--- title: "Chi vi avvisa se l’attacco è già in corso in un altro Stato membro?" description: "Nel 2025 in tutta l’UE le segnalazioni di incidenti transfrontalieri significativi sono state quattordici: la relazione 19/2026 della Corte dei conti europea." url: https://csidia.com/note-operative/incidenti-transfrontalieri-quattordici-segnalazioni-2025/ lang: it date: 2026-09-25 label: "Normativa" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/incidenti-transfrontalieri-quattordici-segnalazioni-2025/ --- # Chi vi avvisa se l’attacco è già in corso in un altro Stato membro? Chi in Italia ha passato l’ultimo anno a mettere in ordine le notifiche di incidente ha comprato un obbligo, non una protezione. Nel 2025, in tutta l’Unione, le segnalazioni di incidenti transfrontalieri significativi sono state quattordici, inviate da sette Stati membri. L’avviso che vi aspettate quando la stessa campagna, partita altrove, arriva sui vostri sistemi, da quel circuito non parte. Il numero non è una stima: è scritto nella **relazione speciale 19/2026 della Corte dei conti europea**, il cui avviso di pubblicazione è uscito nella Gazzetta ufficiale dell’Unione europea, serie C, del 24 settembre 2026 (C/2026/4990). L’audit copre il periodo dal 2022 al 2025 e comprende visite in tre Stati membri: Irlanda, Grecia e Italia. La conclusione è che «le azioni dell’UE facilitano solo in parte l’individuazione degli incidenti di cibersicurezza significativi e su vasta scala e la risposta agli stessi». ## Quattordici, contro trecentoventidue Ciò che la Corte **accerta** va tenuto separato da ciò che **raccomanda**. Gli accertamenti, prima. Le quattordici segnalazioni del 2025 non sono un anno storto: gli Stati membri ne avevano inviate due nel 2024, nessuna nel 2023, tre nel 2022. Per dare la misura, la Corte annota che nella relazione 2024 sul panorama delle minacce l’ENISA aveva individuato **322 incidenti** che riguardavano specificamente due o più Stati membri. Gli incidenti complessivamente comunicati all’ENISA nel 2024 sono stati **1 276**, contro i circa **4 800** contati dalla stessa agenzia nel periodo giugno 2024 - giugno 2025 con intelligence da fonti aperte, cioè leggendo i giornali. C’è un dato più secco: «Dal 2016 nessun incidente di cibersicurezza è stato classificato “su vasta scala” dagli Stati membri», e di conseguenza «la procedura di escalation di EU-CyCLONe non è quindi mai stata pienamente attivata per un incidente di cibersicurezza su vasta scala». Nel settembre 2025 l’attacco ransomware al software di trattamento dei dati dei passeggeri di Collins Aerospace costrinse i principali aeroporti europei a tornare alle operazioni manuali. Scrive la Corte che «nessuno Stato membro ha trattato tale accaduto come un incidente transfrontaliero significativo o su vasta scala» e che «La rete di CSIRT non ha fornito consulenza a EU-CyCLONe, che non ha quindi sostenuto la gestione coordinata dell’incidente». ## Perché l’informazione si ferma al confine La Corte indica tre cause. La prima è il recepimento. Gli Stati membri avevano tempo fino a ottobre 2024 per recepire la NIS 2 e **solo due hanno rispettato il termine**; nel frattempo i soggetti nel perimetro non erano giuridicamente tenuti a segnalare. Il salto di scala non è marginale: la Commissione stimava 15 500 soggetti sotto la prima direttiva NIS, oltre 110 000 sotto la NIS 2. La seconda è procedurale. Spetta all’autorità di ciascuno Stato membro decidere se un incidente segnalato abbia impatto transfrontaliero e individuare gli altri Stati colpiti; e «Attualmente non esiste una piattaforma a livello dell’UE che riceva segnalazioni di incidenti in tempo reale da tutti gli Stati membri». I dati aggregati arrivano all’ENISA ogni tre mesi, anonimizzati: servono alle statistiche, non a fermare una campagna in corso. La terza è la sovranità. Se uno Stato considera classificate le informazioni su un attacco a un soggetto critico, non è tenuto a condividerle: i rappresentanti della rete di CSIRT e di EU-CyCLONe hanno dichiarato agli auditor che «la condivisione può avvenire solo entro i limiti della normativa nazionale in materia di sicurezza». Un’analisi dei quadri giuridici nazionali e del loro effetto sulla condivisione, a livello dell’UE, non è mai stata fatta. La rete intanto è cresciuta: da 28 CSIRT nazionali nel 2016 a 42 CSIRT e oltre 700 partecipanti. ## Il rimedio esiste, ma non è acceso Il sistema europeo di allerta per la cibersicurezza, istituito dal regolamento sulla cibersolidarietà, dovrebbe fare esattamente ciò che manca: gruppi ristretti di Stati che si scambiano indicatori di compromissione. L’Italia c’è, dentro il polo transfrontaliero **ENSOC** insieme a Spagna, Lussemburgo, Paesi Bassi, Austria, Portogallo e Romania — sovvenzione da 10,4 milioni di euro, fine prevista il 30 giugno 2028. Lo stato dei lavori, secondo la Corte: prima fase di gara avviata a maggio 2024 per ENSOC e a luglio 2024 per ATHENA; candidati idonei notificati solo nell’aprile 2025; al momento dell’audit, diciotto mesi dopo l’avvio, nessun contratto firmato per nessuno dei lotti. Le linee guida di interoperabilità che l’ENISA avrebbe dovuto pubblicare entro febbraio 2026 non c’erano. Conclusione testuale: «i poli transfrontalieri non sono sulla buona strada per conseguire i propri obiettivi» e «il sistema europeo di allerta per la cibersicurezza non è ancora funzionante». ## Le raccomandazioni, e le date Qui si passa a ciò che la Corte raccomanda: impegni delle istituzioni, non obblighi vostri. Alla Commissione, con il supporto dell’ENISA: far analizzare al gruppo di cooperazione NIS le restrizioni di sicurezza nazionale che limitano la condivisione, e garantire che il punto di accesso unico per la segnalazione proposto dal pacchetto omnibus digitale sappia individuare incidenti transfrontalieri — termine di attuazione **2027**; e «lavorare a soluzioni che permettano la segnalazione di incidenti in tempo reale a ENISA» — termine **2028**. Perché accordi di cooperazione e norme di interoperabilità del sistema di allerta siano operanti, la Corte indica ancora **2028**. Nessuna di queste date sposta i vostri termini: la pre-notifica entro 24 ore e la notifica entro 72 restano dove sono, e [chi classifica l’evento alle otto di sera di un venerdì](https://csidia.com/note-operative/legge-90-segnalazione-24-ore-chi-classifica) resta un problema di casa vostra, come [la prova documentale che l’ispezione chiede](https://csidia.com/note-operative/nis2-12-ottobre-2026-un-documento-non-una-data). La differenza è che, per almeno due anni, la correlazione fra quello che sta succedendo a voi e quello che è già successo a un vostro pari in Spagna o in Romania nessuno la farà al posto vostro. ## Quello che non sappiamo Non facciamo consulenza legale: lavoriamo su fonti pubbliche, qui il testo integrale della relazione in italiano e l’avviso in Gazzetta ufficiale dell’Unione europea. Le risposte della Commissione, dell’ECCC e dell’ENISA sono pubblicate come documenti distinti, rinviati dalla pagina della Corte: non siamo riusciti a scaricarle, quindi non sappiamo se le raccomandazioni siano state accettate o contestate. La relazione non attribuisce le singole constatazioni ai tre Stati visitati: l’Italia è fra questi, ma non sappiamo quali osservazioni la riguardino. Infine, la Corte scrive «al momento dell’audit» senza fissare una data puntuale oltre il periodo 2022-2025: le gare dei poli transfrontalieri possono essere avanzate da allora. ## Fonti - [Corte dei conti europea, relazione speciale 19/2026 — testo integrale in italiano (PDF)](https://www.eca.europa.eu/ECAPublications/SR-2026-19/SR-2026-19_IT.pdf) - [Pagina della relazione sul sito della Corte dei conti europea](https://www.eca.europa.eu/it/publications/sr-2026-19) - [Avviso di pubblicazione in Gazzetta ufficiale dell’Unione europea, serie C, C/2026/4990 del 24.9.2026](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=OJ:C_202604990) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/incidenti-transfrontalieri-quattordici-segnalazioni-2025/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com