La recente nomina ai vertici dell’Agenzia per la cybersicurezza nazionale (ACN) segna un punto di svolta non solo gestionale, ma profondamente strategico per il futuro digitale del Paese.
Dopo la stagione fondativa guidata da un professore ordinario, necessaria per disegnare l’architettura scientifica e normativa dell’ente, e una successiva fase di consolidamento istituzionale e amministrativo affidata a un prefetto, l’arrivo di un manager di chiara estrazione industriale e tecnologica come Andrea Quacivi traccia una rotta precisa.
Questa transizione verso una guida aziendale coincide con un vivace dibattito attorno a un possibile riassetto del comparto cyber italiano. Il rischio concreto, tuttavia, è che il confronto si polarizzi attorno a una logica di pura redistribuzione di competenze e confini di potere tra il comparto civile, il ministero della Difesa e l’intelligence.
La cybersicurezza moderna non può essere trattata come una torta da spartire: essa richiede un ecosistema integrato in cui ogni attore agisca come moltiplicatore di forza e nessuno venga indebolito. Per ispirare la nuova fase evolutiva dell’ACN, è dunque fondamentale superare i conflitti di attribuzione e guardare alle migliori pratiche internazionali, estraendone gli elementi più adatti al nostro tessuto economico e costituzionale.
Indice degli argomenti
ACN e cybersicurezza nazionale nel confronto tra modelli
Nel panorama occidentale si osserva una netta linea di demarcazione tra la filosofia continentale e l’approccio anglosassone. L’asse formato da Francia e Germania ha blindato un modello civile e iper-tecnico, rigorosamente indipendente dalle forze armate e dai servizi segreti per quanto concerne la resilienza domestica.
Agenzie come l’ANSSI francese o il BSI tedesco garantiscono la massima trasparenza con il mercato privato, poiché le aziende sanno di poter collaborare e notificare gli incidenti senza il timore che i propri log aziendali o segreti industriali vengano assorbiti da logiche di segretezza militare o di intelligence. In questi paesi, la difesa delle reti militari e le operazioni offensive sono nettamente separate e affidate a comandi specifici, quali il COMCYBER francese e il comando CIR tedesco, operanti prevalentemente in contesti internazionali o bellici.
Al contrario, il Regno Unito ha adottato un modello totalmente integrato e guidato dall’intelligence, in cui il National Cyber Security Centre (NCSC) è una branca del GCHQ, l’agenzia di spionaggio elettronico.
Sebbene questo consenta una straordinaria reattività tecnica, si tratta di un approccio difficilmente mutuabile nel contesto italiano, poiché la fusione tra supporto civile e apparati di sicurezza interna (oltre ad essere un passo indietro di anni) solleverebbe alcuni punti di attenzione, tra cui la fiducia da parte del mercato privato. Esiste però un pilastro del modello britannico da cui è possibile attingere, ovvero il programma di Active Cyber Defence.
Mentre in Italia ci siamo concentrati sul calcio e sul filtering delle partite, in UK, attraverso collaborazioni automatizzate con i provider di telecomunicazioni, lo Stato blocca le minacce come phishing e malware direttamente alla radice, proteggendo capillarmente cittadini e piccole e medie imprese senza intasare l’agenzia centrale.
Negli Stati Uniti, questo dualismo viene specializzato affiancando alla CISA, agenzia civile per la protezione delle infrastrutture commerciali, la potenza estera della NSA e del Cyber Command, i quali declassificano costantemente i dati d’intelligence per metterli a disposizione del sistema civile.
Il modello italiano dell’ACN tra percezione e riassetto
L’attuale modello italiano si ispira parzialmente alla linea transalpina, avendo originariamente istituito l’ACN proprio per separare la prima linea della resilienza cibernetica dalle attività propriamente informative degli apparati di intelligence. Tuttavia, l’architettura nazionale sconta ancora evidenti elementi di immaturità strutturale. Il rischio paventato da alcune ipotesi di riassetto è quello di accentrare la componente tecnico-operativa sotto stringenti regimi di segretezza e a ridosso del comparto militare, riducendo l’ACN a una grande autorità di regolazione, vigilanza, sanzioni e produzione di carte bollate.
Un simile scenario finirebbe per indebolire il Paese a causa di un profondo cortocircuito tra percezione, comunicazione e politica.
All’esterno, l’Agenzia si trova oggi intrappolata in un delicato paradosso d’immagine: l’opinione pubblica e i media tendono spesso a metterne in discussione l’efficacia in occasione di incidenti informatici che colpiscono realtà locali o periferiche (come l’attacco ai danni degli Uffizi di Firenze), addebitandone la colpa alla struttura centrale.
Si tratta di un fraintendimento evidente, poiché l’ACN nasce con il mandato chiaro e circoscritto di proteggere il perimetro di sicurezza nazionale cibernetica e le infrastrutture critiche vitali per lo Stato, e non come presidio di pronto intervento per ogni singola entità del territorio. Questa distorsione dimostra che lo storytelling istituzionale è stato finora gestito in modo non ottimale, alimentando un’aspettativa errata sulle reali competenze dell’ente e lasciando l’Agenzia esposta a critiche improprie.
A questa asimmetria comunicativa si aggiunge il fatto che l’ente è stato talvolta percepito più per le sue eccezionali condizioni di trattamento economico e di reclutamento che per la sua effettiva vicinanza operativa al territorio, laddove strutture preesistenti come il CERT-AGID venivano vissute dagli operatori come molto più prossime alle esigenze concrete delle amministrazioni locali e del tessuto produttivo.
Inoltre, concentrarsi sulle sole faide interne non risolve il nodo della reale sovranità digitale. Senza una forte autonomia tecnologica e industriale, l’Italia rimarrà comunque dipendente dallo schema globale di diffusione e dalle lenti strategiche di partner esteri come la CISA statunitense.
Cybersicurezza nazionale, NIS2 e rischio burocratico
Questo quadro di tensione si riflette direttamente sul tessuto industriale. All’interno dei Consigli di Amministrazione delle aziende italiane si lamenta da tempo una crescente ed eccessiva burocratizzazione (e ipernormazione) della sicurezza informatica. Il rischio di questa deriva diventa evidente analizzando la genesi tecnica delle recenti determine dell’Agenzia in materia di misure di sicurezza.
Il recepimento normativo degli obblighi legati alla direttiva NIS2 ha visto l’adozione del Framework nazionale per la cyber security e la data protection (sviluppato dal CINI e dal Centro di ricerca cyber della Sapienza nella sua versione del 2025), il quale a sua volta traspone l’architettura del NIST CSF 2.0 statunitense.
Sebbene il Framework nazionale nasca con un’alta valenza scientifica e di orientamento, la sua conversione pressoché testuale in obblighi regolamentari rigidi e vincolanti rappresenta, a parere di chi scrive, un cortocircuito metodologico complesso.
Un paradigma indirettamente volontaristico e flessibile, progettato come modello di maturità a cui tendere per step incrementali, viene così trasformato in un precetto di legge sanzionabile e di fatto “binario”. Si fissa in questo modo un’asticella talmente alta da risultare, per gran parte del tessuto produttivo e delle PMI, quasi utopistica.
La distanza da altri modelli europei appare netta: il GDPR, ad esempio, fonda la sua intera architettura sul principio del rischio e sulla flessibilità dell’accountability, lasciando alle singole aziende la scelta delle misure più idonee sulla base del proprio contesto, dello stato dell’arte e dei costi di implementazione.
Tra l’altro, il GDPR consente un approccio europeo più equilibrato, mentre per la NIS2 il rischio di avere in Europa livelli di sicurezza diversi, per via del differente approccio nazionale, è molto elevato e porta l’Italia ad una scelta formalmente corretta ma pressoché irrealizzabile in poco tempo.
Scegliere per la cybersecurity una via rigidamente prescrittiva, difatti, costringe i CdA a una difesa puramente formale a fini legali, allontanando l’obiettivo della sicurezza reale.
Compliance cyber tra rischio e sostenibilità industriale
Le grandi democrazie occidentali affrontano il tema della compliance e del rischio con una filosofia radicalmente diversa, orientata ai risultati industriali e alla sostenibilità economica. Il Regno Unito, ad esempio, attraverso il proprio Cyber Assessment Framework (CAF), rifiuta la logica della conformità formale “a caselle di spunta”. Il CAF definisce obiettivi desiderati e valuta profili di maturità progressivi: lo Stato britannico non esige l’eccellenza immediata su tutto, ma verifica che le misure implementate siano concretamente e gradualmente proporzionate al rischio specifico dell’organizzazione.
Negli Stati Uniti, la CISA ha compreso che pretendere l’applicazione legislativa dell’intero corpus del NIST CSF 2.0 è irrealistico; per questo ha elaborato i cybersecurity performance goals (CPGs), un sottoinsieme politico e tecnico di azioni essenziali e ad altissimo impatto pratico, concepito per aiutare le imprese a prioritizzare gli investimenti sulle vulnerabilità reali del mercato.
In Germania, il BSI applica una filosofia prima di tutto basata sulla sussidiarietà attraverso i B3S (standard di sicurezza specifici per settore): non è lo Stato a scrivere le regole tecniche da solo, ma sono le associazioni industriali e di categoria a co-progettare i propri standard con l’autorità, garantendo che le norme siano economicamente sostenibili e operativamente fattibili.
Il futuro dell’ACN in dieci azioni strategiche
Ad avviso di chi scrive, il vero obiettivo strategico della governance cyber italiana dovrebbe essere il rafforzamento dell’intero comparto attraverso una revisione normativa capace di valorizzare l’ecosistema in un’ottica sinergica, evolutiva e sostenibile.
Allo stesso tempo, la crescita ed il miglioramento dell’ecosistema della cybersecurity necessita di proposte e condivisione in modo aperto e leale. La community di esperti non può limitarsi a cercare problemi, senza proporre soluzioni, seppure non necessariamente con l’approvazione generale.
Solo integrando la resilienza civile con le capacità di sicurezza nazionale, e cementando questa sinergia attraverso una governance aperta, partecipata e comunicativamente matura, l’Italia potrà dimostrare piena maturità istituzionale. La svolta manageriale dell’ACN rappresenta l’occasione ideale per trasformare la cybersecurity da un costo formale o da una pura contesa burocratica a una risorsa strategica, capace di difendere autenticamente la sovranità digitale del sistema-Paese.
In questa sede, con il consueto approccio pragmatico, si propone una sintesi di 10 potenziali stream strategici, distinti per argomento.
Core tecnico-civile dell’ACN
- Integrità operativa degli organi chiave: mantenere saldamente lo CSIRT Italia e il Centro di valutazione e certificazione nazionale (CVCN) all’interno dell’ACN. Questa scelta è l’unica via per preservare la trasparenza e la fiducia reciproca con il settore privato, garantendo che la gestione tecnica degli incidenti avvenga in un quadro di cooperazione e non di coercizione o segretezza.
- Preservazione del valore delle risorse umane: tutelare la natura tecnica e professionale degli specialisti reclutati dall’Agenzia. Evitare che lo svuotamento delle funzioni operative dequalifichi le professionalità interne o mini il fondamento del trattamento economico integrativo riconosciuto al personale.
Compliance industriale e CVCN
- Transizione verso una compliance industriale basata sul rischio: sotto la guida del nuovo direttore, caratterizzata da una chiara estrazione manageriale, l’Agenzia deve superare la logica formale dell’adempimento burocratico utopistico. Le determinazioni dell’ente devono essere supportate da esperti capaci di rimodulare i requisiti ereditati dal Framework CINI-Sapienza in una logica di reale proporzionalità, gradualità e sostenibilità per le organizzazioni ed i vertici aziendali.
- Efficientamento dei processi di certificazione del CVCN: evolvere l’attività del CVCN verso un modello operativo agile, standardizzato e basato su metriche di efficienza industriale. Il Centro deve garantire valutazioni rapide dei prodotti e servizi software o hardware, impedendo che le procedure si trasformino in un imbuto amministrativo che rallenta l’innovazione tecnologica e l’approvvigionamento delle aziende.
Protezione di territorio, cittadini e PMI
- Scudo cyber automatizzato e non invasivo: estendere la missione dell’ACN oltre il solo perimetro di sicurezza nazionale cibernetica, offrendo una percezione di sicurezza operativa reale al tessuto produttivo diffuso. Mutuando l’approccio tecnologico della active cyber defence britannica, l’ACN deve coordinare l’implementazione di filtri cyber automatici a monte delle reti nazionali in collaborazione con i provider di telecomunicazioni, intercettando le minacce di massa (phishing, malware) prima che colpiscano cittadini e PMI.
Rete territoriale dell’Agenzia
- Modello di rete territoriale e sussidiarietà: promuovere una progressiva regionalizzazione delle attività di supporto dell’Agenzia, traendo ispirazione dall’esperienza francese dei CSIRT regionali e da altri esempi internazionali di capillarità pubblica. L’ACN deve operare di concerto con le regioni, le autonomie locali e le camere di commercio per costituire presidi territoriali di prossimità. Questo decentramento cooperativo consentirà di intercettare le specifiche esigenze delle imprese locali e dei distretti industriali, traducendo le direttive centrali in un’assistenza pratica e tempestiva a favore del tessuto economico periferico.
Cooperazione ACN, DIS e difesa
- Sinergia operativa “a cerniera” (ACN-DIS-difesa): definire una catena di comando pubblica, chiara e priva di sovrapposizioni o conflitti decisionali. L’intelligence (DIS) e il ministero della Difesa mantengono i rispettivi ruoli di inquadramento strategico e contrasto delle minacce ibride e geopolitiche avanzate all’estero. I flussi informativi di natura tecnica da essi intercettati devono però essere declassificati e passati automaticamente allo CSIRT dell’ACN, incaricato in via esclusiva di tradurli tempestivamente in scudi protettivi per le infrastrutture critiche civili quali sanità, trasporti, energia e telecomunicazioni.
Comunicazione istituzionale e cultura cyber
- Contrasto al sensazionalismo e promozione della cultura cyber: avviare un’analisi approfondita e adeguata della comunicazione istituzionale e dei livelli di awareness del sistema Paese. L’obiettivo strutturale deve essere orientare l’Agenzia verso una drastica riduzione del rischio di sensazionalismo e superficialità mediatica, promuovendo al suo posto una cultura della sicurezza informatica più profonda, matura e consapevole a tutti i livelli della società, dalle istituzioni ai cittadini.
Dialogo con mercato ed esperti indipendenti
Potenziamento degli organi consultivi indipendenti: incrementare le competenze e il ruolo degli esperti indipendenti e del Comitato tecnico-scientifico dell’Agenzia, trasformandoli in reali organi di supporto e indirizzo strategico in un’ottica pienamente collegiale e costruttiva.
Ascolto strutturato degli attori di mercato: promuovere un dialogo allargato e inclusivo attraverso un ascolto più assiduo della famiglia professionale dei tecnici, delle associazioni no-profit del settore e di Confindustria, valorizzando la voce di chi vive quotidianamente le dinamiche operative del mercato cibernetico.
Partecipa alla community