Il riassetto della cybersicurezza italiana non può ridursi a una contesa tra competenze civili, Difesa e intelligence. L’ACN deve evolvere senza perdere funzioni tecniche, rafforzando fiducia del mercato, prossimità alle imprese e capacità di risposta concreta alle minacce diffuse.
La recente nomina ai vertici dell’Agenzia per la cybersicurezza nazionale (ACN) segna un punto di svolta non solo gestionale, ma profondamente strategico per il futuro digitale del Paese.
Dopo la stagione fondativa guidata da un professore ordinario, necessaria per disegnare l’architettura scientifica e normativa dell’ente, e una successiva fase di consolidamento istituzionale e amministrativo affidata a un prefetto, l’arrivo di un manager di chiara estrazione industriale e tecnologica come Andrea Quacivi traccia una rotta precisa.
Questa transizione verso una guida aziendale coincide con un vivace dibattito attorno a un possibile riassetto del comparto cyber italiano. Il rischio concreto, tuttavia, è che il confronto si polarizzi attorno a una logica di pura redistribuzione di competenze e confini di potere tra il comparto civile, il ministero della Difesa e l’intelligence.
Il modello cibernetico europeo e le lezioni internazionali
La cybersicurezza moderna non può essere trattata come una torta da spartire: essa richiede un ecosistema integrato in cui ogni attore agisca come moltiplicatore di forza e nessuno venga indebolito. Per ispirare la nuova fase evolutiva dell’ACN, è dunque fondamentale superare i conflitti di attribuzione e guardare alle migliori pratiche internazionali, estraendone gli elementi più adatti al nostro tessuto economico e costituzionale.
Nel panorama occidentale si osserva una netta linea di demarcazione tra la filosofia continentale e l’approccio anglosassone. L’asse formato da Francia e Germania ha blindato un modello civile e iper-tecnico, rigorosamente indipendente dalle forze armate e dai servizi segreti per quanto concerne la resilienza domestica.
Agenzie come l’ANSSI francese o il BSI tedesco garantiscono la massima trasparenza con il mercato privato, poiché le aziende sanno di poter collaborare e notificare gli incidenti senza il timore che i propri log aziendali o segreti industriali vengano assorbiti da logiche di segretezza militare o di intelligence. In questi paesi, la difesa delle reti militari e le operazioni offensive sono nettamente separate e affidate a comandi specifici, quali il COMCYBER francese e il comando CIR tedesco, operanti prevalentemente in contesti internazionali o bellici.
Al contrario, il Regno Unito ha adottato un modello totalmente integrato e guidato dall’intelligence, in cui il National Cyber Security Centre (NCSC) è una branca del GCHQ, l’agenzia di spionaggio elettronico.
Sebbene questo consenta una straordinaria reattività tecnica, si tratta di un approccio difficilmente mutuabile nel contesto italiano, poiché la fusione tra supporto civile e apparati di sicurezza interna (oltre ad essere un passo indietro di anni) solleverebbe alcuni punti di attenzione, tra cui la fiducia da parte del mercato privato. Esiste però un pilastro del modello britannico da cui è possibile attingere, ovvero il programma di Active Cyber Defence.
Le lezioni degli Stati Uniti
Mentre in Italia ci siamo concentrati sul calcio e sul filtering delle partite, in UK, attraverso collaborazioni automatizzate con i provider di telecomunicazioni, lo Stato blocca le minacce com’è phishing e malware direttamente alla radice, protendendo capillarmente cittadini e piccole e medie imprese senza intasare l’agenzia centrale.
Negli Stati Uniti, questo dualismo viene specializzato affiancando alla CISA, agenzia civile per la protezione delle infrastrutture commerciali, la potenza estera della NSA e del Cyber Command, i quali declassificano costantemente i dati d’intelligence per metterli a disposizione del sistema civile.
L’attuale modello italiano si ispira parzialmente alla linea transalpina, avendo originariamente istituito l’ACN proprio per separare la prima linea della resilienza cibernetica dalle attività propriamente informative degli apparati di intelligence. Tuttavia, l’architettura nazionale sconta ancora evidenti elementi di immaturità strutturale. Il rischio paventato da alcune ipotesi di riassetto è quello di accentrare la componente tecnico-operativa sotto stringenti regimi di segretezza e a ridosso del comparto militare, riducendo l’ACN a una grande autorità di regolazione, vigilanza, sanzioni e produzione di carte bollate.
Un simile scenario finirebbe per indebolire il Paese a causa di un profondo cortocircuito tra percezione, comunicazione e politica.
All’esterno, l’Agenzia si trova oggi intrappolata in un delicato paradossod’immagine: l’opinione pubblica e i media tendono spesso a metterne in discussione l’efficacia in occasione di incidenti informatici che colpiscono realtà locali o periferiche (come l’attacco ai danni degli Uffizi di Firenze), addebitandone la colpa alla struttura centrale.
Si tratta di un fraintendimento evidente, poiché l’ACN nasce con il mandato chiaro e circoscritto di proteggere il perimetro di sicurezza nazionale cibernetica e le infrastrutture critiche vitali per lo Stato, e non come presidio di pronto intervento per ogni singola entità del territorio. Questa distorsione dimostra che lo storytelling istituzionale è stato finora gestito in modo non ottimale, alimentando un’aspettativa errata sulle reali competenze dell’ente e lasciando l’Agenzia esposta a critiche improprie.
A questa asimmetria comunicativa si aggiunge il fatto che l’ente è stato talvolta percepito più per le sue eccezionali condizioni di trattamento economico e di reclutamento che per la sua effettiva vicinanza operativa al territorio, laddove strutture preesistenti come il CERT-AGID venivano vissute dagli operatori come molto più prossime alle esigenze concrete delle amministrazioni locali e del tessuto produttivo.
Inoltre, concentrarsi sulle sole faide interne non risolve il nodo della reale sovranità digitale. Senza una forte autonomia tecnologica e industriale, l’Italia rimarrà comunque dipendente dallo schema globale di diffusione e dalle lenti strategiche di partner esteri come la CISA statunitense.
Questo quadro di tensione si riflette direttamente sul tessuto industriale. All’interno dei Consigli di Amministrazione delle aziende italiane si lamenta da tempo una crescente ed eccessiva burocrazatizzazione (e ipernormazione) della sicurezza informatica. Il rischio di questa deriva diventa evidente analizzando la genesi tecnica delle recenti determinazioni dell’Agenzia in materia di misure di sicurezza.
Il recepimento normativo degli obblighi legati alla direttiva NIS2 ha visto l’adozione del Framework nazionale