In questo articolo Indice dei contenuti 2 sezioni
Ci sono report che dicono più di quanto promettano, e quello della Corte dei conti europea sulla cybersecurity del continente appartiene a questa categoria: il punto debole dell’Europa non è tanto accorgersi che un attacco è in arrivo, quanto riuscire a dirselo in tempo tra Paesi diversi. Tradotto in pratica, manca la capacità di capire rapidamente quando una violazione smette di essere una faccenda nazionale e diventa una crisi che riguarda mezzo continente. Servono segnalazioni tempestive, dati condivisi, procedure uguali per tutti. Ed è proprio lì che il meccanismo europeo continua a inciampare.
Gli auditor, con il lavoro coordinato da George Marius Hyzler, hanno passato al setaccio il periodo compreso tra il 2022 e il 2025, verificando come l’Unione individua e gestisce gli incidenti più gravi. Due categorie, in particolare: quelli definiti “significativi”, capaci di causare interruzioni o danni pesanti, e quelli “su vasta scala”, che colpiscono più Stati membri e imporrebbero una risposta coordinata. Le verifiche hanno toccato anche l’Italia. Il giudizio finale è tutt’altro che trionfale: l’architettura di cooperazione è cresciuta, sì, ma funziona solo in parte.
Una macchina complessa che gira senza carburante
Sulla carta l’Europa si è attrezzata bene. Esiste la rete dei CSIRT nazionali, esiste EU CyCLONe per la gestione delle crisi, esiste ENISA, una riserva di specialisti pronti a intervenire e un sistema europeo di allerta. Il programma Europa digitale mette sul tavolo 1,4 miliardi di euro per la cybersecurity nel periodo che va dal 2021 al 2027. Tutto questo, però, funziona solo se i dati circolano. E i dati, spesso, non circolano affatto.
L’esempio più imbarazzante porta la data del settembre 2025. Un attacco ransomware ai sistemi di Collins Aerospace mise in ginocchio gli scali di Heathrow, Bruxelles, Berlino Brandeburgo e Dublino, con il personale costretto a tornare alle procedure manuali. Ebbene, nessuno Stato membro classificò formalmente quell’evento come incidente transfrontaliero significativo o su vasta scala. Nessuna escalation a livello europeo. Un disservizio che ha coinvolto quattro grandi aeroporti in quattro Paesi diversi è rimasto, burocraticamente parlando, un affare interno. Non si tratta di un episodio isolato. Nel 2025 gli Stati membri hanno inviato appena 14 segnalazioni di incidenti transfrontalieri significativi, provenienti da sette Paesi in tutto. Nel 2024 erano state due, nel 2023 zero, nel 2022 tre. E da quando il meccanismo europeo esiste, nessun incidente è mai stato etichettato ufficialmente come “su vasta scala”. Non WannaCry, non NotPetya, nemmeno il blackout informatico collegato a CrowdStrike nel 2024.
Ritardi normativi, appalti bloccati e sovrapposizioni
Una fetta del problema è di natura legislativa. La direttiva NIS2, che allarga in modo netto il numero di organizzazioni tenute a rispettare obblighi di sicurezza e di notifica, andava recepita entro ottobre 2024. I ritardi hanno frenato l’estensione del sistema. A complicare il quadro, in alcuni Stati le norme interne sulla sicurezza nazionale mettono un tetto alle informazioni che possono uscire dai confini. Anche il sistema europeo di allerta, al momento dell’audit, non era ancora operativo. I due poli esaminati, ATHENA ed ENSOC, quest’ultimo con partecipazione italiana, risultavano rallentati da problemi negli appalti. Mancavano poi accordi di cooperazione, una classificazione comune degli incidenti e standard tecnici condivisi. Non finisce qui: la Corte rileva sovrapposizioni tra il centro di situazione informatica della Commissione ed ENISA nel monitoraggio delle minacce. E apre un capitolo sui finanziamenti, perché quando i beneficiari girano fondi a soggetti terzi, l’ECCC non controlla direttamente le valutazioni su proprietà e controllo, con rischi potenziali per dati e infrastrutture sensibili.
“Quando si verifica un incidente informatico grave, sono essenziali informazioni tempestive e utilizzabili”, osserva Hyzler. Senza quelle, reti e procedure perdono quasi tutto il loro senso. Per anni la sicurezza informatica europea è stata raccontata come una questione di tecnologie e difese. Il rapporto sposta il baricentro altrove: si possono avere sensori, esperti e centri operativi di primo livello, ma se un Paese vede qualcosa e gli altri restano al buio, il problema non è più tecnologico. È informativo.
Fonte: TecnoAndroid
