Cita da Fondazione Olitec su 22 Luglio 2026, 9:12 am

Di Redazione

Non arriverà con una nave militare davanti a Civitavecchia, non avrà bisogno di issare una bandiera su un palazzo pubblico e, con ogni probabilità, non assumerà neppure la forma spettacolare di un sabotaggio rivendicato. Se l’ingerenza cinese dovesse produrre un danno grave all’Italia, è più realistico che passi da un aggiornamento software autorizzato con troppa leggerezza, da un account di manutenzione rimasto aperto per anni, da una piccola società industriale ceduta prima che lo Stato si accorga del suo valore, da un terminal portuale nel quale i dati viaggiano verso piattaforme non pienamente controllate, da un inverter fotovoltaico comandabile attraverso un cloud esterno, da un router di dorsale dimenticato nell’inventario o dalla localizzazione di un dissidente cinese rifugiato nel nostro Paese.

Il punto è proprio questo: la minaccia più seria non è quella che si vede. È quella che si confonde con la normalità. Un contratto commerciale, un investimento, un servizio di assistenza, una partecipazione societaria, un’apparecchiatura conveniente, una piattaforma cloud, una collaborazione accademica, un’associazione presentata come punto di riferimento per la comunità. Tutti strumenti perfettamente legittimi, finché non conferiscono a un soggetto esterno la possibilità di osservare, condizionare, interrompere o manipolare una funzione essenziale italiana.

Per capire il problema bisogna liberarsi contemporaneamente di due falsità opposte. La prima è la favola secondo cui ogni impresa cinese sarebbe un reparto clandestino dell’intelligence di Pechino e ogni prodotto costruito in Cina nasconderebbe una porta segreta. Non è vero, e trasformare la sicurezza nazionale in sospetto etnico significherebbe non soltanto colpire persone innocenti, ma anche rendere più difficile individuare le minacce reali. La seconda falsità è che tutto possa essere ridotto a normale concorrenza economica, come se il controllo di un’infrastruttura digitale, di una tecnologia duale o di una massa enorme di dati fosse equivalente all’acquisto di un albergo o di un marchio di abbigliamento.

La Cina non è un blocco perfettamente uniforme. Ci sono imprese pubbliche, aziende formalmente private, società quotate, fornitori tecnologici, intermediari, università, appaltatori e gruppi criminali con rapporti molto diversi con lo Stato. Ma proprio per questo l’analisi non può fermarsi alla targhetta societaria. La Commissione europea, quando ha valutato la sicurezza delle reti di telecomunicazione, ha indicato fra i fattori decisivi non soltanto la qualità tecnica del prodotto, ma anche la possibilità che un fornitore venga influenzato da un Paese terzo, il sistema di governo societario, le leggi di sicurezza applicabili e la difficoltà di verificare l’effettiva autonomia dell’impresa. Nel 2023 Bruxelles ha concluso che Huawei e ZTE presentavano rischi materialmente più elevati rispetto ad altri fornitori 5G, ritenendo giustificate le restrizioni adottate da diversi Stati membri. Non è la prova che ogni apparato delle due aziende sia compromesso. È il riconoscimento che la sicurezza di un’infrastruttura non dipende soltanto da ciò che il prodotto fa oggi, ma anche da chi potrebbe ordinargli di fare qualcosa domani. (Strategia Digitale Europa)

È qui che l’Italia incontra la propria debolezza. Il pericolo cinese non nasce da un’onnipotenza di Pechino. Nasce spesso dalla disorganizzazione di Roma: inventari incompleti, responsabilità divise fra ministeri, autorità e società private, appalti costruiti sul prezzo, subappalti difficili da ricostruire, manutentori con accessi permanenti, software industriali non più aggiornati, dipendenze che diventano visibili soltanto quando sostituire il fornitore costa troppo o rischia di fermare il servizio. In molti casi, più che domandarsi che cosa la Cina stia facendo, bisognerebbe chiedersi che cosa l’Italia non sappia più controllare.

Il primo precedente che aiuta a capire la natura del rischio riguarda Fastweb e Huawei. Nell’ottobre 2020 il governo italiano impedì a Fastweb di concludere un accordo con Huawei per la fornitura di apparati destinati al nucleo della rete 5G. Non si trattava semplicemente di antenne, ripetitori o dispositivi collocati ai margini della rete. Il cosiddetto core è il cuore logico dell’infrastruttura: gestisce autenticazione, instradamento, controllo dei servizi, politiche di accesso e una parte rilevante delle informazioni più sensibili. Fu il primo veto italiano a un accordo di fornitura relativo al nucleo 5G di Huawei. (Reuters)

Non risultò pubblicamente dimostrata l’esistenza di una porta nascosta pronta a consegnare le comunicazioni italiane a Pechino. Il governo intervenne prima che una simile prova esistesse, perché la sicurezza nazionale non può attendere che il danno sia consumato. Un fornitore che lavora sul nucleo della rete o sui suoi sistemi di gestione non ha necessariamente bisogno di leggere il contenuto delle conversazioni per acquisire un vantaggio. Può conoscere l’architettura, le configurazioni, gli indirizzi, le procedure di emergenza, i punti deboli, le identità amministrative e le modalità con cui vengono distribuiti gli aggiornamenti. Può sapere quali apparati sono ridondanti soltanto sulla carta e quali, invece, costituiscono un punto unico di fallimento.

La vicenda Fastweb rivela anche un errore ricorrente nel dibattito pubblico: si discute della nazionalità delle antenne, mentre il vero potere è spesso altrove. È nel piano di gestione, nei router che collegano una rete all’altra, nei server di autenticazione, nelle chiavi di firma, nelle piattaforme che orchestrano migliaia di funzioni virtuali, nei sistemi di diagnostica e negli accessi utilizzati dai tecnici. Si può sostituire un’antenna visibile e lasciare intatto il software che decide come quella stessa antenna viene amministrata. Si può diversificare il marchio dell’hardware e continuare a dipendere dalla stessa libreria, dallo stesso cloud o dallo stesso centro di assistenza.

Il secondo caso italiano riguarda un’azienda molto meno nota al grande pubblico. Nel 2021 il governo Draghi bloccò l’acquisizione del controllo di LPE, società milanese specializzata in apparecchiature per la produzione di semiconduttori, da parte della cinese Shenzhen Investment Holdings. La quota prevista era del 70 per cento. LPE non era un colosso mediatico e non produceva oggetti riconoscibili dal consumatore. Proprio per questo il caso è istruttivo: una piccola impresa può custodire processi, brevetti, competenze e relazioni industriali che richiederebbero anni per essere ricostruiti. (Reuters)

Nel settore dei semiconduttori non conta soltanto chi fabbrica il chip finale. Contano le macchine, i materiali, il software di processo, la capacità di produrre componenti di potenza, la conoscenza accumulata da pochi tecnici e la posizione dell’impresa all’interno delle catene di fornitura. Queste tecnologie possono entrare nelle reti elettriche, nell’automotive, nella robotica, nell’aerospazio e nella difesa. Perdere il controllo di un’impresa di nicchia può voler dire perdere la possibilità di decidere chi riceve una determinata tecnologia, dove viene trasferita la produzione e quali clienti avranno la priorità durante una crisi.

Poi c’è Alpi Aviation. Nel 2018 il 75 per cento della società, attiva nel settore dei velivoli e dei droni, venne ceduto a investitori cinesi. L’operazione finì sotto indagine perché non era stata notificata secondo le regole del Golden Power. Nel marzo 2022 il governo italiano annullò la vendita. Anche in questo caso, la decisione amministrativa non equivale a una sentenza per spionaggio e non dimostra che ogni progetto fosse già stato consegnato a un apparato militare straniero. Dimostra però che la proprietà effettiva di un’impresa duale non può essere trattata come un dettaglio notarile. (Reuters)

Quando un’azienda produce droni, componenti aeronautici, sensori o sistemi di controllo, non basta sapere quale società ha firmato il contratto. Bisogna ricostruire chi ha finanziato l’acquisto, chi controlla il consiglio di amministrazione, chi può accedere ai disegni, chi riceve il codice, dove finiscono i dati di volo, quali tecnici vengono distaccati, quali accordi laterali sono stati sottoscritti e se l’acquirente risponde, direttamente o indirettamente, a un soggetto pubblico straniero. Il problema non è soltanto la proprietà. È la capacità di trasferire conoscenza senza spostare fisicamente una fabbrica.

Nel giugno 2022 il governo Draghi intervenne inoltre contro un trasferimento di tecnologia e software verso la Cina in un’operazione riguardante il gruppo cinese EFORT e l’italiana ROBOX, impresa specializzata in elettronica per robotica e controllo del movimento. È un altro tassello dello stesso mosaico: il potere strategico non si concentra soltanto nei grandi impianti, ma in componenti, algoritmi e competenze che permettono alle macchine industriali di muoversi con precisione. (Reuters)

Il caso Pirelli sposta il discorso ancora più avanti. Nel 2023 il governo italiano utilizzò il Golden Power per limitare l’influenza della cinese Sinochem sulla società. Fra gli asset considerati strategici c’erano le tecnologie legate ai sensori inseriti negli pneumatici e ai sistemi capaci di elaborare informazioni attraverso algoritmi e intelligenza artificiale. Nel 2026 furono imposte nuove misure: Sinochem venne limitata nella capacità di nominare amministratori e di occupare ruoli apicali. Il nuovo consiglio nominato nel giugno 2026 vide la lista sostenuta da Camfin ottenere dodici dei quindici posti, mentre al socio cinese furono riservati tre consiglieri. (Pirelli Newsroom)

A prima vista si potrebbe liquidare la vicenda come una battaglia fra azionisti intorno a un produttore di pneumatici. Ma uno pneumatico connesso non è più soltanto gomma. Può generare informazioni sull’aderenza, sulle condizioni della strada, sulla velocità, sull’usura, sul comportamento del veicolo e, a seconda dell’architettura del sistema, sui percorsi e sulle modalità di utilizzo. Il valore non è nel singolo dato, spesso innocuo. È nella massa. Un milione di osservazioni aggregate può descrivere il traffico di una città, l’attività di una flotta, la regolarità di determinati itinerari, le condizioni di un’infrastruttura o le abitudini operative di un’organizzazione.

Fastweb, LPE, Alpi Aviation, ROBOX e Pirelli non sono episodi isolati da collocare in un archivio di decisioni amministrative. Formano una mappa. Le aree nelle quali lo Stato italiano ha ritenuto necessario intervenire sono quelle che oggi definiscono il potere: telecomunicazioni, semiconduttori, robotica, aerospazio, sensoristica, intelligenza artificiale e dati. Il Golden Power, però, arriva spesso quando l’operazione societaria è già visibile. La minaccia più difficile da intercettare è quella che non passa dall’acquisto dell’azienda, ma da un contratto di manutenzione, da una licenza software, da una piattaforma cloud o da un subappaltatore.

Il salto di qualità emerge nel febbraio 2026, quando la Polizia di Stato rese noto di avere individuato attività informatiche malevole definite “di matrice cinese” contro i sistemi del ministero dell’Interno. L’obiettivo, secondo la comunicazione, era acquisire informazioni utili a localizzare dissidenti cinesi presenti in Italia e identificare funzionari della Digos impegnati in indagini su gruppi cinesi operanti nel Paese. La Polizia postale dichiarò di avere rilevato tempestivamente le attività e precisò che non risultava sottratto materiale operativo sensibile. Gli elementi raccolti furono trasmessi all’autorità giudiziaria. (Agenparl)

Intorno all’episodio circolò anche una ricostruzione molto più allarmante, secondo cui sarebbero finiti nelle mani degli attaccanti i dati di circa cinquemila appartenenti alla Digos. La cifra comparve su diversi organi d’informazione, ma non fu confermata nel comunicato ufficiale, che anzi escluse l’esfiltrazione di informazioni operative sensibili. La distinzione è fondamentale. Negare il pericolo perché un dettaglio è controverso sarebbe irresponsabile; presentare come accertato ciò che le autorità non hanno confermato sarebbe propaganda. (ilfattoquotidiano.it)

Resta un fatto grave: un attacco informatico non sarebbe stato diretto soltanto contro dati amministrativi, ma contro persone. Localizzare un dissidente significa poter ricostruire la sua abitazione, i contatti, gli spostamenti e le relazioni. Identificare gli agenti che lo proteggono o che indagano su determinate reti significa capire quali strutture dello Stato si stanno muovendo, quali attività hanno attirato attenzione e dove potrebbero trovarsi le vulnerabilità investigative. È il punto nel quale cyberspionaggio, controintelligence e repressione transnazionale smettono di essere categorie separate.

La repressione transnazionale non ha necessariamente bisogno di un rapimento cinematografico. Può funzionare attraverso telefonate, messaggi, pressioni economiche, minacce rivolte ai parenti rimasti in Cina, campagne diffamatorie, sorveglianza digitale e intermediari che si presentano come rappresentanti rispettabili della comunità. La vittima deve percepire che la distanza geografica non la protegge, che il Paese nel quale vive non è davvero in grado di garantirle sicurezza e che ogni iniziativa pubblica può avere conseguenze sulla famiglia.

Nel marzo 2026 l’International Consortium of Investigative Journalists riferì che le autorità italiane avevano emesso provvedimenti di espulsione nei confronti di otto cittadini cinesi sospettati di avere sorvegliato e intimidito dissidenti per conto del governo cinese. Secondo l’inchiesta, tre sarebbero stati rimpatriati immediatamente, quattro avevano già lasciato l’Italia e uno si trovava in attesa della conclusione della procedura. Non è stata pubblicata una relazione ministeriale completa che consenta di verificare ogni elemento del caso; perciò la notizia deve essere attribuita all’inchiesta giornalistica e non trasformata in una sentenza definitiva. Resta però il segnale politico: lo Stato avrebbe utilizzato lo strumento dell’espulsione per ragioni di sicurezza nazionale legate alla pressione esercitata su oppositori presenti sul territorio italiano. (icij.org)

Questo episodio si inserisce nella controversia sulle cosiddette stazioni di polizia cinesi all’estero. Nel 2022 l’organizzazione Safeguard Defenders sostenne che undici strutture di questo tipo fossero presenti in Italia, il numero più alto indicato per un singolo Paese. Pechino replicò che si trattava di centri gestiti da volontari per aiutare i cittadini cinesi con pratiche amministrative rese più difficili dalla pandemia. Il ministro dell’Interno Matteo Piantedosi riferì in Parlamento che non risultavano autorizzazioni per centri cinesi destinati al disbrigo di tali pratiche, annunciò verifiche di polizia e intelligence e non escluse provvedimenti in caso di attività illegali. Gli accertamenti resi pubblici all’epoca si concentrarono soprattutto sulla struttura di Prato; non consentirono di trasformare automaticamente l’elenco dell’organizzazione non governativa in undici casi giudiziariamente accertati. (Reuters)

L’Italia aveva inoltre consentito, fra il 2016 e il 2019, la partecipazione di agenti cinesi a pattugliamenti congiunti con la polizia italiana in alcune città, ufficialmente per assistere i turisti cinesi. Quei pattugliamenti erano trasparenti e regolati da un accordo, quindi non possono essere confusi con eventuali operazioni clandestine. Ma dopo le polemiche sulle strutture non autorizzate, Piantedosi annunciò che quelle forme di cooperazione non sarebbero state riproposte. (Reuters)

È in questo passaggio che la discussione rischia di prendere la direzione sbagliata. La comunità cinese residente in Italia non è una minaccia collettiva. È, in molti casi, il primo bersaglio delle pressioni di Pechino, oltre che della criminalità organizzata, dello sfruttamento lavorativo e di reti economiche clandestine. Trattare ogni associazione culturale, commerciante o studente come un sospetto produrrebbe il risultato perfetto per chi vuole controllare quella comunità: isolamento, sfiducia verso le autorità italiane e maggiore dipendenza da intermediari interni.

La difesa deve quindi essere selettiva. Non deve chiedere da dove viene una persona, ma quali funzioni esercita, quali dati possiede, quali rapporti istituzionali mantiene e per conto di chi agisce. Il passaporto non è una prova. Un accesso amministrativo, un trasferimento non dichiarato di informazioni, una minaccia documentata o un legame operativo occultato possono esserlo.

Nella primavera 2026 un’altra vicenda ha mostrato quanto sia vulnerabile la catena dei fornitori informatici. La procura antiterrorismo di Roma aprì un fascicolo su presunti attacchi di hacker cinesi contro Sistemi Informativi, società del gruppo IBM attiva nella gestione di infrastrutture tecnologiche per pubbliche amministrazioni e grandi imprese. Il reato ipotizzato era l’accesso abusivo a sistema informatico. In alcuni articoli e analisi specialistiche l’operazione fu associata a Salt Typhoon, gruppo collegato da autorità occidentali ad attività di cyberspionaggio cinese, ma l’attribuzione specifica del caso italiano non risultava pubblicamente consolidata in via definitiva. Anche l’estensione dell’eventuale compromissione e la natura dei dati interessati non erano state chiarite integralmente. (ANSA.it)

La questione decisiva non è soltanto chi sia entrato. È dove sia entrato. Un fornitore informatico che lavora per molti soggetti pubblici e privati è un concentratore di fiducia. Possiede account privilegiati, conoscenze sulle architetture dei clienti, strumenti di assistenza, collegamenti autorizzati e procedure che spesso aggirano i controlli ordinari perché considerate necessarie alla manutenzione. Un attaccante che compromette il fornitore non deve aprire cento porte: può cercare la chiave maestra.

Lo stesso schema è stato osservato nelle campagne internazionali attribuite ad attori sponsorizzati dalla Repubblica Popolare. Nell’agosto 2025 autorità di sicurezza di numerosi Paesi diffusero un avviso congiunto su operazioni contro telecomunicazioni, reti governative e altre infrastrutture. Gli attaccanti miravano soprattutto a router di dorsale e di confine, apparati che regolano il traffico fra reti diverse e che possono fornire persistenza, visibilità e possibilità di movimento laterale. Le campagne indicate riguardavano anche settori come trasporti e strutture ricettive, i cui dati possono essere combinati per ricostruire comunicazioni, presenze e spostamenti di obiettivi selezionati. (cisa.gov)

Nel marzo 2026 il Consiglio dell’Unione europea ha sanzionato Integrity Technology Group, società con sede in Cina accusata di avere fornito prodotti utilizzati per compromettere dispositivi in Europa e nel resto del mondo. Secondo il Consiglio, fra il 2022 e il 2023 più di 65 mila dispositivi furono violati in sei Stati membri. Nello stesso provvedimento compare Anxun Information Technology, conosciuta anche come i-Soon, indicata come fornitrice di servizi di intrusione rivolti contro infrastrutture e funzioni critiche. (Consiglio dell'Unione Europea)

Sono episodi che aiutano a capire la strategia del pre-posizionamento. Non sempre l’obiettivo è distruggere immediatamente. Un attore può entrare, osservare, raccogliere configurazioni, mappare dipendenze e conservare l’accesso. In tempo di pace quell’accesso produce intelligence. In una crisi diplomatica, economica o militare può diventare uno strumento di pressione. La rete compromessa non viene spenta: viene lasciata funzionare, perché continuando a funzionare continua a generare informazioni.

È questo il rischio più serio per le telecomunicazioni italiane. Il 5G è soltanto la parte più recente e visibile. Il perimetro reale comprende il 4G ancora in uso, le reti fisse, i sistemi di trasporto, i router di dorsale, gli apparati di sincronizzazione, le piattaforme di virtualizzazione, i sistemi di intercettazione legale, i server DNS, i centri operativi e gli strumenti dei manutentori. Un’infrastruttura può essere nuova in superficie e poggiare su componenti installati quindici anni fa, dei quali nessuno ricorda più la password amministrativa o il reale stato degli aggiornamenti.

L’Italia dovrebbe conoscere, per ogni apparato critico, non soltanto il produttore, ma chi può amministrarlo, da quale Paese, con quali credenziali, attraverso quale piattaforma e con quale possibilità di registrare o bloccare l’intervento. L’accesso remoto permanente deve essere considerato un’anomalia, non una comodità. Ogni sessione del fornitore dovrebbe essere autorizzata per uno scopo preciso, limitata nel tempo, registrata e revocata automaticamente. Nei sistemi più sensibili, un tecnico esterno non dovrebbe poter operare senza la presenza digitale o fisica di un responsabile italiano.

Non è sufficiente diversificare le marche. Due apparati con loghi differenti possono dipendere dalla stessa infrastruttura cloud, dallo stesso codice, dallo stesso produttore di chip o dal medesimo centro di manutenzione. La vera diversificazione consiste nella capacità di continuare a operare dopo la perdita improvvisa di uno dei fornitori. Se la sostituzione richiede anni, se il firmware può essere firmato soltanto dal produttore e se il sistema smette di funzionare quando il cloud esterno è irraggiungibile, la sovranità è già stata ceduta, anche senza una sola azione ostile.

Il secondo fronte tecnologico riguarda l’energia. Per anni il dibattito sulla dipendenza cinese si è concentrato sulla produzione di pannelli solari e batterie. Il problema più sensibile, però, è nei dispositivi che trasformano, regolano e governano l’energia. Gli inverter fotovoltaici convertono la corrente continua prodotta dai pannelli o immagazzinata nelle batterie e decidono come immetterla nella rete. Sono computer industriali connessi, aggiornabili e spesso controllabili a distanza.

Nel maggio 2025 Reuters riferì che specialisti statunitensi avevano trovato dispositivi di comunicazione non documentati in alcuni inverter e sistemi di accumulo di produzione cinese. Non fu reso pubblico il numero dei prodotti coinvolti, non venne dimostrato che ogni dispositivo contenesse componenti simili e non fu provato che si trattasse di porte segrete installate deliberatamente per operazioni ostili. L’ambasciata cinese respinse le accuse e denunciò una generalizzazione politica. Ma il caso mise in evidenza una vulnerabilità concreta: un canale di comunicazione non dichiarato può aggirare le regole previste dal gestore e consentire funzioni che l’acquirente non sa di avere comprato. (Reuters)

Il rischio non è il pannello sul tetto di una singola abitazione. È l’aggregazione. Diecimila piccoli inverter, amministrati dalla stessa piattaforma, possono comportarsi come un’unica centrale virtuale. Se un soggetto esterno riuscisse a spegnerli, riaccenderli o modificarne i parametri contemporaneamente, l’effetto sulla rete potrebbe essere molto maggiore della potenza di ogni singola installazione. L’EU Institute for Security Studies ha richiamato proprio il pericolo derivante dalla presenza massiccia di inverter cinesi nelle reti europee e ha proposto requisiti europei più severi per le infrastrutture energetiche critiche. (Istituto Europeo per gli Studi di Sicurezza)

Qui l’Italia ha bisogno di un censimento che oggi non può limitarsi al numero degli impianti. Deve conoscere la potenza complessiva controllabile attraverso ciascuna piattaforma, il luogo nel quale terminano le connessioni, il soggetto che possiede le chiavi di aggiornamento, i moduli radio effettivamente presenti e la possibilità di mantenere il funzionamento locale quando il cloud del produttore viene disconnesso. Un impianto strategico non dovrebbe mai dipendere da un’autorizzazione remota per rimanere in sicurezza.

Il traffico in uscita degli inverter, delle batterie e delle colonnine di ricarica dovrebbe essere bloccato per impostazione predefinita e autorizzato soltanto verso destinazioni conosciute. Gli aggiornamenti devono essere firmati, verificabili e sottoposti a un processo di approvazione del gestore. I componenti non dichiarati devono portare alla sospensione dell’impiego nei siti critici. La documentazione tecnica deve comprendere una distinta del software e delle librerie utilizzate, affinché una vulnerabilità scoperta in un singolo componente possa essere cercata in tutta la filiera.

Lo stesso criterio deve essere applicato ai sistemi di climatizzazione dei data center, agli impianti di gestione degli edifici, ai dispositivi industriali, alle pompe di calore, ai contatori e alle grandi infrastrutture di ricarica. Il fatto che un apparato non produca direttamente elettricità non significa che non possa interrompere il servizio. Un data center con server perfettamente protetti può essere fermato compromettendone il raffreddamento. Una sottostazione ben sorvegliata può essere resa inefficiente attraverso un sistema ausiliario apparentemente secondario.

Poi c’è il cloud, parola utilizzata spesso come se indicasse un luogo neutrale e immateriale. Il cloud, invece, è una catena di poteri. Chi controlla l’hypervisor può vedere le macchine virtuali. Chi gestisce le identità può creare un amministratore. Chi possiede le chiavi può decifrare i dati. Chi controlla il sistema di aggiornamento può modificare il software. Chi amministra i registri può cancellare le tracce.

Un centro dati fisicamente collocato in Italia non è automaticamente sovrano. Bisogna sapere dove sono gli amministratori, chi può autorizzare un accesso d’emergenza, quali subappaltatori intervengono, se i registri possono essere modificati dallo stesso soggetto che gestisce i sistemi, se i backup sono separati e quanto tempo occorre per migrare altrove. Il luogo del server è soltanto una parte della risposta. La domanda vera è: chi possiede l’ultima chiave?

Nei sistemi della pubblica amministrazione, le chiavi più sensibili dovrebbero essere sotto il controllo del cliente pubblico o di una struttura italiana separata dal fornitore operativo. Le sessioni dei manutentori devono essere registrate. I registri di sicurezza devono confluire in archivi non modificabili dal medesimo amministratore che gestisce la piattaforma. I backup devono essere offline o comunque protetti da credenziali e infrastrutture diverse da quelle del sistema principale. Altrimenti un singolo attacco può distruggere contemporaneamente produzione, copie di sicurezza e prove dell’intrusione.

Un altro punto di fragilità si trova sotto il mare. I cavi sottomarini trasportano la quasi totalità del traffico dati intercontinentale. La Sicilia è un nodo centrale del Mediterraneo e ospita approdi e collegamenti che mettono in relazione Europa, Africa, Medio Oriente e Asia. Il governo italiano ha considerato strategica Sparkle, la società del gruppo TIM con una rete di oltre 600 mila chilometri, proprio per la centralità di queste infrastrutture. Nel 2026 la Commissione europea ha varato un nuovo pacchetto per la sicurezza dei cavi, ricordando che essi trasportano circa il 99 per cento del traffico intercontinentale. (Reuters)

Il cavo in sé è soltanto una parte del problema. Le stazioni di approdo sono edifici fisici, con alimentazione, sistemi di raffreddamento, tecnici, apparati di rete e connessioni terrestri. Un attaccante può non avere bisogno di trascinare un’ancora sul fondale. Può cercare una credenziale, corrompere un manutentore, manomettere un’apparecchiatura, interrompere l’alimentazione o compromettere il sistema che instrada il traffico una volta arrivato a terra.

La ridondanza deve essere reale. Due cavi che percorrono lo stesso corridoio marino, entrano nello stesso edificio e dipendono dalla stessa sottostazione non sono due alternative: sono un unico punto di fallimento rappresentato con due linee su una mappa. L’Italia deve conoscere non soltanto quanti collegamenti possiede, ma quali possono essere interrotti dallo stesso incidente e quanto tempo occorre per ripararli.

Servono accordi per la disponibilità rapida di navi specializzate, scorte di componenti, personale addestrato e procedure condivise con gli altri Paesi mediterranei. La sorveglianza deve integrare dati navali, satellitari e di intelligence. Ma deve soprattutto prevedere il momento successivo all’incidente. Sapere che un cavo è stato tagliato non serve molto se non esiste una nave disponibile, se il ricambio deve arrivare dall’Asia o se nessuno ha stabilito quale traffico debba ricevere priorità.

I porti rappresentano l’altra grande infrastruttura nella quale proprietà economica, dati e capacità operativa si sovrappongono. Nel 2016 COSCO Shipping Ports acquistò il 40 per cento di APM Terminals Vado Holding per 53 milioni di euro. La holding era collegata alle attività terminalistiche di Vado Ligure. Questo non significa che la Cina abbia comprato l’intero porto, l’autorità portuale, le acque o tutte le infrastrutture della zona. La semplificazione “Pechino possiede Vado” è falsa. (logistics.coscoshipping.com)

Ma sarebbe altrettanto superficiale concludere che una partecipazione di minoranza sia irrilevante. Bisogna leggere i diritti di voto, le clausole di veto, gli accessi ai dati, i rapporti con i sistemi operativi del terminal, le procedure di manutenzione delle gru, le piattaforme utilizzate per i container, le connessioni con dogane e spedizionieri. Una quota societaria può garantire meno potere di un contratto informatico. Un azionista privo di accesso operativo può essere relativamente innocuo; un fornitore senza azioni, ma con privilegi amministrativi sul sistema del terminal, può conoscere o interrompere l’intero flusso logistico.

Il confronto con il Pireo è illuminante. Nel 2016 la Grecia firmò la cessione a COSCO del 67 per cento dell’autorità portuale. Qui il livello di controllo è molto più profondo rispetto alla partecipazione documentata a Vado. Il Pireo è diventato un nodo centrale delle rotte fra Asia, Mediterraneo ed Europa. Anche in questo caso, il controllo cinese non costituisce di per sé la prova di un impiego ostile. Ma attribuisce a una società statale cinese una posizione rilevante su una delle principali porte logistiche del continente. (UNCTAD Investment Policy Hub)

In uno scenario di crisi, il potere non deve necessariamente tradursi nella chiusura spettacolare di un porto. Può manifestarsi in ritardi, priorità modificate, minore disponibilità di investimenti, accesso privilegiato alle informazioni commerciali, dipendenza da ricambi, indisponibilità improvvisa di tecnici o difficoltà nel passaggio a una gestione alternativa. La coercizione economica funziona meglio quando può essere presentata come normale inefficienza.

Il porto moderno, del resto, è un sistema informatico-industriale. Le gru, i varchi, le bilance, i manifesti, le prenotazioni dei camion e l’assegnazione delle aree dipendono da un Terminal Operating System. Compromettere quella piattaforma può bloccare le operazioni senza danneggiare fisicamente una sola gru. Alterare i dati può essere persino più pericoloso che cancellarli: un porto che non sa più quale container si trovi in una determinata posizione diventa lento, insicuro e inaffidabile.

L’Italia entrò formalmente nella Belt and Road Initiative nel 2019 e comunicò la propria uscita alla Cina nel dicembre 2023, evitando il rinnovo dell’intesa. Il memorandum aveva un valore politico rilevante, ma non aveva consegnato automaticamente i porti italiani a Pechino. L’uscita ha eliminato un quadro simbolico, non gli investimenti, i contratti, le partecipazioni e le dipendenze già esistenti. (Reuters)

Ed è proprio questa la differenza fra propaganda e sicurezza. La propaganda si concentra sulle fotografie delle firme e sulle bandiere. La sicurezza apre gli allegati tecnici, identifica il titolare delle chiavi, controlla il traffico di rete e verifica chi possa entrare nella sala macchine alle tre di notte.

Anche le telecamere, i droni e i sensori urbani devono essere trattati con la stessa prudenza. Una telecamera non raccoglie soltanto immagini. Rivela orari, accessi, turni, percorsi, targhe, abitudini e vulnerabilità fisiche. Un drone utilizzato per ispezionare un ponte o una linea elettrica può generare una mappa tecnica di grande precisione. Un sensore installato su un veicolo può diventare parte di un sistema di osservazione molto più ampio.

Nelle installazioni strategiche nessun dispositivo di sorveglianza dovrebbe collegarsi automaticamente a un cloud commerciale. Il traffico in uscita deve essere autorizzato destinazione per destinazione. L’archiviazione dovrebbe rimanere locale o su infrastrutture controllate. I moduli radio devono essere inventariati. Gli apparati non più supportati devono essere rimossi. La rete delle telecamere non deve comunicare direttamente con quella amministrativa e non deve dipendere dalla stessa infrastruttura che dovrebbe documentare un eventuale sabotaggio.

Per i droni utilizzati da forze dell’ordine, società energetiche, gestori di infrastrutture o imprese strategiche, il controllo deve comprendere telemetria, mappe, registri di volo, account dell’operatore, geofencing e diagnostica. Non basta rimuovere la scheda di memoria. I dati possono essere trasmessi durante il volo o sincronizzati automaticamente quando il dispositivo torna online.

Un discorso analogo vale per università e centri di ricerca. L’Italia deve proteggere i progetti relativi a intelligenza artificiale, fotonica, semiconduttori, spazio, materiali avanzati, robotica, biotecnologie duali e calcolo quantistico. Ma la risposta non può essere il sospetto rivolto agli studenti cinesi in quanto tali. Sarebbe ingiusto, scientificamente distruttivo e facilmente aggirabile.

La sicurezza della ricerca deve basarsi sul progetto e sull’accesso. Occorre conoscere l’origine dei finanziamenti, le clausole sulla proprietà intellettuale, i destinatari finali della tecnologia, le relazioni dei partner e le eventuali restrizioni all’esportazione. I dati sensibili devono essere compartimentati. L’accesso ai repository deve essere registrato. Le credenziali devono scadere con il progetto. Queste regole devono valere per tutti, italiani compresi. Un ricercatore cinese sottoposto a controlli seri può essere meno rischioso di un consulente italiano con accesso illimitato e nessuna supervisione.

Sul fronte fisico occorre mantenere la stessa disciplina. Nel materiale pubblico esaminato non emerge un caso accertato di sabotaggio fisico in Italia ordinato dal governo cinese contro una nostra infrastruttura critica. Affermare il contrario significherebbe trasformare uno scenario di rischio in un fatto inventato. Ma l’assenza di un caso pubblicamente provato non autorizza l’impreparazione.

Le minacce fisiche più realistiche non sono necessariamente attentati eclatanti. Possono consistere nell’ingresso di un tecnico non autorizzato, nell’installazione di un dispositivo clandestino, nella manomissione di un sensore, nel sabotaggio dell’alimentazione, nel danneggiamento del raffreddamento, nella ricognizione con droni o nell’utilizzo di credenziali rubate per aprire un varco. Il confine fra cyber e fisico è ormai artificiale: si può entrare fisicamente per installare un accesso remoto oppure entrare da remoto per produrre un danno materiale.

Per questo data center, stazioni di approdo, centrali, sottostazioni, porti e nodi ferroviari devono essere sottoposti a verifiche congiunte. La squadra informatica deve sapere chi entra nell’edificio; la vigilanza fisica deve sapere quali armadi e dispositivi siano realmente critici. Ogni intervento di manutenzione dovrebbe lasciare una traccia: identità dell’operatore, apparecchiatura toccata, componenti sostituiti, fotografie prima e dopo, software installato e traffico generato.

La prima misura urgente è un registro nazionale delle superfici di controllo estero. Non un elenco generico dei prodotti costruiti in Cina, ma una mappa delle dipendenze effettive. Per ogni sistema critico bisogna conoscere il proprietario effettivo del fornitore, il soggetto che possiede le chiavi di firma, il luogo dal quale parte l’assistenza, gli indirizzi con i quali l’apparato comunica, i subappaltatori, la collocazione dei dati, il tempo necessario per sostituire il prodotto e la capacità di funzionare senza il servizio esterno.

Il dato decisivo non è quanti dispositivi di una certa marca siano installati. È quanta capacità nazionale possa essere comandata dalla stessa piattaforma. Centomila piccoli dispositivi distribuiti possono essere più pericolosi di dieci grandi macchine se ricevono tutti gli ordini dal medesimo punto.

La seconda misura è una campagna nazionale di ricerca delle presenze persistenti. Telecomunicazioni, pubblica amministrazione, energia, porti e grandi fornitori devono cercare attivamente account dimenticati, firmware modificati, tunnel cifrati non autorizzati, regole di instradamento alterate, dispositivi non inventariati e accessi effettuati fuori dalle finestre di manutenzione. Attendere l’allarme dell’antivirus significa cercare soltanto ciò che è già noto.

La terza misura è separare il fornitore dal potere assoluto sul prodotto. Un’impresa esterna può essere indispensabile per l’assistenza, ma non dovrebbe poter installare un aggiornamento, cancellare un registro e riavviare un sistema senza che il cliente se ne accorga. Le operazioni più sensibili devono richiedere due autorizzazioni indipendenti. Le credenziali permanenti devono essere eliminate. Le chiavi di emergenza devono essere custodite in Italia e utilizzabili anche quando il fornitore non collabora.

La quarta misura riguarda il Golden Power. Il controllo non deve terminare con l’autorizzazione dell’operazione. Una società può rispettare le condizioni al momento dell’acquisizione e modificarne l’effetto attraverso nuovi amministratori, accordi tecnologici, subappalti o trasferimenti di dati. Servono audit periodici, obblighi di notifica e la possibilità di rivedere le condizioni quando cambiano proprietà, governance o architettura tecnica.

La quinta riguarda gli appalti. Il prezzo più basso non può essere considerato conveniente quando il costo reale comprende dipendenza, aggiornamenti, migrazione, indisponibilità dei ricambi e rischio di interruzione. Un prodotto economico può diventare costosissimo nel momento in cui deve essere rimosso in fretta. La Commissione europea ha proposto nel gennaio 2026 una revisione del Cybersecurity Act orientata anche a rafforzare la sicurezza delle catene di fornitura ICT e la certificazione dei prodotti digitali. È un passaggio importante, ma nessuna certificazione può sostituire la conoscenza concreta dell’architettura e degli accessi. (Strategia Digitale Europa)

La sesta misura riguarda le persone minacciate. Deve esistere un canale sicuro, multilingue e riconoscibile attraverso il quale dissidenti, giornalisti, studenti e imprenditori possano denunciare pressioni, sorveglianza e intimidazioni. Le segnalazioni non devono finire nelle mani di intermediari comunitari non verificati. Le forze dell’ordine devono essere preparate a riconoscere una minaccia politica nascosta dietro una controversia familiare, associativa o commerciale.

La settima misura è esercitarsi sulla perdita del fornitore. Ogni operatore critico dovrebbe dimostrare di poter continuare a funzionare quando il cloud esterno è irraggiungibile, quando le credenziali del manutentore vengono revocate, quando un aggiornamento risulta compromesso o quando un componente non può più essere acquistato. La sovranità non è una dichiarazione. È la capacità di staccare una spina senza spegnere il Paese.

Occorre infine evitare la tentazione più comoda: trasformare la Cina nell’unica spiegazione delle fragilità italiane. Un router non aggiornato è vulnerabile anche a un criminale comune. Un amministratore corrotto può lavorare per qualunque potenza. Un accesso remoto incontrollato è pericoloso indipendentemente dalla nazionalità del fornitore. Rafforzare le difese contro Pechino significa costruire sistemi che resistano anche a Russia, Iran, gruppi criminali, concorrenti industriali e sabotatori interni.

Ma sarebbe altrettanto miope utilizzare questa universalità del rischio per negare la specificità cinese. La Repubblica Popolare dispone di capacità economiche, industriali, tecnologiche e di intelligence sufficienti a condurre operazioni di lungo periodo, acquistare posizioni strategiche, sfruttare dipendenze e integrare dati provenienti da settori diversi. Le decisioni adottate dal governo italiano, dalla Commissione europea e dal Consiglio dell’Unione dimostrano che il problema non è una fantasia costruita nei talk show. È già entrato nei provvedimenti, nelle indagini e nelle strategie di sicurezza. (Reuters)

La minaccia reale non è “la Cina in Italia” intesa come presenza indistinta. È la combinazione di accesso, concentrazione e opacità. Un investimento è rischioso quando conferisce potere su una funzione insostituibile. Un prodotto è rischioso quando riceve ordini che il proprietario non può verificare. Un fornitore è rischioso quando possiede credenziali che nessuno sa revocare. Un’associazione è rischiosa quando esercita pressioni per conto di un’autorità straniera. Un’infrastruttura è fragile quando non può continuare a funzionare senza il soggetto dal quale dovrebbe difendersi.

Per anni l’Italia ha discusso di sovranità come se fosse una parola da inserire nei programmi elettorali. La sovranità tecnologica, invece, è molto concreta. Significa poter sostituire un router, revocare un certificato, deviare il traffico su un altro cavo, mantenere una centrale in modalità locale, far lavorare un porto senza il suo cloud, ricostruire la proprietà effettiva di un acquirente e proteggere un dissidente senza consegnarne l’identità a chi lo cerca.

La domanda finale non è se l’Italia debba interrompere ogni rapporto con la Cina. Sarebbe economicamente irrealistico e strategicamente rozzo. La domanda è se possa continuare a commerciare, attrarre investimenti e utilizzare tecnologie straniere senza perdere la possibilità di decidere autonomamente. Il de-risking serio non è autarchia. È capacità di dire no, di cambiare fornitore, di verificare il prodotto, di limitare gli accessi e di sopportare il costo della propria libertà operativa.

Il vero campanello d’allarme non è un’etichetta “Made in China”. È una frase che nelle infrastrutture italiane viene pronunciata ancora troppo spesso: “Non possiamo disconnetterlo, perché non sappiamo che cosa succederebbe”.

Quando uno Stato non può più spegnere un accesso esterno, sostituire un apparato o controllare chi amministra i propri dati senza rischiare di fermarsi, l’ingerenza non è più soltanto una minaccia futura. È già diventata dipendenza.