ACN tra NIS2 e sovranità tecnologica: il confronto con Luca Nicoletti

I lettori di Matrice Digitale sanno che l’intervista non è mai stata il formato centrale della testata. Chi ha frequentato una redazione conosce bene anche la funzione che questo genere giornalistico può assumere: troppo spesso diventa uno strumento per riempire pagine, alimentare rapporti, consolidare cordate, promuovere personalità molto visibili sui social oppure trasformare relazioni con la pubblica amministrazione in una leva di influenza. Sul web Matrice Digitale non ha pagine da riempire e non ha alcun interesse a trasformare la visibilità in autorevolezza tecnica. Per questo, quando decide di porre delle domande, preferisce parlare di confronto: mettere davanti a un interlocutore competente questioni sulle quali la testata ha costruito negli anni una posizione editoriale, verificare le distanze, individuare le convergenze e lasciare che siano le risposte a chiarire funzioni, responsabilità e prospettive. È con questo spirito che Matrice Digitale ha proposto all’Agenzia per la Cybersicurezza Nazionale un confronto con una figura operativa dell’istituzione. La risposta dell’ACN è stata positiva. Un passaggio che merita di essere registrato non perché una pubblica amministrazione debba essere ringraziata per avere “concesso un’intervista”, ma perché indica una disponibilità al confronto con una realtà editoriale che non ha mai rinunciato a esprimere valutazioni critiche sull’architettura cyber italiana. Negli ultimi mesi Matrice Digitale ha seguito l’avvicendamento al vertice con l’arrivo di Andrea Quacivi e il dossier sulla sovranità cibernetica, interrogandosi successivamente sul possibile ridisegno delle funzioni operative dell’ACN nel rapporto con Difesa e apparati.

La scelta dell’Agenzia è stata quella di affidare il confronto a Luca Nicoletti, responsabile del Servizio Programmi Industriali, Tecnologici e di ricerca. È probabilmente uno degli interlocutori più adatti per affrontare un tema che Matrice Digitale considera centrale: capire che cosa sia realmente l’ACN oltre la rappresentazione pubblica costruita intorno all’Agenzia negli anni, quali funzioni le appartengano, quali responsabilità debbano invece essere attribuite agli altri pilastri dell’architettura nazionale e quanto la sicurezza cibernetica italiana possa essere separata dalla capacità del Paese di controllare tecnologie, infrastrutture e supply chain. Il punto non è secondario. Per anni il dibattito pubblico ha spesso sovrapposto difesa cibernetica, intelligence, resilienza, regolazione e contrasto al cybercrime, attribuendo all’Agenzia competenze, aspettative e responsabilità che non sempre coincidono con ciò che il legislatore le ha assegnato.

Chi è Luca Nicoletti

Luca Nicoletti si è laureato in Fisica all’Università degli Studi di Roma “La Sapienza” nel 1996 con 110/110. Dopo il servizio militare come Ufficiale di Marina, dal 1997 opera nel settore informatico, concentrandosi fin dall’inizio su sistemi distribuiti e tecnologie Web. Tra i suoi principali ambiti di specializzazione figurano architetture orientate ai servizi, virtualizzazione, cloud computing e Identity & Access Management, materie sulle quali ha svolto attività di approfondimento e formazione. Dopo una prima esperienza sui sistemi di controllo di gestione per grandi imprese italiane delle telecomunicazioni e dell’energia, tra il 2000 e il 2013 ha lavorato in Consip, prima nell’area Architetture Tecnologiche e successivamente in System Solution. Nel 2013 è passato in Sogei, nell’area Architetture e Servizi Tecnologici, diventando tra il 2018 e il 2019 responsabile del gruppo di Demand Management Tecnologico. Ha inoltre partecipato a numerosi progetti europei FP7 e Horizon 2020 e, in rappresentanza del Ministero dell’Economia e delle Finanze, è stato Technical Leader del progetto Sunfish e successivamente del progetto Poseidon. Tra il 2019 e il 2021 ha lavorato alla Presidenza del Consiglio dei Ministri, ricoprendo incarichi di responsabilità nei servizi IT dipartimentali e coordinando gruppi di lavoro che hanno partecipato alla costruzione di alcuni dei principali strumenti della cybersicurezza pubblica italiana: i DPCM attuativi del Perimetro di Sicurezza Cibernetica, la componente cybersecurity del PNRR, la Strategia Cloud Italia, la Strategia Nazionale di Cybersicurezza e il lavoro che ha portato al DL 82/2021, con il quale è stata istituita l’Agenzia per la Cybersicurezza Nazionale. Attualmente è Responsabile del Servizio Programmi Industriali, Tecnologici e di ricerca presso ACN, dove si occupa dell’attuazione della componente Cybersecurity del PNRR e dello sviluppo di nuove capacità industriali e tecnologiche nel settore della sicurezza cibernetica. Con provvedimento del Presidente del Consiglio è stata inoltre rinnovata la sua nomina a membro italiano del board dello European Cybersecurity Competence Centre, ECCC.

Funzioni e priorità dell’Agenzia

L’ACN sembra entrare in una nuova fase, che non riguarda soltanto la governance ma anche la sua funzione all’interno dell’architettura nazionale di cybersicurezza. Quali saranno i compiti e le priorità che accompagneranno l’Agenzia nei prossimi mesi e, auspicabilmente, nei prossimi anni?

L’ACN opera, sin dalla sua istituzione, all’interno dell’architettura nazionale di cybersicurezza, fondata su quattro pilastri complementari: difesa, intelligence, resilienza e contrasto al cybercrime. In questo quadro, la missione dell’Agenzia rimane quella definita dal legislatore, con un occhio sempre vigile sull’evoluzione del contesto geopolitico e normativo. Una prima direttrice riguarda il rafforzamento delle capacità operative. Attraverso lo CSIRT Italia, l’Agenzia garantisce il monitoraggio delle minacce, la prevenzione e il supporto nella gestione degli incidenti informatici, consolidando ulteriormente le capacità di risposta del Paese. Un secondo ambito strategico è quello della certificazione, della qualificazione e della valutazione della sicurezza di prodotti e servizi ICT.

L’entrata in vigore di normative europee come il Cyber Resilience Act renderà queste funzioni ancora più rilevanti, richiedendo un significativo potenziamento delle competenze e delle capacità tecniche dell’Agenzia. Accanto a queste attività, assume un’importanza crescente il sostegno allo sviluppo di nuove tecnologie, che è la materia di cui mi occupo nello specifico. Oggi la cybersicurezza è strettamente legata alla sovranità tecnologica: rafforzare la capacità di progettare, sviluppare e utilizzare tecnologie realizzate in Italia e in Europa significa ridurre le dipendenze strategiche da fornitori extraeuropei e accrescere l’autonomia del sistema Paese. Non si tratta di mettere in discussione la collaborazione con partner internazionali, ma di costruire un ecosistema industriale e tecnologico più resiliente, competitivo e in linea con gli standard di sicurezza europei. Altro ruolo fondamentale sarà quello regolatorio. L’Unione europea sta producendo un quadro normativo sempre più articolato in materia di cybersicurezza e molte di queste disposizioni, come nel caso della direttiva NIS2, richiedono un recepimento nell’ordinamento nazionale e la successiva adozione di provvedimenti attuativi.

In questo processo l’ACN rappresenta uno degli attori centrali, supportando la Presidenza del Consiglio dei ministri nella predisposizione degli strumenti normativi e amministrativi necessari per rendere pienamente operative le nuove regole. Parliamo di misure che disciplinano la certificazione dei prodotti, la qualificazione dei servizi digitali e l’adeguamento dei sistemi informativi agli standard europei, contribuendo così a elevare il livello complessivo di sicurezza del Paese.

Formazione, intelligenza artificiale e alfabetizzazione

Uno degli obiettivi indicati negli anni dall’Agenzia riguarda la formazione e la necessità di aumentare il numero di professionisti della cybersicurezza. Con l’avvento dell’intelligenza artificiale, siamo però ancora sicuri che il problema principale sarà disporre di decine di migliaia di nuovi specialisti IT? Oppure diventerà ancora più importante avere milioni di cittadini capaci di comprendere e utilizzare in sicurezza tecnologie sempre più automatizzate, che potrebbero richiedere un numero inferiore di operatori specializzati per alcune attività?

Le due esigenze non sono in contrapposizione, ma complementari. Continueremo ad avere bisogno di professionisti altamente qualificati in grado di progettare, proteggere e gestire infrastrutture digitali sempre più complesse. L’intelligenza artificiale automatizzerà alcune attività, ma non sostituirà le competenze specialistiche: al contrario, renderà ancora più importante disporre di esperti capaci di governare queste tecnologie, verificarne l’affidabilità e gestirne i rischi.

Allo stesso tempo, però, la vera sfida riguarda la diffusione delle competenze digitali di base. Oggi la competitività di un Paese non dipende soltanto dal numero degli specialisti, ma anche dalla capacità di cittadini, lavoratori, imprenditori e pubbliche amministrazioni di utilizzare in modo consapevole, sicuro ed efficace gli strumenti digitali e le applicazioni di intelligenza artificiale.

Per questo motivo la formazione rappresenta un investimento strategico. L’alfabetizzazione digitale e la cultura della cybersicurezza devono diventare patrimonio comune, perché la tecnologia è ormai parte integrante della vita quotidiana e dei processi produttivi. Saper utilizzare correttamente questi strumenti significa aumentare la produttività, migliorare la qualità dei servizi, ridurre i rischi e rafforzare la competitività del sistema Paese. Non è un caso che anche l’Unione europea stia investendo con decisione sullo sviluppo delle competenze digitali e sulla diffusione dell’intelligenza artificiale attraverso iniziative dedicate, con l’obiettivo di favorirne un’adozione ampia e responsabile da parte di cittadini e imprese.

La sfida non è scegliere tra formare migliaia di esperti o milioni di cittadini. Servono entrambe le cose: una solida comunità di professionisti della cybersicurezza, indispensabile per garantire la sicurezza delle infrastrutture e dei servizi digitali, e una popolazione sempre più competente, capace di utilizzare le nuove tecnologie in modo sicuro, critico e produttivo. È da questo equilibrio che dipenderanno la resilienza digitale e la competitività dell’Italia nei prossimi anni.

I sistemi di difesa diventano sempre più sofisticati e automatizzati, ma anche gli attacchi diventano più rapidi nell’individuare e sfruttare vulnerabilità. In questo scenario il fattore umano continua a rappresentare uno degli elementi più critici. Se imprese e pubbliche amministrazioni possono adottare architetture zero trust, sistemi di monitoraggio e strumenti avanzati di protezione, il cittadino rimane spesso molto più esposto. Come pensa l’ACN di ridurre questo divario di alfabetizzazione e consapevolezza digitale?

Il modo in cui l’Agenzia costruisce le proprie iniziative di alfabetizzazione digitale parte da un presupposto semplice: il cittadino non è una categoria unica e indifferenziata, ma una persona che nella società ricopre ruoli diversi: è utente dei servizi digitali, è magari un dipendente pubblico, è un imprenditore, è un giovane in cerca di lavoro, è uno studente. Ogni ruolo comporta esigenze, canali e linguaggi diversi, e su questo l’ACN ha costruito un impianto di iniziative differenziate.

Il primo livello riguarda la cittadinanza nel suo complesso, raggiunta attraverso le campagne di comunicazione istituzionale che realizziamo ogni anno insieme al Dipartimento per l’Informazione e l’Editoria della Presidenza del Consiglio, veicolate sui principali canali tv, radio, stampa e web come nel caso della campagna “Accendiamo la cybersicurezza”.

A questo si affianca uno strumento permanente, pensato per chi vuole approfondire in autonomia: la nostra E-Academy, mette a disposizione di tutti – gratuitamente – contenuti di formazione e divulgazione della cultura cyber, in continuo aggiornamento, con un linguaggio accessibile anche a chi non ha basi tecniche.

Poi c’è un livello intermedio, quello dei moltiplicatori, i facilitatori digitali. Con il Dipartimento per la Trasformazione Digitale abbiamo attivato un percorso di formazione dedicato agli operatori dei Punti di Facilitazione Digitale, cioè quegli sportelli, spesso di prossimità, dove cittadini con minore dimestichezza digitale (pensiamo alle fasce più anziane della popolazione) possono ricevere assistenza pratica nell’uso dei servizi online. Formare chi sta a contatto quotidiano con questi cittadini ci ha permesso di moltiplicare l’impatto della formazione.

Un altro fronte riguarda la collaborazione con il terzo settore: con la Fondazione Generation Italy abbiamo sottoscritto un Accordo Quadro per offrire corsi gratuiti di formazione tecnica in cybersicurezza a giovani tra i 18 e i 34 anni in cerca di occupazione, con un’attenzione particolare alle fasce più svantaggiate, inclusi i NEET, le donne e le persone con disabilità, un modo per unire alfabetizzazione digitale e inclusione lavorativa.

Il fronte più esteso in termini numerici ha riguardato i dipendenti pubblici. Da un lato con la Scuola Nazionale dell’Amministrazione abbiamo consolidato un percorso di formazione stabile per dirigenti e funzionari statali (oltre 1300 dipendenti formati); dall’altro, per le amministrazioni locali, la collaborazione con ANCI ha permesso attraverso la piattaforma online “Accademia dei Comuni Digitali” di raggiungere oltre 2800 dipendenti comunali.

E infine c’è un ultimo tassello che racchiude il senso di tutto il lavoro descritto fin qui: la scuola, gli ITS Academy e gli Atenei. Nelle aule italiane, dalla primaria all’università, passando per gli ITS Academy, l’Agenzia porta avanti un doppio impegno. Da un lato la sensibilizzazione: aiutare bambini e ragazzi a riconoscere i rischi del mondo digitale e a sviluppare fin da piccoli quegli anticorpi culturali che poi li accompagneranno per tutta la vita da cittadini digitali. In tal senso è stato avviato anche un progetto pilota con l’Ufficio Scolastico Regionale del Lazio che ha portato alla formazione un migliaio tra docenti e dirigenti, questi, possano trasmettere le principali regole di igiene cibernetica a studenti e famiglie con cui, quotidianamente, entrano in contatto. Dall’altro l’orientamento: intercettare i talenti, accompagnare chi ha attitudine e curiosità verso i percorsi STEM e le professioni cyber, anche con iniziative di sostegno concreto come borse di studio e premi alle tesi di laurea.

In questa logica di orientamento si inserisce anche il sostegno alle Cyber-Challenge, il programma nazionale di addestramento in cybersicurezza organizzato dal Cybersecurity National Lab del CINI, rivolto a giovani talenti tra i 16 e i 24 anni: un percorso gratuito che coinvolge da dieci anni migliaia di studenti ed è oggi il principale strumento per individuare, formare e avviare al mondo del lavoro la prossima generazione di professionisti della sicurezza informatica. A questo affianchiamo momenti di incontro diretto: periodicamente apriamo le porte della nostra sede agli studenti delle scuole e degli ITS Academy, con giornate di Open Day pensate per far conoscere da vicino le professioni cyber e le attività operative dell’Agenzia, tra sessioni istituzionali, approfondimenti con gli esperti e – nelle edizioni più recenti – anche una riflessione specifica sul divario di genere nelle discipline STEM.

NIS2, notifiche e capacità di risposta

Con la piena attuazione della NIS2 e degli obblighi di notifica degli incidenti significativi da parte dei soggetti coinvolti, l’ACN e il CSIRT Italia avranno una visibilità molto maggiore su ciò che accade all’interno del sistema produttivo e della pubblica amministrazione. Quali saranno le principali difficoltà nel gestire questa massa crescente di informazioni, distinguere gli eventi realmente critici e trasformare le notifiche in capacità concreta di prevenzione e risposta?

Sicuramente, la circostanza che il decreto NIS ampli la platea dei soggetti tenuti a notificare gli incidenti è una sfida. Tuttavia, come nota anche Lei, si tratta anche di una straordinaria opportunità di intercettare e conoscere, e quindi affrontare, fenomeni cyber che, diversamente, potrebbero non emergere con la stessa tempestività e livello di dettaglio. Al tempo stesso, non si deve pensare che debba essere notificata una massa indistinta di incidenti. Il decreto NIS da questo punto di vista è molto chiaro: devono essere notificati gli incidenti che hanno un impatto significativo sulla fornitura dei servizi erogati dai soggetti NIS e i parametri di significatività sono dettati dal decreto stesso in termini di gravità della perturbazione operativa o delle perdite finanziarie per il soggetto colpito e di ripercussioni su altre persone fisiche o giuridiche. Per semplificare la valutazione a carico dei soggetti NIS e fornire loro dei parametri oggettivi, l’Agenzia ha individuato quattro fattispecie di incidenti significativi, tre comuni a tutti i soggetti e una per i soli soggetti essenziali. Questo meccanismo quindi già consente di distinguere e isolare gli eventi critici e dedicare loro le capacità di risposta, senza aggravare il soggetto di eccessivi oneri e responsabilità di valutazioni in situazione di difficoltà. Inoltre, al fine di supportare i soggetti nel gestire gli incidenti in modo efficace, ACN ha pubblicato le “Linee guida NIS – Specifiche di base – per la definizione del processo di gestione degli incidenti di sicurezza informatica”, in cui viene suggerito un modello per il processo di gestione degli incidenti e descritta la relazione tra le fasi del medesimo e le misure di sicurezza di base.

Quanto alle notifiche volontarie che, come sa, il decreto NIS rende possibili in relazione agli incidenti per i quali non è obbligatoria la notifica, ai quasi-incidenti e alle minacce informatiche, il decreto NIS stesso ha realizzato un contemperamento tra l’esigenza di conoscerli e l’altrettanto fondamentale esigenza di non disperdere risorse di attenzione e gestione, prevedendo un ordine di priorità per la loro trattazione. L’obbligo di notifica di incidente è ormai in vigore da oltre 7 mesi e già se ne possono apprezzare i risultati, come si può osservare nell’operational summary pubblicato periodicamente da ACN.

Dal punto di vista delle imprese, invece, qual è oggi la difficoltà maggiore nell’adeguamento alla NIS2? Il rischio è che gli obblighi vengano interpretati prevalentemente come nuovi adempimenti burocratici oppure ritiene che il sistema produttivo italiano abbia ormai compreso che la direttiva impone prima di tutto un cambiamento nella gestione del rischio cyber?

A oltre un anno e mezzo dall’avvio dell’implementazione del decreto NIS, ritengo si possa affermare che le finalità della disciplina siano sempre più chiare ai soggetti interessati. Lo deduciamo dalle interlocuzioni con i singoli e le associazioni di categoria e altresì dal tasso di adempimento delle diverse prescrizioni. Comprendere il cambio di paradigma imposto dalla NIS2 è certamente impegnativo, in particolare per i soggetti chiamati per la prima volta ad affrontare il tema della sicurezza cibernetica dei propri apparati e infrastrutture, ma l’Agenzia ha profuso e continua a profondere un grande impegno per aiutare le organizzazioni a conformarsi a questa disciplina attraverso la pubblicazione di linee guida e FAQ, la messa a disposizione di un servizio di help desk, i già citati incontri e interlocuzioni, nonché attraverso i numerosi incontri divulgativi che assicurano l’attuazione di una regolamentazione partecipata.

Ridurre la disciplina NIS2 a mero adempimento burocratico è una banalizzazione che non coglie l’essenza della normativa di cui parliamo. Facciamo un esempio concreto: la comunicazione verso l’Agenzia dell’elenco dei fornitori rilevanti o degli esiti della categorizzazione (ovvero un esercizio di analisi d’impatto semplificata e guidata), per citare i due più recenti adempimenti a cui sono stati chiamati i soggetti NIS, lungi dall’essere compilazione sterile di una lista è invece un esercizio di consapevolezza, che ha imposto alle organizzazioni di guardare a sé stesse e ai propri processi con un’ottica diversa, di farsi consapevoli del rischio, di capire dove può annidarsi una vulnerabilità e, di conseguenza, dove occorre adottare misure di sicurezza più stringenti. Inoltre, queste informazioni sono impiegate da ACN per fornire un servizio ai soggetti NIS, da una parte assicurando che i fornitori di servizi ICT e gli elementi sistemici della catena di approvvigionamento nazionale siano opportunamente vigilati e, da l’altra, fornendo indicazioni per migliorare l’analisi di impatto eseguite da soggetti.

In questo modo, con il coinvolgimento attivo dei soggetti, accompagnandoli nell’assunzione delle loro responsabilità, la disciplina NIS intende creare un ecosistema resiliente, nel quale ognuno fa la propria parte, in modo proporzionato a dimensione e settore di attività. ACN ha sempre affrontato questi temi nell’ottica di supporto alle aziende e alle pubbliche amministrazioni che si va man mano strutturando con un’azione di regolamentazione partecipata, tramite i Tavoli settoriali, e di adeguamento cooperativo (cooperative compliance).

Stato, imprese e nuovo perimetro cibernetico

La NIS2 riporta al centro anche una questione che negli anni ha caratterizzato molto il dibattito sulla sicurezza nazionale: come si definisce oggi il perimetro cibernetico dell’Italia? Dove finisce la responsabilità dello Stato e dove comincia quella di imprese, fornitori tecnologici, operatori internazionali e infrastrutture private?

Questa domanda centra la “rivoluzione” portata dalla disciplina NIS. Immaginare che in un mondo veloce e complesso come quello in cui viviamo, dove lo sviluppo tecnologico ha ritmi di crescita sorprendenti, la sicurezza e la resilienza dei servizi essenziali possano essere garantiti solo dalle autorità pubbliche mentre i soggetti interessati si abbandonano passivamente agli eventi e attendono il soccorso dello Stato non è realistico e non è neppure nell’interesse dei soggetti stessi. Parlare di resilienza cibernetica significa proprio mettere l’accento sul protagonismo dei soggetti NIS. La resilienza non è donata dall’esterno ma è una caratteristica intrinseca del soggetto, è il modo in cui reagisce a una perturbazione, a un evento negativo. Se il soggetto è preparato, perché ha censito il rischio e ha adottato misure di sicurezza adeguate, la sua capacità di gestire l’evento e di riprendere l’operatività in tempi brevi è sicuramente accresciuta. Il ruolo dello Stato sta quindi nel disegnare un quadro strategico e regolamentare che favorisca questo processo, nel guidare il percorso dei soggetti verso la resilienza, nel fornire loro strumenti di conoscenza e consapevolezza, nell’intervenire ovviamente quando l’evento è soverchiante rispetto alle forze dei soggetti colpiti, ma non nel sostituirsi integralmente ad essi nel proteggere la continuità dei loro processi produttivi o dell’erogazione dei servizi da loro offerti. In questo contesto, il ruolo dell’Autorità nazionale competente NIS è di guidare, e dove necessario spingere, i soggetti in un percorso graduale e proporzionato di rafforzamento della loro postura, indicando i presidi necessari di sicurezza informatica per abilitarne la competitività nell’ecosistema digitale moderno.

Se dovessimo rappresentare graficamente questo perimetro cibernetico, coinciderebbe ancora con i confini geografici della Repubblica oppure si estenderebbe molto oltre, seguendo cloud, supply chain, piattaforme digitali, telecomunicazioni, satelliti e servizi tecnologici sui quali poggiano funzioni essenziali del Paese?

Oggi il perimetro della cybersicurezza non coincide più con i confini geografici dello Stato ma si estende ben oltre. L’economia digitale è ormai globale. Per garantire servizi efficienti, resilienti e sostenibili dal punto di vista economico, i dati e le infrastrutture sono distribuiti su scala internazionale. Allo stesso tempo, cittadini e imprese si aspettano di poter utilizzare gli stessi servizi con la medesima esperienza d’uso ovunque si trovino. Questo modello ha prodotto enormi benefici, ma ha anche ampliato in maniera esponenziale la superficie di attacco. Quando parliamo di superficie di attacco, infatti, non ci riferiamo soltanto ai sistemi direttamente esposti su Internet, ma all’intero ecosistema che rende possibile l’erogazione di un servizio: software, infrastrutture cloud, componenti hardware, fornitori di servizi, aggiornamenti, librerie e tutti gli attori della supply chain. Gli episodi degli ultimi anni hanno dimostrato con chiarezza come un incidente che coinvolge un singolo fornitore possa generare effetti a cascata su migliaia di organizzazioni. In alcuni casi, anche servizi essenziali, come quelli aeroportuali, hanno subito gravi interruzioni non perché fossero stati attaccati direttamente, ma perché era stato compromesso un soggetto della loro catena di fornitura. È la dimostrazione di quanto la sicurezza di un sistema dipenda ormai dall’anello più debole dell’intera filiera. Per questo motivo la sicurezza della supply chain è diventata uno dei pilastri della normativa europea. La direttiva NIS2 e il Cyber Resilience Act introducono obblighi sempre più stringenti non solo per gli operatori che erogano servizi essenziali, ma anche per i produttori di tecnologie e per i fornitori che contribuiscono al funzionamento di tali servizi. La sicurezza non può più essere considerata una responsabilità esclusiva del soggetto finale, ma deve essere garantita lungo tutta la filiera. È una sfida complessa, perché richiede capacità tecnologiche, cooperazione internazionale, governance e un quadro regolatorio in continua evoluzione. Ma è anche la direzione inevitabile. In un mondo sempre più interconnesso, la resilienza del sistema Paese dipende dalla capacità di gestire questa complessità e di costruire un ecosistema digitale in cui sicurezza e innovazione procedano di pari passo.

Cybersicurezza nazionale e sovranità tecnologica

Quanto è difficile garantire la sicurezza nazionale quando una parte rilevante delle tecnologie, delle infrastrutture cloud, dei software e delle piattaforme utilizzate dal Paese appartiene a soggetti che operano fuori dai confini italiani? In altre parole, oggi la cybersicurezza nazionale può essere realmente separata dal tema della sovranità tecnologica?

Oggi la cybersicurezza nazionale non può più essere separata dal tema della sovranità tecnologica. La sicurezza informatica, infatti, non consiste soltanto nel prevenire attacchi o contrastare le minacce cibernetiche, ma anche nel garantire la continuità operativa dei servizi essenziali sui quali si fondano l’economia, la pubblica amministrazione e la vita dei cittadini. La disponibilità di un servizio è essa stessa un requisito di sicurezza. Un’interruzione, anche in assenza di un attacco informatico, può produrre effetti significativi sul funzionamento del Paese. Per questo motivo è fondamentale interrogarsi sul livello di controllo che abbiamo sulle tecnologie che utilizziamo e sulla capacità di assicurarne il funzionamento nel tempo. La dipendenza da fornitori esterni rappresenta un elemento di rischio che va valutato con grande attenzione. Anche quando infrastrutture e dati sono ospitati sul territorio nazionale, molti componenti critici – software, aggiornamenti, piattaforme cloud, servizi di supporto – dipendono da soggetti esteri. Se, per qualsiasi ragione, venisse meno la disponibilità di questi servizi o degli aggiornamenti di sicurezza, i sistemi potrebbero diventare progressivamente vulnerabili, esponendosi a rischi sempre maggiori. Naturalmente non si tratta di mettere in discussione la collaborazione con partner internazionali, molti dei quali appartengono a Paesi alleati e condividono i nostri valori. Tuttavia, la sicurezza nazionale impone di considerare anche scenari eccezionali, nei quali fattori geopolitici, decisioni commerciali o vincoli normativi potrebbero limitare l’accesso a tecnologie o servizi strategici. La resilienza di un Paese si misura anche dalla sua capacità di continuare a operare in queste condizioni. È proprio per questo che oggi l’Italia e l’Unione europea stanno investendo con decisione nello sviluppo di un’autonomia tecnologica sempre maggiore. L’obiettivo non è perseguire un’impossibile autosufficienza, ma costruire un ecosistema industriale e tecnologico più solido, capace di offrire alternative affidabili nei settori strategici, ridurre le dipendenze critiche e rafforzare la capacità del Paese di governare le proprie infrastrutture digitali.