La trasformazione digitale della difesa europea sta spostando il baricentro della sicurezza dal confine fisico della rete alla verifica continua di persone, dispositivi, applicazioni e dati. Cloud militari, reti di comando e controllo, piattaforme ISR, ambienti classificati e supply chain ICT operano ormai come ecosistemi federati tra forze armate, amministrazioni, prime contractor, PMI e partner alleati.
Ogni identità digitale diventa così una variabile operativa: il militare connesso da un terminale tattico, il tecnico che interviene da remoto, il fornitore autorizzato per poche ore, il sensore che pubblica telemetria, il workload che interroga un data lake classificato.
Zero Trust applica a ciascuna interazione una decisione contestuale fondata su identità, credenziale, clearance, stato del dispositivo, missione e livello di classifica del dato. La NATO ha formalizzato questa traiettoria nella Digital Transformation Implementation Strategy 2.0 del maggio 2026, ancorando la postura cyber dell’Alleanza a Zero Trust, trusted identity and access management e data-centric security. Per Readiness 2030 conta la velocità con cui le forze europee possono condividere informazioni affidabili mantenendo accessi granulari, revocabili e tracciabili.
Indice degli argomenti
Dalle regole europee al classificato: un mosaico da rendere operativo
Il quadro europeo combina livelli giuridici differenti. Le regole sulla EU Classified Information mantengono i principi di need-to-know, autorizzazione, security clearance e accreditamento dei sistemi; Zero Trust li traduce in controlli digitali dinamici, capaci di verificare ogni richiesta. La NIS2 introduce obblighi di gestione del rischio, sicurezza della supply chain, controllo degli accessi, continuità e incident reporting in diciotto settori critici.
La direttiva consente agli Stati membri di esentare specifiche entità o attività connesse a sicurezza nazionale e difesa, mentre numerosi fornitori ICT, cloud, managed services e infrastrutture possono ricadere nel perimetro in funzione dell’attività svolta. In Italia, il decreto legislativo 138/2024 e le specifiche ACN collegano espressamente gestione delle identità, autenticazione, controllo degli accessi e autenticazione multifattore. A questa base si aggiunge la proposta di revisione del Cybersecurity Act presentata dalla Commissione il 20 gennaio 2026, spesso richiamata come “Cybersecurity Act 2”: il testo è ancora nel percorso legislativo e punta a rafforzare ENISA, semplificare la certificazione europea e introdurre un framework armonizzato e risk-based per la sicurezza delle supply chain ICT. Requisiti di identità, assurance e controllo dei fornitori entreranno quindi sempre più nei capitolati e nelle qualifiche di filiera.
Un’architettura identity-first per reti e cloud militari
Un modello operativo efficace può essere costruito su cinque strati integrati. L’identity plane governa identità umane e non umane: personale, consulenti, amministratori privilegiati, API, container, sensori e componenti software. Ogni identità deve avere un titolare, uno scopo, una durata e credenziali protette, con onboarding e revoca sincronizzati con incarichi, contratti e clearance. Il policy plane porta l’autorizzazione dal semplice ruolo verso logiche attribute-based, nelle quali grado, unità, missione, classifica, compartimentazione, postura del terminale e contesto operativo concorrono alla decisione.
L’enforcement plane distribuisce i controlli tra gateway, ZTNA, micro-segmentazione, service mesh e privileged access management, con accessi just-in-time. Il data plane applica classificazione, cifratura, controllo delle chiavi, data loss prevention e audit anche quando l’informazione attraversa cloud, edge e reti coalizionali. L’assurance plane alimenta le decisioni con telemetria, threat intelligence, stato degli endpoint, attestazione hardware e anomalie comportamentali.
Questo disegno consente di isolare rapidamente un’identità compromessa senza interrompere l’intera rete e riduce account orfani, privilegi permanenti e verifiche manuali. Il risultato è insieme operativo ed economico: maggiore resilienza, accreditamenti più rapidi e minore costo di gestione degli accessi.
Zero Trust nella difesa europea e sviluppo industriale
La Strategia Digitale della Difesa italiana 2026-2030 offre un passaggio concreto dalla teoria all’implementazione. Il documento prevede, per i domini ad alta classifica, cloud sovrano disconnesso e controllo esclusivo delle chiavi; per la protezione del dato indica confidential computing, Bring Your Own Key o Hold Your Own Key, Zero Trust e data-centric security lungo l’intero ciclo di vita. La scelta collega identità, crittografia e sovranità in un’unica architettura. Sul versante NATO, la strategia del 2026 associa Zero Trust a interoperabilità digitale, accreditamento e asset management, creando una base comune per mission network nei quali ciascun alleato mantiene la sovranità sui propri dati.
A livello industriale, Leonardo ha dichiarato l’ambizione di guidare in Europa la transizione verso il paradigma Zero Trust, consolidando nel corso del 2025 un portafoglio di Zero Trust e Data-Centric Security tramite acquisizioni e partnership mirate: Axiomatics (controllo degli accessi basato su attributi, ABAC), la finlandese SSH Communications Security (gestione degli accessi privilegiati e crittografia post-quantum) e la svedese CanaryBit (confidential computing). È il segnale di un mercato che si sposta dalla vendita di singoli prodotti alla gestione end-to-end della fiducia, lungo l’intero ciclo di accesso a identità, applicazioni e dati.
La supply chain come nuovo perimetro di sicurezza
La ricaduta più ampia riguarda la supply chain: un manutentore di piattaforme, una software house embedded o una PMI che accede a repository tecnici può diventare il punto di ingresso verso ambienti sensibili.
La qualifica del fornitore dovrà comprendere governance delle identità, separazione dei privilegi, identità macchina, evidenze di accesso, tempi di revoca e capacità di federarsi con i sistemi del committente. Per le imprese italiane questo crea costi di adeguamento e una barriera competitiva favorevole a operatori capaci di offrire tecnologie certificate e integrazione con requisiti nazionali, UE e NATO.
La roadmap 2030: una federazione europea della fiducia digitale
La priorità europea consiste nel trasformare Zero Trust in capacità condivisa, superando implementazioni isolate per singolo programma. Serve un Defence Identity Trust Framework federato che definisca attributi comuni, livelli di assurance, formati di credenziale, regole di revoca e mapping tra clearance nazionali, mantenendo ogni Stato responsabile dell’identità emessa.
Il procurement di cloud militari, C2, data space, piattaforme logistiche e sistemi autonomi dovrebbe includere requisiti misurabili su identità macchina, accessi privilegiati, policy enforcement, portabilità dei log e segregazione dei dati, con test operativi prima dell’accreditamento.
La supply chain richiede un passaporto cyber del fornitore aggiornabile e verificabile, collegato a certificazioni, incidenti, dipendenze software e persone abilitate. Anche le competenze diventano decisive: comandanti, responsabili di programma e security officer devono governare policy e deroghe in base alla missione, bilanciando rapidità operativa e protezione. Per l’Italia, la finestra strategica è costruire un polo nazionale di identity, trust e data protection per il classificato, con Difesa, ACN, industria, università e PMI specialistiche. Readiness 2030 sarà credibile quando un dato potrà attraversare domini e confini mantenendo intatti provenienza, classifica, autorizzazioni e tracciabilità. In quella architettura, l’identità digitale diventa una capability militare, un requisito industriale e una componente della sovranità europea.
Partecipa alla community