Gli attacchi informatici non colpiscono più soltanto computer, reti e archivi digitali, ma possono interrompere pagamenti, compromettere trasporti e servizi pubblici, interferire con sistemi utilizzati nella conservazione degli alimenti e di altri beni essenziali, oppure provocare allarmi e disservizi attraverso minacce diffuse mediante la posta elettronica. Anche quando un attacco non produce danni materiali immediati, può costringere un'organizzazione a sospendere le proprie attività, impiegare risorse considerevoli nella gestione dell'emergenza e compromettere la fiducia dei cittadini nei confronti delle istituzioni e dei servizi di cui si servono quotidianamente.
La dimensione del problema emerge anche dai dati disponibili. Nel rapporto ENISA Threat Landscape 2025, l'Agenzia dell'Unione europea per la cybersicurezza ha analizzato 4.875 incidenti registrati tra il 1° luglio 2024 e il 30 giugno 2025. Nel campione esaminato, la Pubblica amministrazione risulta il settore maggiormente colpito, seguita dai trasporti e dal comparto finanziario. Si tratta di dati che non rappresentano necessariamente la totalità degli attacchi verificatisi in Europa, ma che confermano quanto le infrastrutture e i servizi essenziali siano esposti a minacce sempre più articolate.
Di fronte a questi episodi, tuttavia, è necessario mantenere il massimo rigore nell'analisi delle cause. Non sarebbe corretto attribuire automaticamente un attacco informatico alla dipendenza da software straniero o proprietario senza disporre di elementi concreti che dimostrino tale relazione. Ogni incidente presenta caratteristiche specifiche, richiede una ricostruzione tecnica e non sempre consente di individuare con certezza gli autori o le responsabilità. Sarebbe però altrettanto sbagliato ignorare il contesto tecnologico nel quale questi incidenti si verificano e, soprattutto, le condizioni di dipendenza che possono limitare la capacità di prevenirli, affrontarli e superarli.
Quando sistemi essenziali dipendono da software, piattaforme, infrastrutture cloud, componenti tecnologiche e aggiornamenti controllati da fornitori che l'Europa non è in grado di sostituire facilmente, la capacità di intervento delle istituzioni e delle organizzazioni coinvolte può risultare significativamente ridotta. La dipendenza tecnologica non costituisce necessariamente la causa di un attacco, ma rappresenta una vulnerabilità strategica che può complicare la manutenzione, la gestione dell'emergenza e il ripristino dei servizi.
In una situazione di crisi, un'amministrazione pubblica o un'impresa dovrebbe essere in grado di conoscere le dipendenze dei propri sistemi, individuare chi possiede le competenze e le autorizzazioni necessarie per intervenire, valutare i tempi di ripristino e disporre di alternative concretamente praticabili. Quando queste condizioni non esistono, la continuità di un servizio essenziale può finire per dipendere da decisioni industriali, commerciali o politiche assunte al di fuori del proprio ambito di controllo.
La dipendenza tecnologica non si risolve con gli slogan
L'Europa presenta ancora dipendenze significative in alcuni settori tecnologici fondamentali. I rapporti della Commissione europea sul programma Digital Decade evidenziano criticità strategiche in ambiti quali il cloud computing, i semiconduttori e la cybersicurezza, mentre anche gli investimenti nell'intelligenza artificiale mostrano un divario considerevole rispetto alle principali potenze tecnologiche mondiali.
Secondo il rapporto AI Index 2026, gli investimenti privati nell'intelligenza artificiale relativi al 2025 sono stimati in 285,9 miliardi di dollari negli Stati Uniti e 20,92 miliardi in Europa. Questi valori riguardano gli investimenti privati e non comprendono necessariamente l'intero insieme delle risorse pubbliche destinate alla ricerca e allo sviluppo, ma contribuiscono a descrivere una differenza di scala che non può essere ignorata quando si discute della capacità europea di sviluppare tecnologie autonome e competitive.
La questione riguarda anche il settore della difesa, nel quale numerose capacità operative dipendono, in misura variabile, da tecnologie, software, componenti e aggiornamenti forniti da soggetti esterni. Non sarebbe corretto descrivere l'intero sistema europeo della difesa come completamente controllato dall'estero, perché le condizioni cambiano sensibilmente tra paesi, apparati e sistemi tecnologici. Resta tuttavia un principio fondamentale: acquistare una tecnologia non significa necessariamente acquisire la capacità di controllarla, modificarla, verificarla o sostituirla autonomamente.
La risposta a queste dipendenze non può consistere semplicemente nello slogan «compriamo europeo», perché l'origine geografica di un prodotto non costituisce, di per sé, una garanzia di sicurezza, trasparenza o qualità. Un software proprietario sviluppato in Europa può presentare limitazioni analoghe a quelle di un prodotto realizzato altrove, così come una tecnologia sviluppata fuori dall'Unione europea può offrire caratteristiche di apertura, verificabilità e interoperabilità particolarmente importanti.
Il problema, dunque, non è soltanto dove venga sviluppata una tecnologia, ma chi possa effettivamente controllarla, verificarne il funzionamento, conoscerne le componenti, garantirne la manutenzione e assicurare la possibilità di sostituirla senza compromettere la continuità dei servizi.
In questo contesto, il Software Libero assume un'importanza che va ben oltre la semplice disponibilità gratuita di un programma. La libertà di eseguire, studiare, modificare e ridistribuire il software rappresenta una condizione concreta per costruire autonomia tecnologica, favorire la verifica indipendente, condividere competenze e ridurre le dipendenze da singoli fornitori.
Naturalmente, la disponibilità del codice sorgente non garantisce automaticamente la sicurezza di un sistema. Un programma libero può contenere vulnerabilità, essere mantenuto in maniera insufficiente o essere utilizzato senza le necessarie precauzioni. La differenza fondamentale consiste nella possibilità di intervenire senza dover necessariamente attendere l'autorizzazione o la disponibilità esclusiva del produttore originario, purché esistano competenze, risorse e un'organizzazione capace di esercitare concretamente queste libertà.
Per la Pubblica amministrazione questo significa poter costruire nel tempo capacità tecniche interne, commissionare verifiche indipendenti, condividere soluzioni con altri enti e contribuire direttamente alla manutenzione degli strumenti utilizzati. Ma significa anche assumersi la responsabilità di investire stabilmente nelle persone, nella formazione, nella ricerca e nello sviluppo, evitando di considerare il Software Libero come una soluzione miracolosa che possa funzionare senza alcun impegno organizzativo ed economico.
Le iniziative di autonomia digitale già presenti in diversi paesi europei dimostrano che esistono alternative praticabili, ma la loro frammentazione costituisce ancora un limite importante. Esperienze isolate, migrazioni condotte da singole amministrazioni e progetti privi di un coordinamento duraturo non sono sufficienti a costruire una strategia comune. Senza obiettivi condivisi, standard aperti, interoperabilità e investimenti continuativi, ogni ente rischia di affrontare autonomamente problemi già risolti altrove, continuando nel frattempo a dipendere dalle piattaforme tecnologiche dominanti.
WhatsApp, Signal e le responsabilità della Pubblica amministrazione
La scelta degli strumenti di comunicazione rappresenta un esempio particolarmente significativo di quanto la sovranità digitale riguardi anche decisioni apparentemente ordinarie.
Il confronto tra WhatsApp e Signal permette di comprendere come due applicazioni che utilizzano tecnologie crittografiche riconducibili al Signal Protocol possano presentare differenze importanti in termini di trasparenza, verificabilità, trattamento delle informazioni e modello di gestione del servizio.
WhatsApp utilizza la crittografia end-to-end per proteggere il contenuto delle comunicazioni personali, ma la protezione dei messaggi non equivale automaticamente alla protezione di tutte le informazioni associate al loro utilizzo. Le informative del servizio descrivono infatti il trattamento di ulteriori dati, comprese informazioni relative ai dispositivi, alle connessioni e all'utilizzo della piattaforma.
Signal adotta invece un modello orientato alla minimizzazione dei dati e rende pubblicamente disponibile il codice sorgente delle proprie applicazioni e delle principali componenti del servizio, consentendo verifiche indipendenti che non sono possibili allo stesso modo con un'applicazione interamente proprietaria. Questo non significa che ogni componente sia immune da vulnerabilità o che la pubblicazione del codice equivalga a un controllo automatico e permanente, ma significa mettere a disposizione strumenti concreti per analizzare, verificare e discutere il funzionamento della tecnologia.
La differenza non è quindi limitata alla presenza o all'assenza della crittografia, ma riguarda un insieme più ampio di caratteristiche che comprendono la trasparenza, il trattamento dei dati, la possibilità di controllo indipendente e le condizioni di dipendenza dal gestore della piattaforma.
Quando una Pubblica amministrazione sceglie WhatsApp come canale di comunicazione istituzionale, non è sufficiente giustificare tale decisione sostenendo che l'applicazione è molto diffusa oppure che i messaggi sono cifrati. La diffusione rappresenta certamente un elemento pratico da considerare, ma non può diventare l'unico criterio attraverso il quale un'istituzione pubblica valuta uno strumento destinato ai rapporti con i cittadini.
Occorre distinguere con chiarezza le responsabilità. Non sono i cittadini che utilizzano WhatsApp a dover essere criticati per le proprie scelte tecnologiche. È la Pubblica amministrazione che ha una responsabilità diversa e maggiore, perché le sue decisioni possono contribuire a consolidare dipendenze esistenti oppure favorire la diffusione di alternative più aperte, verificabili e rispettose dell'autonomia degli utenti.
Un cittadino può scegliere un'applicazione per comodità, consuetudine o perché viene utilizzata dalla maggior parte delle persone con cui comunica. Un'istituzione pubblica, invece, dovrebbe adottare criteri più ampi, valutando non soltanto la facilità d'uso, ma anche la protezione dei dati, la trasparenza tecnologica, l'accessibilità, l'interoperabilità, la sostenibilità e le conseguenze delle proprie decisioni nel lungo periodo.
Inoltre, non tutto ciò che risulta formalmente consentito dalla normativa è necessariamente la scelta più corretta dal punto di vista dell'interesse pubblico. La conformità giuridica costituisce una condizione indispensabile, ma non esaurisce la responsabilità politica, amministrativa e culturale delle istituzioni.
Per questo, la scelta di promuovere una piattaforma proprietaria attraverso i canali ufficiali di un'amministrazione non può essere considerata tecnologicamente neutrale. Quando un ente pubblico invita i cittadini a utilizzare un determinato servizio commerciale, contribuisce inevitabilmente ad aumentarne la visibilità, la diffusione e la centralità nelle abitudini quotidiane, rafforzando un ecosistema dal quale può diventare progressivamente più difficile allontanarsi.
Il Collettivo TUXSA ritiene che la Pubblica amministrazione debba assumere una posizione chiara a favore di strumenti liberi, aperti, verificabili e rispettosi dell'autonomia digitale, evitando di trasformare la popolarità delle piattaforme proprietarie in una giustificazione permanente della loro adozione istituzionale.
Signal rappresenta un esempio concreto di alternativa, pur non essendo l'unica soluzione possibile e non risolvendo automaticamente tutte le questioni relative all'interoperabilità e all'autonomia infrastrutturale. Un servizio sviluppato e gestito in Italia o in Europa, fondato su Software Libero, standard aperti e protocolli robusti, potrebbe contribuire ulteriormente a ridurre le dipendenze tecnologiche, soprattutto qualora fosse progettato per permettere a soggetti diversi di comunicare senza essere obbligati ad aderire a un unico gestore.
Il punto fondamentale non consiste quindi nel sostituire un monopolio tecnologico con un altro, magari semplicemente collocato in un diverso territorio geografico, ma nel costruire condizioni che permettano alle persone e alle istituzioni di comunicare liberamente, mantenendo la possibilità di verificare gli strumenti utilizzati e di cambiarli senza perdere la capacità di comunicare.
Scegliere, controllare e poter cambiare
La sovranità digitale non significa autarchia tecnologica, isolamento o rifiuto indiscriminato delle innovazioni sviluppate al di fuori dell'Europa. Significa, piuttosto, disporre delle condizioni tecniche, economiche, giuridiche e culturali necessarie per scegliere consapevolmente, conoscere le dipendenze dei propri sistemi e mantenere la capacità di controllarli, modificarli, sostituirli o garantirne il funzionamento anche quando un determinato fornitore non è più disponibile.
Gli attacchi informatici che interessano banche, trasporti, amministrazioni pubbliche e filiere produttive non dimostrano automaticamente che l'utilizzo di tecnologie estere ne sia la causa. Dimostrano però quanto le società contemporanee siano dipendenti da infrastrutture digitali interconnesse e quanto sia importante evitare che la resilienza dei servizi essenziali venga affidata esclusivamente a soggetti e sistemi sui quali le istituzioni europee non possiedono un controllo sufficiente.
La dipendenza tecnologica può amplificare le conseguenze di una crisi, limitare le possibilità di intervento e rendere più complessa la ricerca di soluzioni alternative. Per questo la cybersicurezza non può essere considerata esclusivamente una questione tecnica, da affidare agli specialisti soltanto quando emerge una vulnerabilità o si verifica un incidente.
La sicurezza digitale è anche una questione di politica industriale, autonomia democratica e libertà collettiva.
Servono investimenti pubblici nella ricerca, nell'intelligenza artificiale e nelle infrastrutture digitali, ma servono soprattutto competenze indipendenti, Software Libero adeguatamente finanziato e mantenuto, standard interoperabili, procedure di verifica trasparenti e una strategia comune per gli acquisti tecnologici e le migrazioni della Pubblica amministrazione.
Occorre inoltre riconoscere che le decisioni quotidiane delle istituzioni contribuiscono a determinare il futuro dell'ecosistema digitale. La scelta di un programma per la gestione documentale, di una piattaforma per la didattica, di un servizio cloud o di un'applicazione di messaggistica può sembrare una questione amministrativa secondaria, ma l'insieme di queste decisioni determina quali tecnologie vengono sostenute, quali competenze si sviluppano e quali dipendenze si consolidano.
La diffusione di una cultura della sovranità digitale richiede quindi un cambiamento che non può limitarsi agli annunci istituzionali o ai grandi programmi di investimento. Deve coinvolgere le amministrazioni centrali e locali, il sistema educativo, le università, le imprese, le organizzazioni civiche e i cittadini, attraverso un percorso di alfabetizzazione tecnologica che permetta di comprendere non soltanto come utilizzare gli strumenti digitali, ma anche quali conseguenze derivino dalla loro adozione.
La vera alternativa non è tra utilizzare la tecnologia oppure rinunciarvi, ma tra accettare passivamente le condizioni imposte da chi la controlla e costruire progressivamente la capacità di partecipare alle decisioni che ne determinano lo sviluppo e l'utilizzo.
La domanda fondamentale, allora, non è soltanto se una tecnologia funzioni oggi, se sia conveniente o se venga utilizzata dalla maggioranza delle persone.
La domanda è se saremo ancora liberi di verificarla, mantenerla, modificarla e sostituirla domani.