Avvia una prova

Note operative Osservatorio

Hikvision contro Ottawa: quando la telecamera diventa una questione di Stato

5 min di lettura

Telecamera di videosorveglianza su una facciata di edificio, vista dal basso
Una telecamera connessa è un computer con gli occhi. La domanda è chi può guardare.

Il 27 giugno 2025 il governo canadese ha fatto una cosa rara: ha ordinato a un’azienda straniera di chiudere. Non una multa, non una restrizione sugli appalti — la cessazione totale delle attività di Hikvision Canada, per motivi di sicurezza nazionale. Hikvision è il più grande produttore di telecamere di videosorveglianza al mondo, controllato in quota rilevante da capitale pubblico cinese. L’azienda ha impugnato l’ordine davanti alla Corte federale, e il ricorso è ancora pendente. Ma il caso canadese non è un fulmine a ciel sereno: è l’ultimo capitolo di una vicenda che dura da sette anni, e che riguarda da vicino anche l’Europa — dove quelle stesse telecamere sorvegliano ministeri, tribunali e uffici pubblici. Compresi i nostri.

I fatti, in ordine

  • Ottobre 2019: il Dipartimento del Commercio USA inserisce Hikvision nella Entity List, insieme ad altre 27 entità cinesi, per il coinvolgimento nella sorveglianza della minoranza uigura nello Xinjiang. Già dal 2019, per effetto del National Defense Authorization Act, le agenzie federali americane non possono acquistare i suoi apparati.
  • Aprile 2021: il Parlamento europeo chiede la rimozione delle telecamere termiche Hikvision dalle proprie sedi di Bruxelles.
  • Dicembre 2021: in Italia, un’inchiesta del programma Report (Rai) documenta oltre 1.100 telecamere Hikvision acquistate dal ministero della Giustizia e installate nelle sale intercettazioni di 134 procure, oltre a dispositivi in ministeri e altri palazzi istituzionali.
  • Novembre 2022: la FCC americana vieta ogni nuova autorizzazione per gli apparati Hikvision e Dahua, definiti «un rischio inaccettabile per la sicurezza nazionale». Negli stessi giorni il Regno Unito vieta le telecamere cinesi nei siti governativi sensibili, citando la legge cinese sull’intelligence del 2017, che obbliga le aziende a collaborare con i servizi di Pechino.
  • 27 giugno 2025: il Canada, al termine di una revisione ai sensi dell’Investment Canada Act, ordina a Hikvision Canada di cessare le attività. La ministra dell’Industria Mélanie Joly annuncia anche il divieto di acquisto e uso dei prodotti Hikvision in tutti i dipartimenti federali. I dettagli della valutazione di sicurezza non vengono resi pubblici.
  • 7 luglio 2025: Hikvision deposita il ricorso alla Corte federale. La posizione dell’azienda è netta: la decisione «manca di base fattuale, di equità procedurale e di trasparenza»; Hikvision ha sempre negato di rappresentare un rischio per la sicurezza di qualunque Paese. A settembre la Corte respinge la richiesta di sospensiva: la chiusura procede, il giudizio di merito continua.

Va detto con chiarezza: nessun governo occidentale ha reso pubblica la prova di una backdoor. Le decisioni si fondano su valutazioni di rischio — proprietà, giurisdizione, obblighi legali del produttore — non su un incidente documentato. È esattamente questo il punto interessante per chi compra tecnologia.

Lezione n. 1: la videosorveglianza è infrastruttura critica, anche se non la trattate così

Una telecamera IP moderna non è un occhio passivo: è un computer connesso alla rete, con un firmware che si aggiorna da remoto, spesso con visione artificiale a bordo. Chi controlla quel firmware controlla un sensore dentro il vostro perimetro. I governi che hanno vietato Hikvision non contestano la qualità dei prodotti — eccellente, a prezzi difficili da battere — ma la catena di comando che sta sopra il dispositivo: un produttore soggetto a una legge che può obbligarlo a cooperare con un’intelligence straniera. Il ragionamento vale per ministeri e procure, ma anche per un’azienda manifatturiera che riprende le proprie linee di produzione o per una pubblica amministrazione che sorveglia i propri uffici: la domanda non è «funziona?», è «chi può vederci attraverso?».

Lezione n. 2: il problema vero è la base installata, e quasi nessuno la conosce

Il paradosso europeo è evidente: dispositivi vietati nei siti sensibili di Washington e Londra restano diffusissimi negli edifici pubblici e privati del continente, Italia inclusa. E il punto cieco è quasi sempre lo stesso: l’inventario non esiste. Le telecamere vengono acquistate per lotti, installate da integratori diversi, talvolta rivendute sotto altri marchi in OEM. Molte organizzazioni non sanno quante ne hanno, di chi sono, che firmware montano, con che cosa parlano in rete. Prima di qualunque decisione — sostituire, segmentare, tenere — serve un audit della base installata: è lo stesso principio che applichiamo ai sistemi AI, perché non si governa ciò che non si vede.

Lezione n. 3: i criteri di procurement per i dispositivi connessi vanno scritti prima

Il caso Hikvision insegna che il rischio geopolitico è entrato nei capitolati. Chi compra oggi un dispositivo connesso — telecamera, sensore, controller industriale — dovrebbe valutare, oltre a prezzo e prestazioni: la giurisdizione del produttore e gli obblighi legali a cui è soggetto; la politica di aggiornamento del firmware e la sua durata garantita; la possibilità di far funzionare il dispositivo senza cloud del produttore; le clausole di sostituibilità. La direzione regolatoria europea è già chiara: il Cyber Resilience Act imporrà ai produttori di prodotti connessi obblighi di sicurezza e di gestione delle vulnerabilità, con le prime scadenze dal settembre 2026. Arrivarci con una postura di conformità già impostata costa meno che rincorrere.

Cosa fare

  1. Censite le telecamere e i dispositivi connessi: quanti, dove, di che marca, chi li ha installati, chi li amministra.
  2. Verificate il produttore reale, non il marchio sulla scocca: molti dispositivi sono OEM.
  3. Segmentate la rete: le telecamere non devono vedere i sistemi gestionali, né uscire verso Internet se non serve.
  4. Controllate i firmware: versioni, vulnerabilità note, canale di aggiornamento.
  5. Scrivete i criteri di procurement per i prossimi acquisti: giurisdizione, aggiornamenti, funzionamento offline, uscita.
  6. Decidete in base al contesto: la stessa telecamera ha un profilo di rischio diverso in un magazzino e in una sala riunioni.

Volete una mappa della vostra base installata di dispositivi connessi — e criteri di acquisto che reggano i prossimi cinque anni? Mezz’ora con un nostro esperto per cominciare.

Fonti