Il cloud sotto attacco. La lezione di Yandex che l’Italia non può ignorare

 

Di Luigi Ricci – analista e saggista

Quattro data center colpiti in una settimana, l’ultimo mentre questo articolo andava in pubblicazione. I droni ucraini hanno mostrato che un’infrastruttura digitale si spegne senza violare una riga di codice. Per l’Italia resta una domanda: quanto reggerebbe il Paese se il cloud diventasse un bersaglio militare sistematico?

Tra l’8 e la metà di ottobre 2026 la guerra in Ucraina ha aperto un fronte nuovo: la distruzione fisica dei data center. Droni ucraini hanno colpito in sequenza quattro infrastrutture di Yandex, il principale gruppo tecnologico russo. Il primo bersaglio è stato il centro di Sasovo, nella regione di Rjazan’, che ospita due dei tre supercomputer con cui l’azienda sviluppa la propria intelligenza artificiale. Poi l’impianto nella regione di Kaluga, dove diversi moduli sono andati fuori servizio. L’11 ottobre è stata la volta del centro nella regione di Vladimir, fermato del tutto. Infine, nelle ultime ore, proprio mentre questo testo veniva chiuso, un nuovo raid notturno ha colpito un quarto impianto della rete, confermando che non siamo di fronte a incursioni isolate ma a una deliberata campagna di logoramento.

Per anni i data center sono stati considerati soprattutto bersagli di attacchi informatici: intrusioni, ransomware, furto di dati, sabotaggio del software. Ma la guerra ha già cambiato le regole. Il 1° marzo 2026, durante il conflitto nel Golfo Persico, droni iraniani colpirono due data center di Amazon Web Services negli Emirati Arabi Uniti, mentre un terzo impianto venne danneggiato in Bahrein. A settembre, parte delle infrastrutture risultava ancora inaccessibile. La sequenza contro Yandex certifica che il cloud è ormai a pieno titolo un bersaglio della guerra convenzionale. Non serve violare una password o superare un firewall: basta colpire l’infrastruttura materiale prima che i sistemi riescano a riallocare il carico.

Il caso Yandex rivela una vulnerabilità che va oltre i confini russi: la resilienza digitale è inseparabile da quella fisica, energetica e territoriale. L’Italia sta digitalizzando la Pubblica Amministrazione, sviluppando il Polo Strategico Nazionale e ampliando le infrastrutture per l’intelligenza artificiale. La domanda non è soltanto quanto siano sicuri i nostri dati, ma quanto siano resilienti le infrastrutture che li rendono utilizzabili.

1. La sindrome della concentrazione milanese

La geografia del cloud la decide l’economia, non la difesa.

I grandi data center nascono dove ci sono connessioni veloci, energia abbondante, personale specializzato e mercati vicini. Più operatori si concentrano in un territorio, più scendono i costi di interconnessione, salgono le prestazioni e arrivano investimenti. Per una singola impresa è una scelta razionale. Per un Paese non è detto che sia una scelta resiliente.

Yandex ha concentrato buona parte della sua infrastruttura nella Russia occidentale, non lontano da Mosca, dove stanno attività economiche, collegamenti e competenze. La guerra ha cambiato il significato di quella mappa: impianti costruiti per servire bene il mercato sono finiti alla portata dei droni a lungo raggio.

In Italia la concentrazione è diversa, il problema è simile. L’area metropolitana di Milano è il principale polo nazionale delle interconnessioni Internet e uno dei maggiori mercati dei data center. Nell’hinterland stanno operatori di colocation, infrastrutture cloud, nodi di scambio del traffico e i nuovi investimenti per i carichi di lavoro dell’intelligenza artificiale. Il Milan Internet Exchange e un ecosistema di telecomunicazioni consolidato hanno rafforzato questa centralità.

Il sistema digitale italiano non dipende tutto da Milano, e non tutti i servizi critici stanno in Lombardia. Le infrastrutture sono distribuite, le reti hanno percorsi alternativi, molti operatori hanno piani di continuità. Il punto è quanto queste alternative siano davvero indipendenti.

Due data center in edifici diversi possono dipendere dalla stessa rete elettrica. Collegamenti ridondanti possono passare, per un tratto, nella stessa infrastruttura fisica. Fornitori diversi possono condividere apparati, sistemi di gestione o punti di interconnessione. In questi casi la ridondanza esiste sulla carta e cede davanti a un evento che colpisce più componenti insieme.

Gli ingegneri lo chiamano common-cause failure, guasto per causa comune: sistemi che sembrano indipendenti cadono insieme perché condividono una vulnerabilità che nessuno ha messo nel conto.

La concentrazione milanese, di per sé, non è un errore. Chiede però una mappa delle dipendenze comuni. Il mercato decide dove conviene mettere i server. Lo Stato deve sapere cosa succede se una parte rilevante di quei server si spegne all’improvviso.

2. Il Polo Strategico Nazionale e i limiti della ridondanza

Il Polo Strategico Nazionale, uno dei principali investimenti italiani per la sovranità digitale della Pubblica Amministrazione, poggia su quattro data center in due aree: Rozzano e Santo Stefano Ticino in Lombardia, Acilia e Pomezia nel Lazio. I siti lavorano in una logica a doppia region, con collegamenti ridondati, continuità operativa e disaster recovery. La documentazione descrive anche configurazioni active-active fra le region per conservare e replicare i dati, quindi non un centro che lavora mentre gli altri aspettano.

Il progetto è nato per superare la frammentazione delle infrastrutture pubbliche e alzare il livello di sicurezza. La resilienza è nel disegno.

Gli attacchi ripetuti a Yandex suggeriscono però una domanda diversa da quelle abituali. Le domande abituali sono cosa succede se un server si guasta e quanto serve a recuperare un database. Quella nuova è: quali funzioni pubbliche restano in piedi se più infrastrutture vengono colpite in sequenza ravvicinata, prima ancora che il disaster recovery o il trasferimento dei carichi si sia stabilizzato?

Un guasto accidentale capita a caso. Un avversario sceglie tempi e modi, cerca interruzioni correlate e colpisce a ripetizione per saturare la capacità di assorbimento del sistema.

Non ci sono elementi pubblici per dire che il Polo non reggerebbe uno scenario simile. Proprio per questo è legittimo chiedere quali prove di resilienza sistemica siano state fatte e quali risultati, almeno aggregati, si possano rendere noti. La certificazione di un data center attesta dei requisiti. Non dimostra che un ecosistema nazionale funzioni durante una crisi prolungata e su più siti contemporaneamente.

Per i servizi essenziali l’unità di misura dovrebbe essere la continuità della funzione per il cittadino, più che la disponibilità del singolo impianto. Fascicolo sanitario, pagamenti pubblici, anagrafe e piattaforme di emergenza hanno bisogni diversi di latenza, calcolo e tempi di ripristino. La resilienza va progettata per priorità, stabilendo quali servizi devono sopravvivere anche quando una parte dell’infrastruttura nazionale è persa.

Distribuire ogni applicazione su decine di piccoli data center non è la risposta: la frammentazione alza costi, complessità e superficie d’attacco. Serve un’architettura policentrica, con nodi strategici abbastanza indipendenti e funzioni essenziali capaci di girare in modalità degradata. L’obiettivo è che la perdita progressiva di più nodi non trascini a terra le funzioni vitali del Paese.

3. Il cloud dipende dal ferro. E il ferro non si ripristina con un backup

Un database si replica. Un’applicazione si ricostruisce. Una macchina virtuale riparte su un’altra infrastruttura, se questa ha risorse sufficienti. Un server distrutto invece non si recupera ripristinando un file.

Il calcolo richiede processori, memorie, acceleratori, apparati di rete, alimentazione e raffreddamento. Sostituirli dipende da filiere globali, capacità produttive limitate e tempi di consegna che per gli apparati specializzati possono allungarsi molto.

Con l’intelligenza artificiale il problema si aggrava. Un cluster per l’addestramento di modelli avanzati richiede acceleratori compatibili, reti ad altissima velocità e configurazioni complesse. Ricostruirne la capacità dopo una distruzione fisica è molto più difficile che recuperare i dati.

La Russia sconta in più le sanzioni, che limitano l’accesso a semiconduttori e tecnologie avanzate. Per questo conta sapere quanto sia stato danneggiato Sasovo con i suoi due supercomputer, e su questo un bilancio definitivo ancora non c’è.

Italia e Unione Europea non sono nella condizione russa. Hanno mercati aperti, capacità industriali significative in diversi segmenti della microelettronica e rapporti commerciali con i principali produttori. Non hanno però autonomia nella produzione di processori avanzati, acceleratori AI e molte componenti critiche del calcolo. In tempi normali la dipendenza si gestisce con contratti e diversificazione. In una crisi internazionale, con più Paesi che chiedono gli stessi apparati nello stesso momento, diventa un vincolo strategico.

Nella pianificazione nazionale va portato un concetto finora riservato a energia e difesa: la riserva strategica di capacità tecnologica.

Migliaia di server fermi in magazzino invecchierebbero inutilizzati. La riserva è un’altra cosa. Vuol dire individuare i componenti senza i quali i servizi essenziali non ripartono, e predisporre scorte selettive, forniture prioritarie, capacità di calcolo alternativa e procedure di ricostituzione già provate. Per alcuni apparati ha senso una riserva fisica protetta. Per altri bastano contratti di capacità, piattaforme compatibili e infrastrutture sostitutive. In ogni caso le scorte vanno mantenute, aggiornate e rese installabili in fretta.

Se una parte significativa della capacità di calcolo nazionale venisse distrutta, con quali apparecchiature la ricostruiremmo, da chi le compreremmo e in quanto tempo? Senza una risposta, il disaster recovery si ferma dove finisce il software e comincia l’industria.

4. Il perimetro industriale: la sicurezza informatica non basta

Un moderno campus per l’intelligenza artificiale può assorbire decine di megawatt. Un data center è un impianto industriale ad alta intensità energetica: deve ricevere elettricità, smaltire calore e restare collegato alle reti di telecomunicazione. Più cresce la densità del calcolo, più contano gli impianti che lo sostengono.

Gruppi di continuità e generatori coprono molte interruzioni di corrente. Il raffreddamento ha ridondanze e protezioni. Ogni impianto ha comunque limiti fisici, un’autonomia finita e soglie oltre le quali deve ridurre il carico o fermarsi in sicurezza.

Gli attacchi a Yandex mostrano che un’infrastruttura digitale si può compromettere fisicamente. Non dicono ancora quali componenti industriali abbiano provocato ciascuna interruzione. Per capire il problema strategico non serve attribuire agli attacchi dettagli non confermati.

La protezione del perimetro industriale deve entrare stabilmente nella valutazione della sicurezza nazionale. Comprende edifici, autonomia energetica, raffreddamento, antincendio, continuità delle comunicazioni e capacità di riparazione. Comprende anche la minaccia dei droni e degli attacchi fisici coordinati, valutata in proporzione alla criticità degli impianti e nel rispetto delle competenze delle autorità di sicurezza.

Il quadro normativo esiste. La direttiva NIS2 impone misure di gestione dei rischi di cybersicurezza, comprese quelle relative alla continuità operativa e alla sicurezza fisica degli ambienti in cui operano i sistemi informativi. La direttiva CER affronta più direttamente la resilienza dei soggetti critici rispetto a minacce fisiche e interruzioni dei servizi essenziali. Il problema non è dunque l’assenza di regole, ma la loro traduzione in capacità reali di prevenzione, risposta e ripristino, anche davanti ad attacchi coordinati contro più infrastrutture. Un impianto può rispettare requisiti rigorosi e restare esposto a scenari che non sono stati adeguatamente considerati nella progettazione o nelle esercitazioni. La conformità è necessaria, la resilienza va dimostrata.

5. Il rischio invisibile: quando energia, telecomunicazioni e cloud cadono insieme

Il cloud dipende dall’elettricità. Le reti elettriche si gestiscono con sistemi digitali e telecomunicazioni. Le telecomunicazioni dipendono dall’elettricità e dall’informatica. Trasporti, logistica, pagamenti e molti servizi pubblici dipendono da tutte e tre. Un guasto in un punto può arrivare in settori che sembrano lontani.

La perdita di un data center non blocca per forza i servizi che ospita, ma può spostare di colpo i carichi su altre infrastrutture. Se queste non hanno capacità sufficiente, o condividono dipendenze già compromesse, la ridondanza propaga la crisi invece di contenerla. Una rete progettata per tollerare la perdita di un nodo può non reggere la perdita contemporanea o ravvicinata di più nodi e dei loro supporti.

Vale per l’intera economia italiana. Banche, imprese, piattaforme commerciali, amministrazioni e operatori logistici possono avere fornitori diversi e appoggiarsi, indirettamente, agli stessi servizi infrastrutturali. Sapere dove stanno i server di ciascuno non basta: bisogna conoscere le dipendenze che legano operatori, reti, fornitori e servizi essenziali.

Questa mappa non deve diventare un inventario pubblico delle vulnerabilità nazionali. Deve però essere a disposizione delle autorità competenti, aggiornata e usata in esercitazioni fra settori. La resilienza delle banche non si valuta senza quella delle telecomunicazioni. Quella della sanità non si valuta senza energia e reti, quella del cloud pubblico non si misura dentro i muri dei suoi data center.

L’infrastruttura davvero critica è la rete delle dipendenze, ed è lì che un attacco ibrido cerca di colpire.

6. Dalla sovranità dei dati alla sovranità della continuità

Il dibattito europeo sulla sovranità digitale ruota su tre domande: chi controlla i dati, quale legge si applica, da quali fornitori dipendono le infrastrutture. Sono domande essenziali, ma non bastano.

Un dato può stare entro i confini nazionali, essere gestito da un operatore europeo e protetto da crittografia avanzata. Ma tutte queste garanzie servono a poco se la distruzione dell'infrastruttura che lo ospita impedisce di accedervi e utilizzarlo.

La sovranità dei dati riguarda il controllo delle informazioni. La sovranità della continuità riguarda la capacità di uno Stato di mantenere operative le proprie funzioni essenziali anche quando perde una parte consistente delle infrastrutture digitali.

È questa la dimensione ancora poco presente nel dibattito pubblico italiano. Non basta sapere dove risiedono i dati. Bisogna sapere se i servizi essenziali possono sopravvivere alla perdita sequenziale dei sistemi che li sostengono.

Le domande da cui partire sono concrete. Quali servizi devono funzionare anche durante una grave crisi infrastrutturale? Quali dipendenze comuni possono comprometterli? Quanta capacità alternativa esiste davvero? Quanto tempo serve a ricostruire quella persa? Chi decide le priorità quando le risorse residue non bastano per tutti? E queste risposte sono state verificate con esercitazioni realistiche, o esistono solo nei piani?

Il mercato del cloud misura la qualità con disponibilità, prestazioni e costi. La sicurezza nazionale deve aggiungere un’altra misura: la capacità di mantenere le funzioni essenziali con l’infrastruttura fortemente degradata. Vuol dire decidere prima quali funzioni non possono fermarsi, quali possono ridursi e quali possono aspettare il ripristino. È una scelta tecnica e, insieme, di governo delle priorità.

7. La guerra ha cambiato il significato del cloud

La corsa all’intelligenza artificiale moltiplica infrastrutture di calcolo sempre più grandi, costose ed energivore. I supercomputer per l’addestramento dei modelli concentrano in pochi luoghi risorse tecnologiche e finanziarie enormi. La concentrazione produce economie di scala e, insieme, bersagli.

In Ucraina infrastrutture considerate civili stanno acquistando un peso militare, perché reggono comunicazioni, servizi economici, attività industriali e capacità tecnologiche utili anche alla difesa. Questo non rende legittimo qualsiasi attacco a un data center. Il diritto internazionale umanitario impone la distinzione fra obiettivi civili e militari e i principi di proporzionalità e precauzione. Il valore tecnologico o economico di un impianto non basta, da solo, a farne un obiettivo militare legittimo.

Per chi pianifica la sicurezza, però, le infrastrutture digitali vanno ormai trattate anche nella loro dimensione fisica e territoriale, come porti, reti energetiche, ferrovie e telecomunicazioni. La guerra ibrida mette l’attacco informatico e quello convenzionale dentro la stessa strategia di pressione sulle funzioni vitali di uno Stato.

Il punto non è prevedere un attacco imminente ai data center lombardi o laziali. Il rischio è progettare infrastrutture per servizi essenziali su scenari più stretti di quelli che la minaccia sta già disegnando. La serie di raid contro Yandex non dimostra che il modello italiano sia vulnerabile allo stesso modo. Offre un caso concreto per metterlo alla prova con più severità.

La sovranità digitale non si esaurisce in regolamenti europei, dati localizzati e licenze cloud acquistate da fornitori qualificati. Richiede energia disponibile, reti indipendenti, capacità di calcolo alternativa, componenti sostituibili e personale capace di ricostruire i servizi quando una parte dell’infrastruttura è persa. Nessuna infrastruttura complessa è invulnerabile.

Il cloud, prima di essere codice, è ferro, cemento ed energia, e come tutto ciò che è materiale si può abbattere. La sovranità digitale comincia dalla capacità di continuare a funzionare anche dopo.

English version

The cloud under attack. The Yandex lesson Italy cannot ignore

By Luigi Ricci – analyst and essayist

Four data centres hit in a week, the latest struck just as this article went to press. Ukrainian drones have shown that digital infrastructure can be switched off without breaching a single line of code. For Italy, one critical question remains: how long would the country hold out if the cloud became a systematic military target?

Between 8 and mid-October 2026, the war in Ukraine opened an entirely new front: the physical neutralisation of data centres. Ukrainian drones struck four facilities belonging to Yandex, Russia’s largest technology group, in rapid succession. The first target was the Sasovo facility in the Ryazan region, home to two of the three supercomputers the company relies on to develop its artificial intelligence. Next came the plant in the Kaluga region, where several operational modules were knocked offline. On 11 October, a centre in the Vladimir region was shut down entirely. Finally, overnight and just as this piece was being published, a fourth facility in the network was struck, confirming that these are not isolated raids, but a calculated campaign of infrastructural attrition.

For years, data centres were regarded primarily as targets for cyber warfare: network intrusions, ransomware, data exfiltration and software sabotage. Yet war has rewritten the playbook. On 1 March 2026, during the conflict in the Persian Gulf, Iranian drones struck two Amazon Web Services data centres in the United Arab Emirates, while a third facility sustained damage in Bahrain. By September, parts of the affected infrastructure reportedly remained offline. The strikes against Yandex confirm that cloud infrastructure has firmly entered the crosshairs of conventional warfare. There is no need to crack a password or bypass a firewall: striking the physical asset before workloads can migrate is enough.

The Yandex case exposes a vulnerability that extends far beyond Russian borders: digital resilience cannot be divorced from physical, energy and territorial resilience. Italy is actively digitising its public administration, building the National Strategic Hub (Polo Strategico Nazionale) and expanding its infrastructure for artificial intelligence. The question is no longer just how secure our data is, but how resilient the physical foundations that keep that data accessible truly are.

1. The Milan concentration syndrome

The geography of the cloud is dictated by economics, not defence.

Hyperscale data centres emerge where high-speed connectivity is dense, power is abundant, skilled engineering talent is available and enterprise markets are adjacent. The more operators cluster in one territory, the lower the interconnection costs, the higher the performance and the faster capital flows in. For an individual company, clustering is rational. For a sovereign nation, it is not necessarily resilient.

Yandex concentrated the bulk of its compute capacity in western Russia, close to Moscow, where economic activity, transit networks and talent converged. The conflict fundamentally altered the strategic reality of that footprint: facilities built to serve a commercial market efficiently ended up directly within reach of long-range loitering munitions.

In Italy, the geography differs, but the vulnerability is identical. The Milan metropolitan area is the nation’s core Internet interconnection hub and one of Southern Europe’s largest data centre markets. Its suburban perimeter hosts colocation facilities, hyperscale cloud regions, internet exchange nodes and substantial new capital expenditure dedicated to AI workloads. The Milan Internet Exchange (MIX) and a mature telecommunications ecosystem have entrenched this geographic dominance.

Italy’s digital framework does not depend entirely on Milan, and not all critical services reside in Lombardy. Infrastructure is partially distributed, network carriers maintain alternative routes, and primary operators have continuity protocols in place. The pivotal question is how genuinely independent those alternatives are.

Two data centres housed in separate facilities may depend on the very same electrical substation. Redundant dark fibre links can share the same conduit or physical bridge for critical kilometres. Competing cloud vendors may rely on shared upstream transit providers, common building management systems or identical internet exchange points. In such configurations, redundancy exists on paper, but collapses instantly when confronted with a strike that impacts multiple correlated elements simultaneously.

Engineers refer to this as a common-cause failure: systems that appear isolated fail together because they share an unmapped systemic dependency.

The Milan cluster is not inherently flawed. It does, however, demand a comprehensive national audit of shared dependencies. The market decides where servers are cost-effective; the state must know what happens when a critical mass of those servers abruptly goes dark.

2. The National Strategic Hub and the limits of redundancy

The National Strategic Hub (Polo Strategico Nazionale), Italy’s cornerstone initiative for public sector digital sovereignty, relies on four data centres across two macro-regions: Rozzano and Santo Stefano Ticino in Lombardy, and Acilia and Pomezia in Lazio. These sites operate on a dual-region model featuring redundant low-latency interconnects, continuous operational mirroring and disaster recovery frameworks. Official documentation specifies active-active cross-region configurations designed to replicate data synchronously, avoiding idle standby models.

The project was conceived specifically to eradicate public sector infrastructure fragmentation and elevate baseline security standards. Resilience is intrinsic to its architectural design.

Yet the sequential strikes against Yandex raise a question that standard compliance models overlook. Conventional planning asks what happens if a server chassis fails or how long it takes to recover a transactional database from cold storage. The modern strategic question is entirely different: which essential state functions remain operational if multiple facilities are struck in rapid succession, before automated failover, load re-balancing or disaster recovery procedures can even settle?

An unexpected hardware failure is an isolated, stochastic event. A military adversary operates deliberately: choosing timing and vectors, exploiting correlated outages, and hitting successive sites to overwhelm system capacity.

There is no public evidence suggesting the Hub could not withstand such stress. That is precisely why it is legitimate to ask what systemic stress tests have been conducted, and what findings, even in aggregated form, can be shared with the public and industry. Tier certifications confirm facility-level operational criteria; they do not prove that an entire interlinked national ecosystem will hold together through an extended, multi-site kinetic crisis.

For critical national services, the core metric must be the continuity of the public service delivered to the citizen, rather than the raw uptime of an individual facility. Digital health records, social security payments, identity platforms and emergency coordination systems exhibit radically different tolerances for latency, compute power and recovery timelines. Resilience must be architected hierarchically, defining strictly which citizen services must survive even when a substantial portion of national compute infrastructure is lost.

Fragmenting every public workload across dozens of regional server rooms is not a viable countermeasure: fragmentation explodes operating costs, operational complexity and external attack surfaces. What is required is a polycentric architecture built around robustly independent strategic nodes, engineered to allow vital national services to operate in a degraded state. The objective is clear: losing multiple infrastructure nodes must never bring down the state's vital functions.

3. The cloud runs on hardware. And hardware cannot be restored from a backup

A database can be replicated across availability zones. An application stack can be containerised and redeployed. A virtual machine can spin up on an alternate cluster, provided adequate compute headroom exists. A physically destroyed server, however, cannot be recovered with a software restore command.

Computing relies on physical silicon: CPUs, high-bandwidth memory, accelerator modules, optical network switches, power distribution units and chillers. Replacing physical hardware requires navigating global supply chains, finite foundry capacity and lead times that, for cutting-edge accelerator silicon, can span quarters rather than days.

In the AI era, this bottleneck is magnified. A cluster dedicated to training or running sovereign AI models requires matching accelerator architectures, ultra-low latency interconnect fabrics and complex power balancing. Rebuilding that physical compute capacity following physical destruction is exponentially harder than recovering raw datasets.

Russia faces the added friction of international sanctions, severely restricting its access to advanced microelectronics. That is why the extent of physical damage at Sasovo, housing two of the nation's premier AI supercomputers, carries immense strategic weight, even as a definitive assessment remains unavailable.

Italy and the European Union are not under trade embargos. They enjoy open markets, robust capabilities in niche microelectronic equipment segments and established trade ties with leading global suppliers. However, Europe possesses virtually no sovereign domestic manufacturing capacity for advanced high-end logic, leading-edge AI accelerators or specialized high-density components. In peacetime, this supply gap is managed through diversified commercial procurement. In a protracted geopolitical crisis, where multiple sovereign states bid for identical replacement components simultaneously, physical dependency morphs into an absolute operational ceiling.

National contingency planning must integrate a principle historically reserved for petroleum reserves and munitions: a strategic reserve of physical technology capacity.

Stockpiling thousands of generic servers in warehouses to gather dust and age out of relevance is senseless. A true technological strategic reserve is structural. It entails mapping the non-negotiable physical components without which core public functions cannot reboot, securing priority supply agreements, reserving emergency compute headroom across allied borders and rehearsing rapid cold-start integration procedures. For specialized hardware, hardened strategic stockpiles make sense; for standardized capacity, dynamic capacity contracts and swappable architectures suffice. In either scenario, physical replacement hardware must be maintained, refreshed and immediately deployable.

If an adversary were to destroy a major portion of our national computing capacity tomorrow, what physical inventory would replace it, who would supply it, and how many months would it take? Without clear answers, disaster recovery plans end abruptly where software logic stops and heavy industry begins.

4. The industrial perimeter: cybersecurity is no longer enough

A contemporary campus dedicated to high-density compute and AI can easily draw dozens of megawatts of sustained power. A data centre is an energy-intensive industrial installation: it must absorb massive electrical currents, reject megawatts of thermal load and maintain low-latency physical links to national telecommunications backbones. The denser the compute hardware, the more indispensable the mechanical and electrical plant becomes.

Flywheels, UPS arrays and diesel generators provide temporary bridge power during grid interruptions. Chilled-water loops and adiabatic coolers feature secondary redundancy loops. Yet every industrial facility operates within hard physical limits: finite fuel autonomy, thermal inertia limits, and thresholds beyond which safety protocols mandate an orderly thermal shutdown.

The strikes against Yandex demonstrate unequivocally that digital infrastructure can be neutralized through its physical plant. Public reporting has not yet clarified which specific mechanical components triggered each outage, whether primary switchgear, cooling chillers, backup generators or fibre raceways were severed. Grasping the strategic lesson does not require validating unconfirmed operational minutiae.

Physical perimeter and industrial defense must be formally incorporated into national defense and cybersecurity strategies. This encompasses reinforced physical structures, on-site energy endurance, closed-loop cooling resiliency, automated fire suppression, diverse physical communications egress and rapid mechanical repair capabilities. It equally requires planning for asymmetric drone attacks and coordinated sabotage, scaled appropriately to the tier of the asset and coordinated directly with national defense and security agencies.

The statutory foundation is largely in place. The NIS2 directive mandates comprehensive cyber risk management, including physical site security and business continuity measures. The Critical Entities Resilience (CER) directive focuses squarely on physical threats, supply-chain disruptions and the survivability of critical infrastructure providers. The challenge lies not in drafting regulations, but in translating statutory compliance into operational prevention, crisis response and rapid rebuild capability under multi-vector attacks. A data facility can easily pass a rigorous compliance checklist while remaining entirely unprepared for a multi-site kinetic strike scenario omitted from its exercise playbooks. Compliance is merely table stakes; resilience must be proven under real-world operational stress.

5. The invisible risk: when energy, telecoms and cloud fail together

The cloud cannot run without steady electrical power. Electrical grids, in turn, are orchestrated via digital supervisory systems and telecommunications networks. Telecommunications networks depend directly on continuous power and digital switching fabric. Transportation logistics, banking clearinghouses, fuel supply chains and basic public administration depend inextricably on all three. A kinetic or digital failure in a single node can cascade into sectors that appear entirely unrelated.

The physical loss of a major facility does not instantly shut down the digital platforms it hosts, but it can trigger massive, automated failovers of operational loads onto surviving facilities. If those alternate facilities lack surplus capacity, or if they secretly share upstream power conduits or transit paths that are already impaired, failover protocols propagate cascading instability rather than mitigating it. A network fabric engineered to survive the loss of a single point of failure can buckle under the simultaneous loss of several interconnected nodes and their shared utility feeds.

This dynamic threatens the entire national economy. Commercial banks, energy utilities, retail supply chains, ministerial bodies and logistics hubs may contract with different IT vendors while relying, downstream, on the exact same physical facilities and transmission conduits. Knowing which cloud vendor hosts an application is insufficient; what matters is the complete map of hidden dependencies linking cloud operators, dark fibre trunks, electrical substations and mission-critical civilian functions.

This mapping must never become a publicly accessible catalog of national vulnerabilities. However, it must be developed, constantly refreshed and rigorously maintained by state national security and civil protection authorities, and tested regularly in multi-sectoral war games. The survivability of the banking sector cannot be evaluated in isolation from telecommunications backbones. Healthcare networks cannot be assessed without evaluating grid stability and transit corridors. And the security of the sovereign public cloud cannot be judged strictly within the physical walls of its server rooms.

The true critical infrastructure is the invisible web of interdependence, and that is precisely where hybrid warfare strikes.

6. From data sovereignty to continuity sovereignty

The European debate surrounding digital sovereignty has focused almost exclusively on three legalistic questions: who controls the data, which territorial jurisdiction applies, and which foreign vendors supply the platform code. These questions are critical, but they are incomplete.

Data may reside strictly within domestic borders, managed by an EU-headquartered entity and protected by state-of-the-art post-quantum cryptographic primitives. Yet all of these statutory safeguards count for nothing if the physical data centre hosting the storage arrays is destroyed, rendering the data physically inaccessible and unusable when the nation needs it most.

Data sovereignty governs legal ownership and privacy of information. Continuity sovereignty governs a nation's practical ability to keep essential societal functions running when its digital compute fabric is degraded or destroyed.

This operational dimension remains dangerously absent from mainstream public and policy discourse. It is not enough to know where bits are stored. We must know whether the state can execute basic governance, run hospitals, manage logistics and deliver emergency relief when its underlying compute platforms take physical damage.

The foundational questions are straightforward and urgent. Which critical citizen services must remain operational at all costs during a severe national infrastructure crisis? Which common-mode dependencies could disable them simultaneously? How much cold or warm compute capacity truly exists outside high-density clusters? How many weeks or months would it take to rebuild damaged hardware? Who adjudicates compute rationing when surviving capacity is insufficient to serve everyone? And have these degraded-mode playbooks been stress-tested in realistic, unannounced exercises, or do they exist merely on paper?

The commercial cloud market optimizes for availability, high throughput and cost efficiency. National security planning must enforce a radically different metric: the capacity to maintain vital public functions when infrastructure is operating in a severely degraded, disconnected state. This requires prioritizing well in advance which digital functions are non-negotiable, which can operate in text-only or reduced modes, and which must be suspended until full reconstruction. It is an engineering choice, and above all, an act of strategic political governance.

7. War has rewritten the strategic role of the cloud

The global race for artificial intelligence is accelerating the buildout of compute infrastructure that is increasingly massive, capital-intensive and power-hungry. Supercomputing clusters dedicated to training frontier models concentrate immense technological capital into compact physical perimeters. Physical concentration produces unmatched economic efficiencies, and, simultaneously, high-value strategic targets.

In modern warfare, civilian infrastructure takes on decisive strategic value because it hosts military-grade capabilities: situational awareness tools, economic clearing mechanisms, industrial logistics systems and sovereign machine intelligence assets. This does not grant open legal license to target any digital facility; international humanitarian law strictly demands clear distinction between civilian and military objects, alongside strict principles of proportionality and precaution. The mere economic or technological sophistication of an asset does not automatically transform it into a legitimate target.

For strategic defense planners, however, digital compute facilities must now be treated with the same physical gravity as deep-water ports, natural gas compressor stations, high-speed rail switches and telecommunications exchanges. Modern hybrid doctrine places kinetic precision strikes and cyber operations on the very same tactical spectrum, designed to degrade an adversary's vital national functions.

The objective is not to panic over an imminent attack on data centres in Lombardy or Lazio. The genuine risk lies in architecting sovereign infrastructure for essential public services against threats narrower than those adversaries are already deploying in the real world. The strikes against Yandex do not imply that Italy’s architecture is vulnerable in the exact same manner. What they offer is an undeniable, real-world case study to stress-test our assumptions with far greater rigor.

True digital sovereignty is not achieved merely by complying with European regulations, localizing data within regional borders or signing cloud contracts with qualified domestic providers. It demands resilient local power, independent routing paths, genuine off-grid compute capacity, replaceable physical hardware reserves, and technical teams trained to resurrect core services when an entire data centre disappears from the grid. No complex system is invulnerable.

Before the cloud is software, it is steel, concrete and energy, and like everything physical, it can be brought down. Real digital sovereignty begins with the proven capacity to keep operating in the aftermath.