Il memorandum sulla sicurezza nazionale firmato da Donald Trump il 12 agosto 2026 e intitolato “Expanding Capabilities to Combat Transnational Cyber-Enabled Crime”, prevede la possibilità che imprese private statunitensi (opportunamente selezionate) possano partecipare a operazioni cyber contro organizzazioni criminali transnazionali operanti all’estero. Certamente, pur non trattandosi di una “licenza di uccidere”, il memorandum apre verso uno scenario totalmente nuovo nell’ambito della lotta al cyber crime.Ad avviso dello scrivente, il memorandum americano non è un modello da importare, piuttosto si tratta di un segnale di allarme sul fatto che il contrasto al cybercrime sta uscendo da una certa ambiguità e che l’Europa non potrà limitarsi alla sola resilienza.Tuttavia, la risposta europea deve essere costruita sul terreno che ci è proprio, ovvero quello della legalità, della riserva di giurisdizione, della centralità della persona, principi che informano la complessa normativa eurounitaria e che traggono fondamento dalle Costituzioni continentali, dai trattati istitutivi e dalla CEDU.Indice degli argomenti
Cosa prevede il memorandum di TrumpHack-back nel mondo: i modelli nel mondoGiapponeGermaniaPaesi BassiFranciaUKHack-back in Italia: i vincoli penali, NIS2, GDPR e AI ActIl rapporto con Nis2, Gdpr e AI ActUna legge italiana sull’hack-back: garanzie e limiti necessariRiserva di legge e giurisdizione per l’hack-backSoglie, azioni tipizzate e reati graviInfrastrutture promiscue e limiti operativiSupporto tecnico dei privati sotto direzione pubblicaPrivacy e liceità dell’operazioneSupervisione in tempo reale e kill switchControllo parlamentare e aggiornamento normativoPerimetro internazionale e cooperazioneCosa prevede il memorandum di TrumpIl programma, in realtà, distingue due tipologie di attività, ossia quelle di sorveglianza informatica (rectius, di infiltrazione), e quelle più tipicamente offensive ovvero mirate alla manipolazione, interruzione, degradazione o distruzione di sistemi, reti, infrastrutture e dati riconducibili ai gruppi criminali.Il memorandum (che ha natura programmatica) esclude le operazioni che possano causare morte o lesioni gravi ovvero che possano risultare equivalenti all’uso della forza o a un attacco armato secondo il diritto internazionale; sono, infine, escluse le operazioni sia contro sistemi informatici sia contro soggetti statunitensi.Inoltre, le cybercompany, superati i rigidi criteri di verifica, dovranno stipulare un contratto con il Dipartimento della Giustizia o con il Dipartimento per la Sicurezza Interna. Secondo il documento della Casa Bianca, non nascerebbe alcun diritto generalizzato all’hack-back, poiché ogni singola operazione richiede un’autorizzazione scritta e specifica dei Dipartimenti responsabili.Hack-back nel mondo: i modelli nel mondoLa ricerca di modelli virtuosi in ambito internazionale dimostra la divergenza con la scelta USA di bypassare il legislatore, circostanza che pone seri dubbi se si considera che le operazioni autorizzate potrebbero ledere i diritti costituzionali della persona e la sua dignità.GiapponeAd esempio, il parlamento giapponese (la c.d. Dieta Nazionale) il 16 maggio 2025 ha approvato la legge sulla difesa cibernetica attiva (Active Cyber Defense Law), che entrerà a pieno regime entro il 2027 attraverso un’attuazione progressiva. La legge autorizza l’Agenzia nazionale di Polizia e le Forze di autodifesa (l’esercito giapponese, ndr) a identificare e neutralizzare infrastrutture ostili collocate all’estero prima che l’attacco si materializzi e consente il monitoraggio di metadati e traffico transfrontaliero che transita per il territorio giapponese; inoltre, impone obblighi di notifica degli incidenti agli operatori di infrastrutture critiche e struttura la collaborazione pubblico-privato.Appare chiaro che il Giappone (anche in considerazione del vincolo dell’art. 9 della propria Costituzione pacifista) non ha proceduto mediante un atto amministrativo, ma con legge che ha specificato poteri, limiti e controlli.Oltretutto, le operazioni restano saldamente in mano pubblica ed il privato è chiamato solo a cooperare (informazione, notifica, condivisione di threat intelligence) e mai a condurre l’operazione: si tratta di un modello opposto a quello americano, pur perseguendo lo stesso obiettivo di assicurare la massima tempestività delle operazioni.GermaniaIn Germania, nel giugno 2026 il governo federale ha presentato un disegno di legge per il rafforzamento della sicurezza informatica -attualmente in discussione al Bundestag- anche se nel dibattito parlamentare si contesta la vaghezza sulle condizioni di attivazione delle misure; il rischio, secondo i parlamentari tedeschi, è che l’investimento sull’offensiva sottragga risorse alla resilienza preventiva e che la predisposizione di capacità di risposta rapida imponga di accedere preventivamente a sistemi terzi, cioè di “hackerare per ipotesi” prima ancora che l’attacco si verifichi.Paesi BassiNei Paesi Bassi l’hack-back esiste, ma è di esclusiva competenza dell’Autorità Giudiziaria, secondo un modello procedurale che, a parere dello scrivente, potrebbe essere adottato dall’Italia.Con la “Wet Computercriminaliteit III”, in vigore dal 1° marzo 2019, sono state introdotte nel Codice di Procedura Penale olandese specifiche norme che attribuiscono agli organi inquirenti il potere di infiltrarsi in un sistema informatico, in uso all’indagato, per finalità determinate e nell’ambito dell’accertamento di determinati reati.Si tratta di una procedura investigativa tipizzata e subordinata all’accertamento di gravi reati che, su richiesta del Pubblico Ministero, è autorizzata dal giudice secondo una rigorosa scansione documentale: ne risulta un modello di contrasto rapido nell’ambito della giurisdizione, ma che non scorre parallelamente ad essa.FranciaLa Francia ha costruito un’architettura fondata su una netta distinzione di competente. All’ANSSI (l’ACN francese) compete la “Lutte informatique défensive”, cioè la protezione delle reti interministeriali, degli operatori di importanza vitale e degli operatori di servizi essenziali.La “Lutte informatique offensive” è, invece, riservata alle forze armate, attraverso il COMCYBER, e ai servizi di intelligence, con una dottrina resa pubblica e una rigida catena di comando militare.Oltretutto, la legge di programmazione militare 2024-2030 ha ampliato in modo significativo i poteri pubblici “attivi ma non offensivi” di seguito elencati: misure di filtraggio dei nomi di dominio imposte a hosting provider e registrar in presenza di minacce alla sicurezza nazionale, accesso a dati tecnici di cache dei server DNS, obbligo per gli editori di software di segnalare incidenti e vulnerabilità critiche, dispositivi di rilevamento presso i fornitori di accesso.Si tratta di una risposta al problema della lentezza che non passa dalla delega ai privati, ma dal potenziamento, determinato per legge e limitato nel tempo, delle capacità dello Stato.UKInfine, nel Regno Unito si sta discutendo di introdurre una scriminante in favore dei professionisti della sicurezza che svolgano ricerca di vulnerabilità in buona fede.Hack-back in Italia: i vincoli penali, NIS2, GDPR e AI ActAllo stato dell’arte, in Italia non sarebbe possibile procedere semplicemente con un atto amministrativo (direttiva, DPCM, regolamento) in quanto si porrebbero seri problemi di compatibilità con il Codice penale -es. accesso abusivo a un sistema informatico, art. 615-ter c.p.; danneggiamento di informazioni, dati e programmi informatici, art. 635-bis c.p.-, in mancanza di una cornice normativa adeguata.Oltretutto, se la condotta fosse tenuta da dipendenti o amministratori nell’interesse o a vantaggio dell’Ente privato anche solo per recuperare dati esfiltrati o evitare il pagamento di un riscatto, si aggiungerebbe la responsabilità amministrativa da reato ai sensi del d.lgs. 231/2001, con sanzioni pecuniarie e interdittive; recentemente, il catalogo dei reati presupposto si è arricchito con l’art. 437-bis c.p. che punisce l’«Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi».Né sarebbe possibile invocare la legittima difesa (art. 52 c.p.) in quanto l’esimente succitata richiede l’attualità del pericolo, la necessità e la proporzione: requisiti difficilmente configurabili in una reazione informatica che interviene, quasi sempre, a esfiltrazione già avvenuta e contro un’infrastruttura la cui titolarità effettiva è incerta e il cui perimetro tecnico non è controllabile da parte di chi agisce.Il rapporto con Nis2, Gdpr e AI ActInoltre, l’impatto con la normativa eurounitaria sarebbe marcato dal fatto che la direttiva NIS2 e le relative normative nazionali di recepimento impongono ai soggetti essenziali e importanti specifici obblighi di sicurezza, gestione del rischio e reporting, non certamente una capacità di risposta di tipo offensivo.Il GDPR, dal canto suo, non si sospende davanti al bersaglio criminale: un’operazione che comporti accesso a sistemi altrui implicherebbe, quasi inevitabilmente, un trattamento di dati personali di terzi privo di base giuridica, di finalità determinate e di qualunque valutazione di proporzionalità.L’AI Act europeo, infine, incide sul piano degli strumenti: i sistemi di targeting o di attribuzione automatizzata impiegati in contesti di law enforcement ricadono tra quelli ad alto rischio, con obblighi di sorveglianza umana, tracciabilità e gestione del rischio che mal si conciliano con operazioni condotte da contractor privati.Certamente, la lotta al cybercrime si scontra con l’inevitabile “lentezza” delle procedure di investigazione e, nonostante la firma del protocollo alla Convenzione di Budapest (lo scrivente ne aveva già parlato in questo articolo), gli Stati preferiscono agire autonomamente; fra l’altro sia gli USA sia l’Italia non hanno ancora ratificato il summenzionato Protocollo, ma sono in ottima compagnia in quanto solo 4 nazioni su 52 lo hanno fatto.Una legge italiana sull’hack-back: garanzie e limiti necessariQuesto tipo di operazioni non può prescindere dalla centralità della legge e del dibattito parlamentare, anche per assicurare alcuni aspetti imprescindibili.Riserva di legge e giurisdizione per l’hack-backQualsiasi operazione cibernetica dovrebbe essere preventivamente autorizzata con un provvedimento motivato dell’Autorità Giudiziaria e, per i profili transnazionali, dovrebbe essere obbligatorio il coinvolgimento della Direzione Nazionale Antimafia e Antiterrorismo. La legge dovrebbe escludere tassativamente il ricorso a semplici atti amministrativi o decisioni dell’esecutivo.Soglie, azioni tipizzate e reati graviNon è sufficiente enunciare un generico “potere di reazione”, ma andrebbero indicate specifiche fattispecie di intervento rigorosamente definite (es. neutralizzazione di infrastrutture di comando e controllo, sinkholing di botnet, disattivazione di server malware). Tali misure, fra l’altro, dovrebbero riguardare solo alcune fattispecie di reato ritenute “gravi” dal legislatore.Infrastrutture promiscue e limiti operativiUn aspetto tecnico non irrilevante dovrebbe riguardare la preclusione di intervenire su sistemi che ospitano, anche in minima parte, servizi o dati estranei al bersaglio: dovrebbe spettare all’Autorità procedente dimostrare la completa segregazione dell’infrastruttura da colpire.Supporto tecnico dei privati sotto direzione pubblicaI fornitori privati (contractor) possono mettere a disposizione strumenti, competenze e capacità analitiche solo sotto la stretta direzione dell’autorità pubblica e non dovrebbero, in alcun caso, assumere la titolarità o la conduzione autonoma dell’operazione: essi opererebbero come meri ausiliari di Polizia Giudiziaria, non come delegati dell’Autorità Giudiziaria o della Difesa.Privacy e liceità dell’operazioneLa protezione dei dati personali non è una semplice cautela accessoria, ma il fondamento di legittimità dell’intera operazione; dovrebbe essere fatto divieto assoluto di raccogliere, conservare o riutilizzare dati personali acquisiti in modo incidentale, con l’obbligo di distruzione di tali dati, documentata e validata dall’Autorità Giudiziaria.Supervisione in tempo reale e kill switchL’esecuzione delle operazioni dovrebbe essere costantemente supervisionata, con la possibilità di interrompere immediatamente l’azione (kill switch) qualora emergessero indicatori di potenziali danni collaterali.Controllo parlamentare e aggiornamento normativoDovrebbe essere previsto l’obbligo di relazioni periodiche al COPASIR e alle Commissioni parlamentari competenti, unitamente alla pubblicazione di dati aggregati sulle operazioni (autorizzate, eseguite e interrotte). La legge dovrebbe anche prevedere un aggiornamento periodico della normativa.Perimetro internazionale e cooperazioneDovrebbero essere escluse azioni contro infrastrutture collocate in Stati membri dell’Unione Europea o in Stati alleati, salvo preesistenti atti di cooperazione. Dovrebbe essere previsto l’obbligo di informare gli organismi europei e le Autorità dello Stato nei cui confronti sarà condotta l’azione, nei limiti e termini di legge, per impedire che il contrasto alla criminalità si trasformi in una prassi contraria al diritto internazionale.
