Quando un servizio essenziale si interrompe, la domanda non è soltanto quale tecnologia abbia ceduto. Conta sapere chi riconosce il problema, chi prende una decisione, quali alternative restano disponibili e quanto velocemente organizzazioni diverse riescono a coordinarsi.
La difesa è una capacità distribuita
In un’intervista pubblicata da ACN il 3 gennaio 2026, il direttore generale Bruno Frattasi descrive la cybersicurezza nazionale come una struttura composta da più funzioni coordinate: difesa, intelligence, forze di polizia e Agenzia per la cybersicurezza nazionale, con il Nucleo per la sicurezza cibernetica come sede interistituzionale.
La lettura utile per un’impresa è immediata. Anche dentro un’organizzazione la difesa non può essere delegata a un unico prodotto o a una sola persona. Direzione, IT, sicurezza, continuità operativa, comunicazione e fornitori devono conoscere ruoli e modalità di escalation prima che un evento superi il confine tecnico.
Il privato non è ai margini della sicurezza nazionale
Frattasi richiama oltre 21 mila entità censite nei 18 settori individuati dalla NIS2, circa la metà imprese private. Il numero rende visibile un cambiamento: energia, trasporti, telecomunicazioni, sanità e servizi digitali dipendono da operatori, manutentori e fornitori che appartengono a filiere interconnesse.
La sicurezza di un soggetto non finisce quindi al suo perimetro. Serve sapere quali servizi esterni sono indispensabili, quali accessi ricevono, come notificano un incidente e quali alternative esistono se i normali canali digitali non sono disponibili. La gestione della supply chain diventa così una parte della capacità difensiva, non una verifica amministrativa da svolgere una volta l’anno.
Le esercitazioni mostrano ciò che i documenti non dicono
L’intervista cita esercitazioni che hanno coinvolto grandi operatori nazionali dell’energia e delle telecomunicazioni, ispirate anche allo scenario del blackout spagnolo. L’obiettivo era verificare resilienza incrociata e cooperazione in emergenza, compresa l’ipotesi di non poter usare i consueti mezzi digitali.
È qui che un piano diventa capacità reale. Un’esercitazione fa emergere numeri di contatto obsoleti, responsabilità ambigue, dipendenze dimenticate e decisioni che nessuno si sente autorizzato a prendere. Per un Blue Team — la funzione che monitora, rileva e risponde agli incidenti — questi test sono anche un modo per capire se segnali, procedure ed escalation funzionano insieme.
L’intelligenza artificiale aiuta, ma non sostituisce il presidio
ACN indica nell’intelligenza artificiale uno strumento utile ad analizzare grandi volumi di dati e riconoscere segnali deboli. È un vantaggio concreto quando gli eventi sono troppi per essere letti manualmente, ma il risultato dipende dalla qualità dei dati, dalle regole operative e dalla capacità umana di interpretare il contesto.
La tecnologia può ridurre il rumore e accelerare l’analisi. Non decide però da sola l’impatto sul business, la priorità di un servizio o il momento in cui attivare un piano di continuità. Queste restano responsabilità organizzative.
Tre verifiche per rendere concreta la difesa
- Provare un incidente che coinvolga contemporaneamente IT, direzione e un fornitore critico.
- Verificare canali alternativi di comunicazione e decisione quando email e piattaforme aziendali non sono disponibili.
- Misurare non soltanto quanti alert vengono generati, ma quanto tempo serve per comprenderli, contenerli e ripristinare il servizio.
Difendersi significa trasformare coordinamento, visibilità e preparazione in comportamenti ripetibili. È una logica nazionale, ma anche una disciplina quotidiana per ogni organizzazione.