Il PNRR ha finanziato la cyber sicurezza. Ora viene la parte difficile

Negli ultimi anni abbiamo assistito a una successione di trasformazioni che hanno modificato profondamente il contesto nel quale operano istituzioni, imprese e cittadini. La pandemia ha evidenziato la fragilità di filiere che consideravamo consolidate. Le tensioni geopolitiche hanno riportato al centro il tema delle dipendenze strategiche e della sicurezza delle infrastrutture. L’accelerazione dell’intelligenza artificiale sta ridefinendo processi produttivi, modelli organizzativi e modalità decisionali. Nel frattempo, l’evoluzione del quadro regolatorio europeo sta introducendo nuove responsabilità e nuove aspettative rispetto alla gestione del rischio digitale.

Si tratta di fenomeni molto diversi tra loro, ma accomunati da una caratteristica fondamentale: mostrano quanto sia diventato difficile separare la dimensione tecnologica da quella economica, istituzionale e sociale. Le innovazioni digitali non producono effetti soltanto sui sistemi informativi. Modificano il funzionamento dei mercati, influenzano le decisioni delle organizzazioni e ridefiniscono il perimetro delle responsabilità pubbliche e private.

Mythos e la BCE: quando la cybersicurezza diventa questione di stabilità finanziaria

Da questo punto di vista, uno degli episodi più significativi delle ultime settimane è stato il dibattito sviluppatosi attorno a Mythos, il sistema di intelligenza artificiale analizzato dalla Banca Centrale Europea per le sue potenziali implicazioni nel dominio della cybersecurity. L’aspetto più interessante non riguarda tanto la tecnologia in sé, quanto il soggetto che decide di occuparsene. La BCE non è un’autorità di cybersicurezza né un centro di ricerca sull’intelligenza artificiale. È un’istituzione che si occupa di stabilità finanziaria, vigilanza e funzionamento dei mercati.

Il fatto che una banca centrale ritenga necessario comprendere le implicazioni di un’applicazione di AI generativa nel campo della sicurezza digitale ci restituisce un messaggio molto chiaro: la digitalizzazione sicura non riguarda più soltanto gli specialisti della tecnologia. Riguarda sempre più economisti, giuristi, regolatori, autorità di vigilanza, manager e decisori pubblici. In altre parole, riguarda tutti coloro che devono comprendere come l’innovazione tecnologica possa influenzare il funzionamento di organizzazioni, infrastrutture e istituzioni.

La cybersicurezza come lente sulle interdipendenze sistemiche

È in questo quadro che la cybersicurezza assume un significato più ampio rispetto alla sola protezione di reti, sistemi e dati. La cybersicurezza diventa una lente attraverso cui osservare le interdipendenze che collegano infrastrutture fisiche e digitali, organizzazioni pubbliche e private, innovazione tecnologica e stabilità economica. E proprio per questo motivo emerge una questione che appare sempre più centrale: la capacità di preparazione.

Per capacità di preparazione non intendo semplicemente la disponibilità di strumenti o procedure. Intendo la capacità di sviluppare competenze prima che siano necessarie, costruire relazioni di fiducia tra attori diversi, elaborare scenari plausibili, sperimentare nuove soluzioni e creare meccanismi di coordinamento in grado di funzionare anche quando il contesto cambia rapidamente. In un ambiente caratterizzato da crescente complessità, il vantaggio competitivo di un’organizzazione, di un settore o di un Paese dipende sempre meno dalla capacità di prevedere il futuro e sempre più dalla capacità di prepararsi a futuri diversi.

PNRR e Cyber 4.0: i numeri di una mobilitazione sistemica

È in questa prospettiva che può essere letta anche l’esperienza maturata attraverso il PNRR. In occasione del Forum Cyber 4.0, svoltosi presso la Luiss il 3 e 4 giugno scorso, il Direttore Operativo di Cyber 4.0, Matteo Lucchetti, ha presentato un bilancio dei programmi realizzati negli ultimi anni a sostegno della maturità cyber del sistema produttivo italiano. I numeri raccontano una mobilitazione significativa dell’ecosistema: quasi 1.000 candidature raccolte, oltre 450 organizzazioni supportate, più di 900 servizi erogati e circa 14,6 milioni di euro di interventi attivati, con oltre 11 milioni di euro trasferiti direttamente alle imprese beneficiarie.

Attraverso ulteriori 5 milioni di euro di co-finanziamenti, il Centro ha poi sostenuto progetti di ricerca industriale e sviluppo sperimentale, operando come centro di trasferimento tecnologico per la validazione e l’industrializzazione di soluzioni cyber innovative ad alto livello di maturità. L’impatto generato non riguarda soltanto le imprese beneficiarie, ma si estende all’intero ecosistema nazionale grazie alla creazione di nuove tecnologie e nuove competenze, ma anche nuove collaborazioni tra imprese e ricerca, in grado di generare innovazione continua e diffonderla nel tessuto produttivo italiano.

Vulnerabilità organizzative e crescita della consapevolezza

Tuttavia, il dato forse più interessante emerso dalle analisi presentate non riguarda soltanto il volume delle attività realizzate. Le valutazioni effettuate sulle organizzazioni coinvolte hanno evidenziato come molte vulnerabilità derivassero non tanto dall’assenza di tecnologie, quanto da carenze nei processi di governance, nella gestione del rischio, nella definizione delle responsabilità e nella preparazione organizzativa. Allo stesso tempo, le imprese coinvolte hanno riconosciuto tra i principali benefici ottenuti non solo il rafforzamento tecnologico, ma anche una crescita della consapevolezza, delle competenze e della capacità di affrontare in modo strutturato le sfide della sicurezza digitale.

Sarebbe quindi riduttivo leggere questi risultati esclusivamente attraverso una lente quantitativa. Il contributo più importante del PNRR risiede probabilmente nella costruzione di relazioni, competenze e capacità che continueranno a produrre effetti ben oltre la conclusione dei programmi straordinari di investimento. Se la sicurezza digitale è sempre più una questione di preparazione, allora il principale risultato di questa esperienza non è rappresentato soltanto dalle tecnologie adottate o dai finanziamenti erogati, ma dalla costruzione di una capacità collettiva che consente a soggetti diversi di affrontare insieme trasformazioni future.

Infrastrutture critiche e spazio: la sicurezza come progetto condiviso

La costruzione di questa capacità richiede tuttavia luoghi di confronto e strumenti capaci di mettere in relazione competenze differenti. In questo senso, uno dei temi più significativi emersi durante il Forum ha riguardato le infrastrutture critiche. La crescente interdipendenza tra sistemi energetici, telecomunicazioni, infrastrutture digitali, servizi essenziali e nuovi domini strategici rende sempre più importante la definizione di modelli condivisi di sicurezza e resilienza. In tale contesto ha assunto particolare interesse il framework di cybersicurezza per le infrastrutture spaziali illustrato dal Comando per le Operazioni in Rete. Lo spazio è ormai una componente essenziale del funzionamento di numerosi servizi civili, economici e istituzionali e rappresenta un esempio concreto di come la sicurezza debba essere progettata attraverso il contributo coordinato di competenze tecnologiche, organizzative e regolatorie.

Intelligenza artificiale e preparazione: simulazioni, scenari, decisioni

Una riflessione analoga riguarda l’intelligenza artificiale. Se da un lato essa introduce nuove sfide, dall’altro può diventare uno strumento fondamentale per rafforzare la capacità di preparazione. La possibilità di utilizzare l’AI per costruire simulazioni, esercitazioni e scenari complessi apre prospettive particolarmente interessanti per la formazione, la pianificazione e il supporto ai processi decisionali. Affinché questo potenziale possa essere pienamente valorizzato, è però necessario che tali strumenti vengano sviluppati attraverso il contributo di una pluralità di attori, integrando competenze tecniche, operative, organizzative e istituzionali. Anche in questo caso, il valore non risiede soltanto nella tecnologia, ma nella qualità delle relazioni e delle conoscenze che ne guidano lo sviluppo e l’utilizzo.

Apertura e riservatezza: condizioni complementari per la cooperazione

In questo quadro assume rilievo anche il rapporto tra apertura e riservatezza. La crescita dell’ecosistema cyber richiede collaborazione, condivisione delle conoscenze e confronto continuo. Allo stesso tempo, il corretto funzionamento delle istituzioni democratiche e dei sistemi di sicurezza richiede la capacità di proteggere informazioni sensibili e di preservare spazi dedicati all’approfondimento di questioni particolarmente delicate. Più che principi contrapposti, apertura e riservatezza rappresentano condizioni complementari che devono essere bilanciate per favorire la fiducia e l’efficacia della cooperazione. La costruzione di una capacità nazionale di preparazione dipende anche dalla capacità di gestire correttamente questo equilibrio.

Forum Cyber 4.0: sovranità tecnologica come capacità di cooperazione

È probabilmente questa la riflessione più importante emersa dal Forum Cyber 4.0 che ha visto la partecipazione di circa 500 rappresentanti di istituzioni, università, centri di ricerca, imprese e organizzazioni internazionali. La prima giornata è stata dedicata principalmente ai risultati raggiunti grazie agli investimenti realizzati negli ultimi anni nel campo della cybersicurezza, evidenziando il contributo fornito allo sviluppo dell’ecosistema nazionale dell’innovazione, della ricerca e del trasferimento tecnologico. La seconda giornata ha invece spostato l’attenzione sulle iniziative di cyber capacity building e sulla cooperazione internazionale, mettendo in evidenza come la sovranità tecnologica non possa più essere interpretata esclusivamente come controllo delle tecnologie, ma anche come capacità di costruire competenze, fiducia e relazioni di cooperazione tra Paesi e organizzazioni.

L’eredità del PNRR: preparazione, filiera e competitività europea

Se il PNRR ha lasciato un’eredità, questa non consiste soltanto nelle risorse investite o nelle infrastrutture realizzate. Consiste soprattutto nella possibilità di continuare a sviluppare una capacità nazionale di preparazione attraverso il trasferimento tecnologico e di conoscenze. Un governo adeguato di questi processi consentirà alle imprese di affrontare simultaneamente le sfide della trasformazione digitale, della digitalizzazione sicura e della compliance normativa, e contribuirà allo sviluppo di una filiera nazionale della cybersecurity più autonoma, resiliente e competitiva a livello europeo e internazionale. È questa la sfida che accompagnerà il lavoro di Cyber 4.0 nei prossimi anni, nei domini dello spazio e della difesa, delle tecnologie underwater, dell’intelligenza artificiale, della sicurezza sul lavoro e delle tecnologie quantistiche. Ambiti diversi, ma accomunati dalla stessa esigenza: costruire le condizioni affinché innovazione, sicurezza e sviluppo possano procedere insieme.