Le guerre del XXI secolo non cominciano necessariamente con un missile, possono iniziare con una credenziale compromessa, una vulnerabilità zero-day, un'infrastruttura digitale penetrata silenziosamente o una supply chain tecnologica trasformata in punto d'accesso verso sistemi molto più sensibili. È questa una delle trasformazioni più profonde degli attuali equilibri geopolitici: dati, piattaforme, algoritmi, cloud e infrastrutture digitali sono ormai parte integrante della capacità strategica di uno Stato che partecipa, perennemente, a una competizione internazionale che non riguarda più soltanto il controllo delle materie prime, delle rotte commerciali o delle fonti energetiche. Riguarda sempre più la capacità di produrre, raccogliere, elaborare e soprattutto proteggere informazioni. Non a caso l'Unione europea sta costruendo una propria strategia di sovranità tecnologica che comprende semiconduttori, intelligenza artificiale, cloud e dati. Il Data Act, ad esempio, applicabile dal settembre 2025, interviene proprio sulla circolazione e sull'accessibilità dei dati generati nell'economia connessa, mentre la strategia europea sulla Data Union punta anche a rafforzare la protezione dei dati non personali sensibili e la sovranità europea sul patrimonio informativo.
Il dato industriale è diventato potere
Una macchina utensile connessa, una rete ferroviaria, un'infrastruttura energetica, un satellite, una piattaforma logistica, un sistema sanitario o un impianto industriale producono continuamente informazioni. Certo presi singolarmente sono solo dati ma aggregati, correlati e analizzati diventano intelligence. Possono raccontare capacità produttive, vulnerabilità, consumi energetici, spostamenti, dipendenze logistiche, configurazioni tecnologiche, livelli di attività e persino anomalie potenzialmente sfruttabili da un avversario. Ed è qui, esattamente qui, che nasce la geopolitica dei dati industriali. Chi possiede le piattaforme sulle quali transitano queste informazioni, chi sviluppa gli algoritmi che le interpretano, chi controlla l'infrastruttura cloud che le conserva e chi dispone delle capacità cyber necessarie per proteggerle acquisisce un vantaggio che è contemporaneamente economico, tecnologico e strategico. Una consapevolezza necessaria da comprendere, ad ogni livello e in ogni settore. La stessa Commissione europea lega ormai esplicitamente competitività e autonomia alla capacità dell'Europa di progettare e sviluppare internamente le tecnologie strategiche, mentre nel giugno 2026 ha presentato un pacchetto sulla sovranità tecnologica concentrato proprio su semiconduttori, AI, cloud e open source. Ecco allora che in questo scenario la cybersecurity smette definitivamente di essere una funzione accessoria dell'IT. Diventa politica industriale e componente della sicurezza nazionale.
Il conflitto asimmetrico entra nelle reti
A rendere ancora più urgente e anche allarmante questa riflessione è l'evoluzione dei conflitti internazionali. ENISA, nel Threat Landscape 2025, ha analizzato 4.875 incidenti avvenuti tra luglio 2024 e giugno 2025 e descrive un ecosistema nel quale gruppi differenti tendono a riutilizzare strumenti, tecniche e infrastrutture, mentre cybercrime, hacktivismo, cyberespionage e operazioni riconducibili ad attori statuali finiscono sempre più spesso per condividere tattiche e capacità. È il paradigma della guerra ibrida e asimmetrica? Si, ed ecco perché: non serve necessariamente colpire fisicamente un'infrastruttura per comprometterne la funzionalità. Un attacco cyber può interferire con servizi, comunicazioni, catene logistiche e processi industriali; può sottrarre informazioni riservate, produrre effetti economici oppure essere combinato con campagne di disinformazione e pressione psicologica. Il confine tra criminalità informatica, spionaggio, hacktivismo e conflitto geopolitico diventa così meno netto, impercettibile, lontano dalle logiche comuni a cui siamo abituati quando si pensa a una crisi. Sempre ENISA rileva, inoltre, come le tensioni geopolitiche continuino a rappresentare un importante driver delle operazioni cyber e prospetta un'evoluzione della minaccia lungo tre direttrici: convergenza, automazione e industrializzazione. L'intelligenza artificiale può accelerare ulteriormente questo processo, riducendo i tempi necessari per sviluppare campagne offensive e aumentando la capacità di deception degli attaccanti.
Dalla cybersecurity alla cyber intelligence
È proprio qui che cambia anche il significato della difesa. Uno switch totale. Firewall, antivirus, EDR, sistemi di autenticazione e Security Operations Center restano indispensabili, ma non sono più sufficienti se considerati isolatamente. Difatti la nuova frontiera è la Cyber Threat Intelligence (CTI): raccogliere e correlare informazioni sulle minacce, comprendere gli attori ostili, individuarne infrastrutture e comportamenti, analizzare TTP — tactics, techniques and procedures — e trasformare enormi quantità di segnali tecnici in conoscenza utilizzabile per assumere decisioni. Significa, dunque, passare dalla domanda «siamo stati attaccati?» a domande molto più sofisticate: chi potrebbe attaccarci, perché, con quali strumenti, attraverso quale superficie e quale comportamento dell'avversario possiamo osservare prima che l'attacco produca i suoi effetti? È la differenza tra sicurezza reattiva e sicurezza intelligence-driven. Ed è particolarmente importante nel contrasto al cyberterrorismo e alle minacce ibride, dove l'obiettivo non è necessariamente il profitto, affatto, perché un attore ostile può cercare interruzione dei servizi, sabotaggio, sottrazione di informazioni, destabilizzazione o un effetto psicologico e comunicativo superiore allo stesso danno tecnico prodotto, è politica, diplomazia, sono ingerenze, destabilizzazioni. La cyber intelligence deve quindi integrare competenze differenti: threat intelligence tecnica, OSINT, malware analysis, digital forensics, analisi delle infrastrutture ostili, monitoraggio delle vulnerabilità, conoscenza delle dinamiche geopolitiche e capacità di interpretare il comportamento dell'avversario. È significativo, infatti, che ENISA indichi proprio strategie intelligence-driven, proactive threat hunting e behavioural detection fra gli elementi necessari per affrontare l'evoluzione della minaccia.
DEAS, Telsy, Leonardo: il patrimonio tecnologico italiano
È dentro questo scenario che va letta anche l'importanza di preservare e sviluppare realtà nazionali specializzate come Telsy, Deas e Leonardo. Tre grandi società che operano nel campo della cybersecurity, dell'intelligenza artificiale e della resilienza delle infrastrutture critiche e hanno costruito parte delle proprie impostazioni sulla simulazione realistica degli scenari cyber e sull'analisi del comportamento dell'avversario. Realtà che non coincidono soltanto con fatturato, commesse o numero di dipendenti, dentro un'impresa cyber si accumula un capitale molto più difficile da ricostruire: competenze specialistiche, conoscenza operativa, proprietà intellettuale, metodologie, capacità di ricerca, algoritmi, esperienza maturata sul campo e, soprattutto, capitale umano ad altissima qualificazione. È un patrimonio che richiede anni per essere costruito e che può essere disperso molto più rapidamente, soprattutto se si affacciano players stranieri. Per questo preservare società italiane dotate di competenze avanzate nel dominio cyber non significa sottrarle alla concorrenza o alle normali regole del mercato. Significa riconoscere che, quando un'impresa opera su tecnologie sensibili, infrastrutture critiche e capacità ad alta valenza strategica, alla dimensione economica si affianca inevitabilmente una questione di sicurezza tecnologica nazionale. Queste grandi realtà italiane definiscono la propria missione proprio in termini di difesa proattiva nel dominio cyber e rafforzamento della resilienza dei sistemi informatici attraverso l’utilizzo di tecnologie digitali avanzate, big data, strumenti sviluppati su misura, competenze di intelligenza artificiale e specialisti provenienti dalla cultura dell'ethical hacking. Non si tratta quindi soltanto di proteggere un settore industriale, si tratta, più in generale, di evitare che il Paese perda know-how, persone e capacità tecnologiche difficilmente sostituibili.
L'hacker come risorsa strategica
Anche la figura dell'hacker deve essere riletta. Nell'immaginario collettivo rimane associata all'intrusione illegale. Nel mondo della sicurezza avanzata, invece, la conoscenza delle tecniche dell'attaccante costituisce uno degli strumenti più importanti della difesa. Red teaming, penetration testing, adversary emulation e threat hunting partono dallo stesso principio: per proteggere efficacemente un sistema bisogna essere capaci di ragionare come chi tenterà di comprometterlo. Realtà fiore all’occhiello del Paese che hanno costruito esplicitamente parte della propria filosofia industriale su questa impostazione: studiare le TTP degli attori avanzati e simulare scenari realistici per comprendere le modalità di compromissione prima che possano essere utilizzate contro infrastrutture reali. Tutto ciò in uno scenario internazionale nel quale esistono gruppi state-sponsored, cybercriminali strutturati, hacktivisti e operatori hacker-for-hire, capaci di disporre di specialisti nazionali pronti a muoversi allo stesso livello tecnico degli avversari e questo rappresenta, indubbiamente, per una realtà democratica, una forma di deterrenza e resilienza. Sia chiaro, non perché si debba trasformare la cybersecurity in una corsa indiscriminata alle capacità offensive, ma perché non è possibile costruire una difesa avanzata senza conoscere profondamente l'offesa.
La nuova sovranità passa dalle competenze
La questione, alla fine, è industriale prima ancora che informatica. L'Europa ha compreso che dipendere completamente dall'esterno per cloud, semiconduttori, AI, piattaforme e infrastrutture digitali significa esporsi a una vulnerabilità strategica, ecco, la stessa logica vale per la cybersecurity. Un Paese che non possiede competenze autonome per proteggere i propri dati, analizzare le minacce, verificare la sicurezza delle tecnologie e comprendere le capacità degli avversari rischia di diventare dipendente anche per la propria sicurezza e come già accaduto, purtroppo, ci si è accorti che la dipendenza tecnologica, nelle crisi internazionali, può trasformarsi rapidamente in dipendenza strategica. Per l'Italia, quindi, tutelare e far crescere un ecosistema nazionale della cybersicurezza significa investire contemporaneamente in sovranità digitale, sicurezza economica, politica industriale e difesa nazionale e lo dimostrano anche le guerre contemporanee dove il fronte non coincide più necessariamente con una linea geografica. Può attraversare un data center, una rete elettrica, un satellite, il sistema informativo di un ministero, una fabbrica, una banca o la supply chain di una grande impresa. Ed è proprio per questo che società ad alta specializzazione come DEAS, Leonardo e Telsy, per citare le più strategiche, insieme all'intero patrimonio italiano di imprese, ricercatori, ingegneri e hacker etici, devono essere considerate non soltanto protagoniste di un mercato in forte crescita, ma componenti di un ecosistema strategico che il Paese ha interesse a mantenere competitivo, autonomo e tecnologicamente avanzato. Perché nella geopolitica dei dati la vera sovranità non consiste semplicemente nel possedere le informazioni, bensì consiste nel disporre delle tecnologie, delle piattaforme e soprattutto delle competenze necessarie per comprenderle, proteggerle e impedire che diventino un'arma nelle mani di un potenziale avversario.