Cyberdifesa incompiuta

Bastano due date per capire il paradosso della sicurezza italiana. Il 17 novembre 2025 Guido Crosetto presentò al Consiglio supremo di difesa un documento sulla guerra ibrida: non basta reagire agli attacchi, bisogna prevenirli. Quasi un anno dopo, tra frigoriferi manomessi, falsi allarmi bomba e dati personali diffusi sul dark web, il ministro torna a chiedere una strategia. Una risposta legislativa, però, non è ancora diventata legge.

Il disegno di legge non è, a rigore, fermo al Senato da un anno: approvato dal Consiglio dei ministri ad agosto, è stato depositato il 10 settembre ed è all'esame della commissione Esteri e Difesa. Da un anno, però, è nota la diagnosi che dovrebbe giustificarne l'urgenza. Il punto politico è la distanza tra la diagnosi e gli strumenti per affrontarla.

Il testo di Crosetto, quindici articoli, risponde a una domanda: chi fa che cosa quando il campo di battaglia è una rete? L’articolo 7 definisce lo spazio cyber della Difesa: dati, reti, sensori e sistemi di controllo dei mezzi militari. Il ministro deve individuarlo e aggiornarlo. Il capo di Stato maggiore della Difesa diventerebbe l’autorità cyber militare, responsabile del personale, della protezione delle reti e delle operazioni difensive, anche all’estero. Restano ferme le competenze delle altre strutture dello stato.

Non è soltanto una questione di organigrammi. Il provvedimento rinomina il reparto informazioni e sicurezza dello Stato maggiore in Comando interforze Cyber-Intel e istituisce un centro per addestrare le Forze armate al contrasto delle minacce ibride. Introduce il brevetto di “Specialista Cyber Militare”, formazione, cinque anni aggiuntivi di servizio e incentivi per trattenere professionalità richieste anche dai privati. Il fondo per gli incentivi cyber parte da circa 1,6 milioni nel 2027 e cresce negli anni successivi. Secondo le stime riportate dall’Ansa, si punta ad arrivare a circa 1.200 specialisti.

“Il punto non è soltanto riconoscere che la guerra ibrida esiste. È decidere quanto tempo possiamo permetterci di perdere dopo averlo riconosciuto”.

Il ddl non impedirà da solo il sabotaggio di un frigorifero. La sicurezza delle reti civili coinvolge altre autorità, a cominciare dall’Agenzia per la cybersicurezza nazionale, e il testo non introduce un’autorizzazione generale al contrattacco. Esistono già strutture e una legge di rafforzamento della cybersicurezza, approvata nel 2024. Ma proprio per questo il nuovo testo va giudicato per ciò che promette davvero: rendere più chiara, stabile e professionale la componente militare della difesa digitale.

Gli attacchi della settimana interrogano la capacità dello stato di costruire una risposta prima del prossimo vertice d'emergenza. Se la guerra ibrida è permanente, anche il calendario delle risposte deve essere chiaro. In Senato si ipotizza un voto a dicembre. Sarebbe un passaggio, non il traguardo: dopo la legge serviranno decreti attuativi, formazione, organizzazione delle unità e risorse. E resterà aperto il coordinamento tra Difesa, intelligence, Interno e Agenzia nazionale. Non sono dettagli burocratici: definiscono chi interviene, con quali poteri e con quali mezzi.

La politica non può dire di essere stata colta di sorpresa. Il ministro competente aveva descritto le vulnerabilità con largo anticipo. La maggioranza ha poi adottato un progetto che riconosce la necessità di cambiare. Metterlo in pratica, e misurare i risultati invece di limitarsi a convocare riunioni dopo gli incidenti, è il banco di prova che viene adesso. Perché la differenza tra una strategia e un allarme è semplice: la prima produce strumenti prima che arrivi il prossimo attacco.