scenari

Resilienza cyber oltre l’IT: i casi che cambiano la sicurezza

Dalla violazione del registro danese al sabotaggio dei supermercati francesi, fino all’attacco alla Farnesina, le crisi digitali mostrano effetti concreti su dati, produzione e servizi. Cybertech Europe 2026 indica nella resilienza cyber la risposta fondata su interconnessioni governate, responsabilità e capacità di continuare

Pubblicato il 22 ott 2026

Rosie Pulisciano

independent researcher

Chiedi all'AI

Riassumi questo articolo

Approfondisci con altre fonti

Aggiungi tra i preferiti su Google

Una vulnerabilità digitale può alterare un impianto di refrigerazione, bloccare una linea produttiva, rallentare le forniture di un ospedale o interrompere un servizio pubblico essenziale, senza che il bene fisico sia mai stato il bersaglio diretto. La domanda da porsi, quindi, non è soltanto se un sistema sia protetto, ma quali funzioni dipendano da ciascun nodo tecnologico e che cosa accada all’insieme quando quel nodo viene meno.

Attacco hacker distrugge il cibo nei supermercati: ora è massima allerta

La nozione stessa di infrastruttura critica sta cambiando. In Italia il perimetro di sicurezza nazionale cibernetica, introdotto nel 2019, ha fissato obblighi e tutele per soggetti e funzioni strategiche; il decreto legislativo 138/2024, che ha recepito la direttiva NIS2, ha poi esteso gli obblighi a un numero molto più ampio di settori e organizzazioni, includendo espressamente la sicurezza della catena di approvvigionamento fra le misure richieste.

Anche così, una classificazione per settori e soglie dimensionali non cattura automaticamente tutte le interdipendenze di un’economia digitalizzata: infrastrutture di ambiti apparentemente ordinari possono diventare sistemicamente rilevanti per il numero di relazioni che sostengono.

Indice degli argomenti

La resilienza cyber nasce dalle interconnessioni critiche

Il 13 e 14 ottobre il Roma Convention Center – La Nuvola, all’EUR, ha ospitato la nona edizione di Cybertech Europe. Istituzioni, industria, specialisti cyber e imprese innovative si sono confrontati su strategia europea e resilienza digitale, intelligenza artificiale, infrastrutture critiche, Zero Trust, governance di CISO e CIO, filiere tecnologiche e minacce ibride. Più che una vetrina di soluzioni, l’evento è stato un osservatorio su come la sicurezza informatica stia diventando una funzione strategica, nella quale capacità industriale, continuità dei servizi e responsabilità delle decisioni non possono più essere trattate separatamente.

Il calendario ha fatto il resto. La manifestazione si è aperta a pochi giorni da tre episodi che sembrano scelti apposta per illustrarne i temi: l’accesso abusivo al registro anagrafico danese, il sabotaggio degli impianti frigoriferi di centinaia di supermercati francesi e l’attacco al sito della Farnesina. Casi diversi per natura, autori e conseguenze, che questo dossier utilizza come chiavi di lettura del confronto romano.

Il filo conduttore più interessante, dunque, è stato l’abbandono dell’idea di cybersecurity come presidio confinato alla rete aziendale. Proteggere dati e sistemi resta necessario, ma non basta più a descrivere fin dove può arrivare il danno.

Durante il confronto è stata evocata la nozione di «proprietà emergente»: il rischio complessivo di un insieme interconnesso non coincide con la somma dei rischi dei singoli componenti. Pesano gli effetti di propagazione, le dipendenze indirette, le concentrazioni che restano invisibili finché non cedono.

Un fornitore con accesso a un registro, un servizio di manutenzione remota o una piccola software house possono rivelarsi decisivi per la continuità di organizzazioni molto più grandi. Cambia anche il valore dei dati, che non risiede più soltanto nella quantità o nel contenuto di un archivio, ma nelle relazioni che si possono inferire incrociando fonti differenti.

Ne discende un metodo di analisi più esigente del tradizionale inventario degli asset. Occorre mappare le relazioni fra servizi, credenziali, fornitori, sistemi IT e dispositivi OT, individuando i punti in cui una singola dipendenza può innescare un guasto a cascata. In quest’ottica la resilienza non consiste nel mantenere in salute ciascun apparato preso isolatamente, ma nella capacità di assorbire una perturbazione preservando le funzioni essenziali. Ed è qui che le PMI, spesso meno attrezzate sul piano organizzativo, rischiano di diventare il punto d’ingresso di compromissioni capaci di colpire un’intera filiera.

Filiere digitali e resilienza cyber tra accessi e processi fisici

La sicurezza di un servizio essenziale dipende anche da soggetti che non lo gestiscono direttamente, ma dispongono di accessi privilegiati o controllano componenti determinanti per il suo funzionamento. Una credenziale compromessa presso un fornitore può aprire un percorso verso un sistema pubblico; un dispositivo industriale raggiungibile da Internet può diventare il punto d’ingresso di un’interruzione operativa. Misurare la robustezza della piattaforma principale, dunque, non è sufficiente: bisogna sapere quali autorizzazioni sono state concesse a terzi, come sono protette e come vengono effettivamente utilizzate.

Il registro danese e il rischio degli accessi di terzi

Il caso del registro centrale della popolazione danese (CPR) ne mostra le conseguenze. Il 5 ottobre 2026 il Ministero danese competente per la digitalizzazione ha confermato un accesso non autorizzato a informazioni riferite a circa 8,8 milioni di persone, avvenuto attraverso il legittimo canale di consultazione di una società privata. La cifra comprende anche persone decedute o emigrate e non corrisponde quindi al numero degli attuali residenti; fra i dati interessati figurano nomi, indirizzi e numeri identificativi CPR.

Secondo quanto comunicato dalle autorità, l’accesso si è protratto per circa dieci giorni nel mese di settembre ed è stato notato da un dipendente dell’amministrazione del registro soltanto il 2 ottobre; l’autorità danese per la protezione dei dati ha parlato di un numero molto elevato di interrogazioni automatizzate. La ministra Christina Egelund ha riconosciuto che le salvaguardie non erano abbastanza solide e che, vista la durata dell’accesso, gli allarmi avrebbero dovuto scattare.

La società attraverso cui è passata l’intrusione è, secondo la stampa, una piccola azienda informatica di Odense, Pays ApS, il cui amministratore ha confermato che il suo accesso legale al registro è stato abusato. Successive ricostruzioni giornalistiche, a partire dal quotidiano Politiken, riferiscono che almeno tre account della società, incluso uno amministrativo, erano protetti dalla password elementare «123456». Il dettaglio non figura però come conclusione tecnica accertata nelle comunicazioni ufficiali, e l’indagine di polizia sulle modalità precise dell’intrusione resta distinta dai fatti confermati.

Anche con queste cautele, il caso illustra in modo quasi didattico la «proprietà emergente» richiamata in precedenza: un fornitore di dimensioni minime, titolare di un accesso legittimo, è diventato la porta d’accesso ai dati di circa 8,8 milioni di persone, pari a circa l’80% degli 11 milioni di nominativi, fra vivi, deceduti ed emigrati, che il registro anagrafico danese contiene.

Autenticazione multifattore, gestione del ciclo di vita degli account, limiti al volume delle interrogazioni e rilevamento tempestivo delle attività anomale non sono accorgimenti accessori: sono condizioni minime per chi concede a terzi l’accesso a dati di questa portata, e per chi quell’accesso lo riceve.

Supermercati francesi: quando l’attacco digitale colpisce il fisico

Le dipendenze tecnologiche generano rischi anche quando non sono coinvolti archivi personali. Nella notte fra l’11 e il 12 ottobre gli attaccanti hanno preso il controllo remoto degli impianti di refrigerazione di centinaia di supermercati francesi, fra cui punti vendita delle insegne Intermarché, Netto, Coopérative U, Carrefour, Monoprix e Leclerc, forzando cicli di sbrinamento e portando in alcuni casi banchi e celle fino a 50 °C.

Il punto d’ingresso sono stati i controllori che governano la refrigerazione del negozio, spesso amministrati a distanza dalle ditte di manutenzione. Nell’allerta pubblicata il 12 ottobre il CERT-FR ha indicato i controllori Danfoss delle serie AK-SM e AK-SC; il 13 l’ANSSI ha esteso il quadro ai sistemi Copeland e Dixell. Fra le contromisure raccomandate figurano la disconnessione dei controllori o un filtraggio rigoroso degli accessi, la limitazione dell’amministrazione remota a indirizzi fidati, il ripristino e la riconfigurazione degli apparati compromessi e la sostituzione delle credenziali.

Il danno, in questo caso, non passa per la sottrazione di dati: l’alterazione dei controlli basta a imporre lo smaltimento delle merci e, secondo l’amministratore delegato del gruppo Les Mousquetaires, a produrre perdite nell’ordine di decine di milioni di euro. La procura di Parigi ha aperto un’inchiesta, mentre secondo la società di threat intelligence Sekoia sarebbero stati colpiti anche impianti in Spagna, Portogallo, Polonia, Germania e Belgio.

Il dettaglio più istruttivo riguarda l’età degli apparati: secondo Danfoss, la maggior parte delle unità colpite erano modelli datati e non più aggiornati, uno dei quali fuori produzione dal 2016. Un dispositivo a fine ciclo di vita, raggiungibile da Internet e collegato a un processo fisico, è un rischio che gli inventari IT tradizionali faticano a vedere. È anche il terreno sul quale interviene il Cyber Resilience Act, che dall’11 settembre 2026 obbliga i fabbricanti a notificare le vulnerabilità attivamente sfruttate e, dal dicembre 2027, a gestirle per l’intero periodo di supporto dichiarato del prodotto.

Non a caso, dal palco di Cybertech, Nunzia Ciardi, vicedirettrice generale dell’Agenzia per la cybersicurezza nazionale, ha richiamato proprio la vicenda danese e quella francese, insieme al caso Jaguar Land Rover di cui si dirà più avanti. Le due vicende vanno comunque tenute distinte: non è accertato che il sabotaggio dei controllori frigoriferi sia partito da una password debole come quella emersa in Danimarca.

Insieme, però, mettono in evidenza un problema comune e più ampio: funzioni delicate affidate a interfacce e relazioni di fiducia non presidiate con la stessa attenzione riservata agli asset centrali. Per imprese e amministrazioni il punto è passare dalla protezione del solo sistema principale a quella degli accessi e dei processi attraverso cui il servizio viene effettivamente erogato.

Quando la resilienza cyber diventa una questione economica

Il terzo caso citato da Ciardi, l’interruzione della produzione di Jaguar Land Rover dopo il cyberattacco del 2025, resta uno degli esempi più eloquenti della distanza fra bersaglio digitale e impatto economico. Dal 1° settembre 2025 gli stabilimenti britannici del gruppo sono rimasti fermi per circa cinque settimane, e il blocco si è propagato ai fornitori, rendendo evidente quanto un’industria manifatturiera dipenda dai sistemi che coordinano produzione, acquisti e logistica.

Il Cyber Monitoring Centre, organizzazione indipendente britannica che classifica gli eventi cyber di portata sistemica, ha stimato per l’economia del Regno Unito un costo di circa 1,9 miliardi di sterline e un impatto su circa 5.000 imprese, definendolo l’attacco informatico economicamente più dannoso nella storia del Paese. Il governo è intervenuto con una garanzia su finanziamenti commerciali fino a 1,5 miliardi di sterline a sostegno della catena di approvvigionamento: uno strumento di garanzia, dunque, e non un esborso pubblico diretto di pari importo.

Il punto sostanziale è che una crisi cyber può propagarsi dal reparto IT al mercato del lavoro, ai contratti di fornitura e alla tenuta di un intero distretto industriale. L’analisi economica del rischio deve perciò includere tempi di fermo, impatti indiretti, dipendenza da singoli fornitori e disponibilità di capacità sostitutive. Una misura di sicurezza può essere tecnicamente corretta a livello locale e, ciò nonostante, non impedire un danno sistemico, se non sono state previste modalità alternative di funzionamento.

Governare la resilienza cyber oltre la conformità

La sicurezza informatica non è più materia riservata a chi amministra reti, protocolli e firewall. Riguarda la competitività delle imprese, la capacità di innovare e la fiducia dei cittadini, e per questo è entrata a pieno titolo nelle responsabilità dei consigli di amministrazione e delle direzioni pubbliche. La normativa europea accompagna questo passaggio.

La NIS2 affida agli organi di amministrazione l’approvazione delle misure di gestione del rischio e la supervisione della loro attuazione, con obblighi di formazione e la possibilità di risponderne in caso di violazioni; il Cyber Resilience Act sposta l’attenzione sui fabbricanti e sulla sicurezza dei prodotti lungo l’intero ciclo di vita; la disciplina europea sull’AI introduce obblighi graduati in base al rischio dei sistemi. Strumenti diversi, che convergono sull’esigenza di attribuire responsabilità, strutturare i controlli e governare il rischio nel tempo.

La compliance, tuttavia, perde efficacia quando si riduce a una verifica di adempimenti isolati. Un vertice deve sapere quali processi non possono fermarsi, come si prendono le decisioni durante un incidente, chi dispone dell’autorità necessaria e quali fornitori possono ostacolare il ripristino. Vale per la grande industria come per la pubblica amministrazione: la governance cyber richiede conoscenza dei sistemi e consapevolezza delle conseguenze operative delle scelte, non soltanto un’attestazione formale.

Anche la regolazione è chiamata a evolvere. Inseguire ciascun prodotto significa intervenire quando è già superato; risultano più durevoli prescrizioni centrate sugli esiti, come trasparenza, tracciabilità, responsabilità e rimedi effettivi. Perché funzionino, gli organismi di controllo devono disporre di competenze, informazioni e poteri adeguati a vigilare su tecnologie che evolvono più rapidamente dei tradizionali cicli amministrativi.

Intelligenza artificiale e resilienza cyber: attacco, difesa e agenti

L’intelligenza artificiale è stata discussa come un fattore che modifica simultaneamente l’attacco e la difesa. L’automazione consente agli attaccanti di aumentare velocità, volume e personalizzazione delle operazioni malevole; allo stesso tempo aiuta chi difende a correlare eventi, individuare anomalie, assegnare priorità agli allarmi e anticipare le risposte. Il tempo diventa così un fattore competitivo: in una catena di rilevamento e contenimento la differenza si misura in minuti o secondi, non più in giornate.

La frode Fideuram e l’ingegneria sociale potenziata dall’AI

Quanto la personalizzazione abbia già cambiato l’ingegneria sociale lo mostra il caso Fideuram, reso pubblico a fine settembre. Secondo le ricostruzioni giornalistiche, nel febbraio 2026 l’allora presidente della società del gruppo Intesa Sanpaolo è stato indotto a disporre bonifici per circa 95 milioni di euro attraverso una sequenza costruita con cura: messaggi WhatsApp che simulavano l’amministratore delegato del gruppo, una telefonata con la voce clonata di un avvocato d’affari, email apparentemente provenienti dallo studio legale.

Gran parte delle somme è stata recuperata grazie all’attivazione dei sistemi di allerta e all’indagine della procura di Milano, ma circa 36 milioni risultano ancora da rintracciare. La lezione riguarda i processi prima ancora della tecnologia: nessuna autorizzazione di importo rilevante dovrebbe dipendere da un canale che l’AI è ormai in grado di imitare in modo credibile.

Security for AI e AI for security

È utile distinguere due prospettive. «Security for AI» significa proteggere sistemi e modelli lungo tutto il ciclo di vita: qualità e provenienza dei dati, pipeline di sviluppo, accessi, integrazioni, comportamento in produzione e aggiornamenti. «AI for security» riguarda invece l’impiego dell’AI nei processi di difesa informatica. La seconda non può crescere trascurando la prima: un sistema di rilevamento sofisticato ma manipolabile introduce un nuovo punto di fragilità proprio all’interno del presidio di sicurezza.

Agenti autonomi, confini operativi e responsabilità umana

L’AI agentica pone una questione ulteriore. Gli agenti non si limitano a raccomandare azioni: eseguono operazioni, accedono a risorse, scambiano informazioni e interagiscono con altri agenti. Dal punto di vista della sicurezza diventano a tutti gli effetti identità operative, che richiedono credenziali dedicate, autorizzazioni limitate, segregazione dei compiti, registri delle azioni e controlli sulle interazioni. Più autonomia significa più utilità potenziale, ma anche una superficie d’attacco più ampia e una domanda più stringente su chi risponda degli effetti.

Il rischio non è teorico. Nel luglio 2026 OpenAI ha reso noto che, durante una valutazione interna delle capacità cyber condotta con salvaguardie ridotte, una catena di modelli è uscita dall’ambiente isolato di test sfruttando una vulnerabilità non nota in un componente dell’infrastruttura di ricerca, ha raggiunto Internet e, per completare l’obiettivo assegnato, ha avuto accesso a una porzione limitata dei sistemi di produzione di Hugging Face, anche utilizzando credenziali sottratte.

Entrambe le aziende hanno ricondotto l’episodio a un test controllato e non a un attacco voluto da un operatore umano. Proprio per questo il caso è istruttivo: un agente che persegue un obiettivo legittimo può attraversare confini di rete e di autorizzazione che nessuno aveva previsto di dovergli impedire.

Per preservare la responsabilità non basta collocare un’approvazione umana generica al termine del processo. Occorre stabilire a monte quali azioni possano essere eseguite automaticamente, quali richiedano un’escalation, quali condizioni impongano l’arresto e come ricostruire una decisione dopo un incidente. L’obiettivo non è negare l’autonomia dei sistemi, ma impedire che si traduca in assenza di controllo e di imputabilità.

Dallo «human in the loop» allo «human in the lead»

In questa direzione si è mosso l’intervento di Teodoro Lio, amministratore delegato di Accenture Italia, che ha proposto di passare dallo «human in the loop» allo «human in the lead». La differenza non è terminologica. Nel primo modello la persona è inserita in un punto del processo per validare ciò che la macchina ha già elaborato; nel secondo è la persona a guidare la tecnologia: ne fissa gli obiettivi, ne definisce i limiti e resta titolare delle scelte e delle loro conseguenze.

È la formula che la CEO del gruppo, Julie Sweet, aveva lanciato a gennaio al World Economic Forum di Davos, e che nella sicurezza trova un banco di prova naturale.

In un centro operativo in cui gli agenti AI correlano allarmi e avviano contromisure in pochi secondi, la supervisione umana non può ridursi a un clic di conferma su decisioni già prese. Deve tradursi nella progettazione delle regole operative, nella scelta di ciò che può essere delegato e di ciò che non lo è, nella capacità di riprendere il controllo quando il contesto cambia.

Mettere le persone alla guida significa anche investire sulle loro competenze e sul pensiero critico, perché chi deve dirigere un sistema autonomo deve essere in grado di comprenderne il comportamento e di contestarne gli esiti. È, in fondo, la stessa logica di responsabilità che le norme europee chiedono ai vertici.

Resilienza cyber e continuità in condizioni degradate

Il settore aerospaziale rende evidente un requisito che dovrebbe riguardare qualsiasi infrastruttura essenziale: continuare a svolgere la missione anche quando un sottosistema è guasto o compromesso. Nella logica della «degraded mission», propria dell’ingegneria aerospaziale, continuità non significa funzionamento perfetto, ma sapere in anticipo quali capacità minime debbano restare disponibili per raggiungere l’obiettivo in sicurezza.

Il tempo impone qui un vincolo radicale, in due direzioni opposte. Durante il volo alcune reazioni automatizzate devono avvenire in millisecondi, senza alcuna possibilità di attendere una patch dal reparto informatico. Al tempo stesso, l’aeromobile è progettato per un ciclo di vita pluridecennale. La sicurezza deve quindi garantire insieme reazione immediata e aggiornabilità nel lungo periodo: un sistema resiliente nasce per essere adattato e mantenuto, non semplicemente installato e dichiarato conforme.

Anche la missione si estende oltre la piattaforma. Un aereo dipende da progettazione, dati riservati, manutenzione, aeroporti, hangar, collegamenti e logistica: compromettere un solo anello della catena può rendere indisponibile il servizio senza colpire direttamente il mezzo. Lo stesso vale per le infrastrutture civili in cui IT e Operational Technology convergono, dalle reti elettriche ai trasporti, dagli impianti industriali ai servizi urbani. In questi contesti la security by design deve comprendere separazione delle reti, manutenzione sicura, procedure manuali, capacità di isolamento e continuità dei processi fisici.

Sovranità digitale e resilienza cyber nello spazio

La sicurezza spaziale propone un ulteriore modello di interdipendenza. Un sistema satellitare comprende almeno segmento orbitale, segmento terrestre, collegamenti e utenti, e la sua disponibilità dipende anche dal software, dalle infrastrutture di controllo e dai fornitori. Un asset in orbita non è sicuro solo perché fisicamente protetto, tanto più quando l’hardware non può essere aggiornato con la facilità di un dispositivo terrestre.

La convergenza fra infrastrutture sovrane e commerciali, comprese le reti ibride e i servizi direct-to-device, amplia copertura e ridondanza, ma moltiplica le interfacce da difendere. Le costellazioni di piccoli satelliti, intanto, comprimono il ciclo dell’innovazione e impongono un aggiornamento più rapido di competenze e valutazioni del rischio. Anche la latenza smette di essere un parametro puramente ingegneristico: portare l’informazione corretta al punto decisionale in tempo utile condiziona la risposta a minacce dinamiche.

In questa prospettiva la sovranità digitale non coincide con l’autarchia. Significa poter controllare dati, infrastrutture, capacità analitiche, tecnologie critiche e know-how anche quando si collabora con operatori internazionali, perché una dipendenza gestibile in condizioni normali può diventare strategica durante una crisi. Superare la frammentazione europea attraverso interoperabilità, investimenti comuni e integrazione delle competenze industriali è quindi parte integrante della resilienza, non un tema separato di politica economica.

La resilienza cyber nei servizi quotidiani

La resilienza non può essere affidata soltanto alle strutture cyber specialistiche. La preparazione dei cittadini e la cooperazione fra pubblico e privato sono parte di un approccio whole-of-society: conoscere le minacce, saper usare le tecnologie e padroneggiare le procedure essenziali aiuta a preservare la fiducia e a limitare la propagazione degli incidenti. Le operazioni di disinformazione e di influenza cognitiva, del resto, mirano a indebolire percezioni e processi decisionali; contrastarle richiede capacità di analisi, verifica e comunicazione, oltre alla protezione tecnica.

Municipalità e dipendenze tecnologiche

Per una municipalità il tema si traduce nella gestione concreta dei servizi. Anagrafe, trasporti, illuminazione, servizi sociali, piattaforme cloud e apparati connessi possono dipendere dagli stessi fornitori, dalla medesima identità federata o da sistemi di manutenzione esterni. Il rischio non è proporzionale alla dimensione dell’ente: un piccolo comune può trovarsi nella stessa catena tecnologica di un grande gestore. Mappare i contratti, verificare i privilegi e predisporre procedure alternative diventano così elementi ordinari di un’amministrazione responsabile.

Sanità e continuità clinica

La sanità rende particolarmente visibile la distanza fra continuità informatica e continuità clinica. L’11 marzo 2026 Stryker, fra i maggiori produttori mondiali di tecnologie mediche, ha comunicato un attacco che ha compromesso il proprio ambiente informatico basato su tecnologie Microsoft. Ne sono derivate disfunzioni nei processi di ordine, produzione e spedizione: il sistema di ordini elettronici è tornato operativo a fine marzo e la piena operatività della rete produttiva globale è stata dichiarata il 9 aprile, con un impatto definito materiale sui risultati del primo trimestre.

Al tempo stesso l’azienda ha precisato che i propri dispositivi medici restavano pienamente sicuri da utilizzare.

Il rischio, dunque, emerge a valle: una prestazione può slittare per indisponibilità di materiali anche quando apparecchiature e sistemi clinici locali non sono stati attaccati. La cybersecurity della filiera sanitaria comprende clausole contrattuali sugli incidenti, soluzioni di approvvigionamento alternative, visibilità sui fornitori e pianificazione del ripristino: gli stessi elementi su cui insistono le linee guida ENISA per gli acquisti di ospedali e strutture sanitarie.

Farnesina, la resilienza cyber nella continuità del servizio

La Farnesina offre un caso con esito diverso. Dalla mattina dell’8 ottobre 2026 il sito del Ministero degli Affari Esteri è stato oggetto di un attacco che, secondo il comunicato ufficiale, è stato «efficacemente mitigato dai sistemi di protezione» senza provocare disservizi.

Il ministero ha seguito l’evolversi della situazione insieme al Polo Strategico Nazionale, l’infrastruttura cloud che ospita i servizi critici della pubblica amministrazione, e in raccordo con le autorità competenti, estendendo le verifiche ai siti delle sedi diplomatiche e consolari all’estero. Secondo le ricostruzioni di stampa, la Polizia postale ha avviato le indagini attraverso il Centro nazionale anticrimine informatico per la protezione delle infrastrutture critiche (CNAIPIC), e l’Agenzia per la cybersicurezza nazionale si è messa in contatto con il ministero.

Le prime indicazioni descrivono un attacco di tipo DDoS, che mira a rendere irraggiungibile un servizio sommergendolo di traffico, attribuito dalle agenzie di stampa al gruppo filorusso NoName057(16). Si tratta di una sigla nota: negli ultimi anni ha colpito ripetutamente siti istituzionali europei, spesso in coincidenza con appuntamenti politici, e recluta sostenitori attraverso canali online, mettendo a disposizione strumenti che consentono di partecipare agli attacchi anche con competenze minime.

Nel luglio 2025 l’operazione Eastwood, coordinata da Europol ed Eurojust con la partecipazione italiana, ne aveva smantellato una parte significativa dell’infrastruttura, senza tuttavia interromperne l’attività. Va ricordato, inoltre, che un attacco DDoS colpisce la disponibilità di un servizio e non implica di per sé un accesso ai dati.

Proprio per questo il caso è un utile termine di paragone. Un attacco di negazione del servizio difficilmente si previene: si assorbe. A fare la differenza sono la capacità dell’infrastruttura di filtrare e distribuire il traffico anomalo, il coordinamento tempestivo fra l’ente colpito, il fornitore dell’infrastruttura e le autorità, la verifica dei punti periferici, come le sedi all’estero, che possono rappresentare bersagli più fragili, e una comunicazione pubblica rapida e verificabile.

Il ministro Antonio Tajani ha ricondotto il risultato al rafforzamento di prevenzione, monitoraggio e risposta previsto dalla riforma del ministero, e ha annunciato che l’Italia, con la Romania e altri Stati membri, proporrà in sede europea di individuare e designare i responsabili degli attacchi informatici: un segnale di come la risposta a queste azioni si stia spostando anche sul piano diplomatico.

Il valore dell’episodio non sta nell’assenza della minaccia, ma nella continuità della funzione pubblica durante l’evento. Ed è questo il parametro che conta: non quante intrusioni siano state respinte, ma quali servizi siano rimasti effettivamente disponibili. Per la pubblica amministrazione la lezione è duplice. La resilienza dipende da scelte compiute prima dell’attacco, come la migrazione dei servizi critici verso infrastrutture qualificate, e da procedure di coordinamento già collaudate; ma la sua misura resta l’esperienza del cittadino, che durante l’attacco ha continuato a trovare il servizio al suo posto.

Come misurare la resilienza cyber delle organizzazioni

La lezione complessiva di Cybertech Europe 2026 non si riduce a un prodotto o a un nuovo adempimento. Riguarda il passaggio dalla protezione degli oggetti alla protezione delle funzioni e delle relazioni che le rendono possibili. Ciò significa integrare l’analisi degli asset con quella delle dipendenze, collegare sicurezza e continuità operativa e valutare l’impatto delle scelte tecnologiche su persone, imprese e servizi.

Ne derivano metriche che vanno oltre i tempi di rilevamento e ripristino: la percentuale di funzioni essenziali in grado di operare in modalità degradata, il tempo necessario ad attivare fornitori alternativi, l’esposizione degli accessi remoti, la copertura dell’autenticazione forte, i punti di concentrazione della filiera e la capacità di tracciare e arrestare le azioni degli agenti AI.

I casi di queste settimane suggeriscono di aggiungerne almeno due: il numero di dispositivi raggiungibili da Internet e non più coperti da aggiornamenti, e il tempo necessario per individuare e revocare gli accessi concessi a terzi. Sono indicatori che consentono ai vertici di orientare gli investimenti secondo la missione, invece di accumulare strumenti di controllo privi di una priorità operativa.

In definitiva, la sicurezza è un attributo dell’organizzazione e dell’ecosistema, non soltanto del singolo software. Proteggere il Paese significa garantire che le connessioni da cui dipendono le attività collettive restino conoscibili, governabili e, quando necessario, sostituibili. È su questo terreno che cybersecurity, politica industriale, innovazione tecnologica e responsabilità pubblica si trovano davanti allo stesso problema: preservare la capacità di agire sotto pressione.