La qualificazione delle operazioni cibernetiche militari e la relativa disciplina giuridica applicabile – Analisi comparate e prospettive

Davide Giovannelli, Capitano di Fregata (CM), NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE)

Nell’ambito della letteratura scientifica è ben noto il dibattito sulla distinzione tra le operazioni cibernetiche che si caratterizzano come uso della forza, rispetto a quelle al di sotto di tale soglia. Tale dibattito, peraltro, si incardina nella più ampia discussione sull’attuale competizione permanente tra blocchi geopolitici, che sta determinando una sorta di conflittualità a bassa intensità e senza soluzioni di continuità. Tali annosi tematiche, tuttavia, non sono l'unico problema irrisolto nel cyberspazio.

Dal punto di vista del diritto nazionale, infatti, le operazioni cibernetiche possono avere una caratterizzazione legale differente (attività di intelligence, operazioni militari o di polizia) e, pertanto, possono essere svolte da vari soggetti e secondo un diverso quadro normativo. Mentre lo svolgimento di operazioni cibernetiche nell’ambito dell’attività investigativa di natura penale risulta ben definito – sia in termini di soggetti che di procedure – vi è una maggiore indeterminatezza nella qualificazione delle operazioni cibernetiche come attività di intelligence – ovvero militare – e, di conseguenza, nel relativo quadro normativo applicabile. Tale indeterminatezza ha significativi riflessi in termini di procedimento decisionale – di responsabilità esclusiva del Primo Ministro nel caso di attività di intelligence, ovvero collegiale nel caso di operazioni militari – nonché in relazione ai limiti dello scrutinio parlamentare, più circoscritto per le attività di intelligence rispetto alle operazioni militari.

Il presente intervento, pertanto, si propone di analizzare alcuni Paesi – Stati Uniti, Germania, UK, Francia e Italia – al fine fornire una descrizione non solo dei diversi modelli organizzativi, ma anche delle rispettive norme giuridiche che caratterizzano le operazioni cibernetiche militari, sia in termini di autorizzazioni ex ante che di controlli ex post.

La prassi analizzata, ancorché possa ritenersi non totalmente esaustiva, sembra confermare che le operazioni cibernetiche, anche quando eseguite dalle Forze Armate, seguono una procedura che rispecchia le operazioni di intelligence. Sembrano tuttavia sussistere valide ragioni per adottare un disciplina normativa specifica sulle operazioni cibernetiche militari, al fine di rendere queste ultime autonome dall’attività di intelligence.

Ricondurre la risposta alla minaccia cibernetica, in via prevalente o esclusiva, nell’ambito dall’attività di intelligence, infatti, potrebbe essere causa di malintesi ed escalation tra blocchi geopolitici contrapposti, nonché porsi in contrasto con il principio di distinzione tra legittimi combattenti e civili.

Da ultimo – ma non per importanza – la presenza di una specifica disciplina normativa sulle operazioni cibernetiche militari, distinta rispetto alle attività di intelligence, consentirebbe probabilmente una maggiore integrazione in ambito NATO, che potrebbe permettere di superare le attuali limitazioni delle forze cibernetiche militari ad operare sotto la catena di comando di comando e controllo dell’Alleanza.