Cyber sicurezza, cosa prevede il piano Ue e perché l’Italia è in ritardo

L’Europa è finita nel mirino di una serie di attacchi informatici e falsi allarmi che nelle ultime settimane ha colpito i servizi essenziali di diversi Paesi, inclusa l’Italia. Sono stati violati i frigoriferi di supermercati e banche del sangue, scuole e aeroporti sono stati evacuati a causa di finti allarmi bomba ricevuti via mail e decine di voli sono stati costretti ad atterraggi di emergenza scortati da caccia militari. Gli Stati dell’Ue, che hanno subito gravi disagi e perdite stimate in decine di milioni di euro, sono in stato di massima allerta (The Independent). Le principali agenzie di intelligence europee ritengono che la Russia sia il responsabile più probabile e che questi episodi si inseriscano nella crescente campagna di guerra ibrida condotta dagli agenti del Cremlino in Europa (Ft+). Mentre la Francia sospetta il Corpo delle Guardie della Rivoluzione Islamica (Le Monde). Tuttavia, le indagini sono ancora in corso e potrebbero richiedere molto tempo o non giungere a una conclusione certa.

Intanto, gli attacchi e le minacce hanno mostrato quanto sistemi digitali e servizi quotidiani siano interdipendenti e vulnerabili. E quanto il continente sia impreparato nell’affrontare questi pericoli. L'Ue ha costruito una rete di norme e strumenti comuni per la sicurezza, ma la loro applicazione procede a velocità diverse. Già a ottobre, prima dell’ondata di attacchi, la scoperta di gravi vulnerabilità nel linguaggio di programmazione PHP aveva spinto le amministrazioni pubbliche di diversi Paesi europei a sospendere preventivamente alcuni siti e servizi (Reuters). 

Quali sono le principali misure Ue per la cybersicurezza?

Non esiste un unico provvedimento che copra tutte le minacce. Uno dei pilastri è la direttiva NIS2, applicabile dall'ottobre 2024, che impone misure di sicurezza informatica ai soggetti di settori economici e infrastrutture critiche. Non tutti gli Stati membri, però, l'hanno ancora recepita.

C’è poi il Cyber Solidarity Act, entrato in vigore nel febbraio 2025, che punta a rafforzare la capacità europea di individuare le minacce, prepararsi agli incidenti e rispondere alle emergenze. Prevede un sistema europeo di allerta, un meccanismo per le emergenze informatiche e una riserva Ue di cybersicurezza. L'obiettivo è facilitare lo scambio di informazioni e l'assistenza tra Paesi, particolarmente importanti quando un attacco attraversa più confini (Euronews).

Un terzo tassello è composto dal Cyber Resilience Act, approvato nel 2024, che introduce requisiti obbligatori di sicurezza per software e dispositivi con elementi digitali connessi, lungo l'intero ciclo di vita. Le disposizioni principali sulla conformità, però, si applicheranno da dicembre 2027. Il regolamento prevede anche obblighi di segnalazione per accelerare il coordinamento su vulnerabilità e incidenti. I prodotti conformi recheranno la marcatura CE e  per le violazioni più gravi sono previste sanzioni fino a 15 milioni di euro o al 2,5% del fatturato globale annuo del produttore. Infine, sono previste misure specifiche per microimprese, Pmi e start-up.

In Italia, il decreto legislativo di adeguamento alle regole europee individua nell'Agenzia per la cybersicurezza nazionale l'autorità per la notifica degli organismi di valutazione della conformità e per la vigilanza del mercato, in coordinamento con altre autorità competenti. Il testo del decreto legislativo attuativo per allineare la normativa italiana al Cyber Resilience Act, però, è ancora nel percorso parlamentare (Il Sole 24 Ore).

Perché l'Europa fatica a rispondere alla guerra ibrida?

Le norme sulla cyber sicurezza dei prodotti e delle infrastrutture non esauriscono il problema delle operazioni ibride, che possono combinare sabotaggi, disinformazione, minacce e incursioni informatiche. Già nel 2016, l'Ue aveva delineato un quadro di contrasto alla guerra ibrida, da cui è scaturita anche la creazione a Helsinki di un centro di competenza che coinvolge esperti europei e Nato. Secondo Repubblica★, però, la costruzione di una risposta operativa unitaria è rimasta incompleta, anche perché gli Stati conservano competenze nazionali sulla sicurezza e sulla Difesa.

Un altro fattore di complessità è legato alla diffusione dell’intelligenza artificiale: un’arma a doppio taglio che crea opportunità sia per una migliore difesa sia per nuovi attacchi. Da un lato, l’AI può essere usata per individuare in modo proattivo le vulnerabilità e porvi rimedio in meno tempo, prima che vengano sfruttate. Ad esempio, le vulnerabilità del linguaggio di programmazione PHP delle amministrazione pubbliche europee, che erano rimaste nascoste per anni, sono state individuate anche grazie a strumenti di intelligenza artificiale. Dall’altro, però, l’AI può essere impiegata dagli hacker proprio come strumento per cercare vulnerabilità su larga scala e potenziare ulteriormente gli arsenali a disposizione dei criminali informatici.

Infine, secondo l’ultimo report dell'agenzia europea Enisa, un altro limite è legato alla mancanza di personale qualificato: in un'indagine del 2025, il 45% delle organizzazioni intervistate dichiarava difficoltà nel trovare specialisti con competenze adeguate.

Come si stanno preparando gli altri Paesi europei?

Sul fronte militare, Francia e Germania hanno istituito già nel 2017 comandi specializzati nella dimensione cyber. Il Comcyber francese conta oggi circa 5 mila addetti; il comando tedesco per lo spazio cyber e informativo ne ha circa 15.800. Anche Spagna, Polonia ed Estonia dispongono di strutture militari dedicate.

Alcuni governi si sono mossi anche per preparare i cittadini alle interruzioni dei servizi essenziali. In ottobre il governo britannico ha pubblicato una guida che invita le famiglie a conservare acqua, alimenti non deperibili, torce, batterie, radio, contanti e documenti per affrontare almeno tre giorni di interruzione dei servizi. Tuttavia, non è stata data molta enfasi alla campagna, per timore di trasmettere un messaggio allarmistico (Bloomberg).

Anche altri Paesi europei, tra cui Francia, Germania e Paesi nordici hanno diffuso indicazioni per conservare scorte utili durante le emergenze. Il messaggio lanciato è che non sono esclusivamente misure anti-hacker: l'iniziativa risponde a rischi e crisi di diversa origine, incluse le emergenze climatiche. E che anche le famiglie possono contribuire alla resilienza nazionale, senza alimentare acquisti dettati dal panico (Guardian).

A che punto è la cyber-difesa italiana?

In Italia la pressione è già misurabile: i cyber attacchi sono passati dai 2.729 registrati nell'intero 2025 ai 3.271 dei primi nove mesi del 2026. Dopo i falsi allarmi bomba, gli attacchi alla refrigerazione e le notizie infondate su un presunto furto di fascicoli della Direzione investigativa antimafia, il ministro dell'Interno Matteo Piantedosi ha riunito il Comitato nazionale per l'ordine e la sicurezza pubblica. Il Viminale ha indicato la necessità di rafforzare il coordinamento tra forze di polizia, intelligence, Acn e operatori pubblici e privati. L'ipotesi è che questi episodi mirino deliberatamente a destabilizzare e a danneggiare la reputazione delle istituzioni (Il Manifesto★).

La discussione si sta concentrando soprattutto sulle capacità operative delle Forze armate. Già nel novembre 2025 il ministro della Difesa Guido Crosetto aveva proposto di passare da un'impostazione prevalentemente contenitiva a una più attiva, con personale militare e specialisti civili. Un disegno di legge, ora all'esame del Senato, mira a riorganizzare le competenze e introdurre la qualifica di specialista cyber e incentivi per il personale. Il problema è l’arco di tempo previsto per la riforma: la forza di circa 1.200 addetti prevista dal testo sarà a pieno regime solo nel 2036, tra dieci anni.

Resta anche il nodo dei finanziamenti. Il Documento programmatico pluriennale della Difesa, che dovrebbe dettagliare investimenti e coperture, risultava ancora in elaborazione all'inizio di novembre, nonostante la scadenza annuale sia ad aprile. Senza quel quadro non è possibile stabilire quante risorse saranno destinate al rafforzamento della componente cyber. È qui che si misura la distanza tra le nuove regole europee, le strutture già operative in altri Paesi e i tempi della risposta italiana (Quotidiano Nazionale★).