Deputare le aziende contro i cybercriminali: l’ipotesi al vaglio a Londra
Il numero di incidenti di cybercrime segnalati nel Regno Unito è cresciuto, secondo un rapporto citato nell’analisi, tre volte più rapidamente rispetto al reclutamento di personale qualificato nelle forze dell’ordine. È il punto di partenza da cui muove Gareth Mott, ricercatore del Royal United Services Institute (RUSI), per interrogarsi sulla tenuta del modello attuale di contrasto al crimine informatico organizzato nel Regno Unito.
L’autore riconosce gli sforzi già intrapresi dal governo britannico: rafforzamento della resilienza attraverso misure volontarie e obbligatorie, assistenza rationed per la risposta agli incidenti (429 casi in un anno), supporto finanziario alle filiere colpite, come nel caso Jaguar Land Rover, e operazioni di disruption in collaborazione con alleati. Tuttavia il governo sta procedendo con una legislazione sul ransomware che introdurrà un regime di segnalazione obbligatoria e vieterà a determinate organizzazioni il pagamento dei riscatti: misure che, nota Mott, gravano sulle vittime più che sugli autori dei reati.
Al centro della riflessione c’è il concetto di ‘deputisation’: un processo attraverso cui un’agenzia governativa autorizzerebbe un’azienda a condurre operazioni mirate e limitate nel tempo per identificare, comprendere o neutralizzare fonti di minaccia informatica, mantenendo un controllo costante (‘hand-on-the-shoulder’) e la possibilità di ordinare in ogni momento la cessazione delle attività. In cambio della piena adesione alle regole operative, l’azienda otterrebbe un’esenzione dal Computer Misuse Act, pur senza garanzie contro eventuali procedimenti penali all’estero.
L’articolo richiama precedenti concreti: nel 2025 Google ha costituito una ‘disruption unit’ che ha ottenuto da un tribunale statunitense l’autorizzazione a smantellare una rete proxy usata da botnet criminali; nel 2020 Microsoft aveva ricevuto da una corte della Virginia il via libera per operazioni di ‘sinkholing’ contro server esteri collegati a Trickbot. Negli Stati Uniti, dove esiste una previsione costituzionale per le lettere di corsa, alcuni senatori hanno più volte proposto disegni di legge su questo tema, mentre la versione approvata dal Senato del National Defense Authorization Act 2027 include disposizioni per contractor impegnati in operazioni cyber offensive di ‘sviluppo e mantenimento dell’accesso’.
Un caso già operativo esiste: Singapore ha introdotto la deputisation nel 2013, poi trasferita nella Sezione 23 del proprio Cybersecurity Act del 2018, che consente a imprese o singoli di condurre operazioni disruptive dietro certificato ministeriale, senza un meccanismo pubblico di rendicontazione né conferma sul suo effettivo utilizzo.
Sul piano giuridico internazionale, Mott osserva che gli articoli II, III e IV della Convenzione di Budapest, pur criminalizzando l’accesso non autorizzato ai sistemi informatici, non definiscono cosa significhi ‘senza diritto’, lasciando spazio a un processo di autorizzazione temporanea. Analogamente, l’articolo V degli Articoli ARSIWA delle Nazioni Unite ammette operazioni di attori non statali se ‘abilitati dalla legge dello Stato’ in un caso specifico. L’autore insiste però sulla necessità di proporzionalità e di un livello di trasparenza, sul modello di Singapore ‘potenziato’, per evitare che il Regno Unito finisca per imitare le pratiche disordinate degli avversari che intende contrastare.
Il commento di GrNet.it
Il precedente più calzante resta quello delle lettere di corsa, lo strumento con cui gli Stati, in assenza di flotte sufficienti, autorizzavano privati ad agire contro nemici comuni sotto stretto controllo sovrano: la deputisation proposta da RUSI ne è di fatto la trasposizione digitale, con l’agenzia governativa che sostituisce l’ammiragliato. La differenza sostanziale è che nel dominio cyber il confine tra difesa e azione offensiva è molto più sfumato, e un’autorizzazione mal calibrata rischia di produrre effetti collaterali difficili da contenere, specie quando i server bersaglio sono ospitati in giurisdizioni terze. Per l’Italia, priva di un quadro normativo assimilabile e con un tessuto di piccole e medie imprese meno strutturato di quello britannico in materia di sicurezza informatica, il dibattito londinese pone una domanda che andrebbe affrontata per tempo: chi, nel sistema nazionale di cyber difesa, avrebbe la capacità tecnica e il mandato giuridico per esercitare quel controllo costante che l’analisi definisce imprescindibile. Resta comunque un nodo aperto anche nel modello britannico, quello della responsabilità penale extraterritoriale, che nessuna esenzione nazionale può risolvere da sola.
Fonte: RUSI · Pubblicato il 13 agosto 2026
