La cybersicurezza non si gioca soltanto sulla capacità di prevenire un attacco, ma anche su quella di condividere informazioni, coordinare le risposte e mettere in comunicazione tecnologie e organizzazioni diverse. In un contesto in cui le minacce informatiche attraversano i confini nazionali e sfruttano le vulnerabilità delle catene di fornitura, la cooperazione è diventata una componente essenziale della sicurezza.
È stato questo uno dei temi centrali emersi il 14 ottobre, nella seconda giornata della manifestazione. Dai responsabili nazionali della cybersicurezza alle istituzioni europee, fino alle soluzioni tecnologiche presentate nell’area espositiva, gli interventi hanno evidenziato una necessità comune: rafforzare la collaborazione, rendere più efficaci le regole condivise e sviluppare tecnologie capaci di integrarsi in un sistema di difesa coordinato.
La prima questione è la fiducia. Milan Pikula dirige lo SK-CERT, il centro slovacco di risposta agli incidenti informatici che fa parte dell’Autorità nazionale per la sicurezza. Ha raccontato due episodi che mostrano quanto la condivisione delle informazioni possa fare la differenza. Nel primo caso, un attacco aveva colpito i sistemi di refrigerazione di alcuni negozi francesi. I colleghi francesi avevano avvisato le autorità slovacche, che avevano individuato sistemi analoghi sul proprio territorio e li avevano messi in sicurezza prima che si verificassero danni.
Nel secondo episodio, all’inizio dell’anno, alcune telecamere installate in Slovacchia erano state coinvolte in un incidente. Il centro aveva ricevuto una segnalazione, ma non era riuscito a ottenere dai partner le informazioni necessarie per comprendere cosa fosse accaduto. All’interno dell’Unione europea, ha spiegato Pikula, la rete dei CSIRT, i gruppi di risposta agli incidenti informatici, consente uno scambio quotidiano di informazioni. Su scala internazionale più ampia, invece, la collaborazione resta spesso limitata dalla difficoltà di condividere dati e dettagli operativi.
Anssi Kärkkäinen, direttore generale del Centro nazionale per la cybersicurezza della Finlandia, ha illustrato un approccio concreto alla cooperazione. Dopo aver ricevuto la segnalazione relativa all’attacco in Francia, il suo centro aveva controllato gli indirizzi IP del Paese alla ricerca di servizi esposti o vulnerabili.
Michail Bletsas, governatore dell’Autorità nazionale per la cybersicurezza della Grecia, ha sottolineato che l’Europa può imporre obblighi di collaborazione, ma la fiducia non si costruisce soltanto attraverso le norme: richiede attività condivise e progetti comuni. Tra le proposte emerse c’è quella di creare turni condivisi nei Security Operations Center (SOC), i centri operativi in cui vengono monitorate le reti e individuate le minacce, coinvolgendo personale proveniente da Paesi diversi.
Bletsas ha ricordato anche che il problema riguarda la cooperazione interna ai singoli Stati, dove autorità civili, strutture militari e servizi di intelligence possono operare in compartimenti separati, ostacolando la circolazione delle informazioni. Il rappresentante del britannico National Cyber Security Centre ha richiamato l’attenzione sul divario tra la velocità con cui evolvono le minacce e la capacità delle organizzazioni di contrastarle: la risposta deve passare dall’azione collettiva, dalla ricerca condivisa e dalla diffusione tempestiva degli avvisi di sicurezza.
L’urgenza dipende anche dall’organizzazione degli attaccanti. Secondo Bletsas, la Russia ricorre alla disinformazione e ad azioni più visibili, mentre le attività di spionaggio attribuite alla Cina sono spesso più difficili da individuare. Pikula ha aggiunto che più della metà dei venti principali gruppi ransomware opera dalla Russia, mentre Kärkkäinen ha ricordato un’operazione internazionale che ha permesso di smantellare una rete riconducibile ai servizi militari russi, costruita sfruttando router domestici.
Il quadro è ulteriormente complicato dal volume delle minacce, un problema richiamato anche da Lisett Reimann-Erik, responsabile dei rischi cyber nazionali presso il ministero della Giustizia e degli Affari digitali dell’Estonia. Gli attaccanti condividono strumenti, infrastrutture e competenze. Chi difende deve sviluppare la stessa capacità di cooperazione, attraverso lo scambio di informazioni e il coordinamento delle risposte.
C’è poi il punto debole rappresentato dalla catena di fornitura. Pikula ha raccontato il caso di 25 organizzazioni appartenenti alla stessa regione slovacca, colpite da un attacco ransomware. Le vittime avevano in comune un fornitore di software, che inizialmente aveva escluso un proprio coinvolgimento perché gli attacchi ai clienti provenivano da indirizzi differenti.
Il problema, secondo il responsabile slovacco, era una comprensione incompleta della dinamica dell’incidente: un ransomware può essere il risultato di un’operazione condotta da persone che selezionano gli obiettivi e sfruttano vulnerabilità specifiche. La diversità degli indirizzi utilizzati per attaccare, quindi, non basta a escludere un punto di compromissione comune.
Anche il rappresentante britannico ha descritto uno scenario simile: un sistema informatico obsoleto, ereditato in seguito a fusioni aziendali e rimasto dimenticato, mai aggiornato e ancora accessibile agli attaccanti. Una volta compromesso quel punto d’ingresso, gli aggressori erano riusciti a raggiungere la rete principale.
Per questo, ha spiegato, la sicurezza informatica deve diventare una priorità del consiglio di amministrazione, al pari del rischio finanziario. Non basta proteggere i sistemi più recenti: occorre conoscere le dipendenze tecnologiche, verificare i fornitori e individuare le componenti che potrebbero trasformarsi in un punto d’accesso all’intera infrastruttura.
L’Unione europea ha provato a dare una cornice normativa a queste criticità. Nel panel moderato da Paolo Venturoni, amministratore delegato dell’European Organisation for Security, associazione industriale con sede a Bruxelles, Stefano De Crescenzo ha illustrato il ruolo di ENISA, l’Agenzia dell’Unione europea per la cybersicurezza, dove guida le attività operative e di consapevolezza situazionale.
Gli strumenti normativi principali richiamati nel confronto sono tre. La direttiva NIS2 introduce requisiti comuni di sicurezza per i soggetti essenziali e importanti, imponendo obblighi di gestione del rischio e di segnalazione degli incidenti. Il Cyber Resilience Act stabilisce requisiti di cybersicurezza per i prodotti con elementi digitali, con l’obiettivo di renderli più sicuri fin dalla progettazione e durante il loro ciclo di vita. Il Cyber Solidarity Act, invece, rafforza la capacità europea di individuare e affrontare le minacce attraverso un sistema di allerta e una riserva di servizi di risposta agli incidenti, forniti da operatori fidati.
Un cambiamento concreto riguarda gli obblighi di segnalazione previsti dal Cyber Resilience Act. Dall’11 settembre 2026, i fabbricanti devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali. È prevista un’allerta iniziale entro 24 ore dalla presa di conoscenza, seguita da una notifica completa entro 72 ore.
L’obiettivo è ridurre il tempo che intercorre tra l’individuazione di una minaccia e la diffusione delle informazioni necessarie a proteggere gli altri soggetti esposti. De Crescenzo ha spiegato come un obbligo apparentemente amministrativo possa produrre un beneficio operativo: informazioni condivise tempestivamente consentono alle autorità competenti di avvisare le organizzazioni a rischio e intervenire prima che il danno si estenda. Ha comunque evidenziato che l’attuazione delle regole richiede tempo e investimenti, richiamando anche i ritardi nel recepimento della NIS2.
Come si traducono queste regole nella pratica? Molto dipende dalle dimensioni del Paese e dalle risorse disponibili. Marios Pieri, commissario per le comunicazioni di Cipro, ha descritto il modello adottato da uno Stato che deve supervisionare circa 600 soggetti, in un contesto caratterizzato da un mercato limitato, scarsità di specialisti e forti dipendenze da fornitori esterni.
Tra le misure illustrate figurano un obiettivo di sei ore per la prima risposta, l’installazione di sensori presso i soggetti interessati e un centro operativo attivo giorno e notte. Pieri ha sottolineato l’importanza delle esercitazioni e della conoscenza diretta delle persone incaricate di comunicare gli incidenti.
Cipro collabora con Francia, Germania e Grecia e, in caso di necessità, può richiedere il supporto della riserva europea di cybersicurezza. Pieri ha inoltre proposto un modello di assistenza reciproca ispirato alla NATO: quando uno Stato subisce un attacco, gli altri dovrebbero essere già organizzati per contribuire alla risposta, senza dover iniziare da zero la ricerca di risorse e interlocutori. Nel modello descritto, l’autorità affianca alla vigilanza un’attività di supporto alle organizzazioni, con squadre specializzate nella threat intelligence e nell’analisi del malware.
La Slovenia affronta una sfida differente. Matjaž Mravljak, direttore dell’ispettorato per la sicurezza delle informazioni del governo sloveno, ha spiegato che il numero dei soggetti sottoposti a controllo è passato da 69 a circa 800, in gran parte medie imprese che fino a quel momento non disponevano nemmeno di un responsabile della sicurezza informatica.
Il Paese ha formato circa 400 amministratori e dirigenti e, durante questo percorso, è emerso un problema significativo: molte aziende non avevano mai verificato concretamente la possibilità di ripristinare i propri backup. Essere conformi alla legge non equivale necessariamente a essere resilienti. Una procedura documentata può risultare insufficiente se, nel momento di un attacco, i sistemi non possono essere recuperati o le persone non sanno come intervenire.
Mravljak ha riconosciuto anche la tensione tra il ruolo di un’autorità che assiste le organizzazioni e quello di un supervisore che può sanzionarle. La fiducia costruita attraverso il supporto, ha spiegato, deve convivere con la possibilità di esercitare i poteri di controllo quando un soggetto non affronta rischi evidenti.
Resta il nodo della sovranità digitale. Il professor Maurizio Mensi, docente alla Scuola Nazionale dell’Amministrazione e membro del Comitato economico e sociale europeo, ha sintetizzato la differenza tra certificazione e resilienza con un’immagine efficace: un certificato è una fotografia, mentre la resilienza è un film. La prima documenta una condizione in un determinato momento; la seconda riguarda la capacità di resistere, adattarsi e recuperare nel tempo.
Mensi ha richiamato le difficoltà nello sviluppo degli schemi europei di certificazione della cybersicurezza, compresi quelli relativi al cloud e al 5G, ricordando che la sicurezza nazionale resta una responsabilità degli Stati membri. La sua proposta è un modello a «due chiavi»: valutazioni del rischio e regole comuni a livello europeo, accompagnate dalla responsabilità degli Stati nelle decisioni finali. Quando un Paese si discosta da una valutazione condivisa, dovrebbe motivare la propria scelta.
Joffrey Célestin-Urbain, presidente di Campus Cyber, l’iniziativa francese pubblico-privata dedicata alla cybersicurezza, ha richiamato la forte dipendenza europea dalle tecnologie di fornitori extraeuropei. Una criticità evidenziata anche dallo studio European Software and Cyber Dependencies, pubblicato dal Parlamento europeo nel dicembre 2025, che descrive la concentrazione di segmenti strategici del mercato nelle mani di operatori esterni all’Unione.
La questione è industriale e strategica. Rafforzare la sovranità digitale significa sviluppare tecnologie in Europa e costruire relazioni tra aziende e istituzioni di Paesi diversi, favorendo la conoscenza reciproca e la fiducia tra gli operatori.
Bletsas ha aggiunto una considerazione: conservare i dati all’interno dei confini nazionali non è sufficiente a garantirne la sovranità. Un’infrastruttura locale mal gestita può essere meno sicura di un servizio cloud affidabile, dotato di controlli adeguati e gestito con competenze specialistiche. La sovranità digitale richiede quindi la capacità di conoscere le proprie dipendenze, governare i rischi e mantenere un controllo effettivo sui dati e sulle infrastrutture.
Si arriva così alla tecnologia. Nell’area espositiva di Leonardo, uno degli esempi presentati riguardava un’architettura di sicurezza basata sul modello Zero Trust. Il principio è semplice: nessun utente o dispositivo deve essere considerato affidabile a priori. Ogni richiesta di accesso viene valutata in base all’identità, alle autorizzazioni, al contesto e alle politiche di sicurezza applicabili.
Lo schema mostrava una soluzione composta da tecnologie di aziende differenti, ciascuna con una funzione specifica. Il motore per la gestione delle politiche di accesso è fornito da Axiomatics; la gestione degli accessi privilegiati, utilizzati per esempio dagli amministratori di sistema, è affidata a SSH Communications Security, con il prodotto PrivX. La protezione del traffico di rete è invece associata al cifratore NQX, sempre di SSH.
Altri partner, tra cui CanaryBit e CYSEC, contribuiscono all’ambito del confidential computing, un insieme di tecnologie che mira a proteggere i dati anche durante l’elaborazione. A completare il quadro c’è Forge2Know, la suite di Leonardo dedicata all’analisi dei dati, all’OSINT - l’analisi delle informazioni provenienti da fonti aperte - e alla governance dell’intelligenza artificiale. Ogni componente svolge una funzione specifica, ma il valore dell’architettura dipende dalla capacità di integrare le diverse tecnologie in un sistema coordinato.
NQX risponde anche a una delle sfide emergenti della crittografia: la prospettiva di computer quantistici capaci di compromettere alcuni degli algoritmi oggi utilizzati per proteggere comunicazioni e identità digitali. Benoit Poletti, amministratore delegato di INCERT e presidente di ICTLuxembourg, ha illustrato il problema dal punto di vista delle infrastrutture pubbliche lussemburghesi.
La sua agenzia si occupa di passaporti, carte d’identità e permessi di soggiorno, gestisce l’infrastruttura crittografica dello Stato e lavora allo sviluppo del portafoglio digitale del cittadino. La sicurezza delle chiavi e dei meccanismi crittografici è quindi direttamente collegata alla fiducia nei documenti e nei servizi digitali.
Poletti ha richiamato la riduzione delle risorse quantistiche stimate per compromettere la crittografia. Per RSA a 2048 bit, una ricerca del 2025 ha stimato la possibilità teorica di fattorizzare una chiave con meno di un milione di qubit fisici e un tempo di calcolo inferiore a una settimana, rispetto ai 20 milioni di qubit ipotizzati in uno studio del 2019 con tempi di esecuzione differenti.
Sono stime che dipendono dalle caratteristiche dell’hardware e dalle tecniche di correzione degli errori; non dimostrano che una macchina con queste capacità sia già disponibile. Evidenziano però la necessità di prepararsi per tempo. Il problema riguarda anche i dati cifrati oggi e destinati a rimanere sensibili per molti anni: un attaccante potrebbe raccoglierli nel presente e tentare di decifrarli in futuro, secondo lo scenario noto come «harvest now, decrypt later».
Per questo INCERT lavora da anni sugli algoritmi post-quantistici, sviluppati per resistere anche agli attacchi condotti con computer quantistici, collaborando con i produttori di chip e adottando un approccio ibrido che affianca algoritmi tradizionali e nuovi meccanismi crittografici.
NQX è presentato dal produttore come una soluzione per proteggere il traffico tra sedi anche su reti non fidate, con meccanismi crittografici aggiornabili e prestazioni dichiarate fino a 100 Gbps. Poletti ha inoltre ricordato che i portafogli digitali dei diversi Stati dovranno essere interoperabili e ha segnalato l’esistenza di servizi criminali a basso costo per aggirare i controlli del volto durante le procedure di registrazione a distanza.
Anche l’Italia è parte di questo quadro. Luigi Maracino guida la sicurezza informatica e le operazioni sulle infrastrutture del Polo Strategico Nazionale (PSN), il cloud destinato a ospitare dati e servizi delle pubbliche amministrazioni italiane. Ha riferito che più di 280 amministrazioni sono state completamente migrate e che l’infrastruttura dispone di un centro operativo di sicurezza e di un CERT dedicati, con Leonardo come partner.
Le attività di monitoraggio, risposta e threat intelligence puntano a individuare tempestivamente le minacce e ad anticiparne i possibili effetti sui servizi pubblici. Da luglio 2025, ha spiegato Maracino, il Polo ha inoltre avviato un percorso di innovazione con università, fornitori, integratori e startup per sperimentare nuove tecnologie e approcci alla cybersicurezza. L’obiettivo è rafforzare le capacità di protezione anche di fronte all’evoluzione degli attacchi e all’impiego dell’intelligenza artificiale.
Resta la questione della velocità con cui le organizzazioni riescono ad adattarsi. Kate Robertson, responsabile delle attività digitali e dei sistemi informativi di Edgewing, la joint venture di BAE Systems, Leonardo e Japan Aircraft Industrial Enhancement Co. impegnata nel programma aereo da combattimento GCAP di Regno Unito, Italia e Giappone, ha invitato i legislatori a fissare gli obiettivi di sicurezza senza imporre necessariamente le architetture tecniche con cui raggiungerli.
A suo giudizio, le regole possono evolvere quando vengono dimostrati i risultati di soluzioni alternative funzionanti, mentre la conformità dovrebbe essere verificata continuamente, anziché limitarsi a controlli periodici.
Catalin Vasile, consigliere per l’intelligenza artificiale e le tecnologie emergenti del ministero dell’Economia romeno, ha illustrato le difficoltà che emergono sul campo. Ha riferito di attacchi contro aziende elettriche, strutture sanitarie e servizi comunali, inserendoli nel contesto delle minacce ibride che interessano il Paese.
Una delle criticità principali, ha spiegato, è la frammentazione: le organizzazioni tendono a difendere ciascuna la propria infrastruttura e, in alcuni casi, a non condividere tempestivamente le informazioni sugli incidenti. A questo si aggiungono le difficoltà nel destinare risorse alla sicurezza e nel tradurre le competenze tecniche in decisioni amministrative. Quando la burocrazia rallenta gli interventi, le contromisure rischiano di perdere efficacia prima ancora di essere applicate. Vasile ha richiamato anche le attività di addestramento con Ucraina e Moldavia, indicando nell’esperienza operativa e nella cooperazione strumenti per migliorare la risposta alle minacce.
La collaborazione riguarda infine la cultura della sicurezza. Marco Gabriele Proietti, presidente della Cyber Security Foundation italiana, ha insistito sulla necessità di costruire rapporti duraturi tra istituzioni, imprese, scuole e associazioni, capaci di rafforzare nel tempo conoscenze e consapevolezza.
Il confronto di Cybertech Europe 2026 ha mostrato come fiducia, regole e tecnologia siano strettamente interdipendenti. La fiducia permette di condividere informazioni e coordinare le risposte; le regole comuni rendono questa collaborazione più prevedibile; le tecnologie consentono di tradurla in capacità operative. La sicurezza dipende dalla loro capacità di funzionare insieme, in un contesto in cui gli attacchi evolvono rapidamente e la resilienza richiede investimenti, verifiche e un impegno continuo.