Il ruolo della Difesa nel cyberspazio. Perché l’art. 7 è un passo avanti da completare

Nel cyberspazio la pace non coincide con l’assenza di ostilità, perché gli Stati possono penetrare le reti di un avversario, mantenervi accessi persistenti e predisporre un sabotaggio prima che la crisi diventi politicamente o militarmente riconoscibile. Quando l’attacco cyber emerge, una parte decisiva dell’operazione potrebbe essersi già svolta. È a questa realtà che prova a rispondere l’articolo 7 dello schema di disegno di legge per il rafforzamento della capacità di difesa nazionale, riconoscendo alla Difesa un ruolo nel cyberspazio anche in tempo di pace.

La scelta supera una rappresentazione ormai inadeguata della sicurezza nazionale, fondata sulla successione tra pace, crisi e conflitto, ma si arresta proprio nel momento in cui dovrebbe tradurre il riconoscimento del nuovo dominio in una capacità operativa effettiva da parte della Difesa. L’articolo 7 definisce lo spazio da proteggere, rafforza la catena di comando, interviene sul personale e attribuisce una responsabilità unitaria sui dati, senza chiarire, però, fino a dove possa spingersi un’operazione cibernetica difensiva. Questa omissione rischia di trasformare una previsione normativa necessaria in un’occasione persa.

Il riconoscimento del dominio cyber

La norma introduce nel Codice dell’ordinamento militare lo “spazio cibernetico di interesse nazionale per la difesa e la sicurezza militare dello Stato”, definito come l’insieme di infrastrutture, sistemi, dati, connessioni, sensori, piattaforme e relazioni entro il quale il ministero della difesa opera, anche al di fuori dei confini nazionali. È l’ecosistema tecnologico e informativo dal quale dipendono i sistemi d’arma, le piattaforme militari e le strutture di comando e controllo, non soltanto l’insieme delle reti interne dell’amministrazione.

Questo ecosistema individua l’ambiente nel quale la Difesa esercita le proprie attribuzioni. Al ministro spetterà identificarlo e aggiornarlo, mentre il Capo di Stato Maggiore della Difesa diventerà l’autorità cyber del ministero, con responsabilità sul personale cyber interforze e poteri di direttiva sulla difesa cibernetica, sui dati e sull’intero spazio elettromagnetico. Ciò, ovviamente, ferme restando le competenze degli altri soggetti della cybersicurezza nazionale (servizi segreti, Acn, forze dell’ordine, ecc.).

Il nodo politico

Il nodo politico dell’articolo 7 è nella previsione che affida al Capo di Stato Maggiore della Difesa la tutela dello spazio cibernetico di interesse militare, “anche in tempo di pace”, mediante operazioni cibernetiche difensive in Italia e all’estero. Il legislatore, quindi, riconosce correttamente che la minaccia cyber non cominci con una dichiarazione di guerra e che lo strumento militare debba poter operare nella competizione sotto la soglia del conflitto armato.

La portata concreta della disposizione, tuttavia, dipende dal significato attribuito alla parola “difensive”, che il testo non definisce. Non è chiaro se le operazioni debbano limitarsi alla protezione dei sistemi militari, al rilevamento degli attacchi e al ripristino delle funzionalità, oppure – più correttamente – possano comprendere misure attive dirette a individuare, contenere, interrompere e, quando necessario, neutralizzare una minaccia mentre continua a produrre i propri effetti.

Non è una questione terminologica, perché da questa distinzione dipende la postura della nostra Difesa nel cyberspazio. Se difendere significasse soltanto irrobustire i propri sistemi, assorbire gli attacchi e ricostruire ciò che è stato compromesso, lo strumento militare continuerebbe a comportarsi come un bersaglio statico, costretto a incassare senza poter incidere sulla capacità dalla quale l’aggressione viene condotta. Una difesa fondata esclusivamente sulla resistenza sarebbe palesemente insufficiente quando l’attacco è persistente e sfrutta infrastrutture collocate al di fuori del perimetro direttamente controllato.

In determinate circostanze, infatti, proteggere lo spazio cibernetico militare può richiedere di intervenire oltre quel perimetro per interrompere l’operazione avversaria o degradarne la capacità di produrre effetti. Il carattere difensivo di un’azione non dovrebbe dipendere soltanto dal luogo digitale nel quale viene eseguita, ma dalla finalità perseguita, dagli effetti attesi e dai presupposti giuridici che ne consentono lo svolgimento.

Un’attività condotta su un sistema esterno non diventa automaticamente offensiva, così come la sua qualificazione formale come difensiva non basta a renderla legittima.

Riconoscere questa esigenza non significa attribuire alla Difesa un potere generale di “hack back”, né autorizzare rappresaglie indiscriminate, ma disciplinare la difesa attiva, definendone condizioni, responsabilità e limiti. Quando un’operazione può incidere su sistemi situati all’estero o appartenenti a terzi, diventano indispensabili una decisione politica riconoscibile, regole d’ingaggio rigorose, un procedimento affidabile di attribuzione della minaccia, la verifica della necessità e della proporzionalità dell’intervento e la tutela del personale impiegato.

Servono, inoltre, meccanismi di raccordo con l’intelligence, l’Agenzia per la cybersicurezza nazionale e il ministero dell’interno, affinché siano chiare le responsabilità di valutazione, autorizzazione e controllo.

Una disciplina esplicita, quindi, non indebolirebbe la capacità della Difesa, ma la renderebbe politicamente responsabile e giuridicamente sostenibile, mentre l’attuale incertezza ricadrebbe sul decisore e sul personale chiamato a operare.

Persone e dati come capacità strategiche

L’articolo 7 interviene anche sul personale attraverso il brevetto di “Specialista Cyber Militare”, una ferma aggiuntiva di cinque anni, ulteriori possibilità di permanenza volontaria, un’indennità cyber e incentivi economici. L’impostazione è corretta, perché la capacità cibernetica non si costruisce acquistando tecnologie, ma richiede competenze rare che la Difesa deve saper attrarre, valorizzare e trattenere.

Il brevetto, infatti, non è sufficiente da solo a creare una capacità militare cyber effettiva. Se non sarà accompagnato da formazione continua, percorsi di carriera adeguati e condizioni economiche competitive, rischierà di rimanere un riconoscimento meramente formale, senza consentire alla Difesa di formare e trattenere nel tempo un numero adeguato di professionisti dotati delle competenze specialistiche necessarie.

Nella stessa prospettiva assume rilievo la responsabilità unitaria attribuita al Capo di Stato Maggiore della Difesa sui dati del ministero. Qualità, disponibilità, interoperabilità e sicurezza del patrimonio informativo sono presupposti del comando e controllo, dell’impiego dell’intelligenza artificiale e delle operazioni multidominio. Perciò, collegare la cyberdifesa al governo dei dati significa intervenire in maniera coerente e corretta su un fondamento della trasformazione digitale dello strumento militare.

Un’occasione che il Parlamento può ancora recuperare

L’articolo 7 compie un passo importante, perché riconosce il cyberspazio come dominio operativo, supera la rigida separazione tra pace e conflitto e attribuisce alla Difesa una responsabilità più chiara.

Il passaggio parlamentare dovrà però completare quella scelta, precisando non soltanto dove lo strumento militare possa operare e chi debba guidarlo, ma anche quali azioni possano essere compiute per contrastare una minaccia in corso, attraverso quale procedimento e nel rispetto di quali garanzie.