Italia, via libera al contrattacco cyber. Il nostro Paese ora può rispondere colpo su colpo

Immagina una stanza blindata, luci basse, grafici e mappe digitali proiettati sulle pareti: in mezzo al tavolo, una decisione da prendere in pochi minuti. È lo scenario che la nuova norma italiana rende possibile, dando al Presidente del Consiglio il potere di autorizzare, dopo consultazione con CISR e Copasir, un contrattacco cibernetico vero e proprio. Non parliamo di alzare firewall o bloccare un IP, ma di operazioni offensive su scala statale, condotte da AISE e AISI, con il coordinamento del DIS e il supporto del Ministero della Difesa. Il quadro è stato reso operativo con il Decreto Sicurezza (DL 48/2025, legge dal 9 giugno), che ha messo nero su bianco procedure, ruoli e condizioni.

La norma prevede tre requisiti fondamentali: il bersaglio dev’essere identificabile con alto grado di certezza (ad esempio un gruppo APT o un’infrastruttura C2 specifica), le difese convenzionali devono essersi dimostrate inefficaci e la minaccia deve riguardare la sicurezza nazionale o quella di un alleato. Il “bersaglio” in questo contesto non è un concetto astratto: può essere un server di comando situato in un Paese terzo, un dominio utilizzato per spear-phishing, un nodo di rete da cui parte un attacco DDoS contro un ministero, o un endpoint compromesso all’interno di un’azienda che gestisce infrastrutture critiche.

Sul piano tecnico, la portata di un’operazione offensiva autorizzata a questo livello può includere il deploy di payload mirati su sistemi ostili, la compromissione o distruzione di infrastrutture C2, la deautenticazione forzata di account e chiavi utilizzate dall’aggressore, la creazione di sinkhole per deviare il traffico malevolo, fino al wiping controllato di server remoti. A seconda della situazione, le squadre operative potrebbero sfruttare zero-day non pubblici, toolchain custom sviluppate internamente dalle unità cyber, oppure adattare malware già osservato in ambito militare. Tutto questo, secondo la legge, dovrà essere eseguito mantenendo la proporzionalità della risposta e minimizzando l’impatto su terzi.

Il cambiamento non è tanto normativo — le basi erano già nella legge perimetro e nel DL Aiuti Bis del 2022 — quanto operativo: adesso la catena di comando è formalizzata e pronta ad agire con tempistiche che, in teoria, possono scendere a poche ore tra rilevazione della minaccia e autorizzazione del contrattacco. Il DIS diventa il punto di raccordo tecnico-strategico, integrando intelligence, difesa e capacità cibernetiche in un’unica regia.

Questo significa che, in uno scenario reale, se un gruppo come Sandworm o Kimsuky dovesse colpire un asset strategico italiano o di un alleato NATO, Roma potrebbe rispondere non solo rafforzando le difese, ma degradando direttamente l’infrastruttura nemica. È una postura di difesa attiva che allinea l’Italia a quella di altre potenze occidentali, ma che richiede precisione chirurgica, risorse umane altamente qualificate e un costante aggiornamento delle capacità tecniche per restare al passo con un avversario che non gioca mai secondo le regole.