Il rischio cyber smette di essere operativo

Il rischio cyber ha smesso di essere operativo. È diventato sistemico.

La propagazione del rischio — dai sistemi bancari a energia, telecomunicazioni, servizi pubblici — è ora qualificata come fattore di potenziale shock macro-finanziario dal primo regolatore monetario mondiale. E i due nomi che possono parlare con autorità tecnica e finanziaria del fenomeno, interpellati il giorno prima a Lower Manhattan, non avevano smentito che il panico fosse giustificato.

La distanza tra le due affermazioni misura il cambio di regime. Come accadde con l'informatizzazione degli anni novanta — quando la dipendenza dalle reti interbancarie trasformò un rischio tecnico locale in vulnerabilità sistemica per l'intero settore finanziario — anche la cybersecurity ha attraversato una soglia analoga. Per anni era stata una voce di costo che cresceva costantemente ma restava confinata nel perimetro operativo delle aziende esposte. Adesso il primo regolatore monetario mondiale e i due nomi che possono parlare con autorità del rischio — il più grande banchiere commerciale americano, uno dei tre laboratori frontier di IA — convergono nel descrivere una minaccia che attraversa le infrastrutture condivise. Il costo non resta più dove veniva pagato. Si sposta lungo la catena di interdipendenze.

Il fatto strutturale non è l'esistenza degli attacchi. È l'asimmetria che l'IA introduce tra chi attacca e chi difende. Gli strumenti di automazione abbassano la soglia tecnica per sferrare attacchi sofisticati: un attore che fino a tre anni fa avrebbe richiesto competenze di nicchia per costruire un'intrusione mirata oggi accede a capacità generative che producono codice malevolo, varianti di phishing personalizzate, exploit su misura. La difesa resta ancorata a cicli più lenti: certificazioni, patching, formazione del personale, integrazione tra sistemi. La forbice si allarga, e si allarga in modo non lineare.

Sul piano economico immediato — orizzonte dei dodici mesi — la conseguenza è una ricalibrazione delle voci di bilancio. Le grandi banche americane hanno già portato la spesa cyber sopra il punto percentuale del fatturato; le europee seguono con ritardo di due-tre anni. È plausibile che entro il quarto trimestre 2026 il settore finanziario italiano debba rivedere al rialzo i budget di sicurezza in misura significativa, sotto pressione combinata della BCE e della normativa DORA, già operativa. Per le banche italiane di fascia media — quelle sotto i cinquanta miliardi di attivo — questo significa comprimere altre voci di investimento, in primo luogo lo sviluppo di prodotti digitali al cliente.

Sul piano dei settori avvantaggiati e svantaggiati, il quadro è più articolato di quanto sembri. Cresce il segmento dei fornitori specializzati di cybersecurity, in particolare quelli capaci di integrare risposta automatizzata e analisi comportamentale. Ma cresce in modo concentrato: i tre-quattro grandi vendor americani (Palantir, CrowdStrike, Microsoft Security) catturano la quota dominante delle nuove spese. L'industria italiana del cyber — composta da operatori medi e da spinoff universitari — rischia di restare confinata al mercato interno della pubblica amministrazione, senza scala per competere sul perimetro privato delle imprese sopra una certa soglia dimensionale.

Sul piano del lavoro e delle competenze, è qui che si gioca la partita più difficile per il sistema italiano. Le competenze richieste non sono più solo tecniche: servono profili che combinino conoscenza dei modelli linguistici, comprensione delle architetture di rete, capacità di lettura dei rischi di business. Il sistema formativo italiano produce questo profilo in quantità marginali. È probabile che il gap, già visibile nei concorsi pubblici 2025 dove le selezioni cyber sono andate sistematicamente sotto-coperte — un segnale già visibile nelle PA regionali del Centro-Sud, dove alcune selezioni per responsabili della sicurezza informatica sono rimaste deserte per mancanza di candidati con profilo adeguato, si amplifichi: nei prossimi tre anni il fabbisogno di queste figure potrebbe arrivare a trentamila unità, contro un'offerta annua di alcune migliaia di laureati con competenze adiacenti.

C'è una lettura contraria che merita di essere presa sul serio. Sostiene che il discorso sul "rischio sistemico cyber" sia stato gonfiato dagli stessi attori che ne traggono beneficio: i laboratori frontier di IA, che hanno interesse a presentare i propri modelli come capacità duali (potenti ma pericolose, da regolare in modi che proteggano gli incumbent), e le grandi banche, che usano la narrativa del rischio per giustificare margini di intermediazione difficilmente sostenibili in altri modi. Anthropic, partner di JPMorgan da poche settimane prima del palco di Lower Manhattan, è esattamente nella posizione di chi guadagna dalla percezione del rischio che dichiara di voler contenere.

L'obiezione ha fondamento. Le partnership commerciali tra laboratori IA e finanza creano incentivi all'amplificazione. Ma la convergenza del FMI sulla stessa lettura — l'avvertimento del 7 maggio non viene da un attore con stake commerciale nel mercato della cybersecurity — sposta il peso probatorio. E i dati sugli attacchi del 2025, particolarmente quelli alla sanità italiana e ai sistemi della pubblica amministrazione regionale, non sono narrativa: sono interruzioni di servizio documentate. Il rischio resta reale anche depurato dalla parte di hype che effettivamente lo accompagna.

Quello che osservare nei prossimi sei mesi è preciso. Primo, se la BCE pubblicherà aggiornamenti dello stress test cyber con metodologie che incorporino esplicitamente l'amplificazione IA. Secondo, se il sistema universitario italiano attiverà curricula dedicati con tempi compatibili con il fabbisogno: il bando PNRR per le competenze digitali ha una finestra che si chiude nel 2026. Terzo, se la prossima riunione dei ministri delle Finanze europei produrrà un quadro di coordinamento operativo, oltre le dichiarazioni di principio. La traiettoria attuale porta l'Italia verso una posizione di consumatore netto di sicurezza, in un mercato dominato da fornitori esteri, con competenze interne sotto la soglia critica. Non è ancora un esito fissato. Ma lo diventa se nessuna delle tre condizioni si verifica.