DDL Difesa: nasce lo spazio cibernetico militare, cosa cambia per le aziende

L’Italia adegua e rafforza la sua capacità di difesa nazionale, anche da un punto di vista cyber: lo scorso 4 agosto 2026, infatti, il Consiglio dei ministri, su proposta del Ministro della difesa Guido Crosetto, ha approvato il disegno di legge recante specifiche disposizioni sul tema.

Il provvedimento interviene in prevalenza sul Codice dell’ordinamento militare (decreto legislativo 15 marzo 2010, n. 66), la cornice giuridica che da sedici anni regola lo strumento militare italiano, aggiornandola al lessico della competizione ibrida e, per la prima volta in modo organico, del dominio cyber.

Per chi si occupa di sicurezza informatica e di compliance normativa, il capitolo più rilevante non è tanto quello sull’architettura di comando quanto quello che ridisegna la governance cibernetica della Difesa, introduce nuove figure professionali dedicate e apre, indirettamente, scenari di interesse per l’intero ecosistema industriale che lavora a contatto con il comparto militare.

Lo spazio cibernetico di interesse nazionale per la Difesa

Il cuore dell’intervento è l’articolo 7 del DDL, che introduce nell’ordinamento la definizione di “spazio cibernetico di interesse nazionale per la difesa e la sicurezza militare dello Stato”.

Non si tratta di un’astrazione giuridica: il perimetro, identificato e aggiornato dal Ministro della difesa, comprende dati, software, hardware, sistemi di controllo industriale (OT), sensori, connessioni fisiche ed elettromagnetiche, dispositivi mobili connessi e punti di interconnessione, anche quando i sistemi sono impiegati fuori dal territorio nazionale.

È una definizione ampia, che ricalca l’approccio ormai standard nelle dottrine cyber-militari occidentali: non più solo reti IT da proteggere, ma un continuum che include OT, IoT e superficie elettromagnetica.

A presidiare questo perimetro viene chiamato il Capo di Stato Maggiore della Difesa, a cui il testo attribuisce la qualifica di autorità cyber del dicastero e la responsabilità unica dei dati del Ministero.

È un accentramento di responsabilità che risponde a una logica di chiarezza operativa: un solo punto di comando per la postura cyber difensiva delle Forze armate, con compiti di organizzazione, preparazione professionale e impiego del personale cyber interforze, oltre alla tutela degli interessi strategici nazionali connessi a questo spazio.

Il Comando interforze Cyber Intel

Sul fronte organizzativo, il DDL istituzionalizza un processo di riordino già avviato internamente alla Difesa: il Reparto informazioni e sicurezza dello Stato maggiore della difesa viene ridenominato Comando interforze Cyber Intel, con adeguamento contestuale anche dell’articolo 8 della legge 124/2007, la norma che disciplina il Sistema di informazione per la sicurezza della Repubblica.

Non cambia il perimetro dell’intelligence nazionale, né le competenze di DIS, AISE e AISI: il DDL rende semplicemente più strutturato il raccordo tra funzione informativa militare e capacità cyber, un nodo che negli ultimi anni si è rivelato sempre più centrale nelle operazioni ibride osservate sui teatri europei.

A supporto nasce inoltre, alle dirette dipendenze del Capo di Stato Maggiore, il Centro interforze di addestramento per il combattimento e per il contrasto alla minaccia ibrida: un tassello che segnala quanto la formazione operativa contro le minacce cyber e ibride stia diventando parte integrante dell’addestramento militare ordinario, non più una specializzazione di nicchia.

Lo specialista cyber militare: una nuova figura professionale

Sul piano del personale, il provvedimento introduce lo specialista cyber militare, con brevetto rilasciato dal Capo di Stato Maggiore della Difesa.

La ferma iniziale è di cinque anni, prorogabile a domanda per periodi biennali fino a un massimo di quattro proroghe, per un totale complessivo di tredici anni di servizio. Al brevetto si accompagnano un premio incentivante di 4.300 euro annui per ciascuna ferma volontaria biennale e un’indennità specifica per operatore cyber, cumulabile con l’indennità di impiego operativo.

Le coperture finanziarie partono da 1,574 milioni di euro nel 2027 per arrivare a 15 milioni annui a regime dal 2036, attraverso il nuovo Fondo per l’incentivazione nel settore della cyber sicurezza.

È un segnale che merita attenzione anche fuori dal perimetro militare: la Difesa entra in modo esplicito nella competizione per attrarre e trattenere competenze cyber specialistiche, in un mercato del lavoro già segnato da una carenza cronica di profili qualificati.

Per le aziende private del settore, dai system integrator alle software house specializzate in sicurezza, significa un concorrente istituzionale in più nella caccia ai talenti ma anche, potenzialmente, un bacino di professionisti formati con competenze avanzate che, a fine ferma, potrebbero riversarsi sul mercato civile.

ACN, DIS e Viminale: la governance nazionale non cambia

Uno dei punti più discussi nelle settimane precedenti l’approvazione riguardava il rischio di sovrapposizioni tra la nuova governance cyber della Difesa e le competenze dell’Agenzia per la Cybersicurezza Nazionale.

Il testo definitivo dell’articolo 7, comma 1, lettera c), chiarisce che le nuove attribuzioni del Capo di Stato Maggiore lasciano ferme le competenze dell’ACN, del Ministero dell’Interno, degli organismi di informazione e dell’Ufficio centrale per la segretezza.

L’ACN mantiene, quindi, integralmente gli ambiti previsti dal decreto legge 82/2021, istitutivo dell’Agenzia: tutela della sicurezza e della resilienza dello spazio cibernetico nazionale, prevenzione e mitigazione degli attacchi, promozione dell’autonomia tecnologica.

Il disegno normativo che emerge è quindi a compartimenti stagni ben definiti: la Difesa presidia il proprio spazio cibernetico – reti, piattaforme, sistemi d’arma, infrastrutture impiegate anche in teatro operativo – mentre ACN, Viminale e DIS mantengono la responsabilità sulla cyber sicurezza nazionale nel suo complesso, comprese le infrastrutture critiche private soggette a NIS2 e perimetro di sicurezza nazionale cibernetica.

Per i consulenti che seguono aziende regolate, è un chiarimento operativamente utile: non cambia l’interlocutore istituzionale di riferimento per gli obblighi di notifica e compliance, che resta l’ACN.

Scenari e impatti per le aziende

Il ddl introduce anche strumenti che, pur non essendo cyber in senso stretto, incidono sull’ecosistema industriale collegato alla sicurezza informatica militare.

Industria della difesa e filiera dual-use

Il nuovo Fondo per gli investimenti nella ricerca scientifica e tecnologica militare, con una dotazione di 10 milioni di euro annui dal 2026, potrà finanziare anche a fondo perduto progetti di sviluppo sperimentale, incluso il partenariato per l’innovazione.

Viene inoltre riconosciuta la validità delle prove di qualificazione, omologazione e certificazione svolte presso centri di test esterni accreditati quando non sia possibile ricorrere a quelli interni: una misura che può accorciare sensibilmente i tempi di certificazione per i prodotti cyber e dual-use destinati all’ammissione in servizio.

Per le aziende italiane che sviluppano soluzioni di sicurezza per sistemi OT, piattaforme unmanned o infrastrutture di comunicazione militare, si tratta di un canale di accesso a risorse pubbliche e di una semplificazione procedurale da monitorare con attenzione, soprattutto in fase di attuazione tramite i decreti ministeriali attuativi.

Un mercato in espansione per consulenza e formazione

L’istituzione dello specialista cyber militare e del relativo impianto di brevetti e incentivi apre, indirettamente, uno spazio di collaborazione tra Forze armate e mondo civile su formazione, certificazione delle competenze e definizione di standard operativi condivisi.

Le aziende attive su formazione cyber, red teaming, threat intelligence e simulazione di scenari ibridi possono trovare in questo passaggio un interlocutore istituzionale nuovo, mentre i consulenti che assistono operatori NIS2 dovranno tenere d’occhio l’evoluzione del perimetro dello “spazio cibernetico di interesse nazionale per la Difesa”: eventuali fornitori privati che operano su piattaforme o infrastrutture rientranti in quel perimetro potrebbero vedersi applicare, in prospettiva, requisiti di sicurezza specifici definiti dai decreti attuativi del Ministero della difesa.

I nodi aperti nell’iter parlamentare

Il DDL approvato dal Consiglio dei ministri rappresenta la prima fase di una riforma della Difesa annunciata più volte da Crosetto, non il suo completamento.

Il testo dovrà ora affrontare l’iter parlamentare, durante il quale i dettagli attuativi (dal perimetro esatto dello spazio cibernetico militare ai decreti ministeriali su specialisti cyber e centri di test accreditati) potranno essere precisati o modificati.

Per le aziende e i consulenti del settore, il consiglio pratico è di iniziare fin da ora a monitorare i lavori parlamentari e i futuri decreti attuativi, mappando le proprie forniture o collaborazioni che potrebbero rientrare, anche indirettamente, nel nuovo perimetro di difesa cibernetica nazionale: comprendere per tempo dove passa il confine tra competenza ACN e competenza Difesa sarà decisivo per orientare investimenti, certificazioni e strategie di offerta nei prossimi anni.