Il Cyber Europe 2026, la più grande esercitazione di cyber sicurezza in Europa, organizzata dall’Agenzia dell’Unione europea per la cybersicurezza (ENISA), ha visto la simulazione di attacchi informatici su larga scala contro operatori dei trasporti ferroviari e marittimi.

Con circa 800 soggetti coinvolti e 21 enti gestori italiani di infrastrutture critiche coordinati dall’Agenzia per la Cybersicurezza Nazionale (ACN) e dal Ministero delle Infrastrutture e dei Trasporti (MIT), l’esercitazione ha testato, in aggiunta alla capacità di risposta dei singoli operatori, il quadro europeo di gestione coordinata delle crisi informatiche di vasta portata, noto come Cyber Blueprint.

Il settore scelto come scenario di questa edizione, quello dei trasporti, è tra i più complessi da proteggere, per via della crescente integrazione tra sistemi informatici e sistemi di controllo fisico.

L’esercitazione lascia però aperta una domanda che nessun framework puramente cyber riesce ancora a rispondere in modo esaustivo, ossia cosa succede quando l’attacco è allo stesso tempo fisico e informatico.

Trasporti e logistica, i settori più colpiti anche in Italia

Il comparto trasporti e logistica si colloca al sesto posto tra i settori più colpiti in Italia, con 238 vittime di eventi cyber registrate nel corso del 2025.

Si tratta di un dato che acquista significato specifico se si considera la natura del settore: un attacco a un operatore ferroviario o portuale non compromette soltanto sistemi informatici, ma sistemi di controllo operativo, con effetti immediati sulla circolazione dei treni, sulla gestione del traffico marittimo, sulla sicurezza delle persone.

La progressiva integrazione tra reti informatiche e sistemi operativi fisici, definita convergenza IT-OT, rende i trasporti uno degli ambiti in cui una compromissione digitale produce le conseguenze fisiche più dirette e più difficili da contenere.

Un sistema di segnalamento ferroviario, un sistema di gestione del traffico portuale, un sistema di controllo degli accessi a un’infrastruttura sono tutti, oggi, sistemi informatici prima ancora che sistemi fisici.

Cos’è il Cyber Blueprint

Il Cyber Blueprint, introdotto dalla Commissione europea nel 2017 e aggiornato con una Raccomandazione del Consiglio adottata il 6 giugno 2025 nella versione che Cyber Europe 2026 ha messo alla prova, risponde a una domanda precisa: cosa succede quando un attacco informatico supera le capacità di risposta di un singolo Stato membro?

Il framework si articola su tre livelli. Il primo è tecnico: la rete europea dei CSIRT coordina la risposta operativa tra le autorità nazionali di cybersicurezza, condividendo informazioni e supportando i singoli Paesi nella gestione degli incidenti.

Il secondo è politico-operativo e coinvolge CyCLONe, la Cyber Crisis Liaison Organisation Network formalizzata sotto NIS2, che riunisce le autorità nazionali di gestione delle crisi degli Stati membri per garantire un coordinamento tempestivo quando l’incidente supera le capacità di gestione bilaterale.

Il terzo livello è strategico e si attiva quando la crisi assume dimensioni tali da minacciare la stabilità economica o politica dell’Unione, portando la gestione al livello del Consiglio europeo.

Questo sistema presuppone che le autorità nazionali sappiano riconoscere in tempo reale quando e come trasferire la gestione da un livello all’altro, e che i canali di comunicazione tra di esse reggano sotto la pressione di uno scenario avanzato. Ed è esattamente questo che Cyber Europe 2026 ha inteso verificare.

La partecipazione italiana offre uno spunto di riflessione sul piano istituzionale.

Con il recepimento della direttiva NIS2 tramite il decreto legislativo 138/2024 7 , il MIT ha assunto il ruolo di Autorità Settoriale Competente per la cybersicurezza del settore trasporti, una funzione nuova per un ministero storicamente orientato alla regolazione tecnica delle infrastrutture fisiche.

La coordinazione delle attività italiane nell’ambito di Cyber Europe 2026 rappresenta un primo banco di prova concreto di questa nuova veste istituzionale, in un settore in cui la gestione di una crisi informatica non può essere separata dalla gestione della crisi operativa che ne consegue.

Si tratta di una convergenza di competenze che richiede strutture organizzative e processi decisionali che si stanno progressivamente consolidando.

Il perimetro della sicurezza marittima

Tra i soggetti italiani partecipanti figura il Comando Generale del Corpo delle Capitanerie di Porto, Guardia Costiera, la cui presenza segnala che il perimetro della sicurezza marittima si estende ormai ai sistemi di comunicazione e controllo portuale, al tracciamento del traffico navale e alle infrastrutture che attraversano le acque di competenza.

Un ambito destinato a intrecciarsi sempre più con la protezione delle infrastrutture subacquee, tra cui cavi sottomarini e gasdotti, il cui danneggiamento produce effetti a cascata su tutti i settori che dipendono dalla connettività e dall’approvvigionamento energetico.

Lo scenario dell’attacco simultaneamente fisico e informatico

Resta però uno scenario che Cyber Europe 2026, per come è stata costruita, non poteva affrontare: quello in cui l’attacco è simultaneamente fisico e informatico.

Un sabotaggio a un cavo sottomarino che interrompe le comunicazioni mentre un attacco informatico paralizza i sistemi di gestione portuale non è uno scenario remoto; è il tipo di campagna ibrida che i servizi di intelligence europei segnalano con frequenza crescente.

In questo scenario, il Cybersecurity Blueprint attiva la catena di risposta cyber. La risposta alla componente fisica richiede però autorità diverse, canali diversi, tempi diversi.

Il quadro normativo europeo non ha ancora colmato questo spazio in modo organico: la direttiva CER prevede meccanismi di cooperazione tra Stati membri attraverso il Critical Entities Resilience Group, ma non dispone di un equivalente del Blueprint per la gestione coordinata delle crisi fisiche su scala europea.

I due sistemi di risposta esistono in parallelo senza un meccanismo formale di integrazione per gli scenari in cui la crisi li coinvolge entrambi.

Coordinamento tra resilienza fisica e cyber sicurezza

Sul piano nazionale, la Strategia Nazionale per la Resilienza dei Soggetti Critici, pubblicata dalla Presidenza del Consiglio dei ministri l’11 giugno scorso, affronta questo nodo prevedendo il coordinamento tra resilienza fisica e cyber sicurezza come uno degli elementi centrali dell’architettura istituzionale.

Il documento istituisce un tavolo di raccordo permanente tra il Punto di Contatto Unico, collocato presso la Presidenza del Consiglio, e l’ACN, e include stress test settoriali e intersettoriali tra le misure attuative previste. Cyber Europe 2026 dimostra che, sul fronte cyber, esercitazioni di questa portata sono già operative e producono conoscenza utile.

Il nodo aperto, a livello sia europeo sia nazionale, rimane quello dell’integrazione tra i due regimi di risposta: testare separatamente la reazione agli eventi fisici e quella agli eventi cyber lascia scoperto lo scenario che i modelli di minaccia attuali indicano come il più probabile, quello in cui i due fronti vengono colpiti insieme.

L’analisi dei risultati di Cyber Europe 2026 offrirà indicazioni concrete sulla tenuta del Blueprint.

Dirà meno su cosa sarebbe successo se, accanto all’attacco simulato, qualcuno avesse anche compromesso un cavo.