ACN, il caso Frattasi svela la guerra tra apparati, concorsi e sovranità digitale – ESCLUSIVA

Mentre una parte del mondo della cybersicurezza italiana sembra tirare un sospiro di sollievo per le dimissioni di Bruno Frattasi, il cambio al vertice dell’Agenzia per la cybersicurezza nazionale apre una fase molto più delicata di quanto appaia nella narrazione ufficiale. L’arrivo di Andrea Quacivi da Sogei non rappresenta soltanto una nomina tecnica o amministrativa, ma l’inserimento di un profilo preciso dentro una struttura che, negli ultimi anni, è diventata uno dei luoghi più sensibili del potere pubblico italiano. L’aspetto più curioso, se non destabilizzante, è il silenzio che accompagna questa vicenda. Quando si dimise Roberto Baldoni, molti si stracciarono le vesti e presentarono quella uscita come una perdita gravissima per la cybersicurezza nazionale. Oggi, davanti alle dimissioni di Frattasi, non si registra la stessa reazione. Prevale una sorta di silenzio-assenso e nessuno pone davvero domande scomode sui motivi dell’uscita del prefetto. Ufficialmente si parla di motivi personali, e sul piano umano resta l’auspicio che non si tratti di ragioni gravi. Ma intanto crescono indiscrezioni sul funzionamento interno dell’agenzia e sul clima maturato negli ultimi mesi. Il nodo riguarda proprio l’ACN, più volte presentata come presidio strategico della sicurezza nazionale, ma sempre più spesso percepita come un organismo esposto alle logiche tipiche dei grandi apparati pubblici italiani. Non soltanto un ente chiamato a risolvere i problemi della cybersicurezza del Paese, ma anche un nuovo spazio di collocazione, gestione e garanzia per soggetti vicini al potere, ai circuiti amministrativi e agli apparati. Matrice Digitale aveva già affrontato questo passaggio nella lettura sulle dimissioni di Frattasi e la sovranità cibernetica italiana, dove il punto centrale non era solo il nome del direttore uscente, ma ciò che resta dell’agenzia dopo la sua uscita.

Il silenzio su Frattasi e la differenza con Baldoni

La questione più delicata è questa: l’agenzia avrebbe dovuto attrarre le migliori competenze disponibili nel Paese, giovani preparati e profili capaci di sostenere la sfida tecnica della sicurezza digitale. Invece, secondo diverse ricostruzioni interne al settore, molti professionisti validi sarebbero stati scoraggiati dall’avvicinarsi ai concorsi. Non solo per le condizioni economiche, che pure risultano tra le migliori nel panorama pubblico, ma per la percezione di un sistema nel quale il merito non basta. Un sistema dove i profili più forti sembrano spesso coincidere con nomi e cognomi importanti, relazioni familiari, appartenenze ad apparati o vicinanze a determinate aree di potere. In questo quadro, la frattura intorno a Frattasi appare molto più profonda di un normale avvicendamento. Frattasi va ricordato anche per la sua esposizione pubblica in Abruzzo, in un contesto di campagna elettorale, dove la sua presenza accanto a Guido Crosetto e dentro una cornice politicamente riconoscibile aveva già sollevato imbarazzo e polemiche. Quei tempi oggi sembrano lontani. O meglio, sembrano superati da un nuovo equilibrio nel quale Frattasi potrebbe non essere più gradito come prima. La domanda è se Frattasi non fosse più gradito agli apparati, o se fosse semplicemente uscito dalle grazie di Alfredo Mantovano. Secondo alcune fonti, il rapporto fiduciario con il sottosegretario si sarebbe indebolito già da tempo. Il punto di rottura sarebbe maturato anche intorno ad alcuni concorsi interni dell’agenzia, banditi per assumere personale a tempo indeterminato con trattamenti economici importanti, paragonabili a quelli di strutture pubbliche di alto livello. La differenza rispetto a Baldoni è evidente. Nel caso dell’ex direttore, il mondo cyber reagì quasi come se fosse stato colpito un simbolo tecnico insostituibile. Matrice Digitale aveva già raccontato quel passaggio nell’analisi sulle dimissioni di Baldoni e lo storytelling della propaganda cyber, evidenziando come l’uscita del primo vertice ACN avesse spiazzato una narrazione costruita intorno alla competenza teorica, ma molto meno solida davanti alla prova pratica degli incidenti e della comunicazione pubblica. Con Frattasi, invece, non c’è la stessa difesa. Il settore che in passato aveva protetto Baldoni come figura del proprio mondo oggi appare più freddo, più distante, quasi sollevato. Questo non assolve Frattasi e non condanna Baldoni. Ma racconta una cosa precisa: la cybersicurezza italiana difende più facilmente chi appartiene al proprio circuito, e abbandona più rapidamente chi viene percepito come corpo estraneo.

Concorsi, stabilizzazioni e odore di bruciato

Proprio su uno dei concorsi interni sarebbe nata una tensione significativa. Alcuni ruoli apicali dell’agenzia non sarebbero stati informati in modo pieno, nonostante negli atti emergesse una cornice diversa. Da lì sarebbe nato il sospetto che qualcosa non tornasse. L’odore di bruciato avrebbe portato a un ripensamento, con un intervento verso Mantovano e una successiva richiesta a Frattasi di riportare la procedura su un binario privo di possibili conflitti d’interesse. Il risultato sarebbe stato un azzeramento o comunque una revisione del concorso. Da quella procedura, secondo le ricostruzioni circolate, sarebbero poi entrati diversi soggetti, mentre altri sarebbero rimasti fuori, sarebbero stati bocciati o non si sarebbero nemmeno presentati all’esame a cui ha supervisionato un referente nominato da Frattasi perché meritevole di averlo informato proprio sull’andazzo di una procedura d’esame torbida che avrebbe aperto a più rischi amministrativi. Il sospetto, però, è che questo non sia stato l’unico problema. Sul banco delle diatribe ci sarebbe il deterioramento dei rapporti tra vertici per la Gestione dell’ACN e la riconferma della vicedirettrice nell’incarico per altri 4 anni da parte della presidente Meloni. Ci sarebbero state anche stabilizzazioni interne all’agenzia, e proprio una di queste avrebbe creato malumori dentro il Governo. La parte più delicata riguarda una persona che sarebbe stata confermata o stabilizzata anche grazie a una segnalazione riconducibile allo stesso Frattasi. Questa figura, secondo quanto circola negli ambienti della sicurezza, sarebbe stata segnalata allo stesso Frattasi come chiacchierata e la risposta del direttore dimissionario è stata di concedergli un contratto a tempo indeterminato, ma con una rimozione dall’incarico. Anche qui il punto non può essere trasformato in una condanna senza atti pubblici definitivi, ma resta politicamente enorme: se dentro l’agenzia nazionale per la cybersicurezza vengono confermati profili considerati sensibili o controversi, il problema non riguarda più solo la gestione del personale. Riguarda la credibilità dell’intera struttura.

Frattasi, secondo questa lettura, si sarebbe opposto ad alcune pressioni, o semplicemente avrebbe ceduto ad altre intrise di potere atavico, o avrebbe comunque difeso una linea propria, contribuendo così ad aprire nuove tensioni. Il risultato sarebbe stato un gioco di potere più grande della singola corrente politica. Non soltanto una battaglia tra partiti, ma una partita più ampia che investe apparati, ministeri, vecchie fedeltà, nuove garanzie e controllo della macchina cyber nazionale.

Il merito come questione di sicurezza nazionale

Il problema dei concorsi non è una disputa burocratica. In una struttura come l’ACN, il reclutamento è già politica di sicurezza nazionale. Chi entra nell’agenzia può lavorare su vulnerabilità, incidenti, dati, infrastrutture critiche, rapporti con amministrazioni pubbliche, imprese strategiche, fornitori e organismi europei. Per questo una selezione opaca non produce soltanto ingiustizia amministrativa. Produce rischio sistemico che allarma dal punto di vista della tenuta dell’Agenzia nel lungo periodo, bloccando avanzamenti di carriera nel caso si promuovano da subito persone in organico all’agenzia non per meriti professionali, ma per appartenezne politiche se va bene o peggio familiari. In un momento così delicato per la geopolitica digitale del nostro paese nel pieno di una guerra cibernetica, ingessare l’ACN con assunzioni di incompetenti nel campo della cybersecurity, o stabilizzando comandi di natura rigorosamente politica, porterebbe con il tempo a svilire l’attività di controllo e di intelligence in favore di uno scenario dove l’agenzia che dovrebbe garantire la sicurezza cibernetica del Paese diventi un organo puramente politico costringendo l’Italia ad appaltare a privati capaci e più “costosi” le sue mansioni come già successo ad Israele qualche anno fa.

Un ente chiamato a chiedere rigore alle imprese e alla pubblica amministrazione non può permettersi di essere percepito come uno spazio dove il rigore vale per gli altri, ma non sempre per se stesso. La credibilità della cybersicurezza nasce dalla credibilità delle sue procedure.

La guerra tra Mantovano, Crosetto e le due anime dell’ACN

A questo si aggiunge lo scontro più ampio tra la visione civile della cybersicurezza e quella più vicina alla Difesa. L’agenzia era nata con una vocazione formalmente civile, dentro un quadro che avrebbe dovuto rafforzare il coordinamento nazionale e non consegnare il dominio cyber esclusivamente alla dimensione militare. Ma gli attriti con il ministero della Difesa e con la linea di Crosetto mostrano che questa distinzione è sempre stata fragile. La cybersicurezza è ormai una materia dove pubblico, militare, intelligence, industria e fornitori globali si sovrappongono. In questo contesto, l’ACN sembra essere diventata una sorta di guscio politico-istituzionale dentro il quale si muovono forze diverse. Apparentemente è una struttura della Repubblica. Nei fatti, potrebbe essere anche uno spazio di equilibrio per un potere più profondo, fatto di funzionari, ex funzionari, apparati, famiglie, relazioni e soggetti che non si esauriscono nei governi in carica. Negli Stati Uniti si parlerebbe di “deep state”. In Italia il termine va usato con cautela, ma il fenomeno è chiaro: esistono continuità amministrative, relazioni e filiere di potere che attraversano i cambi di governo e trovano nella cybersicurezza un nuovo territorio strategico. Questa dinamica era già emersa ai tempi di Roberto Baldoni. Baldoni fu il primo presidente dell’ACN, celebrato da molti come tecnico e professore, ma la sua gestione lasciò dietro di sé diverse ombre politiche e operative. La sua uscita fu presentata da una parte del settore come un trauma, ma Matrice Digitale aveva già evidenziato le criticità di quella stagione: dalla gestione comunicativa degli attacchi NoName057, alla propaganda cyber, fino al rapporto con Microsoft e al tema del perimetro cibernetico nazionale. La frattura interna all’ACN non nasce quindi oggi. Matrice Digitale aveva già affrontato il tema nel passaggio su ACN, guerra interna, NoName e Paragon, dove il racconto degli attacchi, delle tensioni e degli scandali spyware mostrava una struttura attraversata da linee di conflitto più profonde della normale dialettica amministrativa.

Baldoni, NoName e il fallimento della propaganda cyber

Baldoni è anche il simbolo di un altro problema: le porte girevoli e la valorizzazione successiva di chi ha guidato una struttura pubblica strategica. Dopo l’ACN, il suo profilo è stato associato a incarichi internazionali e compensi rilevanti. Qui non conta soltanto la persona, ma il meccanismo. Chi guida un ente di sicurezza accumula relazioni, informazioni, visibilità e capitale istituzionale. Quando quel capitale viene poi speso altrove, la domanda diventa inevitabile:

dove finisce il servizio pubblico e dove comincia la rendita di posizione?

Il caso NoName057 resta uno dei punti più imbarazzanti della stagione Baldoni. Gli attacchi DDoS non erano l’apice della sofisticazione tecnica, e proprio per questo risultavano politicamente pesanti. Se un gruppo non particolarmente avanzato riesce a colpire siti istituzionali, ministeri, aeroporti, trasporti e obiettivi simbolici, il problema non è la grandezza dell’attaccante. È la fragilità del sistema che dovrebbe resistere. Matrice Digitale ha seguito il fenomeno in più passaggi, anche quando una parte del settore preferiva liquidarlo come propaganda, come nel caso degli attacchi NoName057 contro obiettivi italiani. Il punto non era amplificare la propaganda russa. Il punto era non nascondere il danno reputazionale e operativo prodotto da campagne dimostrative che trovavano comunque spazio perché il sistema non riusciva a impedirne la ricorrenza. In quella stagione, chi raccontava le vulnerabilità veniva spesso trattato come parte del problema. Ma la vulnerabilità non nasce dal racconto. Nasce dal fatto che il sistema non regge come dovrebbe. Questo spiega anche perché l’uscita di Baldoni e quella di Frattasi siano state percepite in modo così diverso. Baldoni era difeso come parte del circuito tecnico. Frattasi è stato tollerato, studiato, criticato e infine lasciato scivolare via con molta meno partecipazione. Il mondo cyber italiano non è neutrale: difende i propri simboli e misura gli altri con criteri diversi.

Microsoft, perimetro cibernetico e sovranità consegnata

Il rapporto con Microsoft resta uno dei nodi più importanti della stagione Baldoni. L’agenzia, sotto la sua guida, ha stretto accordi con il gigante statunitense, oltre ad Accenture e Deloitte, ponendo una questione di sovranità digitale che non può essere liquidata come semplice scelta tecnica.

Se la sicurezza informatica nazionale si appoggia su fornitori privati americani, il Paese sta rafforzando la propria difesa o sta consegnando una parte della propria autonomia a una filiera esterna?

Matrice Digitale aveva già posto il tema nell’articolo su Microsoft, ACN e la dipendenza tecnologica italiana, dove l’accordo con il colosso statunitense veniva letto non come un semplice passaggio di formazione o cooperazione, ma come un tassello della subordinazione infrastrutturale del Paese. Ancora più inquietante è il tema del perimetro cibernetico nazionale. Se infrastrutture, servizi o riferimenti tecnici dell’agenzia che dovrebbe proteggere il perimetro italiano risultano collegati a server o piattaforme collocate fuori dal perimetro nazionale o europeo, il problema diventa politico prima ancora che tecnico. Matrice Digitale aveva già sollevato la questione nel pezzo sul perimetro cibernetico nazionale di ACN negli Stati Uniti, ponendo una domanda che resta intatta:

dove finisce davvero il confine digitale dello Stato italiano?

La sovranità digitale non si misura nei comunicati, ma nei server, nei contratti, nei flussi dati, nelle dipendenze e nella capacità reale di controllare ciò che si dichiara di proteggere.

Frattasi davanti all’eredità Baldoni

Frattasi, con ogni probabilità, si è trovato a gestire anche questa eredità. È possibile che abbia avuto qualcosa da ridire su alcuni andazzi, ma è altrettanto possibile che abbia compreso di trovarsi davanti a poteri più forti del suo ruolo formale già presenti nell’Agenzia chiamato a dirigere e ben remunerati con contratti simili a quelli che hanno destato scalpore dei componenti del collegio Garante Privacy. In questo senso, la sua uscita può essere letta anche come il risultato di una partita nella quale Mantovano, Crosetto, apparati e vecchie guardie della cybersicurezza si muovono su piani diversi ma convergenti. Una lettura possibile è che Frattasi abbia provato a usare una strategia di contrasto per indebolire Mantovano, con il quale pure aveva condiviso una stagione politica e istituzionale significativa. Un’altra è che abbia semplicemente capito che dentro l’agenzia il comando reale non era più, o non era mai stato, concentrato solo nel vertice formale.

Accanto alla direzione politica e amministrativa, continuerebbero infatti a pesare ex funzionari dei servizi, vecchie reti, figure legate alla prima stagione dell’agenzia e soggetti capaci di garantire posizioni a nomi altisonanti, figli e parenti di persone che hanno servito il Paese.

Questa situazione spiega anche perché molte testate si tengano lontane da certi passaggi. Una parte del giornalismo cyber è contigua a questo mondo, o comunque dipende da esso per accreditamento, accesso, fonti, inviti e riconoscimento. Il circuito della cybersicurezza italiana ha spesso funzionato come un piccolo club, dove chi critica viene isolato e chi resta dentro il recinto viene considerato affidabile. Lo stesso circuito che aveva portato Baldoni in alto come simbolo della competenza tecnica oggi sembra molto meno interessato a difendere Frattasi, che pure, nonostante la distanza iniziale dalla materia cyber, aveva imparato a studiare il settore e a comunicarlo con una certa efficacia.

Quacivi, Sogei e la normalizzazione della macchina

Con Quacivi la situazione cambia ancora. Il nuovo vertice arriva da Sogei e viene letto come un profilo capace di mettere ordine nei conti, nei processi e nella macchina organizzativa. Matrice Digitale ha ricostruito il profilo del nuovo direttore nell’approfondimento su Andrea Quacivi e la nuova fase dell’ACN, collocandolo dentro la filiera dell’informatica pubblica, della gestione infrastrutturale e dei grandi processi amministrativi. Ma è evidente che il problema dell’ACN non è soltanto contabile. Il problema è capire chi controlla davvero l’agenzia, chi decide le nomine, chi orienta i concorsi, chi protegge determinati profili, chi gestisce i rapporti con i fornitori globali e chi stabilisce la linea tra cybersicurezza civile, militare e intelligence. Quacivi è stato associato in passato a sensibilità politiche non necessariamente coincidenti con l’attuale maggioranza, ma, secondo alcune fonti interpellate, avrebbe dimostrato capacità di obbedienza istituzionale verso il governo in carica. Questo lo rende un profilo compatibile con la fase attuale:

non un tecnico puro, non un prefetto, non un militare, ma un manager pubblico capace di rassicurare più mondi. Il rischio, però, è che venga chiamato non tanto a cambiare il sistema, quanto a renderlo più ordinato e meno esposto.

Il rischio di una struttura più efficiente ma non più sovrana

Mettere ordine nella macchina non significa correggere la natura del problema. Una struttura può diventare più efficiente, più manageriale e più ordinata senza diventare più trasparente, più autonoma o più sovrana. Anzi, una macchina opaca ma meglio amministrata può diventare ancora più difficile da contestare. La domanda da porre a Quacivi non è quindi se conosca l’informatica pubblica. La domanda è se intenda affrontare i nodi che hanno reso l’ACN una struttura così esposta: concorsi, stabilizzazioni, apparati, fornitori, dipendenze, vecchie guardie e rapporto reale con la sovranità digitale.

NIS2, imprese sotto pressione e sicurezza amministrata

Intanto l’ACN resta anche una macchina costosa, con incarichi e retribuzioni importanti, spesso paragonabili a quelle di autorità indipendenti e organismi di vertice dello Stato. Questo avviene mentre le imprese vengono strette dentro protocolli, obblighi e adempimenti come la NIS2, senza che sia sempre chiaro quale ritorno concreto otterranno in termini di sicurezza reale. Il rischio è che la cybersicurezza diventi per le imprese un costo amministrativo e per gli apparati un nuovo spazio di potere. Matrice Digitale ha affrontato il tema anche nella guida sulle scadenze 2026 e sugli obblighi NIS online, mostrando come la nuova architettura regolatoria porti imprese e soggetti essenziali dentro una macchina di registrazioni, categorizzazioni, notifiche e adempimenti. Ma una piattaforma non è una strategia. Una notifica non è resilienza. Un obbligo non è capacità operativa. Il rischio è una sicurezza amministrata, dove le imprese spendono per dimostrare conformità, i consulenti costruiscono pacchetti di adeguamento, l’agenzia misura la carta e il Paese resta dipendente da cloud esteri, fornitori globali e catene tecnologiche che non controlla fino in fondo. La NIS2 può rafforzare la sicurezza solo se l’ACN è credibile, autonoma e tecnicamente capace di trasformare gli obblighi in capacità reale.

Il perimetro conteso tra Mantovano, Crosetto e la stella atlantica

Il rapporto tra Mantovano e Crosetto, in questo scenario, appare sempre più teso. La Difesa sembra interessata a riportare il dominio cyber dentro una logica più militare e strategica, mentre l’ACN era nata come struttura civile. Crosetto, attraverso la sua area e con l’appoggio di pezzi della vecchia guardia, potrebbe puntare a incidere sempre di più su un perimetro che formalmente non gli appartiene del tutto e la scelta di incaricare Gianni Riotta nel suo tavolo ministeriale di consiglieri, avvicina lo stesso Miistro della Difesa a Baldoni ed a quel mondo turboliberista, ma progressista di facciata. L’agenzia, da parte sua, rischia di non rispondere davvero ai governi che si succedono, ma a un apparato più stabile, transnazionale e atlantico.

La questione finale è quindi molto più grande delle dimissioni di Frattasi e della nomina di Quacivi. L’ACN dovrebbe essere il cuore della sovranità cibernetica italiana. Invece appare come un campo di battaglia tra poteri, apparati, fornitori, famiglie istituzionali e linee geopolitiche. Con Trump o senza Trump, la stella atlantica continua a essere il faro di una parte importante della postura cyber italiana. Ma se l’alleanza diventa dipendenza, e se la dipendenza viene coperta con la retorica della sicurezza nazionale, allora il problema non è più soltanto tecnico.

È politico. Ed è il problema di un Paese che parla di sovranità digitale, ma spesso non controlla fino in fondo né le proprie infrastrutture, né le proprie catene decisionali, né i propri apparati.

La domanda che resta dopo Frattasi

Dopo Frattasi, la domanda non è se Quacivi saprà amministrare meglio l’agenzia. La domanda è se l’ACN saprà smettere di essere percepita come un luogo di equilibrio tra poteri e iniziare a funzionare come un presidio reale del Paese. Se la cybersicurezza nazionale diventa il luogo dove si collocano profili protetti, dove i concorsi generano sospetti, dove le stabilizzazioni aprono malumori, dove i fornitori globali dettano infrastrutture e dove la dimensione civile viene compressa dalla pressione militare e atlantica, allora il problema non è il singolo direttore. Il problema è la natura stessa della macchina. Quacivi entra in un passaggio decisivo. Può limitarsi a rendere l’ACN più ordinata, oppure può affrontare il nodo che Frattasi lascia irrisolto: chi comanda davvero dentro la cybersicurezza italiana e nell’interesse di chi lo fa.

La risposta non arriverà dai comunicati. Arriverà dai concorsi, dalle nomine, dai contratti, dai fornitori, dalla gestione della NIS2, dalla trasparenza delle procedure e dalla capacità di dimostrare che la sicurezza nazionale non è una rendita di sistema, ma una responsabilità pubblica.