Pane e Crosetto: il cyber torna militare, la sovranità resta straniera

Negli ultimi anni hanno mangiato pane e Mantovano. Da oggi dovranno cambiare salumeria e imparare a mangiare pane e Crosetto. È questa, al netto delle formule istituzionali e del linguaggio paludato che accompagnerà la riforma, la fotografia più efficace del riassetto italiano della sicurezza cibernetica. Il Consiglio dei ministri del 4 agosto 2026 ha approvato il disegno di legge per il rafforzamento e l’adeguamento della capacità di difesa nazionale e dentro quel provvedimento c’è una scelta che vale molto più delle singole norme: la guerra cibernetica torna esplicitamente dentro l’ordinamento militare, con una catena di comando, uno spazio cibernetico di interesse nazionale per la difesa e la sicurezza militare, capacità operative dedicate e specialisti inseriti nello Strumento militare. È la vittoria politica e culturale di Guido Crosetto su una concezione della cybersicurezza che negli ultimi anni ha consentito a un esercito di comunicatori, consulenti, divulgatori, aspiranti uomini dell’intelligence e professionisti della reputazione digitale di sovrapporre sicurezza informatica, intelligence e guerra. Il comunicato ufficiale del Consiglio dei ministri n. 185 formalizza l’avvio parlamentare della riforma. Il passaggio politico, però, era iniziato molto prima e Matrice Digitale lo aveva seguito quando ancora il conflitto tra il modello civile rappresentato da Alfredo Mantovano e quello militare incarnato da Crosetto veniva trattato come un rumore di fondo o ignorato appositamente perché le acque non erano ancora calme e limpide.

Crosetto ha vinto perché la guerra cyber la fanno i militari

La questione centrale è persino banale e proprio per questo è stata nascosta per anni dietro una montagna di convegni, tavoli tecnici, slide, master, pubblicazioni e post autoreferenziali: la sicurezza informatica civile non è la guerra cibernetica. Proteggere un ente pubblico, coordinare la risposta a un incidente, imporre misure NIS2, certificare tecnologie, emanare linee guida, gestire vulnerabilità e aumentare la resilienza delle infrastrutture nazionali sono funzioni fondamentali, ma non equivalgono a pianificare e condurre operazioni militari nello spazio cibernetico. La stessa legge istitutiva dell’ACN assegna all’Agenzia funzioni di coordinamento, resilienza, protezione, certificazione e costruzione dell’autonomia tecnologica, come emerge dall’articolo 7 del decreto-legge 82 del 2021. La Difesa, invece, deve essere in grado di operare contro un avversario, produrre effetti, proteggere la propria catena di comando, negare capacità al nemico, integrare cyber, guerra elettronica, intelligence, spazio, sistemi autonomi e operazioni convenzionali. La Strategia digitale della Difesa 2026-2030 non lascia spazio alle interpretazioni: prevede operazioni cibernetiche full-spectrum fin dal tempo di pace, capacità offensive, difensive e di exploitation, una forza specialistica e una struttura integrata con intelligence tecnico-militare e spettro elettromagnetico. È esattamente la materia che Matrice Digitale aveva individuato già nel 2025 nell’analisi sulla proposta di affidare capacità cyber offensive e difensive allo Strumento militare e segue quotidianamente rendendo ininfluenti ogni testo disponibile dal 2018 ad oggi. Crosetto ha quindi vinto sul punto essenziale: quando il cyber diventa guerra, non può essere amministrato come una pratica di compliance affidata a un’agenzia civile. (Normattiva)

Finisce il sogno dei Men in Black della cybersicurezza italiana

Questa riforma produce però una conseguenza meno raccontata e molto più divertente. Mette in difficoltà una fauna professionale che negli ultimi anni ha costruito una parte della propria autorevolezza facendo credere che occuparsi di cybersecurity significasse automaticamente appartenere al mondo dell’intelligence, della sicurezza nazionale e perfino della guerra. Finti Men in Black, aspiranti 007, analisti della domenica, comunicatori trasformati in strateghi e divulgatori diventati improvvisamente esperti di guerra cognitiva hanno occupato per anni il dibattito pubblico italiano. Bastava prendere un advisory, tradurlo, darlo in pasto a un modello di intelligenza artificiale, aggiungere tre espressioni come “resilienza”, “minaccia ibrida” e “sicurezza nazionale” e pubblicarlo su LinkedIn per presentarsi come avamposto della Repubblica. Adesso il gioco cambia. Perché se davvero si parla di guerra, entrano in scena una catena di comando militare, specialisti addestrati, operazioni, intelligence tecnico-militare, regole di ingaggio, esercitazioni e responsabilità operative. Il Comando interforze Cyber Intel – Reparto Informazioni e Sicurezza non è una costruzione giornalistica: è una struttura della Difesa, attiva dal dicembre 2025, dalla quale dipendono componenti cyber e intelligence. Il sito istituzionale della Difesa dedicato al COCI-RIS mostra un’organizzazione che comprende Comando Cyber/COR e Comando Intel/CII. Qui finisce la recita. Un conto è raccontare una guerra informatica su un social network, un altro è essere inseriti nello Strumento chiamato a combatterla.

Da pane e Mantovano a pane e Crosetto

La parte più squallida del sistema italiano non riguarda però l’esistenza di competenze civili o militari. Riguarda la capacità quasi biologica di una parte dell’ecosistema di cambiare padrone senza cambiare mestiere. Ieri il centro di gravità era Palazzo Chigi, Alfredo Mantovano, l’ACN, la resilienza, la governance, l’intelligence civile e la costruzione di un grande perimetro istituzionale della cybersicurezza. Oggi il vento soffia verso la Difesa e improvvisamente gli stessi ambienti scopriranno il multidominio, la deterrenza, i droni, il combat cloud, la guerra elettronica, l’intelligence tecnico-militare e le operazioni cyber full-spectrum. È il passaggio da pane e Mantovano a pane e Crosetto. Non una conversione intellettuale, ma una migrazione verso il luogo nel quale si concentreranno soldi, incarichi, consulenze, commesse, tavoli e prestigio istituzionale. Matrice Digitale aveva descritto questa battaglia nel dossier “ACN verso lo svuotamento: la cybersicurezza passa alla Difesa?”, individuando due modelli contrapposti: Mantovano come espressione del coordinamento civile della sicurezza nazionale e Crosetto come espressione della necessità militare di possedere strumenti operativi autonomi nel dominio cyber. Il disegno di legge di agosto non chiude tutte le competenze civili dentro una caserma, ma certifica che il baricentro operativo della guerra cibernetica non può essere l’ACN. È questa la sconfitta culturale della narrazione costruita negli ultimi anni.

ACN torna a essere ciò che avrebbe sempre dovuto essere

L’ACN non viene cancellata e non deve essere cancellata. Deve semplicemente smettere di essere raccontata come qualcosa che non è. Un’Agenzia nazionale per la cybersicurezza serve enormemente a un Paese digitale, ma non è un servizio segreto e non è una forza armata. Deve proteggere reti e servizi, costruire resilienza, coordinare soggetti pubblici e privati, sviluppare standard, governare gli obblighi europei, certificare, intervenire sugli incidenti e soprattutto ridurre le dipendenze tecnologiche. Questo è già un compito enorme. Il problema nasce quando intorno a una struttura civile viene costruita una mitologia che la trasforma nella gemmazione digitale dei servizi segreti, facendo immaginare una specie di intelligence cibernetica nazionale nella quale ogni funzionario diventa agente e ogni incidente un’operazione ostile. La riforma di Crosetto rompe proprio questa confusione. La Difesa combatte, l’intelligence raccoglie e interpreta informazioni, l’ACN protegge e coordina il sistema civile. Le sovrapposizioni continueranno a esistere perché la guerra contemporanea è ibrida, ma la responsabilità non può diventare indistinta. L’articolo 7 del decreto 82 delimita già il ruolo dell’ACN, mantenendo ferme le competenze delle altre amministrazioni, dell’Interno e del sistema di informazione per la sicurezza. La costruzione della componente militare non rappresenta quindi una blasfemia contro l’Agenzia: rappresenta il ritorno a una separazione delle funzioni che avrebbe dovuto essere evidente fin dall’inizio.

Baldoni e NoName057 avevano già mostrato il limite della narrazione

Il problema era emerso con una violenza quasi grottesca già durante la stagione di Roberto Baldoni. Gli attacchi DDoS filorussi di NoName057 contro obiettivi italiani non rappresentavano certamente il vertice della sofisticazione tecnica mondiale, ma riuscirono ugualmente a trasformarsi in un problema politico e reputazionale. Matrice Digitale seguì direttamente quel fenomeno, intervistando NoName057 quando il gruppo dichiarava di studiare il perimetro italiano e raccontando successivamente come la propaganda filorussa avesse utilizzato le dimissioni del direttore dell’ACN per attribuirsi una vittoria sull’Italia. Il pezzo sulle dimissioni di Baldoni e la propaganda di NoName057 fotografava proprio la debolezza di un sistema nel quale il racconto della sicurezza era diventato importante quasi quanto la sicurezza stessa. È qui che nasce una parte del circo contemporaneo: comunicatori pronti a minimizzare, amplificare o reinterpretare gli incidenti a seconda delle esigenze del momento, esperti a chiamata, commentatori istituzionali e una schiera di tifosi digitali pronti a confondere la difesa del Paese con la difesa reputazionale del dirigente di turno. La guerra vera, però, è molto meno indulgente della comunicazione. Un servizio resta disponibile oppure cade. Una rete regge oppure viene compromessa. Una catena di comando continua a funzionare oppure viene interrotta. Il campo operativo non conosce il fact-checking di cortesia.

Frattasi e l’epoca della cybersicurezza civile di Palazzo Chigi

Dopo Baldoni è arrivata la stagione di Bruno Frattasi, politicamente inserita in una fase nella quale il baricentro della cybersicurezza era fortemente legato a Palazzo Chigi e alla figura di Alfredo Mantovano. Anche qui il problema non è ridurre una struttura complessa a una singola persona, ma osservare il modello. L’ACN è diventata uno dei luoghi nei quali si incontravano normativa europea, grandi fornitori, amministrazioni, infrastrutture critiche, concorsi, personale, appalti, sicurezza nazionale e costruzione dell’autorevolezza pubblica. Matrice Digitale ha analizzato questa fase nel dossier sulla guerra interna dell’ACN dopo l’uscita di Frattasi, sollevando interrogativi anche sulle procedure di affidamento e sull’utilizzo della riservatezza in un settore nel quale la segretezza tecnica è inevitabile ma non può trasformarsi automaticamente in opacità amministrativa. È questo il punto che il nuovo ciclo militare non deve ripetere. Se Crosetto prende un sistema criticato per le sue cordate e si limita a spostarne gli intermediari da Palazzo Chigi alla Difesa, avrà cambiato uniforme al problema senza eliminarlo. Il rischio è concreto perché ogni nuova struttura strategica genera inevitabilmente una corsa di consulenti, comunicatori, imprese e professionisti desiderosi di dimostrare di essere sempre stati, fin dalla nascita, sostenitori della linea vincente.

Il problema di Crosetto saranno i nuovi cortigiani cyber

Crosetto ha quindi ragione sulla struttura, ma il successo della sua riforma dipenderà dalla capacità di non riempire quella struttura con gli stessi cortigiani che hanno popolato il sistema precedente. La scena è già prevedibile. Volumi pubblicati in serie nei quali gli appartenenti allo stesso circuito si citano a vicenda. Convegni nei quali gli stessi nomi cambiano semplicemente pannello. Comunicatori che ieri spiegavano l’imprescindibilità del modello civile e domani racconteranno l’indispensabilità della cyber defence militare. Professionisti dell’informazione che metteranno virtualmente le stellette sul petto dopo anni trascorsi a prendere posizione su questioni politiche e geopolitiche come tifosi, non come analisti. È un ecosistema che vive di riconoscimento circolare: il politico conferisce l’incarico, l’incarico genera autorevolezza social, l’autorevolezza social produce nuovi incarichi e la rete di incaricati alimenta il prestigio del politico che li ha selezionati. Il risultato è una macchina perfetta per gli ego e spesso pessima per lo Stato. La Difesa, più dell’ACN, ha però una possibilità di rompere il meccanismo: misurare le persone sulla capacità operativa. Se uno specialista cyber serve alla difesa nazionale deve dimostrare di saper fare qualcosa che vada oltre la pubblicazione compulsiva di commenti, manualetti e bignami. La guerra non assegna punti per il personal branding.

La guerra cibernetica non è un gioco da social network

Questo passaggio diventa particolarmente scomodo per chi ha parlato di guerra per anni senza aver mai avuto alcun rapporto con una struttura militare. Non significa che un hacker debba essere un tiratore scelto o che un malware analyst debba sapere pilotare un carro armato. Significa una cosa molto più elementare: la guerra implica servizio, gerarchia, disciplina, segreto, rischio e disponibilità all’impiego. Il nuovo specialista cyber militare non nasce per alimentare una categoria LinkedIn. Nasce perché uno Stato che considera il dominio cibernetico un teatro operativo deve possedere persone integrate nel proprio strumento militare. La Strategia digitale della Difesa parla di una cyber workforce caratterizzata da prontezza operativa, di esercitazioni, formazione, readiness, operazioni full-spectrum e capacità di continuare a operare anche in ambienti degradati. Il passaggio è brutale soltanto per chi aveva trasformato la guerra in una metafora professionale. Se si invoca continuamente il conflitto, bisogna prima o poi accettare che qualcuno chieda chi è realmente disposto a servirvi dentro. Molto più semplice è mandare i figli degli altri, commentare i bollettini dal proprio telefono e spiegare la postura strategica nazionale tra un post sponsorizzato e una fotografia a un convegno.

Il vero tallone d’Achille di Crosetto è la tecnologia straniera

Qui, però, finisce la parte nella quale Crosetto ha ragione e comincia il problema più grave. Non esiste sovranità militare se la tecnologia militare dipende da altri Stati. La frase non viene da un pamphlet antiamericano o da un manifesto sovranista. È sostanzialmente scritta nei documenti della stessa Difesa. La Strategia digitale della Difesa 2026-2030 identifica esplicitamente il vendor lock-in come un fattore di rischio capace di vincolare la libertà strategica a soluzioni proprietarie chiuse e non nazionali. Nelle conclusioni il documento indica la necessità di aumentare autonomia e sovranità tecnologica riducendo le dipendenze critiche da attori esterni. Non potrebbe esserci conferma più chiara della contraddizione. L’Italia può costruire il miglior ordinamento cyber militare d’Europa e continuare a dipendere da cloud stranieri, processori stranieri, software straniero, comunicazioni satellitari straniere, piattaforme di intelligenza artificiale straniere, firmware stranieri e filiere elettroniche controllate all’estero. In quel caso la sovranità sarebbe perfetta sulla carta e inesistente nell’architettura.

Una bandiera italiana appiccicata sopra uno stack tecnologico controllato altrove non trasforma quello stack in tecnologia nazionale.

La Difesa ammette il rischio che la politica continua a nascondere

Il documento della Difesa arriva molto più avanti del dibattito pubblico italiano proprio perché riconosce senza imbarazzo ciò che molti comunicatori hanno trattato per anni come eresia. Il vendor lock-in vincola la libertà strategica, le infrastrutture legacy compromettono interoperabilità e resilienza, la rigidità del procurement rallenta l’innovazione e l’incapacità di attrarre talento digitale indebolisce lo Strumento militare. La strategia arriva persino a indicare architetture aperte, cloud ibrido e multicloud, capacità di migrazione e una software factory capace di contenere la dipendenza dai fornitori esterni. In altri termini, la Difesa sta dicendo che la sicurezza di un sistema non si misura soltanto dalla resistenza all’hacker russo, cinese o iraniano, ma anche dalla libertà di sostituire il fornitore occidentale dal quale quel sistema dipende. È il punto che dovrebbe dominare tutta la riforma Crosetto. Se lo Stato spende miliardi per aumentare la capacità militare e quella capacità non può funzionare senza autorizzazioni, aggiornamenti, licenze, satelliti, componenti o servizi controllati da società straniere, il Paese non ha acquistato sovranità: ha acquistato capacità in leasing geopolitico. La stessa Difesa scrive che ricerca e innovazione servono per poter utilizzare i sistemi dove, come e quando si vuole, riducendo la dipendenza da fornitori esterni. Più chiaro di così sarebbe difficile.

Washington può essere l’alleato senza diventare il proprietario

L’allineamento italiano agli Stati Uniti non rappresenta di per sé il problema. Il problema nasce quando l’alleanza diventa dipendenza tecnologica irreversibile. Crosetto è profondamente inserito nella cultura atlantica della Difesa italiana e questa linea ha una coerenza strategica: interoperabilità NATO, condivisione informativa, programmi industriali, standard comuni e rapporto militare con Washington fanno parte della struttura dello Stato italiano da decenni. Matrice Digitale lo ha evidenziato nell’editoriale sulla sovranità italiana, Trump, Meloni e la partita sull’ACN: i governi e i presidenti passano, mentre il rapporto militare fra Roma e Washington è strutturale. Ma proprio per questo l’Italia deve evitare che la stabilità dell’alleanza venga utilizzata come giustificazione per non costruire alternative.

Un alleato deve poter essere indispensabile politicamente senza diventare insostituibile tecnicamente. Se un sistema d’arma, un’infrastruttura cloud, una rete satellitare o un software di comando possono essere utilizzati soltanto finché una società o un governo straniero consentono all’Italia di farlo, la libertà d’azione nazionale è condizionata.

La Strategia della Difesa, quando chiede multi-provider, interoperabilità e riduzione dei lock-in, ammette esattamente questo rischio.

La sovranità europea rischia di essere un’altra dipendenza

L’alternativa, però, non può essere passare dalla dipendenza americana a quella europea e chiamare il risultato sovranità. L’Europa tecnologica non è una nazione neutrale sospesa sopra gli interessi dei suoi Stati membri. Le grandi capacità industriali militari, nucleari, aerospaziali, elettroniche e digitali europee sono distribuite in modo profondamente asimmetrico. Francia e Germania possiedono massa industriale, capitale, grandi contractor e capacità negoziale che l’Italia non sempre riesce a eguagliare. Il Regno Unito, pur fuori dall’Unione, resta un attore militare e tecnologico determinante nel continente.

Per Roma il rischio è quindi la doppia subordinazione: dipendere da Washington per una parte decisiva delle tecnologie e dell’architettura militare e contemporaneamente dipendere da Bruxelles e dai maggiori Stati europei per norme, fondi, programmi comuni e costruzione della cosiddetta sovranità europea.

È la versione geopolitica della doppia estorsione: pagare per essere integrati in due sistemi senza possedere realmente nessuno dei due. La risposta non è isolarsi dall’Europa né uscire dalla NATO. È utilizzare entrambe le appartenenze per costruire capacità italiane, industria italiana, software controllabile dall’Italia, competenze interne e potere contrattuale nazionale. Altrimenti il termine sovranità diventa soltanto una parola elegante per descrivere la scelta del fornitore straniero preferito.

L’Ucraina è il laboratorio che Crosetto vuole portare in Italia

La relazione con l’Ucraina entra precisamente in questo schema. L’interesse di Crosetto per Mykhailo Fedorov non nasce dal fascino personale di un giovane politico tecnologico, ma dalla constatazione che l’Ucraina ha trasformato la guerra in un gigantesco laboratorio di sperimentazione militare digitale ed è forse anche questo il motivo per cui non si arriva ad una pace o ad una semplice tregua. Matrice Digitale ha ricostruito questo processo nel dossier “Crosetto chiama Fedorov: droni, politica e sovranità italiana”. Fedorov ha costruito un modello nel quale piattaforme digitali, procurement rapido, startup, volontari, raccolte internazionali, droni, intelligence dei dati e sperimentazione direttamente sul fronte vengono uniti in cicli di sviluppo velocissimi. Army of Drones e Brave1 hanno trasformato la richiesta di un reparto in un prototipo, il prototipo in un test sul campo e il test in una modifica industriale in tempi che le grandi burocrazie militari europee faticano perfino a immaginare.

È esattamente questo che interessa alla Difesa italiana: ridurre la distanza tra innovazione e impiego operativo. Non si tratta soltanto di comprare droni ucraini, ma di importare un metodo di guerra nel quale l’innovazione viene misurata in settimane e spesso in giorni, non nei cicli pluriennali della procurement tradizionale.

Fedorov porta anche il modello politico della guerra digitale

Fedorov, però, non porta con sé soltanto droni. Porta un modello nel quale tecnologia, politica, comunicazione e guerra si sono fuse. La sua storia passa dalla campagna digitale di Zelensky a Diia, dalla trasformazione digitale dell’amministrazione alla IT Army of Ukraine, dai rapporti con Big Tech alla costruzione di un’economia della guerra robotizzata. Lo stesso dossier di Matrice Digitale evidenzia come Fedorov abbia assunto ormai un profilo politico autonomo e potenzialmente competitivo rispetto allo stesso Zelensky. La sua eventuale presenza nell’orbita della Difesa italiana non sarebbe quindi quella di un semplice tecnico. Sarebbe l’ingresso di un metodo, di una rete di relazioni e di una cultura politico-militare sviluppata dentro il conflitto russo-ucraino.

Ed è precisamente qui che Crosetto deve, se ne ha di forza e volontà, evitare l’errore più grave: importare la capacità operativa ucraina insieme all’influenza politica e comunicativa costruita attorno ad essa.

L’Italia deve imparare come si producono rapidamente droni, come si integra il software con il campo di battaglia, come si reagisce alla guerra elettronica e come si accorciano i cicli industriali. Non deve importare automaticamente ogni dinamica politica nata dentro un Paese in guerra.

IT Army e NAFO mostrano il confine che l’Italia non deve superare

Il modello ucraino contiene infatti una componente che merita particolare attenzione: la mobilitazione di soggetti non statali nella guerra digitale e informativa. La IT Army nasce dentro la mobilitazione promossa dal governo ucraino; Anonymous resta un’identità decentralizzata; NAFO opera soprattutto nella dimensione della propaganda, dei meme, delle campagne coordinate e della pressione social. Gli unici ad aver analizzato in tempi non sospetti la sovrapposizione di Anonymous e NAFO mentre si decantavano azioni più o meno efficienti sono stati gli approfondimenti di Matrice Digitale sul tema. Sono realtà differenti, in parte quindi, ma condividono un ecosistema nel quale l’attività dello Stato e quella di comunità digitali militanti possono convergere contro un avversario comune. Matrice Digitale ha documentato questa distinzione nel dossier su Fedorov proprio perché il problema non è sostenere che ogni account NAFO risponda a Kiev. Il problema è osservare quanto sia potente un sistema nel quale migliaia di individui, organizzazioni, piattaforme e istituzioni finiscono per muoversi nella stessa direzione narrativa. È qui che il futuro centro italiano per il contrasto alla minaccia ibrida dovrà essere osservato con la massima attenzione. La Difesa deve contrastare propaganda ostile, operazioni cognitive e manipolazioni avversarie. Non deve diventare un arbitro militare della verità politica interna e non deve costruire una NAFO italiana destinata a disciplinare il dibattito pubblico. La tentazione di chiamare “guerra cognitiva” qualsiasi opinione sgradita è troppo grande per essere affidata ai nuovi menestrelli che già bussano alle porte della Difesa.

I droni spiegano meglio del cyber la dipendenza italiana

Il settore dei droni mostra in forma materiale ciò che nel cyber spesso resta invisibile. L’Italia vuole accelerare perché non possiede tutto ciò che le serve. La costruzione di filiere con partner turchi, israeliani, statunitensi, europei e ucraini dimostra che il mercato della difesa robotizzata è già transnazionale. Non è necessariamente un errore. Sarebbe assurdo pretendere l’autarchia tecnologica in ogni componente. Ma esiste una differenza enorme tra cooperazione e dipendenza. La cooperazione permette di scegliere il partner, sostituirlo, integrare componenti diverse e conservare il controllo sulle funzioni essenziali. La dipendenza significa che il sistema non può essere utilizzato, aggiornato o mantenuto senza il consenso di un soggetto esterno. Lo stesso ragionamento vale per i sistemi iraniani utilizzati dalla Russia e per la risposta ucraina: la guerra ha mostrato che non vince necessariamente la piattaforma più sofisticata, ma quella che garantisce il miglior rapporto tra costo, disponibilità, adattabilità e capacità di essere prodotta in massa. È per questo che Crosetto guarda all’Ucraina. Il rischio è che l’Italia acquisti rapidamente capacità straniere senza utilizzare la stessa urgenza per costruire una base industriale nazionale capace di sostituirle.

La sovranità militare si misura quando un alleato dice no

Esiste un test molto semplice per misurare la sovranità. Che cosa succede se domani il fornitore dice no? Se un satellite non è più disponibile, la Difesa continua a comunicare? Se un cloud viene revocato, i sistemi continuano a funzionare? Se un produttore sospende gli aggiornamenti, il software può essere mantenuto internamente? Se un componente viene sottoposto a export control, esiste un’alternativa? Se una libreria proprietaria smette di essere concessa in licenza, il sistema può essere migrato? Se cambiano gli interessi politici di Washington, Bruxelles, Parigi, Berlino, Londra, Ankara, Tel Aviv o Kiev, Roma mantiene la propria libertà di azione? Questa è sovranità. Tutto il resto è cerimoniale. La Strategia digitale della Difesa ha avuto il merito di riconoscere il problema, ma adesso Crosetto deve trasformare quelle parole in clausole contrattuali, investimenti industriali, proprietà intellettuale, software nazionale, ricerca militare, interoperabilità e capacità di sostituzione. Se non lo farà, il nuovo ordinamento cyber sarà una bellissima catena di comando costruita sopra una catena di fornitura controllata da altri.

Il vero banco di prova saranno appalti e consulenze

Ed è proprio per questo che i prossimi appalti e le prossime consulenze saranno più importanti di cento discorsi sulla sovranità. La Difesa ha già procedure dedicate al rafforzamento della cyber defence e all’integrazione del dominio cyber nei sistemi di comando e controllo, come mostra l’area trasparenza del Ministero dedicata all’irrobustimento delle capacità di cyber defence. Il punto non sarà soltanto quanti soldi verranno spesi, ma a chi verranno dati, quali diritti acquisirà lo Stato, quali dipendenze verranno create e quanto sarà semplice sostituire un fornitore. Lo stesso vale per i consulenti. Crosetto può distruggere in pochi anni il valore strategico della propria riforma se attorno alla nuova architettura militare nascerà la solita corte di mediatori, comunicatori, consiglieri e presunti esperti che portano nella Difesa gli interessi dei sistemi industriali e geopolitici dai quali provengono. Il problema non è avere consulenti stranieri o provenienti dal mondo privato. Il problema è non sapere più dove finisce il consiglio tecnico e dove comincia l’interesse del fornitore.

Non basta togliere Mantovano se resta lo stesso sistema

La tentazione, per chi ha seguito lo scontro, sarebbe celebrare la riforma come la vittoria definitiva di Crosetto su Mantovano. Sarebbe troppo semplice. Il problema italiano non è mai soltanto l’uomo che controlla la struttura. È il sistema che si ricompone attorno a chi la controlla. Se domani gli stessi professionisti che hanno costruito reputazione attorno all’ACN, alla sicurezza civile e alla Presidenza del Consiglio si trasferiranno senza soluzione di continuità nel perimetro della Difesa, avremo semplicemente spostato la corte. Se gli stessi grandi fornitori resteranno indispensabili, avremo spostato il budget. Se gli stessi comunicatori continueranno a stabilire chi è competente e chi no, avremo spostato la propaganda. Se gli stessi interessi stranieri continueranno a definire tecnologia, infrastrutture e priorità, avremo cambiato soltanto il timbro sulla carta intestata. La vittoria di Crosetto avrà senso soltanto se produrrà discontinuità operativa, non se distribuirà nuove stellette simboliche agli stessi frequentatori del circo.

Pane e Crosetto è soltanto il nuovo menù del vecchio circo

Ed è qui che l’immagine iniziale torna nella sua forma più crudele. Ieri pane e Mantovano, oggi pane e Crosetto, domani pane con chiunque governerà. Una parte dell’ecosistema italiano della sicurezza vive così: non serve lo Stato, serve il centro di potere momentaneamente più redditizio. Cambia linguaggio con una velocità impressionante. Prima resilienza, poi postura. Prima cyber hygiene, poi full-spectrum operations. Prima governance civile, poi multidominio. Prima Bruxelles, poi NATO. Prima il funzionario, poi il generale. La capacità tecnica spesso resta identica, ma cresce la quantità di fotografie, prefazioni, incarichi, pubblicazioni e riconoscimenti incrociati. Questo sistema produce autorevolezza artificiale e soprattutto trasforma la sicurezza nazionale in un mercato reputazionale. Il risultato è una classe di professionisti che dipende dalla politica per ottenere credibilità e una politica che dipende da quegli stessi professionisti per costruire consenso attorno alle proprie scelte. È un rapporto perfetto per tutti tranne che per il Paese.

La guerra chiarirà chi serve lo Stato e chi serviva soltanto se stesso

La riforma Crosetto ha almeno il merito di portare questa contraddizione davanti a una realtà che prima o poi non potrà più essere nascosta. La guerra cibernetica non è un romanzo di spionaggio, non è un post LinkedIn e non è un curriculum riempito di parole inglesi. È una funzione militare che richiede persone capaci di operare sotto una catena di comando, sistemi capaci di resistere e una nazione capace di controllare gli strumenti dai quali dipende la propria difesa. Crosetto ha avuto ragione a sottrarre la guerra cyber alla mitologia dei finti agenti segreti civili. Adesso dovrà dimostrare di non consegnarla ai nuovi mercanti della guerra tecnologica.

Perché il problema non è soltanto sapere chi impugna un fucile, chi sa controllare un drone o chi è realmente capace di sferrare un’operazione cyber. Il problema è capire nell’interesse di chi lo fa.

L’Italia può scegliere l’alleanza con gli Stati Uniti, cooperare con Israele, acquistare tecnologia europea, imparare dall’Ucraina, lavorare nella NATO e utilizzare fondi dell’Unione europea. Può fare tutto questo senza rinunciare alla propria sovranità soltanto se conserva capacità di scelta. Se invece ogni scelta produce una nuova dipendenza, il Paese costruirà un esercito sempre più moderno e contemporaneamente sempre meno libero.

La sovranità nazionale non consiste nel mettere un generale italiano davanti a un computer americano, un drone straniero e un cloud controllato altrove. Consiste nella possibilità di dire no, cambiare fornitore, modificare tecnologia, proteggere i dati e continuare a combattere senza chiedere il permesso a nessuno.

È su questo che Crosetto dovrà essere giudicato. Non sulla quantità di conferenze dedicate alla guerra ibrida, non sulle stellette virtuali distribuite ai nuovi cortigiani del cyber, non sui libri pubblicati dagli esperti di turno e nemmeno sul numero di profili social pronti a celebrare la nuova postura italiana.

Crosetto avrà vinto davvero soltanto quando l’Italia avrà una forza cyber militare che risponde allo Stato italiano e utilizza tecnologie sulle quali lo Stato italiano conserva un potere reale.

Fino ad allora resterà il sospetto che il pane sia cambiato, ma che la salumeria sia sempre la stessa. E allora la domanda finale resta quella più semplice. Tutti pronti a parlare di guerra, di attacchi, di deterrenza, di droni e di minacce ibride.

Ma quando la guerra smette di essere una parola buona per raccogliere like e diventa servizio, disciplina, sacrificio e rischio, quanti dei nuovi patrioti digitali sono davvero pronti a partire? E quanti, invece, continueranno comodamente a mandare i figli degli altri?