Trump trasforma il cyberspazio in un dominio di guerra: cosa cambia per l’Europa e per l’Italia nel 2026

Con sette pagine totali, tre di testo sostanziale, rilasciate il 6 marzo 2026, la Casa Bianca ha sepolto decenni di postura difensiva e scritto una nuova grammatica delle relazioni internazionali nel dominio digitale. Dietro la brevità del documento si nasconde una rivoluzione strategica con implicazioni immediate per chiunque operi in settori critici in Italia e in Europa.

C’è qualcosa di deliberato nell’economia del documento. La Cyber Strategy for America rilasciata il 6 marzo 2026 occupa sette pagine totali, tre di testo sostanziale, contro le circa 34 della strategia Biden del 2023 e le 40 di quella Trump del 2018. La brevità non è distrazione: è una scelta politica. Come ha notato l’analisi del DiploFoundation, il documento è scritto nel registro di una dichiarazione politica, non di una strategia strutturata.

Non nomina agenzie, non assegna responsabilità operative specifiche, non impegna il governo in processi multilaterali. È intenzionalmente flessibile, progettato per preservare la discrezionalità esecutiva. Il messaggio è per tutti: alleati, avversari, settore privato, Congresso. E il messaggio è uno: gli Stati Uniti torneranno ad essere l’attore dominante del cyberspazio, con qualunque mezzo necessario.

La fine della deterrenza passiva: il principio “oltre il cyber”

Il punto più dirompente della strategia non è tecnico. È dottrinale. Il documento afferma esplicitamente che gli USA “non limiteranno le proprie risposte al solo ambito cyber”. La formulazione è precisa e intenzionale: significa che un attacco informatico sufficientemente grave, contro infrastrutture critiche, istituzioni finanziarie, ospedali, potrà generare una risposta che travalica il dominio digitale, attraverso sanzioni economiche, pressione diplomatica o operazioni militari.

Il CSIS ha commentato che questo rappresenta “un punto assolutamente critico”: gli avversari statali sono disposti a colpire acquedotti e ospedali senza le inibizioni morali che Washington si impone. La nuova dottrina riconosce apertamente che una risposta puramente cyber-per-cyber lascerebbe gli USA in posizione di svantaggio strutturale. L’asimmetria si corregge portando la forza americana, economica, diplomatica e militare, nel calcolo della deterrenza digitale.

Il testo del documento cita esplicitamente, tra i successi recenti della capacità cyber americana, le operazioni condotte in Venezuela e il ruolo delle capacità digitali nel conflitto con l’Iran: “lasciando i nostri avversari ciechi e disorientati durante un’operazione militare impeccabile”. È una comunicazione strategica rivolta direttamente agli Stati che potrebbero considerare un attacco informatico a basso rischio. Il tono è deliberatamente intimidatorio.

“We will not confine our responses to the ‘cyber’ realm. President Trump has made targeting Americans a hazardous business.”
Cyber Strategy for America, Casa Bianca, 6 marzo 2026

I sei pilastri: struttura e sostanza

La strategia si organizza in sei assi operativi. La loro lettura combinata, come sintetizzato dall’analisi di Davis Wright Tremaine e di Forrester Research, rivela la logica complessiva del documento: meno regole e più azione, meno multilateralismo e più proiezione di potenza, meno difesa perimetrale e più dissuasione attiva.

• Pillar 1: Condizionare il comportamento degli avversari. Uso dell’intera gamma di capacità offensive e difensive. Le risposte non sono confinate al dominio cyber.
• Pillar 2: Regolazione di buon senso. Stop alle checklist costose. Riduzione degli oneri di compliance. Maggiore agilità per il settore privato.
• Pillar 3: Modernizzare le reti federali. Zero Trust, crittografia post-quantum, migrazione cloud, AI per la difesa delle reti federali a scala.
• Pillar 4: Proteggere le infrastrutture critiche. Energia, finanza, telecomunicazioni, sanità, acqua, data center. Allontanamento da vendor legati ad avversari.
• Pillar 5: Supremazia nelle tecnologie emergenti. AI, quantum computing, blockchain. Contrasto alle piattaforme straniere che incorporano censura e sorveglianza.
• Pillar 6: Costruire il capitale umano. Dalla formazione tecnica tradizionale ai professionisti della AI security. Il workforce come asset strategico nazionale.

Il settore privato armato: partner operativo o bersaglio esposto?

La strategia assegna al settore privato un ruolo senza precedenti. L’espressione utilizzata è “scatenare il settore privato” (unleash), creando incentivi per identificare e smantellare le reti avversarie. Non si tratta di semplice condivisione di intelligence: si tratta di coinvolgimento operativo diretto in attività di disruption contro infrastrutture criminali e statali. Come documentato da Inside Privacy, aziende come Microsoft, Cloudflare, CrowdStrike, Cisco, Meta e Google sono già state coinvolte in operazioni congiunte. La nuova strategia istituzionalizza questo modello e lo scala.

Va però precisato un limite legale cruciale che molti commenti hanno trascurato: come ha sottolineato IBTimes, il documento non autorizza esplicitamente operazioni di hack-back da parte di soggetti privati, che restano illegali ai sensi del Computer Fraud and Abuse Act. Il linguaggio della strategia lascia però poca ambiguità su dove l’amministrazione intende arrivare, e la pressione sull’ecosistema privato per assumere un ruolo più confrontazionale è reale e crescente. Le aziende che partecipano attivamente a operazioni di disruption diventano bersagli legittimi per ritorsioni da parte di attori statali ostili: un rischio che i fornitori tecnologici europei con clienti su entrambi i lati delle linee geopolitiche devono valutare con attenzione.

“Cybersecurity is no longer framed as a defensive back-office function. It is a strategic capability intertwined with geopolitical competition, industrial policy, and national resilience.”
PwC, analisi della Cyber Strategy for America, marzo 2026

Il miliardo del One Big Beautiful Bill: offensiva verso la Cina, non solo l’Iran

La massa critica finanziaria della nuova dottrina offensiva ha una destinazione precisa. Il One Big Beautiful Bill Act, firmato il 4 luglio 2025, stanzia un miliardo di dollari per operazioni cyber offensive. Come documentato da Maynard Nexsen, quei fondi sono destinati specificamente all’US Indo-Pacific Command (INDOPACOM), la struttura militare responsabile del teatro Asia-Pacifico e quindi del confronto con Cina e Corea del Nord. Non si tratta di una risposta contingente all’Iran: è l’infrastruttura di una competizione strategica di lungo periodo contro Pechino. Lo stesso provvedimento ha contestualmente tagliato circa 1,2 miliardi di dollari dai budget della cybersecurity civile difensiva, una contraddizione strutturale che segnala con chiarezza le priorità reali dell’amministrazione.

Il paradosso strutturale: più ambizione, meno capacità esecutiva

La strategia porta con sé una contraddizione che gli analisti hanno rilevato con puntualità. Mentre proclama ambizioni offensive storicamente inedite, l’apparato istituzionale incaricato di eseguirle è stato contestualmente indebolito. La CISA ha perso oltre un terzo del personale, scendendo da circa 3.400 dipendenti a inizio 2025 a 2.400 entro dicembre dello stesso anno, attraverso licenziamenti, buyout volontari e pensionamenti anticipati. Il budget è stato tagliato di quasi 500 milioni di dollari. I programmi di sicurezza elettorale sono stati eliminati. Il National Risk Management Center ha subito tagli del 73%.

La situazione della leadership è ancora più caotica. Sean Plankey, nominato direttore CISA a marzo 2025, ha visto la sua candidatura bloccarsi per mesi al Senato a causa di dispute non legate alla cybersecurity: un contratto della Guardia Costiera in Florida, fondi FEMA per il North Carolina, controversie sul programma di sicurezza delle telecomunicazioni. La nomina è scaduta il 1° gennaio 2026. Trump l’ha ri-nominato il 14 gennaio 2026, ma come documenta Cybersecurity Dive, Plankey è stato fisicamente allontanato da un edificio DHS a marzo 2026, in quello che le fonti descrivono come tutt’altro che una partenza volontaria.

La CISA è ora al suo terzo direttore facente funzione consecutivo dall’inizio dell’amministrazione Trump, senza alcun percorso chiaro verso una leadership confermata dal Senato. Come ha scritto SC Media: “Un direttore ad interim non ha l’autorità di impegnare l’agenzia in iniziative di lungo termine.”

Strategia Biden 2023 vs Strategia Trump 2026: le differenze chiave

Il disimpegno multilaterale: una frattura geopolitica silenziosa

Uno degli aspetti meno discussi ma più rilevanti della nuova dottrina è il suo rapporto con il diritto internazionale e le istituzioni multilaterali. Come ha documentato la Carnegie Endowment, nel gennaio 2026 Washington si è ritirata da decine di organizzazioni e coalizioni adiacenti alla governance digitale: il Global Forum on Cyber Expertise (GFCE), la Freedom Online Coalition e altri meccanismi che per vent’anni avevano rappresentato l’architettura normativa internazionale del cyberspazio. Il documento tratta la diplomazia cyber non come co-costruzione di regole condivise, ma come superficie di proiezione degli interessi americani. Gli alleati sono citati essenzialmente come burden-sharers, soggetti chiamati a condividere costi e responsabilità ma non partner nella definizione delle norme.

Questo cambiamento ha conseguenze concrete per il nuovo meccanismo ONU sulla governance del cyberspazio, che si troverà a operare senza il principale architetto storico del framework internazionale. Il vuoto normativo rischia di essere riempito da modelli alternativi promossi da Cina e Russia, favorevoli a un modello di internet sovrano e a una governance intergovernativa che esclude la società civile e il settore privato.

“The USA, under this administration, is likely to prefer conversations on technical standard-setting where US industry carries structural weight, over normative multilateral discussions.”
DiploFoundation, analisi della Cyber Strategy for America, marzo 2026

Le implicazioni per l’Europa: opportunità e rischi di frammentazione

L’Unione Europea si trova in una posizione scomoda. Da un lato, la postura offensiva americana rafforza la deterrenza collettiva NATO nel cyberspazio, di cui anche l’Italia beneficia direttamente. Dall’altro, la deregolamentazione americana, pillar 2 della strategia, crea una tensione strutturale con il corpus normativo europeo: NIS2, Cyber Resilience Act, DORA, AI Act. Gli USA chiedono agli alleati di allinearsi agli standard americani sulle supply chain ed escludere vendor avversi, ma rigettano al contempo l’approccio europeo alla responsabilità dei fornitori di software. Come ha notato Agora Strategy, è probabile che si verifichino operazioni cyber americane aggressive contro reti criminali in altri Paesi, inclusi potenzialmente Paesi europei che ospitano infrastrutture usate da attori ostili, senza necessariamente coordinarsi con le autorità locali.

Sul piano strategico, l’invito esplicito nella strategia a “contrastare le piattaforme AI straniere che incorporano censura e sorveglianza” è rivolto primariamente verso la Cina, ma la formulazione vaga potrebbe estendersi a qualsiasi tecnologia che non rispetti gli standard americani. Per l’industria europea, questo è un segnale da monitorare: la sovranità digitale europea, da Gaia-X agli standard ENISA, viene costruita in un contesto in cui l’alleato principale definisce la conformità tecnologica in modo unilaterale e senza meccanismi di consultazione preventiva.

Le implicazioni operative per le aziende e i CISO italiani

Per i CISO, i responsabili compliance e i board delle aziende italiane che operano in settori critici o come fornitori della difesa, la strategia americana non è un documento estero. È un catalizzatore di cambiamenti operativi concreti. I requisiti di Zero Trust, quantum-readiness e AI-powered detection citati nel pillar 3 si trasferiranno nei capitolati di appalto federali americani e, per effetto di trascinamento, in tutti i partner dell’ecosistema.

Come ha sintetizzato Forrester, le organizzazioni dovranno “inventariare le proprie tecnologie, identificare quelle che pongono rischi geopolitici, e prepararsi a sostituire vendor legati ad avversari”. Il SBOM (Software Bill of Materials) diventa non più una best practice ma un prerequisito contrattuale. Come ha aggiunto PwC: “Zero-trust models, quantum-readiness roadmaps and AI-enabled detection capabilities may soon be table stakes.”

Sul piano della threat intelligence, Forrester raccomanda di condurre sessioni regolari di rischio geopolitico per rivalutare continuamente quali attori minaccia potrebbero prendere di mira l’organizzazione. Lo conferma anche l’analisi di SOCRadar: dopo i primi attacchi americani all’Iran nel febbraio 2026, oltre 60 gruppi hacktivisti filo-iraniani hanno rivendicato attacchi contro obiettivi americani, israeliani e alleati. Chiunque sia percepito come parte dell’ecosistema americano, fornitori, partner o clienti, rientra nel perimetro dei potenziali bersagli. Non è una minaccia astratta. È la struttura del conflitto ibrido in cui siamo già immersi.

Una variabile ulteriore da monitorare riguarda il quadro legale: la legge CIRCIA del 2015, che regola le protezioni di responsabilità per la condivisione di dati sulle minacce tra aziende private e governo, è soggetta a scadenza e rinnovi precari. Se non verrà stabilizzata, creerà ulteriore incertezza legale proprio nel momento in cui l’amministrazione chiede al settore privato di fare di più.

La linea di fondo: il cyberspazio non è più neutrale

La Cyber Strategy for America 2026 formalizza una trasformazione già in atto: il cyberspazio non è un’infrastruttura condivisa da governare multilateralmente, ma un dominio di competizione geopolitica permanente in cui gli Stati proiettano potere, impongono costi agli avversari e costruiscono sfere di influenza tecnologica. Gli USA hanno fatto la loro scelta con chiarezza.

La contraddizione interna, più ambizione offensiva a fronte di meno capacità istituzionale difensiva, non indebolisce il segnale strategico ma lo rende più pericoloso, perché aumenta l’imprevedibilità delle risposte americane. L’Europa, e l’Italia in particolare, è chiamata a fare la propria scelta: accettare passivamente di diventare braccio esecutivo della dottrina americana, oppure costruire una postura autonoma che garantisca sovranità digitale, capacità difensiva propria e un modello di governance del cyberspazio compatibile con i valori europei. Il tempo per decidere si accorcia ogni giorno.