Il 9 agosto 2022 è stato pubblicato in Gazzetta Ufficiale il Decreto Legge 9 agosto 2022, n. 115 recante “Misure urgenti in materia di energia, emergenza idrica, politiche sociali e industriali”. Il decreto contiene effettivamente una norma (l’articolo 37) che attribuisce alla presidenza del Consiglio poteri di reazione ad attacchi informatici. Pertanto, rinviando per gli aspetti di sistema a quanto già scritto su questa testata è ora possibile entrare nel merito dell’impianto normativo effettivamente adottato dal Legislatore.

Il nome dell’articolo —Disposizioni in materia di intelligence in ambito cibernetico— detta il perimetro operativo della norma: vertendo in materia di intelligence, le nuove regole dovrebbero occuparsi di potenziamento della raccolta di informazioni da mettere a disposizione delle strutture istituzionali competenti nella gestione di attacchi a infrastrutture critiche. La formulazione del testo, tuttavia, evidenzia diversi aspetti da prendere in considerazione.

Il potenziamento dei Dpcm

In primo luogo, viene compiuto un ulteriore passo verso il cambiamento della natura dei Dpcm già avviato durante la prima fase della pandemia e rilevato dalla giurisdizione amministrativa.

Con l’articolo 37, infatti, la presidenza del Consiglio acquisisce il potere di adottare“misure di intelligence di contrasto in ambito cibernetico, in situazioni di crisi o di emergenza a fronte di minacce che coinvolgono aspetti di sicurezza nazionale e non siano fronteggiabili solo con azioni di resilienza, anche in attuazione di obblighi assunti a livello internazionale”. Siamo dunque di fronte a un ulteriore passo verso l’attribuzione a Palazzo Chigi di un potere analogo all’executive order statunitense.

L’espansione del perimetro operativo delle agenzie di intelligence

L’articolo 37, pur se limitatamente a sistemi informatici e reti di telecomunicazioni, espande il perimetro operativo delle agenzie fino a consentire azioni finalizzate a obiettivi diversi da quelli della raccolta informativa. Siamo dunque di fronte a un mutamento del ruolo dell’intelligence italiana che rappresenta una svolta epocale e la avvicina agli omologhi componenti dei Five Eyes.

Fino all’emanazione del decreto Aiuti, le norme in materia di attività informativa per la tutela della Repubblica non consentivano azioni offensive, ma soltanto la possibilità di commettere alcuni reati nell’ambito della copertura giuridica offerta dalle garanzie funzionali per poter acquisire informazioni di interesse della Repubblica.

Con il decreto “Aiuti”, operatori qualificati (appartenenti cioè all’AISE e all’AISI) sono autorizzati compiere atti che, nella giurisdizione del Paese di destinazione (quello dal quale proviene —almeno apparentemente— l’attacco), potrebbero essere reati ben più gravi di una violazione di domicilio, di un furto di documenti o della gestione di risorse informative. Il tema è tutt’altro che nuovo e tutt’altro che limitato agli ambiti nazionali, come dimostra l’acceso dibattito negli Usa e in Israele sull’ammissibilità giuridica delle targeted assassination in assenza di conflitto dichiarato o sulla non responsabilità per i reati commessi all’estero dai servizi britannici in forza dell’Intelligence Service Act del 1994.

Un ulteriore aspetto critico da considerare è che a differenza dell’attacco, la cui attribuzione ad uno Stato ostile potrebbe non essere immediata, la reazione italiana potrebbe invece essere chiaramente riferita alla Repubblica. Il che potrebbe causare inevitabili e strumentali tensioni diplomatiche di non poca rilevanza.

La giurisdizionalizzazione della sicurezza nazionale

A prima vista stabilire per legge il potere di attaccare piattaforme e reti di telecomunicazioni straniere per proteggere quelle nazionali potrebbe costituire un grave atto di assunzione di responsabilità politica. Tuttavia, avere normato i poteri di intervento dell’esecutivo ha come effetto quello di attivare il controllo da parte del potere giudiziario e dunque di sottrarre all’arbitrio puro le decisioni in materia di sicurezza nazionale. Peraltro, la formulazione abbastanza vaga del testo —scelta di tecnica normativa abbastanza comune in materie del genere— lascia molto spazio all’interpretazione giuridica. Questo significa che la giurisprudenza avrà un ruolo centrale nel delimitare, di fatto, l’ambito operativo dei poteri di reazione dell’esecutivo.

Il ruolo del segreto e l’opzione francese

Il maggiore, inevitabile e giustificato coinvolgimento della magistratura italiana nella gestione delle conseguenze degli attacchi esterni (che sono reato perseguibile d’ufficio) pone il problema della possibilità, da parte delle agenzie di ricorrere al segreto per proteggere l’identità degli operanti e i metodi da costoro utilizzati nelle attività di reazione.

L’articolo 37 non contiene una norma analoga a quella che, nell’ordinamento francese, regola il coinvolgimento dell’intelligence nelle indagini giudiziarie sulla base del secret de la défense nationale. Anche in questo caso, salvo che la legge di conversione non intervenga, sciogliere questo nodo sarà compito delle sentenze.

Conclusioni

I problemi operativi creati dall’articolo 37 sono veramente molto complessi, ma avrebbe poco senso considerare questa norma astrattamente non compatibile con il sistema giuridico italiano.

Il punto è, infatti, chiedersi se alla luce del mutato scenario tecnologico e geopolitico possiamo ancora considerare come sufficienti principi e regole pensate per contesti profondamente diversi dai quelli nei quali oggi il decisore deve operare.

Norme come quelle contenute nell’articolo 37 superano una concezione statica del rapporto fra diritto e politica e ufficializzano il fatto (tanto noto quanto ignorato) che l’interesse nazionale italiano può essere protetto anche violando le prerogative di altri Stati. Esse rappresentano il primo passo di un viaggio lungo e faticoso ma che, in un modo o nell’altro, doveva essere iniziato.