Il 10 novembre il Viminale ha presentato, alla riunione del Comitato nazionale per l’ordine e la sicurezza pubblica presieduta dal ministro Matteo Piantedosi, una serie di linee d’intervento volte a rafforzare la difesa contro i cyber-attacchi. L’obiettivo dichiarato è quello di migliorare il coordinamento investigativo, potenziare la condivisione delle informazioni e indirizzare nuovi investimenti per la protezione dei sistemi. La misura punta a tutelare non solo le pubbliche amministrazioni ma anche le infrastrutture critiche, le imprese e i cittadini, inserendo la resilienza cibernetica nella più ampia agenda di sicurezza pubblica.
Il Viminale presenta il piano di risposta il 10 novembre
Nel contesto di una serie di incidenti recenti – dal sabotaggio della catena del freddo ai falsi allarmi bomba fino a campagne di intimidazione contro rappresentanti istituzionali – il governo ha ritenuto necessario un nuovo approccio. La comunicazione ufficiale del Ministero dell’Interno, diffusa il 10 novembre, ha sottolineato che le 44.835 asset e servizi a rischio individuati dal CSIRT Italia nei primi nove mesi del 2026 non rappresentano attacchi già riusciti, ma esposizioni che richiedono analisi, priorità e interventi mirati. La sfida, quindi, è trasformare questi numeri in azioni operative capaci di garantire continuità ai servizi essenziali.
Dati chiave del CSIRT Italia e dell’ACN nel 2026
Durante l’audizione al Senato del 13 ottobre 2026, il direttore generale dell’ACN, Andrea Quacivi, ha fornito una panoramica dettagliata della situazione. Sono stati registrati 3.271 eventi cyber tra gennaio e settembre 2026, a fronte di 2.729 nell’intero 2025. Di questi, 1.922 incidenti hanno avuto un impatto confermato. Inoltre, quasi 72.000 comunicazioni di allertamento sono state inviate alle organizzazioni interessate. È importante capire che l’aumento dei conteggi è dovuto anche al rafforzamento degli obblighi di notifica previsti dalla direttiva NIS2 e a una capacità di rilevazione più avanzata, non necessariamente a una crescita reale del numero di attacchi riusciti.
Asset a rischio vs asset potenzialmente compromessi
L’analisi dell’ACN ha distinto due categorie fondamentali: 44.835 asset e servizi a rischio, che indicano vulnerabilità o esposizioni da correggere, e 3.259 asset potenzialmente compromessi, segnalazioni di possibile accesso illecito che, però, non sono ancora confermati come compromessi effettivi. Questi numeri non sono somma di incidenti, ma rappresentano fasi diverse del ciclo di difesa: identificazione, verifica e, infine, risposta.
Dalla segnalazione alla bonifica: ostacoli e prossime azioni
Il volume di allerte dimostra la capacità del sistema nazionale di individuare criticità, ma trasformare un avviso in una vulnerabilità corretta richiede processi condivisi. Tra le difficoltà più frequenti vi sono la mancanza di inventari precisi, i vincoli contrattuali, la carenza di personale qualificato e la dipendenza da software legacy. Un protocollo efficace dovrebbe prevedere: (i) la consegna dell’allerta al responsabile tecnico, (ii) una valutazione della gravità specifica per il servizio, (iii) la definizione di una azione correttiva e (iv) la verifica post-intervento. Indicatori quali il tempo medio tra allerta e correzione o la percentuale di vulnerabilità risolte diventeranno strumenti decisivi per misurare il reale impatto della strategia.
Le amministrazioni locali, le scuole e le medie imprese, pur essendo meno visibili, costituiscono parte integrante della filiera digitale nazionale. Un account violato in un’istituzione periferica può fungere da trampolino per attacchi a strutture più complesse. Per questo, il Viminale ha sottolineato la necessità di fornire supporto tecnico e risorse specifiche a chi non dispone di un team interno di sicurezza, evitando così una crescente disparità tra enti ben attrezzati e realtà più deboli.
Infine, il contesto normativo, rappresentato dal decreto legislativo 138/2024 che recepisce la direttiva NIS2, impone a circa 21.500 soggetti di adottare misure di gestione del rischio e di notificare incidenti significativi. Le 1.500 notifiche ricevute nei primi nove mesi del 2026 mostrano già un’attività di sorveglianza più intensa. Il nuovo approccio del Viminale, pur non introducendo nuovi obblighi, offre l’opportunità di far convergere le esigenze di sicurezza pubblica con le disposizioni di legge, creando una cooperazione bidirezionale tra autorità e operatori del settore.
Il vero metro del successo sarà la diminuzione delle esposizioni aperte, non soltanto l’incremento dei controlli. Se nei mesi a venire sarà possibile dimostrare che le quasi 45mila vulnerabilità segnalate sono state corrette, che le asset compromessi sono stati bonificati e che le organizzazioni hanno ricevuto il supporto necessario, la strategia potrà essere considerata una svolta concreta per la continuità dei servizi e la sicurezza del Paese.
