Globalizzazione: come la sicurezza informatica cambia la geografia della supply chain digitale

La catena delle forniture ​​digitali nell’era post-globale.

di Giuseppe Sperti

L’intreccio tra tecnologia e geopolitica sta trasformando radicalmente la catena delle forniture digitali. Dalla rimozione dei componenti Huawei in Germania al ripristino della produzione di chip negli Stati Uniti, i governi stanno riscrivendo le regole della globalizzazione alla luce dei rischi cibernetici. Compromissioni, spionaggio e guerre ibride hanno fatto della fiducia tecnologica una nuova questione geopolitica. Perché in un mondo dove ogni microchip può diventare un’arma, la sicurezza impone filiere affidabili, trasparenti e strategicamente allineate

Entro il 2026, gli operatori di telecomunicazioni tedeschi dovranno rimuovere dalle loro reti i componenti 5G forniti da aziende cinesi, come Huawei e Zte. Questo piano, disposto nel luglio 2024, deriva dalla crescente consapevolezza che la tecnologia non può più essere considerata neutrale.

In tempi di crescente tensione geopolitica, i governi si stanno rendendo conto che i chip non sono solo dispositivi elettronici e progettazione avanzata: possono anche essere strumenti di controllo e spionaggio, talora perfino di guerra. Ogni passaggio della catena di fornitura può essere intercettato e compromesso.

Il caso tedesco simboleggia una profonda trasformazione della supply chain digitale. Le forniture di tecnologia, un tempo considerate solo sotto la prospettiva economica, si stanno riconfigurando in linea con le esigenze strategiche dei governi. E vengono valutate anche sotto un profilo geopolitico.

Per anni la globalizzazione ha prosperato sull’assunto che l’efficienza economica e l’interdipendenza avrebbero garantito stabilità e crescita. Ma, nel nuovo scenario geopolitico, questo modello si sta sgretolando. Sotto il peso di una minaccia, silenziosa ma sempre più centrale: la compromissione della supply chain tecnologica.

Oggi, ciò che mina la fiducia non sono più solo guerre commerciali o sanzioni, ma la possibilità concreta che componenti hardware, firmware e software siano veicoli di sabotaggio, spionaggio e cyberwarfare.

In questo nuovo contesto, il reshoring e la regionalizzazione delle filiere tecnologiche non sono semplici scelte economiche ma misure di sopravvivenza strategica.

 

Pax romana e pax americana

Per comprendere il fenomeno che stiamo vivendo, possiamo fare un’analogia con il passato. Esaminiamo la storia di Roma e il suo sistema di governo globale che va sotto il nome di pax romana.

Il periodo che va dal 27 avanti Cristo al secondo secolo dopo Cristo fu un lungo periodo di stabilità e prosperità, garantito dalla supremazia militare e amministrativa di Roma. I popoli sottomessi, o alleati, pur mantenendo culture e identità diverse, si muovevano, commerciavano e comunicavano all’interno di un sistema relativamente sicuro, regolato da leggi comuni e infrastrutture condivise.

Ai tempi della pax romana, Roma sviluppò una rete logistica e produttiva molto sofisticata. Soprattutto per quanto riguarda la produzione di armi ed equipaggiamenti militari (spade, scudi, elmi, corazze…), l’approvvigionamento di materiali strategici (ferro, legno, cuoio, grano), la costruzione di infrastrutture militari (forti, strade, porti).

Molte fabbriche di armi (fabricae) erano distribuite nelle province, ma spesso sotto controllo militare diretto o in aree presidiate da forze lealiste. In sostanza, Roma tendeva a centralizzare o supervisionare strettamente la produzione bellica non solo per garantire standard di qualità e uniformità per le legioni, ma soprattutto per evitare che popoli non romanizzati, o considerati instabili, potessero armarsi autonomamente.

Roma non si fidava pienamente di popoli federati o di ex nemici per la produzione di armamenti centrali. Quando la fiducia fu mal riposta, Roma la pagò cara, come dimostra il caso di Arminio, capo germanico educato a Roma, che utilizzò la sua conoscenza del sistema militare romano per infliggere una delle peggiori sconfitte all’Impero nella foresta di Teutoburgo.

 

Dalle centrifughe iraniane ai cercapersone di Hamas

Al pari della pax romana, la globalizzazione americana è stata possibile perché gli Stati Uniti, dopo la Seconda guerra mondiale (e ancor più dopo il 1991) hanno fornito una cornice di stabilità politica, economica e militare. L’hanno fatto garantendo la sicurezza delle rotte marittime, stabilendo regole del commercio internazionale (Wto, Fmi, Banca Mondiale) e costruendo un ecosistema tecnologico e finanziario nel quale molte nazioni hanno potuto prosperare.

Risultato: la supply chain digitale oggi si estende su scala globale. I chip sono taiwanesi, i server cinesi, il software americano, i cavi sottomarini posati da aziende europee… Ogni anello è, potenzialmente, un punto d’ingresso per attori ostili.

Nel corso degli ultimi 15 anni, abbiamo assistito alla proliferazione degli attacchi in cui la supply chain è stato il mezzo per raggiungere un obiettivo geopolitico. Quella che segue, è una ristretta lista di episodi che lo dimostrano:

• 2010 Stuxnet: il codice che sabota l’atomo Fu il primo atto dichiarato della nuova era. Il virus Stuxnet, creato presumibilmente da Usa e Israele, entrò di nascosto nei Plc Siemens che regolavano le centrifughe nucleari iraniane. Non colpì via Internet, ma si fece largo attraverso chiavette Usb e software fidato, scardinando un principio che non era mai stato messo in dubbio fino a quel momento ossia che la supply chain, se compromessa, può diventare un’arma da guerra chirurgica.
• 2017 NotPetya: l’anarchia come strategia geopolitica La Russia, secondo i servizi occidentali, lanciò un attacco devastante sfruttando un software ucraino di contabilità. Il malware NotPetya si diffuse globalmente, bloccando ospedali, porti, fabbriche, con danni per miliardi. In quel caso il payload (parte del malware progettata per eseguire l’azione dannosa) non era pensato per fare distruzione selettiva ma per generare il caos.
• 2018 Supermicro/Lenovo (2018 e oltre) Il silenzio della penetrazione: Nel 2018, un’inchiesta di Bloomberg parlò di microchip spia installati in schede madri Supermicro, destinate a infrastrutture USA. Mai confermato ufficialmente, ma il panico bastò a scatenare audit, ban e sanzioni. Lenovo, ZTE e Huawei finirono nella lista nera americana. In quel caso non è servita la pistola fumante, il rischio sistemico è bastato a generare l’allerta.
• 2020 SolarWinds: la fiducia che esplode Gli Usa scoprirono che il software di monitoraggio SolarWinds Orion era stato compromesso da hacker russi (APT29). L’aggiornamento malevolo aveva colpito dipartimenti governativi, enti militari, Big Tech. La supply chain software divenne veicolo di spionaggio massivo, nascosto dentro ciò che tutti credevano affidabile.
• 2024 Israele-Hamas: la precisione invisibile Le esplosioni dei cercapersone di Hamas, avvenute quando venivano accesi o usati, suggerirono una compromissione della supply chain tecnologica: apparecchi apparentemente innocui erano stati alterati prima della consegna. L’ipotesi prevalente è che servizi d’intelligence avessero intercettato o manipolato questi dispositivi durante la produzione o il trasporto, inserendo exploit hardware o software. Questo caso evidenzia come il controllo della filiera tecnologica possa diventare un’arma strategica di guerra ibrida, colpendo infrastrutture critiche senza passare per la rete. Raid o droni non sono più l’unico strumento di guerra quando hai il controllo sulla logistica digitale del nemico.

È evidente l’uso ibrido delle tecnologie che sono spesso classificate come dual use, cioè utilizzabili tanto per scopi civili quanto militari. Chip, software di monitoraggio, router e componenti embedded possono alimentare tanto il funzionamento di un ospedale quanto di un sistema missilistico. Questo duplice uso accentua il rischio sistemico della supply chain digitale, rendendola un fronte ibrido, in cui il confine tra innovazione e minaccia diventa sempre più sfumato. È anche per questo che molti paesi stanno rafforzando il controllo sulle tecnologie sensibili: ogni fornitura potenzialmente neutrale può diventare una piattaforma ostile in un conflitto futuro.

 

Reshoring come risposta alla sfiducia

Il reshoring, ossia la delocalizzazione di ritorno, non è quindi più solo una questione di posti di lavoro o di vantaggi fiscali, ma una strategia difensiva contro il rischio di trojan, sabotaggi remoti o furti di dati sensibili.

Il risultato più tangibile del cambiamento è la progressiva de-globalizzazione della produzione tecnologica ossia chip prodotti in patria (o in Paesi amici), audit di sicurezza multilivello su componenti critiche, tentativi di costruire filiere sovrane per cloud, 5G, Ai e data center.

Questa mutazione della globalizzazione è profonda al punto che, alla logica dell’interdipendenza, si sta sostituendo quella della selettività fiduciosa ossia costruire legami solo con partner ritenuti affidabili, in grado di garantire trasparenza, allineamento strategico e resilienza operativa.

 

Tramonto della globalizzazione

È la fine della globalizzazione naïve e l’inizio di un ordine più selettivo, fondato su filiere chiuse, tracciate e politicamente compatibili. Alcuni giganti high-tech hanno già annunciato grossi investimenti per la produzione di tecnologia critica negli Stati Uniti e alcuni stati hanno firmato accordi bilaterali in tal senso.

Apple ha affermato di voler attuare il suo più grande impegno di spesa di sempre, con l’intenzione di spendere e investire oltre 500 miliardi di dollari negli Stati Uniti nei prossimi quattro anni. Sarà relativo alla produzione avanzata ad alta specializzazione, e supporterà un’ampia gamma di iniziative incentrate sull’intelligenza artificiale, l’ingegneria dei chip (silicon engineering) e lo sviluppo delle competenze per studenti e lavoratori in tutto il Paese.

Nvidia investirà diverse centinaia di miliardi di dollari per produrre semiconduttori e altri componenti elettronici negli Stati Uniti nei prossimi quattro anni. Per produrre chip destinati alle esigenze della sicurezza nazionale, gli Stati Uniti hanno stretto una collaborazione con aziende indiane (Bharat Semi tramite la sua holding 3rdiTech) per creare un impianto di produzione di semiconduttori in India. L’impianto darà priorità alla fornitura di componenti fondamentali per l’elettronica di potenza ad alta tensione, le comunicazioni avanzate e i sensori di nuova generazione, che rappresentano le tre basi fondamentali della guerra moderna.

Il 21 maggio 2022, gli Stati Uniti e la Corea del Sud hanno firmato un Memorandum d’Intesa per avviare il Supply chain and commercial dialogue, con l’obiettivo di rafforzare la competitività internazionale delle industrie di entrambi i Paesi e promuovere la collaborazione tra le loro aziende nei mercati nazionali e globali.

 

Difesa cibernetica

Le strategie come reshoring e friendshoring possono sembrare ipotesi teoriche ma non lo sono. Sono in atto da diversi anni. Ogni Paese (o area geografica, come nel caso dell’Unione Europea) ha già regolamentato e normato il settore high tech imponendo normative, talvolta stringenti, per mitigare i rischi della supply chain digitale.

Qui di seguito abbiamo estratto le direttive più note e rilevanti, ma praticamente ogni Paese ha emanato le proprie.

Paese	Legge/Direttiva	Descrizione
Stati Uniti	CHIPS and Science Act	Finanzia la produzione e R&D di semiconduttori sul suolo Usa
	Executive Orders on Cybersecurity	Rafforzano la sicurezza delle supply chain tecnologiche critiche
Unione Europea	European Chips Act	Stimola la produzione interna di semiconduttori nella Ue
	Digital Sovereignty Strategy	Piano per l’autonomia tecnologica e la sovranità digitale
	Cyber Resilience Act	Obblighi di sicurezza per dispositivi e software connessi
	NIS2 Directive	Norme rafforzate sulla sicurezza delle infrastrutture critiche digitali
Regno Unito	UK Semiconductor Strategy	Piano per R&D e autonomia nei semiconduttori
	National Cyber Strategy	Quadro strategico per la difesa cibernetica del Regno Unito
Corea del Sud	K-Semiconductor Belt Strategy	Hub nazionale per semiconduttori con partnership pubblico-private
India	Make in India	Incentivi alla produzione tecnologica e manifatturiera locale
	Semicon India Programme	Sostegno pubblico al settore dei semiconduttori
	PLI Scheme	Incentivi legati alla produzione per elettronica e chip
Cina	Made in China 2025	Piano di leadership industriale e tecnologica globale
	Dual Circulation Strategy	Stimolo al mercato interno e sostituzione tecnologica

In Italia, l’organo principale deputato al controllo della sicurezza cibernetica, inclusa la sicurezza della supply chain digitale, è l’Acn – Agenzia per la cybersicurezza nazionale. Il suo ruolo principale è garantire la sicurezza e la resilienza dei sistemi informatici pubblici e privati di rilevanza nazionale.

In particolare, l’Acn vigila sulla cybersecurity dei fornitori strategici (cloud, Ict, telecomunicazioni), valuta i rischi di compromissione di componenti hardware e software, anche importati, collabora con altri enti, autorizza o blocca le forniture sospette tramite il regime di notifica e controllo degli approvvigionamenti Ict.

Geopolitica della fiducia

La globalizzazione tecnologica si sta lentamente trasformando in un’arena di confronto strategico, dove la fiducia nei fornitori non è più una semplice questione commerciale ma un vero e proprio tema di sicurezza nazionale. L’integrità della supply chain digitale, un tempo data per scontata, è oggi sottoposta a un esame costante.

Chi produce un microchip? Da dove proviene un modulo software? Chi ha accesso a un aggiornamento di sistema? Ogni anello della filiera è una potenziale vulnerabilità, e quindi, uno snodo strategico da presidiare. Per questo motivo, audit, verifica e trasparenza non sono più strumenti tecnici ma veri e propri soft power tool, con cui i governi cercano di ridurre l’opacità tecnologica e rafforzare la propria sovranità digitale. La fiducia viene misurata, testata, regolata. Non basta che un prodotto funzioni: deve essere verificabile, ispezionabile, conforme a standard condivisi.

In questo contesto, la trasparenza nella filiera è diventata una nuova moneta geopolitica. L’era post-globale non rinuncia alla tecnologia, ma impone una nuova geografia: quella dei blocchi digitali compatibili. Blocchi non ideologici, ma geopolitici, basati su alleanze, valori condivisi e convergenze strategiche. In questo scenario, costruire e mantenere la fiducia tecnologica non è solo una sfida ingegneristica, ma una responsabilità politica.

Chi saprà gestirla non solo proteggerà i propri interessi nazionali, ma definirà anche l’architettura del potere digitale globale. Non si può ignorare, però, che tutto ciò avrà un costo. La scelta tedesca di rimuovere i componenti Huawei e Zte dalle reti 5G di cui abbiamo parlato sopra potrebbe ad esempio ammontare, secondo una stima di Strand Consult, a circa 2,5 miliardi di euro.