I Paesi Bassi bloccano l'acquisto da parte di un'azienda statunitense dell'host cloud DigiD

      TL;DRI Paesi Bassi hanno bloccato l'acquisizione di Solvinity, il fornitore di cloud che ospita il sistema di identità digitale olandese DigiD, da parte di Kyndryl, la società di infrastrutture IT spin-off di IBM. Si tratta della prima acquisizione statunitense che l'Ufficio Olandese per il Monitoraggio degli Investimenti ha mai vietato.

      Il governo olandese ha imposto un "divieto completo" sull'acquisizione di Solvinity, un fornitore di cloud olandese, da parte di Kyndryl, la società americana di infrastrutture IT nata da IBM nel 2021. L'affare, valutato circa 100 milioni di euro, avrebbe dato a un'azienda con sede negli Stati Uniti il controllo sulla piattaforma che gestisce DigiD, il sistema di identità digitale utilizzato da milioni di residenti olandesi per accedere a servizi fiscali, sanitari, pensionistici e governativi.

      Willemijn Aerdts, il ministro olandese per l'economia digitale, ha annunciato la decisione lunedì in una lettera al parlamento. Il governo ha dichiarato che l'acquisizione rappresenta un possibile "rischio per l'interesse pubblico" sulla base della raccomandazione dell'Ufficio per il Monitoraggio degli Investimenti, che ha valutato l'affare nell'ambito del quadro di monitoraggio degli investimenti esteri dei Paesi Bassi.

      È la prima volta che l'ufficio blocca un'acquisizione statunitense da quando ha iniziato a operare. La decisione non è stata ravvicinata. L'organo di monitoraggio ha raccomandato un divieto totale piuttosto che imporre condizioni.

      Solvinity non ospita solo DigiD. L'azienda gestisce anche l'infrastruttura dietro MijnOverheid, il portale di comunicazione con i cittadini del governo, e Digipoort, il gateway per i servizi digitali business-to-government. Insieme, queste piattaforme formano uno strato fondamentale dell'infrastruttura digitale pubblica dei Paesi Bassi. Solvinity le gestisce da un centro dati governativo sotto rigorosi requisiti di sicurezza.

      La preoccupazione riguarda il CLOUD Act statunitense. La legge del 2018 conferisce alle forze dell'ordine e alle agenzie di intelligence americane l'autorità di costringere le aziende con sede negli Stati Uniti a consegnare dati memorizzati sui loro server in qualsiasi parte del mondo, indipendentemente dalle leggi sulla protezione dei dati del paese ospitante. Se Kyndryl possedesse Solvinity, i dati di identità digitale del governo olandese cadrebbero teoricamente sotto la giurisdizione delle autorità statunitensi.

      Kyndryl ha dichiarato a Politico, che ha riportato per prima la decisione, di essere "estremamente delusa". L'azienda aveva annunciato l'affare a novembre 2025 e lo aveva presentato come un modo per espandere le proprie capacità di cloud sovrano per i clienti europei regolamentati. L'autorità olandese per la concorrenza, ACM, aveva approvato l'affare per motivi antitrust a febbraio 2026. Ma il processo di monitoraggio degli investimenti, che procede separatamente, ha raggiunto una conclusione diversa.

      La decisione si inserisce in un'iniziativa europea più ampia per ridurre la dipendenza dai fornitori di tecnologia americani. Le tariffe e le sanzioni dell'era Trump hanno accelerato il cambiamento. AWS, Microsoft Azure e Google Cloud controllano insieme più della metà del mercato del cloud in Europa. La Commissione Europea dovrebbe presentare il suo Pacchetto di Sovranità Tecnologica il 27 maggio, un giorno dopo la decisione olandese, con proposte che potrebbero limitare l'uso delle piattaforme cloud statunitensi per dati governativi sensibili in tutta l'UE.

      L'UE ha già iniziato a finanziare la strategia. Bruxelles ha assegnato un contratto di cloud sovrano da 180 milioni di euro a quattro gruppi di fornitori europei ad aprile, chiudendo un processo di approvvigionamento che consentirà alle istituzioni dell'UE di acquistare servizi di cloud sovrano per un massimo di sei anni. Uno dei quattro vincitori, S3NS, è una joint venture tra Thales e Google Cloud, sottolineando quanto sia difficile costruire un'infrastruttura genuinamente indipendente.

      I Paesi Bassi hanno esperienza in questo. Nell'ottobre 2025, il governo olandese ha invocato una legge dell'era della Guerra Fredda per prendere il controllo di Nexperia, un produttore di semiconduttori di proprietà della cinese Wingtech, citando minacce alla sicurezza economica europea. Quel caso riguardava l'hardware. Il blocco di Solvinity riguarda i dati. Il principio è lo stesso: i Paesi Bassi sono disposti a intervenire quando la proprietà straniera di infrastrutture critiche crea un rischio per la sicurezza nazionale, indipendentemente dal paese di origine dell'acquirente.

      Per Kyndryl, il blocco rappresenta un passo indietro commerciale. L'azienda, che ha riportato 15,1 miliardi di dollari di fatturato nell'ultimo anno fiscale, ha cercato di far crescere il proprio business di cloud e servizi gestiti in Europa. I contratti governativi e le credenziali di sicurezza di Solvinity lo hanno reso un obiettivo attraente. Senza l'affare, Kyndryl perde una posizione nel settore pubblico olandese.

      Per i Paesi Bassi, il calcolo è che il rischio di un'azienda statunitense che controlla la piattaforma dietro il sistema nazionale di identità digitale supera i benefici commerciali dell'acquisizione. DigiD è utilizzato per tutto, dalla presentazione delle tasse all'accesso ai documenti medici. I dati che gestisce sono tra i più sensibili che qualsiasi governo detenga. Consegnarli a un'azienda soggetta al CLOUD Act è un rischio che il governo olandese ha deciso di non correre.

      La decisione sarà osservata in tutta Europa. Se il Pacchetto di Sovranità Tecnologica dell'UE procederà a limitare le piattaforme cloud statunitensi per i dati governativi, il blocco olandese su Kyndryl-Solvinity apparirà meno come un'eccezione e più come un'anticipazione di ciò che sta per arrivare per ogni azienda tecnologica americana che fa affari con le istituzioni pubbliche europee.