Sovranità tecnologica e cybersicurezza: come il nuovo DPCM ridefinisce gli acquisti ICT strategici in Italia
di Fabio Morelli
La protezione del perimetro cibernetico nazionale non è più soltanto una questione tecnica o un adempimento burocratico di secondo piano, ma il pilastro fondamentale su cui si fonda la sovranità tecnologica del Paese. Con l’operatività a pieno regime delle nuove disposizioni introdotte dal DPCM 30 aprile 2025, legato al rafforzamento della cybersicurezza nazionale, l’Italia ha inaugurato una nuova stagione nella gestione degli approvvigionamenti digitali per la pubblica amministrazione e le infrastrutture critiche.
In un contesto geopolitico globale sempre più frammentato e complesso, la sicurezza informatica smette di essere un elemento reattivo o accessorio per diventare un requisito strutturale, incorporato sin dalle prime fasi di progettazione dei sistemi (security by design).
I tre pilastri del decreto: requisiti, tecnologie critiche e catena di fornitura
L’architettura normativa delineata dal provvedimento poggia su tre direttrici fondamentali pensate per monitorare puntualmente ma anche blindare la catena degli approvvigionamenti digitali:
- Requisiti di sicurezza integrata (Allegato 1): I beni e i servizi informatici destinati ai contesti sensibili devono soddisfare standard rigorosi, tra cui l’assenza di vulnerabilità note, la presenza di configurazioni sicure predefinite e meccanismi avanzati per la protezione dei dati e degli accessi. A ciò si aggiunge l’obbligo per i fornitori di garantire una gestione proattiva e continuativa delle vulnerabilità nel tempo;
- Il perimetro delle tecnologie sotto osservazione (Allegato 2): Vengono individuate con precisione le categorie tecnologiche strategiche — dai sistemi di gestione dell’identità ai software antimalware, passando per router, VPN, microprocessori, servizi cloud, software di controllo per droni e sistemi SCADA per il monitoraggio industriale — sottoposte a verifiche stringenti tramite codici CPV dedicati;
- Geopolitica della fiducia e Paesi affidabili (Allegato 3): Viene formalizzata una vera e propria mappa dei partner considerati sicuri per l’approvvigionamento tecnologico. Oltre a Italia, Unione Europea e Paesi NATO, il quadro include sei nazioni partner di rilevanza strategica: Australia, Corea del Sud, Giappone, Israele, Nuova Zelanda e Svizzera.
Trasparenza e premialità per l’industria europea
Un aspetto centrale della normativa riguarda la gestione della catena di fornitura (supply chain security). Gli operatori economici sono chiamati a presentare un dettagliato Bill of Materials (B.O.M.), un elenco trasparente di tutti i componenti hardware e software che costituiscono il prodotto o il servizio offerto, così da prevenire attacchi mirati o infiltrazioni da parte di attori ostili.
Parallelamente, il sistema introduce criteri di premialità per le tecnologie sviluppate in Italia, nell’Unione Europea o nei Paesi partner, offrendo un forte incentivo al mercato nazionale ed europeo per ridurre le dipendenze strategiche da giganti extra-europei e stimolare investimenti mirati nella ricerca e nell’innovazione industriale.
Verso un ecosistema digitale resiliente
L’adeguamento a questo nuovo quadro normativo rappresenta una sfida complessa ma non più rimandabile per le amministrazioni pubbliche, gli ospedali, gli enti locali e i gestori di servizi essenziali inclusi nel Perimetro di Sicurezza Nazionale Cibernetica.
Trasformare i requisiti di sicurezza in prassi operative quotidiane richiede investimenti in competenze, nuove professionalità e una revisione profonda delle procedure di procurement. Tuttavia, la direzione intrapresa segna un cambio di passo decisivo: proteggere gli interessi nazionali nel dominio cyber significa oggi garantire non solo la continuità dei servizi, ma la stessa autonomia e competitività dell’Italia nel futuro digitale.
INSERTO DI APPROFONDIMENTO
Dalla Relazione annuale al Parlamento per l’anno 2024 dell’ACN (Agenzia per la Cybersicurezza Nazionale) emergono una serie di dati che meritano attenzione.
I vettori di attacco: le vie d’accesso delle minacce informatiche
I vettori di attacco identificano le strategie e i canali attraverso cui un attore malevolo riesce a compromettere un sistema informatico, sfruttando falle di sicurezza o punti deboli nell’infrastruttura. Le principali modalità d’ingresso includono:
-
Posta elettronica (E-mail): L’invio di messaggi ingannevoli e mirati volti a manipolare l’utente per spingerlo a condividere credenziali riservate, scaricare software dannosi o scaricare dati sensibili;
-
Sfruttamento delle vulnerabilità (Exploit): L’abuso di falle o difetti di programmazione presenti in sistemi operativi, software o apparati di rete per eseguire codice non autorizzato, scalare i privilegi di accesso o bloccare l’operatività dei servizi;
-
Uso di account legittimi: L’accesso alle reti mediante credenziali reali sottratte tramite phishing, attacchi a forza bruta o fughe di dati (data breach). Questo approccio consente all’attaccante di muoversi indisturbato all’interno dei sistemi, eludendo i controlli di sicurezza;
-
Compromissione della catena di fornitura (Supply Chain): L’infiltrazione nei processi di sviluppatori e fornitori di tecnologie o servizi IT per inserire componenti malevoli direttamente all’interno di software, hardware o aggiornamenti prima della loro distribuzione ufficiale;
-
Servizi remoti ed esposti: L’individuazione e lo sfruttamento di configurazioni errate o di protocolli di accesso remoto privi di adeguate protezioni, che offrono una porta d’ingresso diretta all’infrastruttura aziendale;
-
Piattaforme e Social Media: L’impiego di tecniche di ingegneria sociale sui canali digitali per raccogliere informazioni riservate sui target, delineare profili dettagliati e facilitare attacchi successivi più complessi e personalizzati.
Le vittime del 2024
Nel 2024 ci sono stati 2.800 eventi accertati (di cui vittime univoche 1.260) per attività ostili in particolare in contesti caratterizzati da elevata densità di insediamenti idustriali, di infrastrutture critiche e sedi istituzionali.
Se guardiamo alle vittime di eventi cyber trattati nel 2024 per settore target, troviamo al primo posto la Pubblica Amministrazione Centrale (483 casi), poi il settore delle Telecomunicazioni (290 casi) e quello dell’università e ricerca (227 casi). A seguire Trasporti, Settore Tecnologico, Pubblica Amministrazione Locale, Servizi Finanziari, Settore Manifatturiero, Sanitario ed Energia (con 123 casi).
Approfondimenti
Per approfondimenti leggi il DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 30 aprile 2025 – Disciplina dei contratti di beni e servizi informatici impiegati in un contesto connesso alla tutela degli interessi nazionali strategici e della sicurezza nazionale. (25A02717) (GU Serie Generale n.102 del 05-05-2025)
Articoli correlati
Scudo Digitale: l’Italia recepisce la NIS2. Ecco come cambia la sicurezza per le imprese
Photo-video credits:
Crediti ai rispettivi autori
