Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Tutto corretto. Tutto documentato
Ma fermarsi lì sarebbe un errore.
Perché questa storia non è davvero una storia di copyright, né una semplice guerra di nervi tra un’azienda americana e un’autorità italiana. È qualcosa di più profondo, e molto più scomodo: è un problema di governance tecnica travestito da regolazione dei contenuti.
Il nodo centrale non è “chi ha ragione”, ma che tipo di potere stiamo delegando alle infrastrutture digitali e con quali garanzie.
Il meccanismo del Piracy Shield, al netto delle buone intenzioni dichiarate, introduce un principio che nel mondo della cybersecurity dovrebbe far scattare più di un campanello d’allarme: la possibilità di intervenire su componenti infrastrutturali critiche in modo rapido, automatico e senza controllo giudiziario preventivo.
Non parliamo di un post su un social network. Parliamo di DNS, CDN, sistemi di routing del traffico. Parliamo di Internet sotto il cofano.
Quando Prince denuncia l’obbligo di agire entro trenta minuti, senza ordine di un giudice e senza contraddittorio, non sta facendo una battaglia ideologica sulla libertà di espressione. Sta dicendo una cosa molto più concreta: state chiedendo a un operatore infrastrutturale di assumersi un rischio sistemico. Un rischio tecnico, legale e reputazionale che nessun grande provider globale può normalizzare.
Negli ultimi anni l’Unione Europea ha costruito una narrativa molto forte su sovranità digitale, sicurezza delle reti, resilienza delle infrastrutture critiche. NIS2, DORA, Cyber Resilience Act: tutte norme che chiedono controllo, processo, accountability, gestione del rischio.
Poi però, quando si entra nel terreno politicamente sensibile dei contenuti, quelle stesse regole sembrano improvvisamente opzionali.
Il risultato è una contraddizione evidente: da un lato chiediamo agli operatori di essere affidabili, resilienti, prevedibili; dall’altro pretendiamo interventi drastici, immediati e potenzialmente globali, basati su segnalazioni amministrative.
Dal punto di vista della cybersecurity, questo non è enforcement: è stress test non dichiarato sull’infrastruttura di Internet.
La reazione di Cloudflare va letta anche così. Non come una minaccia, ma come una linea rossa: se accettiamo che ogni Stato possa imporre blocchi infrastrutturali con effetti extraterritoriali, senza una cornice giuridica solida, Internet smette di essere una rete globale e diventa una collezione di giurisdizioni conflittuali.
E quando questo accade, la sicurezza peggiora. Sempre.
C’è poi un ulteriore elemento che nel dibattito pubblico viene spesso ignorato: la dipendenza strutturale europea da provider extra-UE.
Questo caso lo dimostra in modo brutale. Possiamo discutere di policy, ma se una singola azienda è in grado di mettere sul tavolo il ritiro di servizi critici e l’effetto è potenzialmente sistemico, allora il problema non è solo Cloudflare. È la mancanza di alternative mature.
Eppure la risposta non può essere forzare la mano agli operatori infrastrutturali. Perché così non si costruisce sovranità, si costruisce solo attrito.
La sovranità digitale non nasce da ordini urgenti e sanzioni amministrative, ma da processi chiari, competenze tecniche e investimenti coerenti.
La vicenda Cloudflare–Piracy Shield dovrebbe quindi essere letta come un campanello d’allarme. Non sulla libertà di parola in senso astratto, ma sulla fragilità del confine tra regolazione dei contenuti e sicurezza delle infrastrutture.
Un confine che, se attraversato senza cautela, rischia di trasformare strumenti pensati per proteggere in strumenti che destabilizzano.
La domanda finale non è se Cloudflare vincerà il ricorso o se l’Italia rivedrà il modello.
La vera domanda è un’altra: vogliamo davvero una governance digitale che tratta l’infrastruttura come un interruttore, o siamo pronti ad affrontare la complessità di Internet per quello che è?
Perché la cybersecurity non è mai solo tecnologia.
È sempre una scelta di metodo e spesso, una scelta di maturità.
