Cloud forensics e il labirinto giurisdizionale: acquisire prove oltre i confini

Quando un pubblico ministero italiano avvia un’indagine su un attacco ransomware che ha paralizzato un’azienda manifatturiera del Nord-Est, la prima domanda operativa che si pone non è tecnica: è geografica. I log del server compromesso risiedono su un’istanza cloud in Irlanda. I metadati delle comunicazioni degli attaccanti transitano attraverso nodi distribuiti negli Stati Uniti. Le credenziali rubate sono state messe in vendita su un forum ospitato da un provider con sede legale nelle Seychelles ma con infrastruttura fisica distribuita su tre continenti. L’indagine, tecnicamente lineare, si trasforma immediatamente in un labirinto di giurisdizioni sovrapposte, trattati bilaterali, clausole di data residency e conflitti tra ordinamenti che si pretendono tutti applicabili allo stesso insieme di byte.

Questa non è una situazione eccezionale. È la norma. Secondo le stime più recenti elaborate da Gartner e IDC, oltre l’80% dei dati aziendali risiede ormai in infrastrutture cloud distribuite su più giurisdizioni, spesso senza che le imprese abbiano piena consapevolezza di dove i propri dati siano fisicamente collocati in un dato momento. La cloud forensics, disciplina che si occupa dell’identificazione, preservazione, acquisizione e analisi di prove digitali residenti in ambienti cloud, si trova quindi a operare in uno spazio normativo che è, al tempo stesso, troppo affollato e troppo lacunoso.

Che cos’è la cloud forensics: definizione operativa

La cloud forensics non è semplicemente “informatica forense in cloud”. È una branca distinta per almeno tre ragioni strutturali che la differenziano dall’approccio classico.

La prima è la volatilità dell’evidenza. In un ambiente tradizionale, il disco rigido sequestrato mantiene il suo contenuto nel tempo. In cloud, un’istanza virtuale può essere terminata, un log può essere sovrascritto secondo policy di retention automatizzate, un bucket di storage può essere eliminato dal provider nel giro di ore. Il NIST SP 800-201, Cloud Computing Forensic Reference Architecture nella versione definitiva del luglio 2024, identifica questa volatilità come la sfida principale: la finestra di opportunità per l’acquisizione forense in cloud è spesso nell’ordine di ore, non di giorni.

La seconda ragione è la multitenancy. I dati di un’organizzazione risiedono su infrastruttura condivisa con altri clienti del provider. Un’immagine forense tradizionale del supporto fisico, operazione standard nell’informatica forense classica, è tecnicamente impossibile e giuridicamente inammissibile: acquisirebbe dati di terzi, violando privacy e segreto aziendale. L’investigatore cloud deve limitarsi ai dati del proprio soggetto di indagine, operando per estrazione logica attraverso le API del provider, con tutte le limitazioni che questo comporta in termini di completezza dell’evidenza.

La terza ragione è proprio il problema giurisdizionale: l’oggetto dell’indagine, il dato, è fisicamente separato dall’autorità che ha il potere di ordinarne la produzione. Questa scissione tra competenza investigativa e localizzazione fisica dell’evidenza è il cuore del problema che i legislatori di tre continenti stanno cercando, con approcci diversi e spesso confliggenti, di risolvere.

Il CLOUD Act americano: la lunga mano di Washington

Il Clarifying Lawful Overseas Use of Data Act (CLOUD Act), entrato in vigore negli Stati Uniti il 23 marzo 2018, firmato dal Presidente Trump come parte del Consolidated Appropriations Act, è la risposta del legislatore americano a una lacuna emersa con drammatica evidenza nel caso United States v. Microsoft Corporation. Nel 2013 un magistrato federale del Distretto Sud di New York aveva emesso un mandato che ordinava a Microsoft di produrre email di un utente sospettato di traffico di droga, email fisicamente archiviate in un data center di Dublino, Irlanda.

Microsoft si era opposta, sostenendo che un mandato domestico non potesse avere effetti extraterritoriali. La questione era arrivata alla Corte Suprema, che aveva tenuto le argomentazioni orali il 27 febbraio 2018. Mentre la Corte stava deliberando, il Congresso approvò il CLOUD Act il 23 marzo 2018; il 17 aprile la Corte dichiarò il caso moot, privo di oggetto attuale, alla luce della nuova legge che aveva risolto la questione per via legislativa.

Il CLOUD Act risolve il problema con una scelta di campo netta: la giurisdizione segue il provider, non il dato. Un’impresa di comunicazioni o di remote computing soggetta alla giurisdizione americana è obbligata a produrre qualsiasi dato di cui abbia “possesso, custodia o controllo”, indipendentemente da dove quel dato sia fisicamente archiviato. Il mandato emesso da un tribunale americano raggiunge il data center di Dublino, di Singapore, di Francoforte.

Il meccanismo prevede tuttavia uno strumento di bilanciamento: il provider può contestare un mandato invocando il rischio di violare le leggi di un paese straniero con cui gli Stati Uniti abbiano stipulato un executive agreement ai sensi del CLOUD Act stesso. In tale caso, il tribunale è chiamato a una valutazione di comity, un bilanciamento tra l’interesse americano all’acquisizione della prova e l’interesse straniero alla protezione dei propri ordinamenti.

Ad aprile 2026 esistono due executive agreement pienamente operativi: quello con il Regno Unito, entrato in vigore il 3 ottobre 2022, e quello con l’Australia, entrato in vigore il 31 gennaio 2024. Sono in corso trattative formali con l’Unione Europea e il Canada, ma nessun accordo è ancora stato concluso con questi partner.

Il conflitto con il diritto europeo è strutturale e non risolto. L’articolo 48 del GDPR stabilisce esplicitamente che un dato personale soggetto al GDPR può essere trasferito a un’autorità di un paese terzo solo se la richiesta è basata su un accordo internazionale in vigore, tipicamente un MLAT (Mutual Legal Assistance Treaty), e non su un semplice mandato straniero.

Quando il Dipartimento di Giustizia americano emette un mandato CLOUD Act a un provider con data center in Germania, quell’ordine non costituisce una base giuridica sufficiente per il trasferimento di dati personali secondo il GDPR. Il provider si trova in una posizione di conflitto normativo senza soluzione apparente: obbedire al mandato americano significa potenzialmente violare il GDPR; rifiutarsi di obbedire significa potenzialmente incorrere in sanzioni americane. Il contrasto non è contrattuale ma giurisdizionale, e i contratti non possono annullare obblighi verso due sovrani in conflitto.

L’EDPB e il Garante europeo della protezione dei dati hanno assunto una posizione netta: qualsiasi trasferimento di dati personali in risposta a un mandato CLOUD Act, in assenza di un accordo internazionale riconosciuto dall’UE, è incompatibile con il GDPR. Questa posizione crea un’asimmetria che, in pratica, penalizza le imprese europee che si affidano a provider americani: la loro architettura cloud le espone strutturalmente a un rischio di non conformità che nessun contratto con il provider può eliminare.

Va ricordato, inoltre, che il Data Privacy Framework UE-USA, il meccanismo di adeguatezza in vigore dal 2023, non elimina il problema: non impedisce alle autorità americane di emettere mandati CLOUD Act o richieste ai sensi della FISA Section 702 nei confronti delle imprese certificate, e il Parlamento europeo aveva già avvertito nel maggio 2023 che il DPF non crea equivalenza sostanziale con il GDPR.

Il secondo Protocollo addizionale alla Convenzione di Budapest: un passo avanti multilaterale ancora in attesa

La Convenzione di Budapest del 2001, formalmente Convenzione sulla Criminalità Informatica del Consiglio d’Europa, rimane il principale strumento di diritto internazionale in materia di cybercrime. La sua forza sta nell’ampiezza: oltre l’80% degli Stati del mondo ha fondato la propria legislazione nazionale sulla criminalità informatica su questo testo. La sua debolezza storica stava però nell’inadeguatezza rispetto al cloud: redatta prima della diffusione del cloud computing, la Convenzione non contemplava scenari in cui la prova digitale risiede in giurisdizioni multiple, sconosciute o mutevoli.

Il secondo Protocollo addizionale alla Convenzione di Budapest (CETS 224), adottato dal Comitato dei Ministri del Consiglio d’Europa il 17 novembre 2021 e aperto alla firma il 12 maggio 2022 a Strasburgo, con la firma immediata di 22 paesi tra cui Italia, Stati Uniti, Giappone e numerosi stati europei, è stato concepito esattamente per rispondere a questa lacuna. Il testo è frutto di un lavoro di negoziazione avviato nel 2017 nell’ambito del Comitato della Convenzione sulla Criminalità Informatica (T-CY).

I meccanismi centrali del Protocollo sono quattro.

Cooperazione diretta con i provider di servizi (articoli 6-7): le autorità di una Parte possono richiedere direttamente a un provider di servizi stabilito in un’altra Parte la produzione di subscriber information, ossia dati identificativi dell’abbonato come nome, indirizzo e numero di telefono, senza passare per i canali MLAT. È una rivoluzione procedurale: le rogatorie tradizionali richiedono da sei mesi a tre anni; la cooperazione diretta può avvenire in settimane.

Preservation transfrontaliera accelerata (articolo 8): le autorità possono ordinare la conservazione urgente di dati specifici detenuti da un provider straniero in attesa di attivare i canali formali di assistenza. È il meccanismo del freeze-before-lose, pensato per bloccare la volatilità dell’evidenza cloud prima che scada.

Squadre investigative comuni (articolo 12): le Parti possono costituire team investigativi che operano congiuntamente, superando la tradizionale distinzione di competenza territoriale.

Emergenze (articolo 9): in caso di minaccia imminente alla vita di persone, le autorità possono ottenere la produzione immediata di dati da provider stranieri.

Tutto questo meccanismo è accompagnato da un sistema articolato di garanzie: tutela dei diritti fondamentali, protezione dei dati personali, controllo giurisdizionale indipendente, limitazione delle richieste a casi specifici e proporzionati.

Va però chiarito con precisione un dato cruciale che la pubblicistica di settore spesso sbaglia: il secondo Protocollo non è ancora entrato in vigore. Il testo prevede che la vigenza scatti dopo cinque ratifiche. Al momento della redazione di questo articolo (aprile 2026), soltanto tre paesi hanno completato l’iter di ratifica, con l’Ungheria che ha depositato il proprio strumento il 5 febbraio 2026 diventando il terzo Stato ratificante. Di 52 paesi firmatari, la quasi totalità, inclusa l’Italia che aveva partecipato attivamente alla conferenza di apertura alla firma nel 2022 sotto la propria Presidenza del Comitato dei Ministri del Consiglio d’Europa, deve ancora completare i propri processi parlamentari interni.

Il T-CY ha adottato, nel novembre 2025, un piano di lavoro 2026-2027 che include il supporto agli stati nell’implementazione del Protocollo; il progetto CyberSPEX, iniziativa congiunta UE-Consiglio d’Europa, ha già condotto incontri tecnici in Italia, Finlandia, Bulgaria e nell’area balcanica per preparare i legislatori nazionali. La strada verso la vigenza è aperta ma ancora lunga.

Il regolamento e-Evidence europeo: il completamento del puzzle UE

Parallelo alla traiettoria multilaterale del Protocollo di Budapest, l’Unione Europea ha sviluppato il proprio strumento autonomo: il Regolamento (UE) 2023/1543 sugli ordini europei di produzione e di conservazione per le prove elettroniche in procedimenti penali (il cosiddetto regolamento e-Evidence), adottato il 12 luglio 2023 unitamente alla Direttiva (UE) 2023/1544 che ne regola l’implementazione domestica negli Stati membri.

Il meccanismo centrale del regolamento è l’ordine europeo di produzione (EPOC, European Production Order for electronic evidence): un’autorità giudiziaria di uno Stato membro può emettere un ordine vincolante direttamente a un provider di servizi stabilito in un altro Stato membro, senza dover attivare la procedura di assistenza giudiziaria tradizionale. L’ordine viene trasmesso attraverso il sistema decentralizzato eEDES (e-Evidence Digital Exchange System), le cui specifiche tecniche la Commissione europea ha adottato il 28 luglio 2025 con apposito Regolamento di esecuzione.

Il regolamento entrerà pienamente in vigore il 18 agosto 2026: al momento della pubblicazione di questo articolo, le imprese di servizi digitali operanti nell’UE hanno meno di cinque mesi per completare i preparativi tecnici e organizzativi necessari. Le sanzioni previste per i provider che non rispettino gli obblighi di risposta agli EPOC sono significative: fino al 2% del fatturato mondiale annuo.

Il regolamento introduce una distinzione critica tra subscriber data e traffic data, acquisibili con procedura semplificata, e content data, per i quali si richiede un livello di autorizzazione più elevato e la notifica allo Stato di stabilimento del provider (denominato enforcing State). Questa distinzione rispecchia la giurisprudenza della Corte di giustizia dell’UE, in particolare le sentenze nelle cause riunite C-203/15 e C-698/15, secondo cui anche i metadati di traffico, consentendo la ricostruzione del profilo comportamentale di un individuo, hanno una sensibilità non inferiore al contenuto delle comunicazioni.

Il regolamento si basa sul principio del mutuo riconoscimento: un’autorità italiana che emette un EPOC si aspetta che esso venga rispettato da un provider stabilito in Irlanda come se fosse stato emesso dall’autorità irlandese competente. Questo schema funziona finché esiste fiducia reciproca nella correttezza dei sistemi giudiziari degli stati membri, una premessa non banale come le tensioni degli ultimi anni sul rispetto dello stato di diritto in alcuni paesi dell’UE hanno dimostrato. È opportuno precisare, inoltre, che il regolamento e-Evidence si applica esclusivamente ai flussi intra-UE: non risolve il problema dell’accesso a dati detenuti da provider americani o di paesi terzi, che rimane disciplinato dal CLOUD Act e dagli strumenti MLAT tradizionali.

La catena di custodia in cloud: il problema tecnico-giuridico più sottovalutato

Ogni discussione sull’acquisizione transfrontaliera delle prove digitali rischia di restare astratta se non affronta il problema tecnico concreto che la sottende: come si mantiene la catena di custodia di un’evidenza che non è mai stata fisicamente toccata dall’investigatore?

Nella forensics classica, la catena di custodia è il documento che descrive ogni trasferimento di custodia dell’evidenza: chi l’ha raccolta, quando, con quali strumenti, chi l’ha consegnata al laboratorio, chi vi ha avuto accesso, in quale stato si trovava a ogni passaggio. È il documento che garantisce l’integrità dell’evidenza e la sua ammissibilità processuale. Un’evidenza senza catena di custodia documentata rischia di essere rigettata dal giudice.

In cloud forensics, questo schema tradizionale si scontra con almeno cinque criticità strutturali.

Prima criticità: assenza di imaging fisico. Non è possibile creare un’immagine bit-per-bit del supporto fisico su cui risiede l’evidenza, perché quel supporto è condiviso con altri utenti. L’acquisizione avviene per estrazione logica attraverso le API del provider, un metodo che cattura ciò che il provider decide di esporre, non necessariamente tutto ciò che esiste. Il NIST SP 800-201 del luglio 2024 identifica questo come uno dei gap più critici degli standard attuali.

Seconda criticità: dipendenza dal provider. La catena di custodia è interrotta alla fonte: l’investigatore non può garantire l’integrità dei dati prima che venissero estratti, perché non controllava l’ambiente nel quale risiedevano. La difesa potrà sempre contestare che i dati siano stati modificati dal provider, intenzionalmente o per effetto di operazioni di sistema, prima dell’acquisizione.

Terza criticità: volatilità e timestamp. I log cloud hanno spesso una retention limitata: per impostazione predefinita, molti servizi cloud mantengono i log di audit per 90 giorni. I timestamp sono quasi sempre in UTC e possono essere soggetti a drift; la correlazione tra timestamp di sistemi diversi in giurisdizioni diverse introduce un margine di incertezza che la difesa può sfruttare.

Quarta criticità: crittografia dei dati at rest. Sempre più provider cifrano i dati a riposo con chiavi gestite autonomamente o dal cliente. In assenza della chiave di decrittazione, l’evidenza acquisita è inutilizzabile. Il coordinamento per l’ottenimento delle chiavi è un ulteriore livello di complessità giurisdizionale.

Quinta criticità: metadati di provenienza. In un’acquisizione fisica tradizionale, l’evidenza “è” il supporto: l’hash del disco garantisce che ciò che si analizza corrisponda a ciò che è stato sequestrato. In cloud, l’evidenza è una copia logica priva di un corrispettivo fisico univoco. L’utilizzo sistematico di funzioni di hash (SHA-256 o superiori) su ogni file acquisito, con firma digitale qualificata dell’acquisizione, è la best practice minima, ma non è ancora adottata universalmente e la sua validità processuale in giurisdizioni diverse non è sempre garantita.

Il rimedio tecnico più promettente per una catena di custodia robusta è l’adozione della blockchain come registro immutabile delle operazioni forensi: ogni azione sul file di evidenza viene registrata in un ledger distribuito, con timestamp certificato e identificazione del soggetto che ha operato. Il NIST IR 8387, pubblicato nel 2022 e tuttora la principale guida di riferimento statunitense sulla conservazione delle prove digitali, contempla questa metodologia come approccio emergente da esplorare. L’assenza di standard internazionali condivisi rimane tuttavia un ostacolo: un’evidenza gestita con blockchain da un’autorità italiana potrebbe non essere accettata senza contestazioni da un tribunale americano o tedesco, in assenza di accordi di mutuo riconoscimento degli standard tecnici.

Casi paradigmatici: quando il labirinto si manifesta

L’Operazione GoldDust contro REvil (2021)

L’operazione che nell’autunno-inverno 2021 ha smantellato parte dell’infrastruttura del gruppo ransomware REvil/Sodinokibi illustra con precisione sia le potenzialità sia i limiti della cooperazione internazionale in chiave cloud forensics. Europol, coordinando l’Operazione GoldDust con il coinvolgimento di 17 paesi, Eurojust e Interpol, ha orchestrato una serie di arresti in Romania (4 novembre 2021, due affiliati), Corea del Sud (tre arresti tra febbraio e ottobre 2021), Polonia (un cittadino ucraino, ottobre 2021) e Kuwait (un affiliato GandCrab, novembre 2021). Nessun arresto è avvenuto in Russia, paese in cui risiedevano i core operator del gruppo, rimasti fuori dalla portata delle forze dell’ordine occidentali.

Il caso dimostra un’asimmetria strutturale: è possibile colpire affiliati periferici in giurisdizioni cooperative, ma i responsabili principali operano impuniti da stati che non cooperano. La raccolta di evidenze cloud a sostegno dei procedimenti penali ha richiesto richieste parallele a provider americani attraverso canali sia formali (MLAT) sia informali, con tempistiche compresse dalla volatilità dei log.

Il problema della retention: evidenze cancellate prima della rogatoria

Un pattern ricorrente nelle indagini transfrontaliere è la perdita di evidenze per scadenza delle policy di retention prima che la risposta alle rogatorie arrivi. Le rogatorie tradizionali attraverso canali MLAT hanno tempistiche medie che vanno da sei mesi a oltre due anni. La retention standard dei log di sicurezza nei principali servizi cloud è spesso di 90 giorni per i livelli base, estendibile a pagamento. Questo gap temporale, misurato in anni contro mesi, rende la preservation urgente non un’opzione ma un prerequisito assoluto di qualsiasi indagine transfrontaliera.

Il Protocollo di Budapest nel suo articolo 8, e il corrispondente meccanismo di EPOC-PR (European Preservation Order) nel regolamento e-Evidence, affrontano esattamente questo problema. La loro efficacia pratica dipende tuttavia dalla velocità di attivazione: una preservation request deve essere trasmessa entro ore dalla scoperta dell’incidente, non dopo che i canali formali siano stati consultati.

Le best practice per l’investigatore e per l’impresa

L’evoluzione normativa in corso, con il CLOUD Act e i suoi due executive agreement operativi (UK dal 2022, Australia dal 2024, UE e Canada in negoziazione), il secondo Protocollo di Budapest in attesa di raggiungere le cinque ratifiche necessarie e il regolamento e-Evidence in entrata in vigore ad agosto 2026, non risolve il problema nel breve termine. Nel frattempo, sia le autorità investigative sia le imprese devono operare con strumenti e procedure che siano al tempo stesso tecnicamente robusti e giuridicamente difendibili in molteplici giurisdizioni.

Per le autorità investigative:

Attivare la preservation request prima di qualsiasi altra azione investigativa. Molti provider, inclusi i principali hyperscaler americani (AWS, Microsoft, Google), accettano richieste di conservazione urgente dei dati attraverso portali law enforcement dedicati, con tempi di risposta generalmente compresi tra 24 e 72 ore, infinitamente più rapidi dei canali MLAT. L’articolo 8 del secondo Protocollo di Budapest formalizza questo meccanismo a livello multilaterale.

Documentare ogni acquisizione con hash crittografici (SHA-256 o SHA-3) applicati a ogni file estratto, firmati digitalmente con certificati qualificati ai sensi del Regolamento eIDAS. Conservare l’audit trail dell’API utilizzata per l’acquisizione, ossia quale endpoint è stato interrogato, con quale token di autenticazione, in quale momento e con quale risposta, come parte integrante della catena di custodia.

Valutare la costituzione di squadre investigative comuni (joint investigation teams) nei casi transfrontalieri complessi, utilizzando i meccanismi previsti sia dall’articolo 12 del secondo Protocollo sia dalle decisioni quadro UE esistenti in materia. Il coinvolgimento precoce dell’autorità giudiziaria del paese di stabilimento del provider riduce il rischio che l’evidenza acquisita venga contestata per vizi formali.

Per le imprese:

Implementare una politica di forensic readiness che anticipi la possibilità di dover produrre evidenze digitali in sede giudiziaria. Questo significa: contratti con i provider cloud che includano clausole di extended log retention (almeno 12 mesi per log di sicurezza e accesso); architettura con encryption client-side con chiavi detenute dall’impresa e non dal provider, che consenta di rispondere selettivamente a richieste di dati senza esporre l’intera base dati a provider potenzialmente soggetti al CLOUD Act; documentazione aggiornata del data mapping che indichi dove risiedono fisicamente i dati per ogni tipologia.

Valutare l’adozione di customer-managed encryption keys (CMEK) o architetture bring your own key (BYOK): se il provider non detiene le chiavi di decrittazione, una richiesta CLOUD Act può tecnicamente produrre solo ciphertext inutilizzabile. L’EDPB ha esplicitamente identificato questa architettura come la misura supplementare capace di affrontare l’esposizione alle leggi di sorveglianza americane nel contesto GDPR. Soddisfare questo requisito è architetturale, non contrattuale: non è sufficiente firmare accordi di trattamento dei dati con il provider, occorre che il provider non possa fisicamente accedere ai dati in chiaro.

Il nodo irrisolto: sovranità digitale e cooperazione globale

C’è una tensione di fondo che nessuna delle normative in campo riesce pienamente a risolvere: quella tra sovranità digitale e cooperazione globale contro il crimine.

La sovranità digitale, intesa come il principio per cui uno Stato esercita piena giurisdizione sui dati che risiedono nel proprio territorio o appartengono ai propri cittadini, è diventata un valore politico centrale nell’agenda europea. Il GDPR, il Data Act (applicabile da settembre 2025), la strategia GAIA-X, l’European Cybersecurity Certification Scheme for Cloud Services (EUCS): sono tutti strumenti che esprimono la volontà europea di affermare controllo normativo sullo spazio digitale. Il CLOUD Act americano è percepito come una minaccia a questa sovranità, perché la scavalca ogni volta che un mandato americano raggiunge un dato europeo attraverso un provider sotto giurisdizione USA.

Ma la sovranità digitale, portata alle sue estreme conseguenze, produce un paradosso: se ogni Stato può negare alle autorità straniere l’accesso ai dati che risiedono nel proprio territorio, i criminali, che costruiscono la propria infrastruttura deliberatamente in giurisdizioni ostili o non cooperative, sono i principali beneficiari. Il ransomware come servizio funziona precisamente perché i suoi operatori scelgono provider in paesi che non hanno trattati di cooperazione con le vittime. La frammentazione giurisdizionale non protegge solo i diritti dei cittadini europei: protegge anche gli attaccanti.

Il secondo Protocollo di Budapest e il regolamento e-Evidence sono tentativi di costruire ponti tra questi poli opposti, rendendo la cooperazione più rapida senza sacrificare le garanzie procedurali. La loro lentezza di implementazione è frustrante, ma non è casuale: riflette la difficoltà genuina di armonizzare ordinamenti che si fondano su concezioni diverse del rapporto tra Stato e individuo, tra efficienza investigativa e protezione della privacy.

Il rischio reale non è che venga trovata troppo presto una soluzione imperfetta. Il rischio è che la velocità del cambiamento tecnologico, con infrastrutture multi-cloud, dati distribuiti su edge e fog computing e identità digitali sovranazionali, superi definitivamente la capacità del diritto internazionale di stare al passo, lasciando le autorità investigative a operare con strumenti pensati per un mondo che non esiste più.

Conclusione: verso una forensics della complessità

La cloud forensics in un contesto giurisdizionale frammentato non è semplicemente un problema tecnico-legale da risolvere con norme più precise. È la cartina di tornasole di una sfida più profonda: costruire meccanismi di cooperazione internazionale che siano abbastanza veloci da essere utili, abbastanza robusti da essere affidabili e abbastanza rispettosi delle libertà fondamentali da essere legittimi.

Il secondo Protocollo di Budapest, con le sue tre ratifiche su cinque necessarie ad aprile 2026, è un segnale di progresso lento ma reale, in una direzione che 52 stati firmatari hanno indicato come strategicamente corretta. Il regolamento e-Evidence, con la sua entrata in vigore prevista per agosto 2026, ridisegnerà concretamente i flussi probatori all’interno dell’Unione Europea. Il CLOUD Act rimane un elemento di attrito strutturale finché non si concluderanno gli executive agreement con UE e Canada, attualmente in negoziazione.

Nel frattempo, gli investigatori devono imparare a lavorare con la complessità, non malgrado essa ma attraverso di essa. La catena di custodia di un’evidenza cloud non può essere pensata come un documento lineare, ma come un sistema documentale distribuito che si adatta alle specificità di ogni passaggio giurisdizionale. Le best practice non sono ricette universali: sono principi di metodo che vanno applicati con la consapevolezza che le regole cambiano a seconda del confine che si attraversa.

Il labirinto giurisdizionale della cloud forensics non ha ancora un filo d’Arianna. Ma i fili stanno cominciando a essere tessuti.