Il Viminale rilancia la risposta ai cyberattacchi puntando su coordinamento investigativo, condivisione delle informazioni e investimenti nella protezione dei sistemi. Sono le linee di intervento emerse il 10 novembre dalla riunione del Comitato nazionale per l’ordine e la sicurezza pubblica, presieduta dal ministro Matteo Piantedosi. Secondo il resoconto ANSA che riporta la comunicazione del Viminale, l’obiettivo è rafforzare la protezione di pubbliche amministrazioni, infrastrutture critiche, imprese e cittadini.
La decisione arriva dopo una sequenza di episodi molto diversi: sabotaggi digitali alla catena del freddo, falsi allarmi bomba e attività di intimidazione rivolte a rappresentanti delle istituzioni. Sullo sfondo ci sono i 44.835 asset e servizi a rischio individuati dal CSIRT Italia nei primi nove mesi del 2026. Non sono 44.835 attacchi riusciti: sono esposizioni che richiedono analisi, priorità e interventi. È proprio qui che si misura la sfida aperta dal Comitato.
Ci siamo: la resilienza cibernetica è ormai una componente della sicurezza pubblica, oltre che della continuità dei servizi essenziali. Il segnale politico è importante; il risultato dipenderà dalla capacità di rendere stabile il raccordo tra strutture centrali, amministrazioni territoriali e operatori privati. Al momento non è stato pubblicato un piano esecutivo che definisca nuovi protocolli, destinatari e scadenze: gli indirizzi annunciati andranno tradotti in processi operativi verificabili.
Indice degli argomenti
I numeri ACN: il rischio individuato non coincide con il danno subito
La base conoscitiva esiste. Nell’intervento del direttore generale ACN Andrea Quacivi al Senato del 13 ottobre 2026, sintetizzato dall’Agenzia, il CSIRT Italia ha indicato 3.271 eventi cyber rilevati tra gennaio e settembre 2026, contro 2.729 nell’intero 2025. Di quelli del 2026, 1.922 sono stati classificati come incidenti con impatto confermato. Nel periodo sono state inviate quasi 72mila comunicazioni di allertamento.
Il confronto fra gli eventi dei due anni è significativo ma va letto con attenzione: nove mesi del 2026 sono confrontati con dodici mesi del 2025. Inoltre l’ampliamento degli obblighi di notifica legati alla NIS2 e la maggiore capacità di rilevazione influiscono sulla quantità di eventi osservati. L’incremento dei conteggi non equivale, da solo, a una crescita della stessa entità degli attacchi riusciti.
intero anno2026
gennaio–settembre
Il resoconto analitico dell’audizione di Quacivi precisa due altre grandezze: 44.835 asset e servizi a rischio e 3.259 asset potenzialmente compromessi. La prima conta vulnerabilità ed esposizioni osservate; la seconda segnali di possibile compromissione che devono essere verificati. Non sono sottoinsiemi da sommare automaticamente agli incidenti e non rappresentano lo stesso fenomeno.
Cosa misurano i principali indicatori ACN nei primi nove mesi del 2026
| Indicatore ACN | Valore | Significato e limiti |
|---|---|---|
| Asset e servizi a rischio | 44.835 | Vulnerabilità o esposizioni da verificare e correggere |
| Asset potenzialmente compromessi | 3.259 | Indizi di possibile accesso illecito, non conferma per ogni asset |
| Eventi cyber rilevati | 3.271 | Segnalazioni e attività di sicurezza gestite nel periodo |
| Incidenti con impatto confermato | 1.922 | Sottoinsieme degli eventi con conseguenze riscontrate |
| Comunicazioni di allertamento | quasi 72.000 | Avvisi inviati alle organizzazioni; non numero di attacchi |
Fonti: comunicazione ufficiale ACN del 13 ottobre 2026 e resoconto dell’audizione. Le categorie hanno basi differenti e non sono parti di un unico totale.
Dall’allertamento alla bonifica: il passaggio che ancora manca
Quasi 72mila allertamenti testimoniano la capacità del sistema nazionale di individuare criticità e raggiungere gli operatori. Ma un avviso ricevuto non è una vulnerabilità corretta. Fra la segnalazione di un server esposto e la sua messa in sicurezza possono intervenire difficoltà di inventario, vincoli contrattuali, assenza di personale, dipendenze da software non più supportato e timore di interrompere un servizio essenziale.
La fase successiva richiede quindi protocolli condivisi e tempi di intervento commisurati al rischio. Una segnalazione deve arrivare al responsabile effettivo del sistema; qualcuno deve valutarne la gravità per quello specifico servizio; occorre concordare un’azione, eseguirla e verificarne il risultato. Quando emergono indizi di compromissione, la bonifica non coincide necessariamente con la semplice applicazione di una patch: servono controlli sugli accessi, sulle credenziali e su eventuali meccanismi di persistenza.
Questo schema non è una nuova procedura imposta dal Viminale. È una proposta di metodo per trasformare il monitoraggio in riduzione del rischio. Indicatori come il tempo trascorso tra l’allerta e la correzione, la quota di vulnerabilità verificate come risolte e il numero di sistemi ancora raggiungibili da Internet possono dire molto più della sola quantità di messaggi inviati.
Comuni, scuole e medie imprese: la sicurezza della filiera si misura nei punti deboli
La protezione del Paese non dipende soltanto dalle grandi infrastrutture. Amministrazioni locali, scuole e medie imprese fanno parte della stessa rete di dipendenze attraverso fornitori, servizi cloud, identità digitali, posta elettronica e applicazioni condivise. Un account violato in una struttura periferica può diventare uno strumento per colpire soggetti che dispongono di difese molto più avanzate.
Il caso dei falsi allarmi bomba ha portato gli investigatori a considerare anche la possibile origine di alcune comunicazioni da caselle email scolastiche compromesse, secondo la ricostruzione di Quotidiano Nazionale del 10 novembre. È una pista investigativa, non una compromissione scolastica già accertata. Eppure rende concreto il problema: un sistema apparentemente marginale può avere conseguenze ben oltre l’organizzazione che lo gestisce.
Non basta rivolgere a questi soggetti ulteriori richieste di conformità. Servono strumenti di accompagnamento, risorse e affiancamento tecnico per chi non può mantenere internamente un gruppo specializzato. Questo può significare istruzioni di correzione specifiche, accesso a competenze condivise, procedure semplici per segnalare gli ostacoli e supporto nel verificare che l’intervento abbia funzionato. Senza questo passaggio, la distanza fra amministrazioni meglio attrezzate e realtà periferiche rischia di aumentare.
Dai dati ai processi fisici: perché la sicurezza industriale cambia la prospettiva
Gli attacchi ai sistemi di refrigerazione mostrano perché il perimetro della cybersicurezza si sia allargato. Quando reti informatiche e sistemi di controllo industriale sono connessi, una modifica remota ai parametri può produrre effetti nel mondo fisico: alterare una temperatura, danneggiare merci, fermare una linea produttiva, compromettere la continuità di un servizio sanitario o logistico.
Un sistema di telecontrollo non va protetto soltanto per evitare la perdita di informazioni. Occorre sapere se le sue interfacce di manutenzione sono raggiungibili da Internet, chi gestisce le credenziali dei tecnici esterni, quali segmenti di rete possono comunicare con gli apparati e se gli allarmi critici restano affidabili in caso di manomissione. La convergenza tra IT e OT richiede responsabilità e controlli congiunti fra informatici, responsabili degli impianti e fornitori.
Il punto è costruire un presidio pubblico-privato che tenga insieme protezione dei dati, integrità dei processi e sicurezza delle persone. Un incidente di questo tipo mette alla prova non solo un reparto IT, ma l’intera catena logistica e la capacità di mantenere disponibili beni essenziali. Per questo il monitoraggio annunciato al Viminale sarà tanto più efficace quanto più riuscirà a raggiungere anche apparati industriali e accessi dei manutentori.
NIS2, dalla conformità formale a una cooperazione bidirezionale
Il quadro normativo esiste già. Il decreto legislativo 138 del 2024, che recepisce la direttiva NIS2, impone ai soggetti interessati misure di gestione del rischio, attenzione alla sicurezza della catena di fornitura e obblighi di notifica degli incidenti significativi. Secondo ACN circa 21.500 soggetti rientrano nel perimetro NIS e le notifiche ricevute nei primi nove mesi del 2026 hanno superato quota 1.500.
Il rafforzamento del monitoraggio discusso al Viminale non introduce automaticamente nuovi termini NIS2. Può però diventare un’occasione per fare convergere l’indirizzo della sicurezza pubblica e l’attuazione concreta degli obblighi. La protezione della filiera funziona soltanto se alle informazioni raccolte dalle autorità corrispondono interventi tempestivi da parte dei gestori, e se i gestori possono a loro volta comunicare difficoltà, dipendenze e risultati delle bonifiche.
La collaborazione deve quindi essere bidirezionale, non una sequenza di ordini e rendicontazioni. Le istituzioni mettono a disposizione capacità di analisi, indicatori e priorità condivise; gli operatori rendono visibile la propria esposizione, eseguono gli interventi e forniscono riscontri. La fiducia tra vigilanti e vigilati è un fattore operativo: senza di essa anche un sistema di allerta molto evoluto rischia di produrre informazioni che non arrivano fino alla soluzione del problema.
Il metro del successo: meno esposizioni aperte, non solo più controlli
La novità del 10 novembre è che la cybersicurezza viene affrontata esplicitamente come questione di continuità dei servizi, ordine pubblico e tenuta del Paese. È una direzione condivisibile. Ma il rafforzamento sarà reale solo se, tra qualche mese, potremo verificare quanti sistemi segnalati sono stati messi in sicurezza, quali vulnerabilità sono rimaste aperte e quali organizzazioni hanno ricevuto l’aiuto necessario per intervenire.
La sfida non è trasformare quasi 45mila esposizioni in altrettante pratiche amministrative. È costruire un’alleanza stabile tra Stato, enti territoriali e imprese, nella quale individuazione, prevenzione e risposta procedano insieme. La conformità normativa diventa resilienza soltanto quando una segnalazione si conclude con una correzione verificata e un servizio che continua a funzionare per i cittadini.
Partecipa alla community