servizi pubblici. ATED propone di affiancare alle considerazioni di privatim una riflessione specifica sui rischi di indisponibilità prolungata dei servizi cloud e sulle conseguenze per cittadini e istituzioni.
4. Esistono alternative, anche mantenendo le tecnologie Microsoft. L'adozione di soluzioni Microsoft in infrastrutture private, opportunamente progettate e gestite, può offrire maggiore controllo sui dati e rappresentare un'opzione da valutare per rispondere a specifiche esigenze di protezione e continuità operativa.
5. ATED propone un confronto istituzionale. L'associazione intende promuovere un dialogo tra autorità cantonali, amministrazioni pubbliche, enti, responsabili ICT e professionisti del settore per approfondire protezione dei dati, dipendenza tecnologica, continuità operativa e resilienza digitale.
Lugano, 13 novembre 2026 – I disservizi che dal 12 novembre stanno interessando l'ecosistema Microsoft 365 riportano al centro dell'attenzione una questione che ATED – Associazione economica cantonale del settore ICT e Digital – ritiene strategica per il futuro della trasformazione digitale: la crescente dipendenza delle organizzazioni pubbliche e private da un numero ristretto di fornitori tecnologici internazionali.
La diffusione delle piattaforme cloud ha indubbiamente favorito la digitalizzazione, semplificando la gestione delle infrastrutture informatiche e rendendo accessibili strumenti avanzati di comunicazione, collaborazione e produttività.
Tuttavia, la concentrazione di numerosi servizi essenziali all'interno di un unico ecosistema tecnologico introduce rischi che devono essere valutati, gestiti e, soprattutto, previsti.
Cosa accade quando il principale fornitore tecnologico di un'organizzazione non è più disponibile?
È questa la domanda che ATED ritiene necessario porre oggi alle imprese, alle amministrazioni pubbliche e ai rispettivi responsabili decisionali.
Un disservizio che coinvolge numerosi servizi Microsoft
Secondo le informazioni disponibili, l'incidente iniziato il 12 novembre ha interessato diversi componenti dell'ecosistema Microsoft 365, con conseguenze che si estendono oltre la semplice indisponibilità della posta elettronica.
Tra i servizi e le funzionalità coinvolti figurano:
- Exchange Online e Outlook: difficoltà di accesso alle caselle di posta, problemi di connessione e possibili ritardi nella consegna dei messaggi.
- Microsoft Teams: problemi nelle funzionalità che dipendono da Exchange Online, tra cui calendari e pianificazione delle riunioni.
- Microsoft 365 Copilot: difficoltà di accesso e limitazioni nell'utilizzo dei dati aziendali.
- Microsoft Intune: problemi di accesso o funzionamento di alcuni strumenti di amministrazione.
- Microsoft Defender e Purview: possibili limitazioni di alcune funzionalità di sicurezza, conformità e protezione delle informazioni.
- Microsoft 365 Admin Center: difficoltà di accesso ad alcune funzionalità amministrative.
- Microsoft Planner e Microsoft Graph: problemi che possono interessare la gestione delle attività e le integrazioni applicative.
Non tutti i servizi risultano completamente indisponibili e l'impatto può variare in funzione delle funzionalità utilizzate e delle infrastrutture coinvolte.
L'episodio dimostra tuttavia quanto un problema infrastrutturale possa propagarsi a numerosi servizi apparentemente distinti, ma tecnologicamente interdipendenti.
Un'interruzione della posta elettronica può quindi avere conseguenze che vanno ben oltre l'impossibilità di inviare o ricevere un messaggio.
Per le organizzazioni che hanno costruito i propri processi operativi attorno a un unico ecosistema, il rischio è che un incidente tecnologico si trasformi rapidamente in un problema di continuità aziendale o istituzionale.
La continuità operativa non può dipendere esclusivamente da un fornitore
Nel settore privato, l'indisponibilità prolungata di strumenti di comunicazione, collaborazione e gestione documentale può tradursi in interruzioni operative, perdite economiche e difficoltà nei rapporti con clienti e fornitori.
Nel settore pubblico, le implicazioni assumono una dimensione ulteriore: la capacità delle istituzioni di garantire servizi essenziali ai cittadini.
ATED ritiene pertanto necessario interrogarsi sull'effettiva presenza di piani di continuità operativa, procedure alternative di comunicazione e strategie di gestione dei rischi tecnologici.
Un'amministrazione pubblica che dipende integralmente da un unico ecosistema digitale è realmente preparata ad affrontare un'interruzione di 24, 48 o 72 ore?
La risoluzione di privatim del 18 novembre 2025: cinque criticità già evidenziate
La questione assume particolare rilevanza alla luce della risoluzione adottata il 18 novembre 2025 da privatim, la Conferenza degli incaricati svizzeri per la protezione dei dati, dal titolo Risoluzione sul ricorso all'outsourcing dell'elaborazione dei dati nel cloud.
Il documento affronta specificamente i rischi legati all'esternalizzazione, da parte degli enti pubblici, del trattamento di dati personali particolarmente degni di protezione o soggetti a obblighi legali di segretezza verso grandi fornitori internazionali di servizi Software-as-a-Service (SaaS).
La risoluzione richiama cinque elementi di criticità:
- Crittografia: l'assenza, in molte soluzioni SaaS, di una crittografia end-to-end che impedisca al fornitore di accedere ai dati in chiaro.
- Trasparenza: le difficoltà per le autorità svizzere di verificare il rispetto degli obblighi contrattuali e delle misure di sicurezza adottate dai fornitori internazionali.
- Perdita di controllo: la riduzione della capacità degli enti pubblici di controllare direttamente il trattamento dei dati affidati a terzi.
- Incertezza giuridica: le problematiche legate all'esternalizzazione di dati soggetti a obblighi legali di segretezza.
- CLOUD Act statunitense: la possibilità che fornitori statunitensi siano obbligati a consegnare dati alle autorità USA anche quando questi sono conservati in centri dati situati in Svizzera.
La risoluzione cita espressamente Microsoft 365 e conclude che, nella maggior parte dei casi, l'esternalizzazione di queste particolari categorie di dati verso grandi fornitori SaaS internazionali non è ammissibile.
Privatim precisa inoltre che l'utilizzo di tali soluzioni per queste categorie di dati è possibile soltanto quando l'ente pubblico responsabile provvede direttamente alla loro crittografia e il fornitore cloud non dispone delle chiavi necessarie per accedervi.
È importante sottolineare che la risoluzione non stabilisce un divieto generalizzato di utilizzo di Microsoft 365 da parte delle amministrazioni pubbliche, ma individua condizioni e limitazioni specifiche.
ATED si interroga: alla luce degli attuali disservizi, non sarebbe opportuno affiancare alle cinque criticità già evidenziate da privatim una sesta riflessione, dedicata alla continuità operativa e alla dipendenza da un unico fornitore?
La risoluzione riguarda principalmente la protezione dei dati e gli obblighi di segretezza. La disponibilità dei servizi rappresenta una questione distinta, ma altrettanto rilevante per la responsabilità delle amministrazioni pubbliche.
Qual è la situazione nell'amministrazione pubblica ticinese?
ATED esprime preoccupazione per il livello di dipendenza tecnologica che potrebbe caratterizzare una parte delle amministrazioni pubbliche.
Secondo informazioni che l'associazione ritiene necessario approfondire e verificare, una quota molto elevata dei Comuni, ad esempio, non risulterebbe allineata alle indicazioni formulate dagli incaricati svizzeri per la protezione dei dati.
Un elemento che merita attenzione, pur considerando che il mancato recepimento di una raccomandazione non costituisce automaticamente una violazione della normativa vigente.
La riflessione, tuttavia, non può e non deve limitarsi ai Comuni.
Private cloud: un'alternativa da valutare
ATED sottolinea che la protezione dei dati e la riduzione della dipendenza dai grandi fornitori cloud non implicano necessariamente l'abbandono delle tecnologie Microsoft, anzi. Una possibile alternativa consiste nell'adozione di soluzioni Microsoft installate e gestite all'interno di infrastrutture private, anche attraverso fornitori ICT svizzeri, con modelli di private cloud che consentano un maggiore controllo sui dati, sugli accessi e sulle infrastrutture. Soluzioni come Exchange Server e altri prodotti Microsoft disponibili per installazioni private possono rappresentare, in determinati contesti, un'opzione da valutare per rispondere alle esigenze di protezione dei dati e agli obblighi di riservatezza. La localizzazione dei dati in Svizzera e l'utilizzo di un private cloud non garantiscono tuttavia automaticamente la conformità normativa: occorre verificare le responsabilità contrattuali, gli accessi dei fornitori, le misure di sicurezza e la continuità operativa. La questione non è quindi rinunciare a Microsoft, ma scegliere consapevolmente dove e come utilizzare le sue tecnologie.
Il tema riguarda l'intera amministrazione pubblica: autorità cantonali, enti autonomi, istituzioni pubbliche e organizzazioni che erogano servizi essenziali alla popolazione.
ATED ritiene importante comprendere quali valutazioni siano state effettuate prima dell'adozione di determinate soluzioni cloud e quali misure siano state predisposte per garantirne la continuità.
In particolare, l'associazione si interroga su alcune questioni fondamentali:
- Quanti enti pubblici dispongono di un piano di continuità operativa effettivamente testato in caso di indisponibilità dei servizi cloud?
- Quali procedure alternative consentono di mantenere attive le comunicazioni istituzionali?
- Sono state effettuate valutazioni documentate dei rischi legati alla concentrazione dei servizi presso un unico fornitore?
- In quale misura sono state considerate le chiare indicazioni di privatim?
- Quali servizi essenziali ai cittadini possono essere garantiti anche in caso di interruzioni prolungate?
- Quali strategie sono state adottate per ridurre i rischi di dipendenza tecnologica e garantire la possibilità di migrare verso soluzioni alternative?
Non una critica al cloud, ma una riflessione sulla responsabilità delle scelta.
ATED precisa che queste considerazioni non rappresentano una posizione contraria al cloud computing né una valutazione negativa delle soluzioni Microsoft. (Soluzione che sono applicabile anche nel private CLOUD e che risponderebbero alle indicazioni dei garanti della privacy Svizzeri)
Le piattaforme cloud costituiscono una componente fondamentale della trasformazione digitale e offrono opportunità significative in termini di innovazione, efficienza e accessibilità.
La questione riguarda piuttosto la governance tecnologica, la gestione dei rischi e la responsabilità delle organizzazioni nella definizione delle proprie strategie digitali.
La continuità operativa non può essere considerata una caratteristica automaticamente garantita dall'acquisto di un servizio tecnologico. Deve essere progettata, verificata e periodicamente testata.
ATED: «Preoccupa ciò che potrebbe accadere domani»
«Non è il singolo disservizio tecnologico a preoccuparmi maggiormente. Anche le infrastrutture più avanzate possono subire interruzioni. Mi preoccupa invece la possibilità che organizzazioni pubbliche e private abbiano progressivamente concentrato servizi essenziali presso un unico fornitore senza predisporre adeguate alternative», osserva Luca Mauriello, Presidente di ATED.
«Quando parliamo di amministrazioni pubbliche, non parliamo soltanto di sistemi informatici. Parliamo della capacità delle istituzioni di garantire servizi ai cittadini, proteggere le loro informazioni e assicurare la continuità delle proprie attività».
«Le indicazioni degli incaricati svizzeri per la protezione dei dati esistono e meritano di essere considerate con attenzione. Oggi dobbiamo chiederci se, accanto alla protezione dei dati, non sia necessario rafforzare ulteriormente la riflessione sulla resilienza operativa delle amministrazioni pubbliche».
«La domanda che rivolgo ai responsabili decisionali è semplice: se domani un grande fornitore cloud rimanesse indisponibile per 72 ore, la vostra organizzazione sarebbe realmente in grado di continuare a garantire i propri servizi essenziali?».
ATED propone un confronto istituzionale sulla resilienza digitale dell'amministrazione pubblica
Nel proprio ruolo di associazione economica cantonale del settore ICT e Digital, ATED intende promuovere un confronto istituzionale dedicato alla resilienza digitale dell'amministrazione pubblica ticinese.
L'iniziativa vuole favorire il dialogo tra autorità cantonali, amministrazioni comunali, enti pubblici, responsabili ICT, professionisti della sicurezza informatica e rappresentanti del settore tecnologico.
L'obiettivo è approfondire, attraverso un confronto tecnico e istituzionale, quattro ambiti prioritari:
1. Continuità operativa e gestione delle emergenze
Valutare le strategie adottate dalle amministrazioni pubbliche per garantire i servizi essenziali in caso di indisponibilità prolungata delle piattaforme tecnologiche.
2. Protezione dei dati e conformità normativa
Approfondire l'applicazione delle indicazioni di privatim e delle disposizioni federali e cantonali in materia di protezione dei dati, con particolare attenzione all'esternalizzazione dei servizi informatici.
3. Dipendenza tecnologica e autonomia digitale
Esaminare i rischi derivanti dalla concentrazione dei servizi presso un numero limitato di fornitori e individuare possibili strategie di diversificazione, interoperabilità e portabilità.
4. Collaborazione tra settore pubblico e settore ICT
Favorire un dialogo strutturato tra amministrazioni pubbliche e professionisti del settore tecnologico, affinché le scelte strategiche possano beneficiare anche di competenze tecniche specialistiche.
ATED ritiene che la crescente complessità delle infrastrutture digitali richieda un approccio interdisciplinare, nel quale competenze giuridiche, organizzative e tecnologiche concorrano alla definizione di strategie sostenibili.
L'obiettivo non è mettere in discussione le scelte compiute dalle singole amministrazioni, ma contribuire a costruire una maggiore consapevolezza dei rischi e una migliore capacità collettiva di affrontarli.
La trasformazione digitale deve garantire anche la capacità di continuare a operare
Gli episodi di indisponibilità dei servizi tecnologici devono rappresentare un'occasione di apprendimento e miglioramento.
ATED auspica che il confronto possa contribuire a rafforzare la resilienza digitale delle istituzioni e a promuovere una gestione più consapevole delle dipendenze tecnologiche.
La trasformazione digitale non può limitarsi all'adozione di nuove tecnologie. Deve comprendere anche la capacità di continuare a operare quando queste non sono disponibili.
Perché il vero indicatore della maturità digitale di un'organizzazione non è soltanto quanto sia tecnologicamente avanzata.
È anche quanto sia preparata ad affrontare un imprevisto.
ATED - Associazione Mantello Tech ICT e Digital Ticino
Contatto stampa:
Cristina Giotto, 079 253 79 52
media@ated.ch
