Il Governo Meloni sta mettendo a punto una riforma complessiva delle Forze Armate, che inciderà su l’incremento dell’organico e l’istituzione di nuovi corpi di riserva, da un lato, e dall’altro sulla strutturazione di un’architettura militare organizzata per la guerra informatica. In passato avevamo scritto a proposito del primo aspetto,[1] mentre ora ci accingiamo a commentare il secondo. Ma andiamo con ordine.
Legenda dei provvedimenti recanti modifiche sull’ordinamento delle Forze Armate – anno 2026
- D. Lgs. 58/2026, approvato, comporta l’assunzione di nuovi graduati nell’Esercito;
- L. 48/2026, art. 3, approvato, comporta una delega al Governo per la razionalizzazione e semplificazione della normativa riguardante il corpo militare;
- Schema di DdL recante Disposizioni per la costituzione di Forze di riserva, in materia di personale militare nonché delega al Governo per la revisione dello strumento militare, non depositato in Parlamento ma pubblicato sotto forma di Schema di DdL, riguarda l’ampliamento dell’organico e l’istituzione di corpi di riserva dell’Esercito;
- Cd. “DdL di revisione dello strumento militare”, non depositato in Parlamento e non pubblicato nemmeno sotto forma di Schema di DdL, concerne l’ampliamento dell’organico delle Forze Armate.
Nel febbraio di quest’anno è stato presentato presso lo Stato Maggiore della Difesa “il nuovo modello di riorganizzazione delle Forze Armate, che costituirà la base del disegno di legge di revisione dello strumento militare”.[2] Il Disegno di Legge attende attualmente l’approvazione del Parlamento. Nel corso dei mesi successivi è circolato un secondo Schema di Disegno di Legge,[3] che è tuttora in fase preparatoria e che pure riguarda l’ampliamento dell’organico delle Forze Armate, nella misura di un 20/25% complessivo (40.000 unità). Si tratta quindi di due iter normativi distinti che, tuttavia, vanno a intervenire sul medesimo tema. Esiste inoltre un terzo provvedimento: il D. Lgs. 58/2026, già divenuto Legge, che fondamentalmente ha aperto all’assunzione di nuovi graduati nell’Esercito ma rimanendo all’interno della precedente cornice legislativa, ossia senza aumentare l’organico complessivo delle Forze Armate.
La ragione di questa frammentazione normativa sembra essersi chiarita durante l’estate: vi sono profonde divergenze, interne al Governo, sulla questione della cyber sicurezza. Lo Schema di DdL che abbiamo citato, non per nulla, in una versione preliminare circolata prima di giugno conteneva profonde modifiche legislative sul tema della difesa informatica: fra tutte spiccava l’istituzione di un ‘Comando interforze Cyber Intel’ per la guerra cybernetica alle dirette dipendenze del Ministero della Difesa. Come detto, nella nuova versione del documento sono scomparsi tutti i riferimenti alla guerra informatica, anche se il Governo manterrebbe la Delega per poter legiferare autonomamente sul tema senza l’approvazione del Parlamento.[4]
Alle basi di questo scontro interno alla maggioranza vi è un’ambiguità di fondo. La normativa attuale, infatti, non riesce ad attribuire correttamente e chiaramente le competenze sulla cyber sicurezza: da un lato abbiamo l’Agenzia per la Cybersicurezza Nazionale (ACN), istituita col D. L. 82/2021 e dipendente dalla Presidenza del Consiglio,[5] mentre dall’altro troviamo i casi di guerra cibernetica relativi alla ‘difesa dello Stato’, che sono di competenza del Ministero della Difesa. Il citato Decreto Legge, ad esempio, stabilisce che l’ACN sia “autorità per la gestione delle crisi informatiche relative alla resilienza delle reti informatiche”,[6] mentre il D. Lgs. 138/2024 dice che “per la parte relativa alla resilienza nazionale [è competente] l'Agenzia per la cybersicurezza nazionale [, mentre] per la parte relativa alla difesa dello Stato, il Ministero della difesa”; entrambi gli organismi, inoltre, sono considerati “Autorità nazionali responsabili della gestione degli incidenti e delle crisi di cybersicurezza su vasta scala”.[7] Si consideri che per “resilienza nazionale” la legislazione intende un “pregiudizio per la sicurezza nazionale, danno o pericolo di danno all'indipendenza, all'integrità o alla sicurezza della Repubblica e delle istituzioni democratiche poste dalla Costituzione a suo fondamento, ovvero agli interessi politici, militari, economici, scientifici e industriali dell'Italia”.[8] Dov’è la differenza col concetto di “difesa dello Stato”?
Quel che la normativa attuale non definisce sufficientemente bene, dunque, è se la cyber sicurezza vada trattata come un tema prevalentemente civile oppure prettamente militare, perché i contorni dei due ambiti sono molto sfumati e parzialmente coincidenti. Secondo alcuni commentatori specializzati[9] lo scontro in atto si starebbe verificando prevalentemente fra il Ministro Crosetto, che rappresenta gli interessi della Difesa e dei Servizi Segreti (è coinvolto, in particolare, il Dipartimento delle Informazioni per la Sicurezza), e Alfredo Mantovano, Segretario del Consiglio dei Ministri e legato all’ACN, che pur essendo anch’egli vicino ai Servizi vorrebbe mantenere la cyber sicurezza all’interno della cornice civile.
La visione di Crosetto è chiara: “la sicurezza deve (…) essere concepita in senso ampio, estesa all’energia, al digitale, alle catene di approvvigionamento, alla resilienza industriale e alla tenuta della società e delle Istituzioni democratiche»”.[10] Secondo lui, “Il Dicastero dovrà quindi individuare e presidiare lo spazio cyber di interesse Nazionale per la difesa e la sicurezza militare dello Stato, inteso come un vero e proprio ‘campo di operazioni’ nel quale operare senza soluzione di continuità per l’assolvimento dei propri compiti istituzionali. A questo scopo, dovrà essere sviluppata un’Arma Cyber dotata di strumenti operativi efficaci e capace di operare con continuità lungo l’intero spettro delle minacce. Essa dovrà integrare professionalità militari e competenze specialistiche provenienti dal mondo civile, valorizzando progressivamente anche il contributo della Riserva [che si vuole istituire con il DdL precedentemente citato]”.[11]
Diversi elementi indicano che a prevalere potrebbe essere – ahinoi – Guido Crosetto. Non ultima, la foto del Ministro assieme all’allora Presidente dell’ACN Bruno Frattasi dell’estate 2024, scattata durante una convention di Fratelli d’Italia e che non a caso è stata molto commentata.
- La situazione allo stato attuale della legislazione
Per come è definito dalla Legge, il concetto di cyber sicurezza comprende sia la resilienza, la disponibilità, la confidenzialità e l'integrità di reti, sistemi informativi, servizi informatici e comunicazioni elettroniche, che la difesa da minacce esterne agli stessi.[12] Il problema è che nella pratica i due campi non possono essere realmente distinti – né a livello concettuale né, tantomeno, in ambito operativo per la configurazione delle risposte alle minacce. Nei testi di Legge riguardanti l’ACN si trovano riferimenti al concetto di ‘difesa civile’,[13] ma di certo non sono sufficienti.
Il controllo militare della cyber sicurezza avrebbe un grande impatto su alcuni temi, quali la condivisione delle informazioni e la pianificazione democratica delle risposte da attuare. Non per nulla la legislazione attuale prescrive che la notifica di incidenti “aventi impatto su reti, sistemi informativi e servizi informatici” vada fatta all’ACN, anche se l’apparato militare è esente dall’obbligo.[14] Pure i meccanismi e le procedure – relative allo spazio cyber – per la raccolta dati, il monitoraggio, il controllo, le procedure di verifica e via dicendo sono teoricamente in capo all’ACN, tranne che per le azioni svolte dal comparto militare.[15]
Sul piano istituzionale le autorità competenti coordinate dall’ACN sono la Presidenza del Consiglio e tutti i Ministeri – ad esclusione di quello della Difesa, che lavora ‘in proprio’. Sul piano del finanziamento per la guerra informatica, inoltre, il Ministero della Difesa gode di fondi separati[16] che, a differenza di quelli assegnati agli altri Ministeri, non sono soggetti al controllo dell’ACN. Quest’ultima gestisce il Fondo per l'attuazione della Strategia nazionale di cybersicurezza e il Fondo per la gestione della cybersicurezza e ne propone la ripartizione fra i Ministeri al Presidente del Consiglio, verificandone poi le modalità di impiego.[17]
Esiste, infine, un piano nazionale di risposta agli incidenti e alle crisi informatiche su vasta scala, che viene aggiornato al massimo ogni tre anni. Questo però è escluso dall’accesso e non soggetto a pubblicazione, ossia è segreto.[18] Pertanto non ci è possibile conoscere sino in fondo i rapporti di forza tra la componente “civile” e quella “militare” in ambito di gestione della cyber sicurezza.
In conclusione, il rischio a cui andiamo incontro è che l’ACN sia progressivamente svuotata di contenuto e competenze, che verrebbero assunte dalla Difesa. Ricordiamo anche che quest’ultima non è soggetta a obblighi di legge nemmeno per quanto concerne l’utilizzo di tecnologie IA, sulla base sia della normativa nazionale che europea,[19] e che gode di una relativa (per ora) autonomia dai processi democratici decisionali e di controllo.
Purtroppo la cyber sicurezza rientra nell’ampio campo di applicazione delle tecnologie duali (cioè a uso sia civile che militare) e quindi l’ambiguità normativa di cui abbiamo parlato non riguarda solo la risposta alle minacce ma la costituzione stesso di uno spazio di sicurezza informatico. L’intenzione del Governo è di foraggiare il mercato e attrarre investimenti creando domanda proprio a partire dalla riduzione dei vincoli d’impiego di tali tecnologie (non per niente le imprese sono chiamate a partecipare alla costruzione della cosiddetta ‘resilienza cyber’ anche all’interno dei testi di Legge citati finora, sul modello statunitense). Si crea in tal modo un circolo per cui le tecnologie militari vengono trasmesse alla sfera civile, sviluppandosi e diffondendosi, e viceversa. Pertanto, nella narrazione dominante ogni freno alla libera applicazione delle tecnologie dual-use diventa un sabotaggio delle filiere economiche – tant’è che il Governo ha recentemente polemizzato con l’Unione Europea[20] a proposito della possibilità di utilizzare il riconoscimento biometrico delle persone per operazioni di Polizia, che dall’AI Act europeo non è concessa, proprio su questa base.
Note:
[1] Cfr. E. Gentili, F. Giusti, S. Macera, Prosegue la riforma militare: nuovi corpi e una delega al Governo, 27 Giugno 2026, https://www.lordinenuovo.it/2026/06/27/prosegue-la-riforma-militare-nuovi-corpi-e-una-delega-al-governo/.
[2] Ministero della Difesa, DDL riforma Difesa: presentato al Ministro il nuovo modello di riorganizzazione delle Forze Armate, 16 Febbraio 2026, https://www.difesa.it/primopiano/ddl-riforma-difesa-presentato-al-ministro-il-nuovo-modello-di-riorganizzazione-delle-forze-armate/89243.html.
[3] Schema di Disegno di Legge recante “Disposizioni per la costituzione di Forze di riserva, in materia di personale militare nonché delega al Governo per la revisione dello strumento militare”.
[4] I decreti legge prevedono solo pareri consultivi forniti dalle commissioni parlamentari competenti e il Governo può utilizzarli per riformare le Forze Armate a causa della L. 244/2012.
[5] D. L. 82/2021, art. 2, c. 1.
[6] D. L. 82/2021, art. 7, c. 2.
[7] D. Lgs. 138/2024, art. 2, c. 1, lett. “g”.
[8] DPCM 131/2020, art. 1, c. 1, lett. “f”.
[9] Cfr. L. Varriale, ACN verso lo svuotamento: la cybersicurezza passa alla Difesa?, 23 Giugno 2026, https://www.matricedigitale.it/2026/06/23/riforma-cyber-acn-difesa-dis-servizi-militari/.
[10] G. Crosetto, Atto di indirizzo del Ministro della Difesa 2026, 9 Luglio 2026, p. 10.
[11] Ivi, p. 29.
[12] Cfr. D. L. 82/2021, art. 1, c. 1, lett. “a”.
[13] Cfr. D. L. 82/2021, art. 9.
[14] L. 90/2024, art. 1.
[15] L. 90/2024, art. 8.
[16] L'art. 35-bis, comma 2, del D.L. 7 maggio 2024, n. 60, convertito dalla L. 95/2024, ha istituito nello stato di previsione del Ministero della Difesa un: «fondo per il potenziamento delle capacità di cybersicurezza e delle tecnologie satellitari». Vi sono inoltre una componente molto significativa del PNRR – Missione 1, Componente 1, Investimento 1.5 "Cybersecurity" e altri fondi assegnati dall’ACN al Mef che possono essere in parte stati destinati al Ministero della Difesa in quanto soggetto attuatore di singoli investimenti.
[17] Cfr. L. 197/2022, art. 1, cc. 899, 900 e 901.
[18] Cfr. D. Lgs. 138/2024, art. 13, cc. 3 e 5.
[19] Cfr. AI Act, art. 2, c. 3: «Il presente regolamento non si applica ai sistemi di IA sviluppati o usati per scopi esclusivamente militari».
[20] Cfr. Redazione politica de il Fatto Quotidiano, Slitta il voto sul riconoscimento facciale con l’IA. Bruxelles: “Norma Ue vieta la sorveglianza negli spazi accessibili al pubblico”, «il Fatto Quotidiano», 30 Luglio 2026.
