Con il memorandum del 12 agosto, Donald Trump apre alle imprese statunitensi selezionate la possibilità di condurre operazioni cyber contro organizzazioni criminali straniere, ma soltanto per conto, sotto la direzione e il controllo del Governo federale. Non è una liberalizzazione del cosiddetto “hack back”, ma la costruzione di un nuovo modello di esercizio del potere cyber, le cui conseguenze vanno ben oltre il contrasto alla criminalità transnazionale
Il memorandum presidenziale firmato da Donald Trump lo scorso 12 agosto non si limita ad aggiungere un nuovo strumento all’arsenale statunitense contro il cybercrime, ma compie una scelta molto più profonda e significativa, ovvero quella di autorizzare la creazione di un programma attraverso il quale imprese private americane, preventivamente selezionate e sottoposte alla supervisione federale, potranno svolgere nel cyberspazio operazioni di sorveglianza e persino azioni capaci di produrre effetti diretti contro organizzazioni criminali straniere.
A cambiare, dunque, non sarà soltanto l’intensità della risposta degli Stati Uniti, ma il perimetro dei soggetti chiamati a esercitare, per conto dello Stato, capacità cyber di tipo offensivo.
Il presupposto politico su cui si fonda questa scelta è dichiarato senza ambiguità proprio nel memorandum. Le organizzazioni criminali transnazionali – si legge – rappresentano una minaccia crescente per i cittadini, le imprese e la sicurezza nazionale, mentre le capacità tecnologiche sviluppate dall’industria americana costituiscono, secondo la Casa Bianca, un vantaggio offensivo decisivo, finora utilizzato in misura insufficiente per individuare e disarticolare le reti criminali attive nel cyberspazio. Questo nuovo paradigma operativo, che sviluppa in realtà la linea già tracciata dall’Executive Order 14390 del 6 marzo 2026, traduce questa valutazione in una precisa scelta di governo: impiegare tutti gli strumenti del potere nazionale, comprese le capacità del settore privato, nella lotta contro il cybercrime transnazionale.
La portata rivoluzionaria della decisione odierna di Trump emerge anche dalle attività che potranno essere affidate alle imprese americane selezionate.
Le “Cyber Surveillance Operations” comprenderanno l’accesso non autorizzato (o eccedente i limiti dell’accesso consentito) a sistemi, reti e infrastrutture con l’intento di restare occulti e con la finalità principale di raccogliere informazioni o elementi di intelligence utilizzabili anche per operazioni successive. Esse potranno anche includere manipolazioni o interruzioni temporanee, purché non siano dirette a produrre effetti fisici o a compromettere l’utilizzabilità delle infrastrutture. Discorso ben diverso, invece, vale per le “Cyber Effects Operations”, le quali spingeranno l’operatività delle imprese americane ben oltre il “limite” delle precedenti, autorizzando la manipolazione, l’interruzione, l’indisponibilità, il degrado o la distruzione di sistemi, reti, infrastrutture e dati. Non si tratta, quindi, di una collaborazione limitata alla condivisione di informazioni o alla fornitura di tecnologie, attività ampiamente conosciute e impiegate da tempo tanto in America quanto in Europa, ma della partecipazione materiale di aziende private a operazioni cyber capaci di incidere sensibilmente sull’operatività dei sistemi utilizzati dalle organizzazioni criminali.
Sarebbe inesatto, tuttavia, leggere il memorandum come un’autorizzazione generalizzata al cosiddetto “hack back”. Le imprese americane, infatti, non potranno reagire autonomamente a un attacco cyber, scegliere gli obiettivi o condurre operazioni nel proprio interesse. Dovranno, invece, essere ammesse al programma gestito dal National Coordination Center, superare un processo di verifica rigoroso e stipulare un contratto con il Department of Justice o con il Department of Homeland Security. Solo successivamente tali operazioni saranno ammesse e soltanto nell’ambito di legittime attività investigative, difensive o di intelligence federali. Ciò che rileva maggiormente – anche sul piano del diritto – è che ogni operazione autorizzata verrà svolta dalla società privata selezionata esclusivamente per conto del governo, sotto la sua supervisione e sulla base delle sue autorità giuridiche. Il memorandum, in altri termini, non privatizza la decisione sull’impiego delle capacità cyber, ma incorpora capacità private nella struttura operativa dello Stato, lasciando in capo a quest’ultimo l’autorizzazione, la direzione e il controllo.
È questa distinzione a rendere il provvedimento tanto innovativo quanto delicato. Da un lato, la Casa Bianca riconosce che velocità, competenza specialistica e capacità tecnologica delle imprese americane possono offrire strumenti di cui l’apparato pubblico americano non dispone in egual misura. Dall’altro, proprio perché tali risorse saranno impiegate per finalità pubbliche e potranno produrre effetti su sistemi collocati al di fuori degli Stati Uniti, costruisce un sistema di supervisione particolarmente stringente. Il programma, ad esempio, sarà guidato da due direttori – designati dall’Attorney General e dal Secretary of Homeland Security – e nessuna impresa potrà agire prima che entrambi abbiano esaminato il pacchetto operativo e impartito per iscritto approvazione e istruzioni.
Il memorandum dispone che ogni attività rispetti la Costituzione, le leggi applicabili, compreso il 18 U.S.C. § 1030, e gli obblighi internazionali degli Stati Uniti. È proprio sul terreno del diritto internazionale, però, che si aprono gli interrogativi più complessi, perché la liceità dell’azione secondo il diritto statunitense non esaurisce il problema degli effetti prodotti nel territorio di altri Stati. Infatti, i due direttori non potranno approvare operazioni suscettibili di provocare la morte o lesioni gravi, né attività che possano raggiungere la soglia dell’uso della forza o dell’attacco armato, chiamati nel memorandum i “Critical Outcomes”. Anzi, se un’impresa riterrà ragionevolmente che un’operazione già autorizzata possa produrli, dovrà informare immediatamente il National Coordination Center, che avviserà il Department of Justice.
Questo limite, tuttavia, deve essere letto per ciò che effettivamente dispone. Il testo vieta ai due direttori di autorizzare operazioni destinate a produrre “Critical Outcomes”, ma non chiarisce – al momento e pubblicamente – se al di sopra di quella soglia esista un diverso percorso autorizzativo o se tali attività siano escluse in assoluto dal programma. Non è possibile ricavare dal silenzio una risposta certa, tanto più che il flusso operativo e il quadro per valutare gli obiettivi sono in parte affidati a un allegato classificato. Questa naturale opacità rende, quindi, decisiva la qualità delle procedure attuative e dei controlli.
Ciò premesso, tuttavia, il problema giuridico nasce ben prima che venga raggiunta la soglia dell’uso della forza. Un’operazione cyber, infatti, può restarne al di sotto della soglia dell’uso della forza o dell’attacco armato e nondimeno interferire, ad esempio, con sistemi situati in un altro Paese, attraversare infrastrutture di terzi o entrare in conflitto con il diritto dello Stato territorialmente interessato, facendo venire in rilievo, a seconda delle modalità e degli effetti, questioni di sovranità, giurisdizione e non intervento. La natura dell’obiettivo, infatti, non consente di eluderle: colpire un’organizzazione criminale transnazionale non significa operare in uno spazio privo di territorio.
Neppure la qualificazione privatistica dell’esecutore offre una soluzione. Le imprese agiranno per conto degli Stati Uniti, sotto la direzione, la supervisione e il controllo del Governo federale, seguendo autorizzazioni e istruzioni delle autorità pubbliche. Se un’operazione dovesse violare un obbligo internazionale, sarebbe quindi difficile separarla dall’azione dello Stato (si veda nel merito il Progetto di articoli sulla responsabilità degli Stati per illeciti internazionali – ARSIWA). Il controllo pubblico, indispensabile per impedire iniziative autonome delle imprese, produce così un effetto speculare, perché rafforza il collegamento tra la loro condotta e la responsabilità internazionale degli Stati Uniti.
A rendere ancora più delicato il quadro è la definizione delle organizzazioni che potranno essere colpite. Il programma riguarderà gruppi stranieri che commettono reati cyber contro il Governo degli Stati Uniti, persone statunitensi o interessi statunitensi e che non siano parte di un governo estero, né operino interamente sotto la sua direzione. Il memorandum presume, però, che un gruppo sia indipendente da uno Stato, salvo informazioni di intelligence chiare in senso contrario. Nel cyberspazio, dove il confine tra criminalità organizzata, gruppi proxy e apparati statali è spesso opaco, un errore su tale collegamento potrebbe mutare il significato giuridico e strategico dell’operazione, coinvolgendo indirettamente un altro Stato. Il rischio di escalation, dunque, è dietro l’angolo e dipende anche dalla qualità dell’intelligence e dall’affidabilità del processo di attribuzione dell’attività criminale.
Un altro tema di sicuro interesse è il passaggio in cui il memorandum prevede garanzie specifiche a questo genere di operazioni cyber rivolte contro persone statunitensi o suscettibili di incidere su obblighi costituzionali, federali o internazionali. Sarà necessaria, come detto, una verifica del Department of Justice e dovranno essere ottenute le autorizzazioni richieste, comprese quelle giudiziarie. Tuttavia, qualora l’attività ecceda il perimetro approvato, coinvolgendo involontariamente una persona americana, un sistema situato negli Stati Uniti o controllato da un soggetto statunitense, l’azienda autorizzata dovrà interromperla, applicare procedure di minimizzazione e informare immediatamente il National Coordination Center. Essa dovrà, inoltre, segnalare immediatamente l’eventuale scoperta di un attacco imminente contro infrastrutture critiche americane.
Il testo, invece, è meno analitico sulle garanzie per sistemi e soggetti situati all’estero. Il richiamo agli obblighi internazionali è espresso, ma la disciplina della selezione degli obiettivi e del coordinamento operativo sarà definita dalle procedure ancora da adottare e, in parte, dall’allegato classificato. Ciò non consente quindi di affermare che le tutele siano assenti, ma impedisce oggi di valutarne consistenza ed efficacia. Appare ovvio, peraltro, che proprio su questo terreno si misurerà la distanza tra un programma saldamente sottoposto al diritto e una capacità governata soprattutto attraverso regole interne non conoscibili all’esterno.
Un’ultima riflessione, infine, su come la scelta americana proceda, almeno rispetto al ruolo assegnato alle proprie imprese, in una direzione nettamente diversa da quella seguita in Italia e in Unione europea. Nel modello europeo, infatti, il settore privato è chiamato soprattutto a prevenire gli incidenti, resistere agli attacchi cyber, notificare gli eventi e gli incidenti rilevanti e ripristinare sistemi e servizi. Attraverso questo memorandum, invece, gli Stati Uniti si preparano a integrare imprese selezionate direttamente nella propria capacità cyber offensiva, pur mantenendo in capo al Governo il controllo delle operazioni. Non siamo, quindi, soltanto di fronte a due differenti politiche di contrasto al cybercrime, ma ad una diversa concezione del rapporto tra Stato, potere cyber e settore privato.
È questo il vero precedente creato dal memorandum. Washington trasforma la capacità nel settore tecnologico privato in una componente organizzata del potere nazionale, senza attribuire alle imprese un diritto autonomo di reazione, ma riconoscendo che le migliori capacità operative non risiedono necessariamente nell’amministrazione. Le procedure attuative diranno se questa architettura saprà governare i rischi di errore, abuso, conflitto di interesse ed escalation. Il dato politico, però, almeno ad avviso di chi scrive, deve già essere acquisito: soggetti privati potranno diventare esecutori dell’azione cyber offensiva dello Stato.
Le conseguenze non resteranno confinate agli Stati Uniti. Alleati e partner dovranno interrogarsi su come qualificare operazioni condotte da imprese americane, sostanzialmente riconducibili alle autorità federali, soprattutto quando coinvolgeranno – anche incidentalmente – sistemi situati nelle rispettive giurisdizioni. Altri Paesi, inoltre, potrebbero sviluppare modelli analoghi, moltiplicando attori e possibilità di errore in un dominio nel quale l’attribuzione, politica e soprattutto tecnica, è già complessa. La scelta di Washington apre, così, una questione per l’intero sistema internazionale. Se le capacità private possono essere integrate direttamente nell’esercizio del potere cyber statale, quali regole, garanzie e responsabilità saranno davvero in grado di governarne l’impiego?
