Lettere di corsa digitali: il cyberspazio come pari opportunità per le medie potenze
Secondo un’analisi pubblicata da RUSI a firma di Peter B.M.J. Pijpers e Jelle van Haaster, gli Stati privi di arsenali nucleari e di forze convenzionali imponenti dispongono comunque di uno strumento efficace per competere strategicamente: il cyberspazio. A differenza del dominio nucleare, sostengono gli autori, ottenere effetti strategici nel dominio cibernetico non richiede investimenti finanziari o tecnologici colossali, ed è un ambiente accessibile anche ad attori non statali e aziende private.
Gli autori richiamano il caso della guerra in Ucraina, dove non solo gli Stati ma anche attivisti informatici e società tecnologiche come Starlink, Amazon e Microsoft hanno influito sul conflitto. Da questa osservazione nasce la proposta di due meccanismi operativi: le cyber letters of marque, con cui uno Stato autorizza aziende tecnologiche private a condurre operazioni cibernetiche specifiche per suo conto, e la digital levée en masse, ovvero la mobilitazione di competenze civili per rafforzare la resilienza nazionale e, se necessario, sostenere le operazioni in caso di conflitto.
L’analisi si appoggia sulla cosiddetta cyber persistent theory, un filone teorico che si allontana da quello che gli autori definiscono il «deterrence default», l’impostazione dominata dai concetti di deterrenza mutuati dal dominio nucleare e convenzionale. Il cyberspazio, argomentano, va inteso come ambiente strategico distinto, caratterizzato da interconnessione costante: il successo dipende da un impegno persistente, l’accumulo di piccoli vantaggi nel tempo, piuttosto che dalla ricerca di uno scontro decisivo.
Sul primo meccanismo, gli autori citano una proposta legislativa statunitense che consentirebbe al Presidente di rilasciare vere e proprie «cyber letters of marque», autorizzando soggetti privati a condurre operazioni contro obiettivi designati, sotto condizioni imposte dal governo: raccolta di intelligence, sequestro di asset digitali, interruzione di infrastrutture malevole. Il concetto richiama storicamente le patenti di corsa concesse alle navi private, e secondo gli autori si allinea ai principi della cyber campaigning: iniziativa, guadagni cumulativi, competizione regolata da intese tacite tra attori.
Il secondo modello, la digital levée en masse, adatta al dominio cibernetico un concetto di origine rivoluzionaria francese poi incorporato nel diritto dei conflitti armati, paragonabile alle organizzazioni stay-behind della Guerra Fredda e, nel caso ucraino, all’IT Army. L’idea è mobilitare le competenze dei Chief Information Security Officer e dei loro team nei settori critici, eventualmente attraverso il quadro normativo NIS2, in cooperazione con i centri nazionali di cybersicurezza e le agenzie di intelligence, con un’integrazione crescente ai comandi cibernetici nazionali in caso di tensione.
Gli autori segnalano tuttavia due rischi principali: una maggiore dipendenza da capacità civili potrebbe accentuare le asimmetrie tra Stati, dato che i governi autoritari potrebbero avere maggiore facilità nel mobilitare o imporre l’allineamento di attori privati rispetto alle democrazie; inoltre, il coinvolgimento di civili in operazioni cibernetiche solleva questioni rilevanti di diritto internazionale, specie quando si tratta di partecipazione diretta ad attività connesse a conflitti armati. Condizioni necessarie, secondo il rapporto, restano mandati legali chiari, controllo politico e ruoli ben definiti.
Il commento di GrNet.it
Che cosa distingue una patente di corsa digitale da un attacco informatico condotto da un’azienda privata per proprio conto? La differenza sta tutta nel mandato statale e nel controllo politico, elementi che l’analisi indica come indispensabili ma che nella pratica italiana restano da costruire, vista la frammentazione delle competenze tra Agenzia per la cybersicurezza nazionale, intelligence e ministero della Difesa. Il modello della digital levée en masse appare peraltro meno estraneo al nostro sistema di quanto sembri, se si pensa al ruolo già svolto dagli operatori di servizi essenziali nel quadro NIS2. Resta aperta la domanda su chi, in Italia, avrebbe l’autorità di attivare simili meccanismi in una crisi acuta, e con quali garanzie di responsabilità verso il diritto internazionale.
Fonte: RUSI · Pubblicato il 2 settembre 2026
