di Flavio De Septis
Il caso del registro anagrafico danese mostra la vulnerabilità degli accessi affidati a soggetti esterni e l’importanza di rilevare tempestivamente le anomalie. Per l’Unione europea, la sfida è trasformare norme, reti di cooperazione e solidarietà in una capacità di risposta realmente operativa.
Non sempre una crisi della sicurezza nazionale comincia con un’infrastruttura che si ferma. Può iniziare silenziosamente, mentre i servizi continuano a funzionare e milioni di cittadini ignorano che le informazioni con cui lo Stato li identifica sono diventate accessibili a soggetti non autorizzati. È questa la criticità emersa in Danimarca: secondo le recenti notizie di stampa, la violazione del registro centrale della popolazione, il CPR, ha coinvolto i dati di circa 8,8 milioni di persone. Una cifra che comprende residenti, emigrati e defunti e che, dunque, non coincide con il numero degli attuali abitanti del Paese.
La portata dell’accaduto non si esaurisce nella dimensione quantitativa. Nomi, indirizzi e numeri identificativi personali possono rendere più credibili comunicazioni fraudolente, false richieste provenienti da banche o amministrazioni, tentativi di impersonificazione. La conoscenza di dati autentici consente all’inganno di assumere il linguaggio della familiarità: chi chiama sembra sapere abbastanza da meritare fiducia. Le autorità danesi hanno perciò richiamato i cittadini alla prudenza anche quando il presunto interlocutore conosce nome, indirizzo e numero CPR.
Occorre, tuttavia, conservare una distinzione essenziale. Le informazioni disponibili confermano l’accesso illecito a nomi, indirizzi e numeri CPR; non autorizzano a considerare automaticamente compromesso ogni altro campo contenuto nel registro. Analogamente, l’identità dei responsabili non risulta accertata nelle fonti consultate. Sarebbe quindi improprio trasformare l’incidente, senza ulteriori prove, in un’operazione attribuita a una potenza straniera. La gravità di una violazione non dispensa dal rigore dell’analisi.
Il punto debole: un accesso legittimo diventato strumento di abuso
Le ricostruzioni della stampa specializzata aggiungono un elemento decisivo: gli autori della violazione avrebbero abusato dell’accesso legittimamente riconosciuto a un’impresa privata danese. L’attività irregolare si è verificata nel mese di settembre; l’amministrazione del registro ne è venuta a conoscenza il 2 ottobre, ricostruendo poi l’ampiezza dell’incidente. L’accesso dell’impresa è stato bloccato, mentre sono state avviate le indagini e una revisione della sicurezza del sistema.
Il caso illumina così una vulnerabilità diversa dall’immagine convenzionale dell’hacker che abbatte una barriera esterna: un canale autorizzato può diventare il veicolo di un uso non autorizzato. La questione non riguarda soltanto la robustezza della porta d’ingresso, ma anche ciò che accade dopo che quella porta è stata aperta.
Ne deriva una priorità operativa: gli accessi concessi a soggetti esterni devono essere proporzionati alle loro funzioni, continuamente verificabili e revocabili con rapidità. Nel caso di registri di grande rilevanza pubblica, dovrebbero essere previste soglie di interrogazione, controlli sulle estrazioni massive e procedure per riconoscere comportamenti incompatibili con l’attività ordinaria. Non si tratta di affermare che ciascuna di queste misure fosse assente in Danimarca — circostanza che richiede accertamenti — ma di individuare le domande alle quali una revisione seria deve rispondere.
La seconda lezione riguarda il tempo. Fra il verificarsi di un’attività anomala e il suo riconoscimento si apre lo spazio nel quale una compromissione può estendersi. Nel caso danese, la sequenza settembre–2 ottobre rende centrale la capacità di rilevazione, pur senza consentire di calcolare, sulla base delle informazioni disponibili, l’esatta durata dell’intervallo fra il primo accesso illecito e la scoperta.
Accelerare la risposta significa quindi intervenire su più passaggi: rilevare l’anomalia, verificarne la natura, limitarne gli effetti, condividere le informazioni utili e assistere le persone coinvolte. Una difesa che diventa veloce soltanto dopo la dichiarazione formale della crisi è una difesa che ha già perso una parte del proprio vantaggio.
Una criticità nazionale, una responsabilità europea
Non risultano, nelle fonti consultate, elementi sufficienti per affermare che la violazione danese abbia compromesso sistemi di altri Stati membri. Il suo significato europeo non dipende però dalla necessità di dimostrare un contagio transfrontaliero già avvenuto. Dipende dalla possibilità di trasformare un incidente nazionale in conoscenza condivisa: modalità di abuso, vulnerabilità organizzative, segnali da sorvegliare, misure di contenimento. È precisamente questa logica a sostenere le reti europee di cooperazione e gestione delle crisi informatiche.
L’Unione non parte da zero. ENISA sostiene la cooperazione nella risposta agli incidenti su vasta scala e transfrontalieri; EU-CyCLONe collega le autorità nazionali responsabili della gestione delle crisi cyber. Il valore di questi strumenti sta nella possibilità di costruire una comprensione comune dell’emergenza e coordinare decisioni che, se assunte isolatamente, rischierebbero di arrivare in momenti diversi o di poggiare su informazioni incomplete.
La direttiva NIS2 introduce inoltre, per gli incidenti significativi soggetti alla sua disciplina, una scansione della comunicazione: un’allerta precoce entro 24 ore e una notifica entro 72 ore dalla conoscenza dell’incidente. ENISA ricorda anche la previsione di un primo riscontro da parte dell’autorità competente o del gruppo nazionale di risposta agli incidenti, senza indebito ritardo e, ove possibile, entro 24 ore.
Queste scadenze non devono tuttavia essere confuse con tempi concessi per iniziare a difendersi. Notificare e contenere sono attività differenti: il calendario degli adempimenti non può diventare il ritmo della risposta tecnica. Né quelle soglie, da sole, permettono di stabilire se nel caso danese vi sia stata una violazione degli obblighi applicabili: occorrerebbe conoscere con precisione soggetti, circostanze e disciplina pertinente.
La questione politica è un’altra: l’Europa deve impedire che l’intervallo fra allerta nazionale e cooperazione europea diventi un secondo ritardo, aggiunto a quello eventualmente maturato nella scoperta dell’incidente.
Dalla solidarietà dichiarata alla solidarietà operativa
Un passaggio importante è rappresentato dal Cyber Solidarity Act, entrato in vigore il 4 febbraio 2025. Il regolamento prevede un sistema europeo di allerta basato su poli nazionali e transfrontalieri e un meccanismo di emergenza volto a rafforzare preparazione, assistenza e risposta. Comprende inoltre una riserva europea di servizi di intervento forniti da operatori privati qualificati, attivabili su richiesta dei soggetti ammessi e secondo le condizioni previste.
Il principio è rilevante: le competenze
necessarie per affrontare una crisi non devono essere cercate soltanto quando la crisi è già esplosa. Predisporre capacità, procedure e servizi prima dell’emergenza può ridurre il tempo necessario a mobilitarli. La solidarietà acquista così una consistenza materiale: specialisti disponibili, strumenti utilizzabili, assistenza organizzata.
La letteratura accademica ne evidenzia, però, anche i limiti. Nel saggio The Cyber Solidarity Act: Framework and Perspectives for the New EU-Wide Cybersecurity Solidarity Mechanism Under the EU Legal System, pubblicato nel 2025 sull’European Journal of Risk Regulation, Susanna Villani, dell’Università di Bologna, analizza il rapporto fra capacità sovranazionale e prerogative degli Stati. La riserva e i meccanismi comuni possono rendere l’assistenza più rapida; la loro efficacia resta tuttavia legata alla disponibilità nazionale a cooperare e condividere le informazioni, nel rispetto delle competenze in materia di sicurezza. Lo studio richiama inoltre il rischio di duplicazioni e sovrapposizioni fra strumenti europei.
È il nodo che l’Unione deve sciogliere: coordinare senza moltiplicare i passaggi. La sovranità nazionale non viene rafforzata dal trattenere un’informazione che potrebbe proteggere anche altri Paesi; allo stesso tempo, la cooperazione europea non migliora per il solo fatto di aggiungere un nuovo organismo. La sua utilità deve misurarsi nella chiarezza delle responsabilità e nella riduzione del tempo che separa un segnale di pericolo da una decisione efficace.
La letteratura francese e tedesca: preparazione, esercitazioni, fiducia
La documentazione specialistica in altre lingue converge su un punto: la risposta rapida si prepara prima dell’attacco.
La guida francese dell’ANSSI dedicata all’organizzazione delle esercitazioni di crisi cyber descrive emergenze caratterizzate da complessità tecnica, effetti fulminei, evoluzione continua e possibili tempi lunghi di uscita dalla crisi. Per questo considera l’addestramento una necessità, non una semplice opportunità.
La documentazione tedesca del BSI insiste, a sua volta, sulla cooperazione fra gruppi di risposta e sull’importanza delle esercitazioni operative, tecniche e strategiche, nazionali e internazionali. Nel descrivere la collaborazione fra i CERT governativi europei, individua come obiettivo una cooperazione efficace quando gli incidenti richiedono una reazione congiunta.
Queste indicazioni hanno una conseguenza concreta. Una crisi non dovrebbe essere il momento nel quale un’amministrazione scopre chi può autorizzare la sospensione di un accesso, chi informa i cittadini, chi conserva le evidenze necessarie alle indagini o chi richiede assistenza europea. Una catena decisionale soltanto scritta può apparire perfetta e incepparsi alla prima urgenza; una catena esercitata permette di riconoscere prima gli equivoci e i punti di attrito.
Per l’Europa, ciò suggerisce esercitazioni che coinvolgano non soltanto specialisti informatici, ma anche vertici amministrativi, responsabili dei servizi, autorità di protezione dei dati e strutture di comunicazione. La rapidità non è esclusivamente una proprietà della tecnologia: è una qualità dell’organizzazione.
Un’agenda europea misurabile
Dal caso danese emerge dunque un’agenda di rafforzamento, più che la necessità di ricominciare da capo.
Anzitutto, bisognerebbe rendere più tempestiva la condivisione dei segnali tecnici e delle modalità di abuso, senza trasferire indiscriminatamente dati personali. L’obiettivo dovrebbe essere mettere gli altri Paesi nelle condizioni di cercare anomalie analoghe nei propri sistemi.
In secondo luogo, occorrerebbe predisporre procedure di assistenza nelle quali contatti, responsabilità e condizioni di attivazione siano chiariti prima dell’emergenza. È la direzione indicata dalla capacità preorganizzata del Cyber Solidarity Act, la cui utilità dipenderà anche dalla concreta fluidità dell’impiego.
Terzo, la sicurezza dei soggetti esterni autorizzati ad accedere a registri pubblici dovrebbe entrare stabilmente nella valutazione del rischio dell’amministrazione. La lezione danese invita a non separare la protezione del database dalla governance delle autorizzazioni che ne permettono l’utilizzo.
Infine, sarebbe opportuno misurare la capacità di risposta con indicatori operativi: quanto tempo occorre per riconoscere un’anomalia, limitarla, attivare il coordinamento e informare le persone interessate. Sono proposte di valutazione, non nuovi obblighi qui attribuiti alla normativa vigente. Servirebbero a distinguere la conformità formale dalla preparazione effettiva.
Anche l’apprendimento successivo all’incidente conta. Il Cyber Solidarity Act prevede un meccanismo di revisione degli incidenti volto a ricavare lezioni e raccomandazioni per la resilienza europea. Una crisi non dovrebbe concludersi soltanto con il ripristino del funzionamento, ma anche con una conoscenza che renda meno probabile il ripetersi dello stesso errore.
Il caso danese richiama infine il significato più profondo della difesa digitale. Proteggere un registro anagrafico significa proteggere la relazione di fiducia fra le persone e le istituzioni che ne custodiscono l’identità. Quando quella relazione viene vulnerata, non basta rassicurare: occorre rendere visibile una capacità di prevenire, reagire e assistere.
Per l’Unione europea, la prova non sarà soltanto disporre di regole comuni, ma farle vivere in una risposta comune. La solidarietà digitale diventa credibile quando un Paese colpito non deve affrontare da solo l’emergenza e gli altri non devono aspettare di subirla per imparare. È in questa capacità di agire insieme, con tempestività e responsabilità, che l’Europa può trasformare la propria interdipendenza da fattore di esposizione a forza di protezione.
