Europa sovrana nel digitale, subito: perché attendere è pericoloso

Ci sono due notizie dei giorni scorsi che mostrano quanto sia urgente in Europa accelerare sulla sovranità digitale.

L’attacco cyber alla Commissione UE

Il cyberattacco confermato dalla Commissione europea alla piattaforma cloud che ospita i siti del dominio Europa è un promemoria di quanto la questione digitale non sia più un tema tecnico riservato agli specialisti, ma una questione politica e strategica di primo piano.

L’intrusione, scoperta il 24 marzo, ha comportato un accesso non autorizzato all’infrastruttura cloud Amazon Aws e la sottrazione di dati, pur senza interrompere la disponibilità dei siti e senza coinvolgere, secondo quanto comunicato da Bruxelles, i sistemi interni della Commissione. Proprio perché non si tratta di uno scenario teorico ma di un episodio reale che colpisce il cuore delle istituzioni europee, diventa più difficile continuare a considerare la dipendenza da piattaforme, servizi e fornitori esterni come un semplice problema di costi o di efficienza: è ormai una questione di sicurezza, autonomia e potere.

Il ban dei router stranieri negli Usa

Il paradosso è che gli Usa stessi lo sanno benissimo e non perdono tempo.

Come mostra la decisione con cui, il 23 marzo 2026, la Federal Communications Commission ha inserito nella Covered List tutti i nuovi router consumer prodotti all’estero, impedendone di fatto la nuova autorizzazione e quindi l’ingresso sul mercato statunitense.

Washington ha motivato la scelta con rischi di sicurezza nazionale, vulnerabilità della supply chain e possibili effetti su infrastrutture critiche, precisando che il provvedimento riguarda i nuovi modelli e non i dispositivi già autorizzati o già in uso. Al di là del merito specifico della misura, il segnale politico è netto: quando reti, apparati e fornitori vengono percepiti come potenziali punti di pressione o di accesso ostile, la dipendenza tecnologica smette di essere un problema industriale astratto e diventa un tema di sovranità, sicurezza e capacità di autodifesa.

L’aumento dei conflitti geopolitici, impatto sul digitale

Che sta succedendo? Qualcosa di cui non ci si rende ancora bene a fondo.

Chi è nato negli ultimi trent’anni in Italia, come in buona parte dell’Europa, ha vissuto finora in una condizione di sostanziale assenza di conflitti. La vita delle generazioni precedenti non è stata così: nel primo dopoguerra, il concetto di guerra, quantomeno di guerra fredda, era costantemente presente. La generazione precedente ha vissuto la Seconda guerra mondiale, quella prima ancora di guerre mondiali ne ha vissute due.

In passato, la guerra era una possibilità costantemente presente nella vita delle persone. Se gli ultimi decenni potevano far pensare (nei paesi più ricchi, perché negli altri i conflitti armati hanno continuato ad essere una possibilità più che concreta) che ci si avviasse verso un futuro di sempre maggiore integrazione e collaborazione, gli ultimi anni, e soprattutto l’ultimo, ci hanno ben chiarito che ci vuole altro per cambiare le tendenze bellicose di almeno una parte della popolazione umana. Nel giro di poco tempo, siamo passati da un contesto di sostanziale convivenza pacifica, seppure di competizione sul piano economico, ad una contrapposizione sempre più vicina al conflitto aperto.

Anche alleanze che erano date per scontate sono messe in discussione. Un colpo particolarmente duro, perché più inaspettato, è arrivato da oltre oceano: le dichiarazioni più o meno esplicite di disprezzo per l’Europa da parte dei vertici del governo degli Stati Uniti, la minaccia di “annettere” la Groenlandia, la messa in discussione della stessa NATO, seppure per ora solo a parole, hanno costretto l’Europa a porsi seriamente alcuni problemi. Uno di questi, per quanto noto a tutti, veniva finora sostanzialmente ignorato. Si tratta della pressoché totale dipendenza dell’Europa da tecnologie estere, statunitensi in particolare, in molti settori del digitale.

Questa dipendenza rende l’Europa estremamente vulnerabile non solo ad azioni apertamente ostili, ma anche e molto di più a pressioni più o meno esplicite. Al di là della possibilità di creare disservizi o di accedere in modo non evidente ad informazioni riservate (la maggior parte delle aziende tratta i propri dati più riservati su servizi gestiti su piattaforme cloud), si può pensare all’aumento dei costi di licenza e alle altre iniziative di Broadcom relativamente ai prodotti VMWare, che sono alla base di buona parte delle soluzioni di virtualizzazione aziendali e che mostrano quanto per i paesi europei sia difficile contrastare le azioni anche di singole aziende così critiche.

La sovranità digitale europea come problema strategico

In uno scenario geopolitico che va progressivamente deteriorandosi, i sistemi informativi e di telecomunicazione assumono un ruolo nuovo e particolarmente rilevante: per la dipendenza che gli Stati e relative organizzazioni hanno, e per la vulnerabilità che rappresentano, consentendo attacchi a qualsiasi distanza e a qualsiasi azienda. L’Europa si trova particolarmente esposta su questo fronte. E così le dipendenze tecnologiche dell’Europa si sono evidenziate come un vero problema politico, economico e militare. Quando gli Stati Uniti si sono dimostrati particolarmente aggressivi riguardo all’annessione della Groenlandia, qualcuno, come battuta ma non troppo, ha sottolineato che sarebbe bastato bloccare l’accesso della Danimarca ai servizi cloud statunitensi, per costringerla a cedere.

Che cosa significa sovranità digitale europea

Il concetto di sovranità digitale europea, come espresso nella “Dichiarazione per la Sovranità Digitale Europea” si riferisce alla “capacità dell’UE e dei suoi Stati membri di agire autonomamente e di scegliere liberamente le proprie soluzioni, beneficiando al contempo, ove possibile, della collaborazione con i partner globali”. Non vuole dire quindi di non utilizzare soluzioni di altri paesi, ma vuole dire poterle scegliere quando siano una scelta favorevole, potendole evitare o abbandonare invece quando non lo siano, e soprattutto quando rappresentino una vulnerabilità. E qui si vede naturalmente il problema di fondo: utilizziamo le soluzioni statunitensi perché le alternative di altri paesi non sono migliori, almeno in termini di garanzia di tutela degli interessi europei e, soprattutto, perché soluzioni europee spesso non ce ne sono. Decenni di mancato presidio di queste tecnologie e di litigiosità interna hanno portato ad una totale dipendenza da soluzioni dalle quali, al momento, non siamo in grado di sganciarci.

Ritardi, dipendenze e occasioni perse

Dipendenza che è stata mantenuta con pervicacia e scarsa lungimiranza, anche quando è stata messa in evidenza, ormai molti anni fa. Il tema è emerso chiaramente ad esempio quando si è parlato di trasferimento di dati personali negli Stati Uniti e di poche tutele al riguardo, con le diverse sentenze “Schrems”. Ma in quell’occasione, i vari accordi con gli Stati Uniti hanno dato più che altro la sensazione di voler nascondere la polvere sotto al tappeto, anziché affrontare il problema. Successivamente, quando si è evidenziata la dipendenza ancora più forte nel campo delle tecnologie di intelligenza artificiale, in Europa si sono sentite soprattutto voci rassegnate che dicevano che “il treno era ormai perso” e che non saremmo mai stati in grado di fare investimenti paragonabili. Nello stesso tempo, ogni discussione su eventuali investimenti non mancava di avere come fattore fondamentale in quale o in quali dei 27 paesi sarebbero finiti i soldi. Intanto in Cina, con tutt’altra determinazione e focalizzazione, nel bene e nel male, si sviluppavano soluzioni cloud e di AI alternative, queste ultime in grado adesso di essere concorrenziali rispetto a quelle statunitensi. Dopo la Cina, l’India si è mossa nella stessa direzione. Solo ora l’Europa sembra starsi muovendo, finalmente, seppure in ritardo.

La sovranità digitale europea e il nodo della cybersecurity: i motivi dell’attacco alla Commissione UE

In tutto questo, la cybersecurity rappresenta un nodo importante. Il contesto attuale ha reso quotidiano il problema degli attacchi da parte di diversi attori più o meno supportati da governi ostili. Ne è un esempio l’attacco ai servizi della Commissione Europea di cui si sta parlando in questi giorni. Incidenti di questo tipo permettono potenzialmente di avere accesso ad informazioni riservate, anche senza causare disservizi o minacciare la pubblicazione dei dati.

Il tema non è solo quello, più che noto, della pubblicazione di dati personali, che in molti casi ha un impatto concreto limitato. L’accesso a comunicazioni interne delle organizzazioni può essere di interesse per i loro concorrenti; nel caso di istituzioni come la Commissione Europea, possono essere di interesse anche per governi stranieri che vogliano conoscere le posizioni delle istituzioni o di suoi rappresentanti, anche per capire come muoversi nelle attività di lobby, contrasto economico, corruzione o pressione.

Il rischio nei componenti e nei fornitori

Incidenti come questo sono possibili anche senza bisogno di avere un accesso privilegiato ai componenti, come lo avrebbero i fornitori. Se già è difficile proteggere un sistema informativo da attacchi esterni, possiamo immaginare quanto potrebbe essere difficile proteggerlo dove l’attaccante abbia la possibilità di accedere al sistema attraverso la fornitura di componenti vulnerabili. La complessità di qualsiasi componente software rende estremamente difficile effettuare delle verifiche efficaci, che in questo caso non sarebbero rispetto a generici errori, ma rispetto a vulnerabilità volutamente nascoste.

Sicurezza delle infrastrutture e dipendenza tecnologica

Consideriamo ad esempio l’attacco russo ai ricevitori Viasat all’avvio del conflitto in Ucraina, attacco che ha reso inutilizzabili non solo gli apparati in Ucraina, ma anche migliaia di apparati in Europa. Quali possibilità avrebbe chi non dovesse, come in questo caso, cercare una vulnerabilità da sfruttare, ma fosse direttamente il fornitore dell’apparato o del servizio? Questo è un problema che ci si sta ponendo in relazione ai dispositivi utilizzati negli ambiti più critici, e nelle reti di telecomunicazione in particolare.

Non c’è da dubitare che sia un problema concreto, e che possa diventare ancora più concreto se lo scenario geopolitico dovesse ulteriormente peggiorare. In questo momento, su diversi fronti vengono lanciati missili del costo di centinaia di migliaia o milioni di euro ciascuno, magari nel tentativo di disabilitare una centrale elettrica o telefonica, ma potenzialmente ogni tipo di infrastruttura: è inevitabile considerare la possibilità di ottenere un effetto analogo con un attacco cyber, potenzialmente meno costoso e replicabile su più siti, per di più con maggiori difficoltà di attribuzione.

Gli scenari di rischio per i paesi europei

Per farsi un’idea delle possibili conseguenze, basti considerare l’attacco ad una diga in Norvegia nell’agosto dello scorso anno. Non sono solo questi paesi a prevedere questo tipo di azioni, si tratta di scenari considerati ormai da qualsiasi paese. È interessante da questo punto di vista leggere la strategia cyber del presidente statunitense Trump appena pubblicata.

La sovranità digitale europea tra apparati, cloud e chip: il ban FCC sui router stra

Il problema della vulnerabilità di dispositivi e servizi forniti da paesi “non amici” non se lo sta ponendo solo l’Europa: è di questi giorni l’inserimento negli Stati Uniti di tutti i router di produzione straniera nella “FCC Covered List”, rendendone di fatto impraticabile l’importazione. Solo che gli Stati Uniti hanno un’abbondante produzione nazionale di questi apparati. Non si può certo dire lo stesso dell’Europa.

Gli ambiti strategici per i quali si pone il problema di una dipendenza pressoché totale dell’Europa non solo dall’estero, ma più specificamente da pochi soggetti riconducibili ad ancora meno paesi sono molti: dai chip, al cloud, alle comunicazioni satellitari, agli strumenti di intelligenza artificiale, alle suite per ufficio, fino ad includere una serie di apparati, ad esempio appunto per le telecomunicazioni. Il presupposto per uscire da questa dipendenza però è avere alternative, a questo punto possibilmente europee. Dove infatti delle alternative esistono, si tratta di passare dalla padella nella brace. Volendo evitare ad esempio una dipendenza da prodotti statunitensi, l’alternativa principale è spesso cinese, che dal punto di vista della sicurezza non è certo più tranquillizzante. La disponibilità di semplici “alternative”, se fornite da paesi rischiosi, non garantisce infatti dal punto di vista della sicurezza, perché invece di avere un unico anello debole nella sicurezza delle infrastrutture europee, se ne avrebbero diversi. Non bisogna pensare solo alla possibilità di interruzioni del servizio, ma appunto anche all’accesso a dati riservati, accesso per il quale ogni sistema che tratti tali dati diventa una potenziale fonte di vulnerabilità.

Investimenti e autonomia per la sovranità digitale europea

L’Europa ha cominciato a muoversi nella direzione di una maggiore autonomia. È stato anche definito un “Framework per la sovranità cloud”, almeno ad uso delle istituzioni europee. La strada da fare è tanta, e probabilmente serve anche un difficile cambiamento di mentalità, oltre che di marcia.

E servono investimenti all’altezza degli obiettivi. La buona notizia è che almeno adesso il problema è discusso e affrontato esplicitamente, e che buona parte dei paesi e degli attori (non tutti, naturalmente) sembrano cominciare a remare almeno nella stessa direzione.