La guerra contemporanea non arriva sempre con un'esplosione visibile. Può entrare in una centrale elettrica, in un ospedale, nella posta elettronica di un ministero o nel sistema informatico di un'impresa. Il 13 luglio l'Unione europea ha imposto misure restrittive a nove persone e quattro entità che, secondo il Consiglio, appartengono all'ecosistema cyber russo e sono responsabili di aver realizzato, favorito o facilitato attacchi contro l'Unione, gli Stati membri e partner internazionali. Nello stesso momento il Regno Unito ha adottato un proprio pacchetto: è la prima azione simultanea dei due regimi sanzionatori in questo campo.
L'Associated Press ha riferito che le misure europee riguardano ufficiali dell'intelligence, hacker e società private e che la rete contestata avrebbe colpito governi e infrastrutture essenziali in diversi Paesi europei. Il governo britannico ha pubblicato l'elenco e ha collegato l'iniziativa a operazioni distruttive e ibride. La NATO ha a sua volta espresso una condanna ufficiale delle attività informatiche malevole attribuite alla Russia. Fonti diverse convergono dunque sul dato politico: Europa e Regno Unito scelgono di attribuire pubblicamente la responsabilità e di colpire non soltanto singoli esecutori, ma la rete che li sostiene.
Attribuire un attacco informatico è difficile. Codice riutilizzato, server situati in Paesi terzi, identità rubate e gruppi formalmente privati permettono agli Stati di negare il proprio coinvolgimento. Per questo ogni accusa deve poggiare su valutazioni tecniche e intelligence solide. La prudenza non impone però il silenzio. Se una democrazia non chiama per nome un'aggressione ben documentata, lascia che l'opacità diventi impunità.
L'ecosistema conta più del singolo hacker
La parola scelta dalle istituzioni europee, “ecosistema”, è importante. Un'operazione cyber complessa richiede sviluppatori, intermediari finanziari, infrastrutture, società di copertura, servizi di intelligence, propaganda e talvolta gruppi criminali. Lo Stato può orientare, tollerare o sfruttare queste capacità senza impartire ogni ordine in modo visibile. La distanza tra uniforme e criminalità diventa uno strumento strategico.
Colpire soltanto il tecnico che scrive il malware sarebbe insufficiente. Occorre rendere più costoso l'intero circuito: congelare beni, limitare viaggi, interrompere servizi, condividere indicatori di compromissione e perseguire i reati quando la giurisdizione lo consente. Le sanzioni non bloccano una tastiera, ma possono restringere lo spazio finanziario e operativo delle reti.
Non vanno tuttavia presentate come una soluzione autosufficiente. Molti soggetti sanzionati non possiedono patrimoni rilevanti in Europa e non progettano di viaggiarvi. L'effetto è anche reputazionale e diplomatico: attribuisce responsabilità, coordina alleati e prepara eventuali azioni giudiziarie. Il valore reale dipenderà dalla qualità delle prove condivise, dall'applicazione nei Paesi membri e dalla capacità di coinvolgere fornitori tecnologici e finanziari.
Difendere la vita quotidiana
La cybersicurezza viene spesso raccontata come una sfida tra specialisti. In realtà riguarda acqua, riscaldamento, trasporti, pagamenti, farmaci e comunicazioni. Un attacco a un Comune piccolo può bloccare anagrafe e servizi sociali; uno a un'azienda della filiera può fermare produzione e salari; uno a un ospedale può rinviare cure. L'infrastruttura digitale è ormai infrastruttura civile.
Per questo la risposta non può essere soltanto militare o di intelligence. Ogni amministrazione deve conoscere i propri sistemi essenziali, aggiornare software, separare le reti, conservare copie di sicurezza offline, esercitarsi nella gestione di una crisi e sapere chi chiamare. Sono attività poco spettacolari, ma decidono se un incidente resta limitato o diventa emergenza nazionale.
Le piccole e medie imprese sono un punto delicato. Spesso entrano nelle catene di fornitura di soggetti più grandi senza possedere personale dedicato alla sicurezza. Imporre obblighi senza assistenza rischia di produrre documenti e non protezione. Servono centri territoriali, strumenti condivisi, formazione semplice e incentivi per gli investimenti. La sussidiarietà digitale significa aiutare il soggetto più vicino al problema a diventare capace, non sostituirlo con una burocrazia remota.
Libertà e sicurezza non sono nemiche
Ogni crisi cyber può diventare il pretesto per ampliare sorveglianza e raccolta dei dati. Una democrazia deve resistere a questa tentazione. Difendere reti e infrastrutture non significa controllare indiscriminatamente i cittadini. Le misure devono essere necessarie, proporzionate, sottoposte a legge e controllo indipendente.
Anche l'attribuzione pubblica richiede responsabilità. Le istituzioni dovrebbero spiegare, nei limiti compatibili con la protezione delle fonti, quali comportamenti vengono contestati e quali standard sono stati violati. La fiducia cresce quando il cittadino vede un processo, non soltanto una dichiarazione. Il diritto distingue la risposta democratica dalla rappresaglia opaca.
La libertà di informazione va protetta anche quando operazioni di influenza e furti di dati cercano di manipolare il dibattito. Non si combatte la propaganda trasformando il governo in arbitro della verità. Si rafforzano giornalismo, alfabetizzazione mediatica, trasparenza delle piattaforme e capacità di verificare provenienza e autenticità dei contenuti.
Una cooperazione europea concreta
La simultaneità tra UE e Regno Unito dimostra che la sicurezza può ricucire cooperazioni rese più difficili dalla Brexit. Le reti non rispettano confini doganali; la risposta richiede scambio rapido di dati tecnici, indagini coordinate e standard compatibili. È un campo nel quale la sovranità nazionale si esercita meglio insieme, perché nessun Paese può proteggere da solo tutte le dipendenze digitali.
L'Europa deve anche ridurre dipendenze eccessive senza chiudersi. Componenti, servizi cloud, software e capacità di risposta sono concentrati in poche imprese e pochi Paesi. Diversificare, sostenere soluzioni europee e investire in competenze è prudenza strategica. Ma l'autonomia non deve diventare autarchia tecnologica: alleanze affidabili e standard aperti restano indispensabili.
Un punto decisivo è il capitale umano. Mancano tecnici, responsabili della sicurezza, magistrati preparati e amministratori capaci di acquistare servizi complessi. La formazione non può limitarsi a corsi una tantum. Scuola, università, imprese e pubblica amministrazione devono costruire percorsi continui, offrendo anche a chi cambia lavoro la possibilità di acquisire competenze.
La responsabilità dopo l'annuncio
Le sanzioni del 13 luglio mandano un segnale necessario: chi organizza o facilita attacchi alle infrastrutture civili non opera in una zona priva di regole. Ma il segnale sarà credibile soltanto se seguito da difese migliori. Non basta denunciare la porta forzata se la serratura resta rotta per anni.
Governi e grandi imprese devono pubblicare obiettivi misurabili: tempi di correzione delle vulnerabilità, esercitazioni, copertura dei backup, assistenza ai territori, notifiche degli incidenti. Il Parlamento deve controllare risorse e risultati. I cittadini devono ricevere comunicazioni chiare, soprattutto durante le crisi, perché il vuoto informativo alimenta panico e manipolazione.
La guerra invisibile diventa visibile nelle sue conseguenze: una casa senza riscaldamento, una pensione che non arriva, una fabbrica ferma. Per questo la cybersicurezza non è culto della tecnologia, ma cura della comunità. L'Europa ha fatto un passo chiamando per nome una rete di responsabilità. Ora deve dimostrare di saper proteggere con la stessa determinazione la vita ordinaria che quelle reti cercano di interrompere.