Le guerre del XXI secolo non iniziano necessariamente con un missile. Possono cominciare con una credenziale compromessa, una vulnerabilità zero-day, un'infrastruttura digitale penetrata silenziosamente o una supply chain tecnologica trasformata in punto d'accesso verso sistemi molto più sensibili. È una delle trasformazioni più profonde degli attuali equilibri geopolitici: dati, piattaforme, algoritmi, cloud e infrastrutture digitali sono ormai parte integrante della capacità strategica di uno Stato, che partecipa perennemente a una competizione internazionale non più limitata al controllo delle materie prime, delle rotte commerciali o delle fonti energetiche.
La posta in gioco riguarda sempre più la capacità di produrre, raccogliere, elaborare e soprattutto proteggere informazioni. L'Unione europea sta costruendo una propria strategia di sovranità tecnologica che comprende semiconduttori, intelligenza artificiale, cloud e dati. Il Data Act, applicabile dal settembre 2025, interviene sulla circolazione e sull'accessibilità dei dati generati nell'economia connessa, mentre la strategia europea sulla Data Union punta a rafforzare la protezione dei dati non personali sensibili e la sovranità europea sul patrimonio informativo. A giugno 2026 la Commissione ha presentato un pacchetto sulla sovranità tecnologica concentrato su semiconduttori, AI, cloud e open source, legando esplicitamente competitività e autonomia alla capacità dell'Europa di progettare e sviluppare internamente le tecnologie strategiche.
Il dato industriale è diventato potere. Una macchina utensile connessa, una rete ferroviaria, un'infrastruttura energetica, un satellite, una piattaforma logistica, un sistema sanitario o un impianto industriale producono continuamente informazioni. Presi singolarmente sono solo dati, ma aggregati, correlati e analizzati diventano intelligence: possono raccontare capacità produttive, vulnerabilità, consumi energetici, spostamenti, dipendenze logistiche, configurazioni tecnologiche, livelli di attività e persino anomalie potenzialmente sfruttabili da un avversario. È qui che nasce la geopolitica dei dati industriali. Chi possiede le piattaforme sulle quali transitano queste informazioni, chi sviluppa gli algoritmi che le interpretano, chi controlla l'infrastruttura cloud che le conserva e chi dispone delle capacità cyber necessarie per proteggerle acquisisce un vantaggio insieme economico, tecnologico e strategico.
In questo scenario la cybersecurity smette definitivamente di essere una funzione accessoria dell'IT. Diventa politica industriale e componente della sicurezza nazionale. A rendere più urgente questa riflessione è l'evoluzione dei conflitti internazionali. ENISA, nel Threat Landscape 2025, ha analizzato 4.875 incidenti avvenuti tra luglio 2024 e giugno 2025 e descrive un ecosistema nel quale gruppi differenti tendono a riutilizzare strumenti, tecniche e infrastrutture, mentre cybercrime, hacktivismo, cyberespionage e operazioni riconducibili ad attori statuali finiscono sempre più spesso per condividere tattiche e capacità.
È il paradigma della guerra ibrida e asimmetrica. Non serve necessariamente colpire fisicamente un'infrastruttura per comprometterne la funzionalità. Un attacco cyber può interferire con servizi, comunicazioni, catene logistiche e processi industriali; può sottrarre informazioni riservate, produrre effetti economici oppure essere combinato con campagne di disinformazione e pressione psicologica. Il confine tra criminalità informatica, spionaggio, hacktivismo e conflitto geopolitico diventa così meno netto. ENISA rileva inoltre come le tensioni geopolitiche continuino a rappresentare un importante driver delle operazioni cyber e prospetta un'evoluzione della minaccia lungo tre direttrici: convergenza, automazione e industrializzazione. L'intelligenza artificiale può accelerare ulteriormente questo processo, riducendo i tempi necessari per sviluppare campagne offensive e aumentando la capacità di deception degli attaccanti.
Cambia allora anche il significato della difesa. Firewall, antivirus, EDR, sistemi di autenticazione e Security Operations Center restano indispensabili, ma non sono più sufficienti se considerati isolatamente. La nuova frontiera è la Cyber Threat Intelligence: raccogliere e correlare informazioni sulle minacce, comprendere gli attori ostili, individuarne infrastrutture e comportamenti, analizzare TTP — tactics, techniques and procedures — e trasformare enormi quantità di segnali tecnici in conoscenza utilizzabile per assumere decisioni. Si passa dalla domanda «siamo stati attaccati?» a interrogativi più sofisticati: chi potrebbe attaccarci, perché, con quali strumenti, attraverso quale superficie e quale comportamento dell'avversario possiamo osservare prima che l'attacco produca i suoi effetti. È la differenza tra sicurezza reattiva e sicurezza intelligence-driven, particolarmente importante nel contrasto al cyberterrorismo e alle minacce ibride, dove l'obiettivo non è necessariamente il profitto, ma può essere l'interruzione dei servizi, il sabotaggio, la sottrazione di informazioni, la destabilizzazione o un effetto psicologico.