Sicurezza dei cavi sottomarini: la legge 9/2026, la nuova Agenzia e il piano europeo

Cavi dati, elettrodotti e condotte posati sui fondali sono infrastrutture critiche difficili da sorvegliare. L’Italia ha approvato una legge organica sulla dimensione subacquea e sta avviando un’Agenzia dedicata. L’Unione europea finanzia monitoraggio e riparazioni e ha affidato all’Italia il coordinamento dell’hub regionale del Mediterraneo. Il nodo più difficile resta la giurisdizione sui danni che avvengono fuori dalle acque territoriali.

Perché i cavi sottomarini sono un’infrastruttura critica

Il Piano d’azione europeo sulla sicurezza dei cavi parte da due dati. I cavi di comunicazione trasportano il 99% del traffico internet intercontinentale. I cavi elettrici, in particolare gli interconnettori, integrano i mercati degli Stati membri, rafforzano la sicurezza dell’approvvigionamento e portano a terra l’energia rinnovabile prodotta in mare.

Il tema riguarda da vicino l’Italia. Il piano colloca il Mediterraneo tra i mari in cui la presenza dei cavi rende il sabotaggio un rischio per la sicurezza di tutta l’Unione, insieme ad Atlantico, Mare del Nord, Mar Nero e Baltico. Il Mediterraneo è anche il passaggio obbligato verso l’Asia. Secondo il CSIS, oltre il 90% delle comunicazioni tra Europa e Asia attraversa l’Egitto per poi entrare nei cavi del Mar Rosso, un corridoio esposto a instabilità regionale.

Sul rapporto tra rischio fisico e rischio digitale, Safety & Security Magazine ha già trattato la protezione delle infrastrutture critiche e la sicurezza dei sistemi cyber-fisici.

Il Baltico: incidenti, rilevamento e attribuzione

Quella che segue è la valutazione della Commissione e dell’Alto rappresentante nel febbraio 2025, non un accertamento giudiziario. I cavi possono danneggiarsi anche in modo involontario, ma lo schema osservato nei mesi precedenti, soprattutto nel Baltico, indica che sono sempre più bersaglio di atti ostili deliberati. Gli incidenti erano stati rilevati quasi in tempo reale, e questo ha permesso di fermare la nave prima di altri danni. Le difficoltà principali restano dimostrare l’intenzionalità e analizzare gli indicatori di minaccia.

Il caso Estlink 2 misura l’impatto di un solo guasto. Il gestore finlandese Fingrid comunica che l’elettrodotto tra Finlandia ed Estonia è stato danneggiato il giorno di Natale ed è rimasto fuori servizio da allora. Il guasto non ha inciso sul sistema elettrico finlandese, ma ha ridotto temporaneamente di 650 megawatt la capacità di trasmissione tra i due Paesi. La riparazione ha richiesto la sostituzione del cavo per circa un chilometro, e il rientro in esercizio commerciale era previsto per venerdì 20 giugno 2025. Il collegamento è rimasto quindi fuori servizio per circa sei mesi. Il comunicato non attribuisce il danno a una nave specifica.

Il caso Eagle S e il limite della giurisdizione

Il procedimento sulla petroliera Eagle S mostra il limite più serio della tutela attuale. Secondo l’accusa, la nave battente bandiera delle Isole Cook ha danneggiato cavi sottomarini nel Golfo di Finlandia il 25 dicembre 2024. Il tribunale di primo grado non aveva esaminato le accuse di sabotaggio aggravato e di interferenza aggravata nelle telecomunicazioni, né le richieste di risarcimento, ritenendo i giudici finlandesi non competenti. Avevano impugnato la decisione il pubblico ministero, due società proprietarie dei cavi e la società di gestione della nave.

Il 27 agosto 2026 la Corte d’appello di Helsinki ha ribaltato quella decisione. Ha ritenuto che i reati contestati siano stati commessi in Finlandia, dove se ne sono prodotte le conseguenze. In base al principio di territorialità, la responsabilità penale dell’equipaggio può quindi essere valutata secondo il diritto finlandese. I fatti centrali, inoltre, non costituiscono un incidente della navigazione ai sensi della Convenzione ONU sul diritto del mare. Con questa decisione la Corte ha rinviato il caso al tribunale di primo grado. La decisione non è definitiva: può essere impugnata davanti alla Corte suprema, se questa concede l’autorizzazione.

Da qui in poi l’analisi è della redazione. Quando il danno avviene fuori dalle acque territoriali, la competenza dello Stato costiero non è scontata, e il caso Eagle S lo dimostra. Le istituzioni europee ne sono consapevoli. Il piano chiede all’Unione e agli Stati membri di costruire con l’Organizzazione marittima internazionale un’interpretazione comune del diritto del mare. Chiede anche di valutare il quadro giuridico per intercettare o abbordare navi a rischio, nel pieno rispetto della Convenzione.

La risposta europea: dal piano d’azione agli hub regionali

Il piano del 21 febbraio 2025 è costruito su quattro priorità: prevenzione, rilevamento, risposta e riparazione, deterrenza. Il quadro giuridico di partenza è già in vigore. In base alla direttiva NIS2, i fornitori di infrastrutture digitali che gestiscono cavi sottomarini devono proteggere i sistemi informativi e il loro ambiente fisico da qualunque evento, compresi i danni causati dall’uomo. Per le entità del settore digitale individuate come critiche ai sensi della direttiva CER si applicano solo gli obblighi NIS2 su gestione del rischio e notifica degli incidenti, per evitare duplicazioni. Sul versante nazionale, nel giugno 2026 il Governo ha adottato la Strategia nazionale per la resilienza dei soggetti critici, prevista dal decreto legislativo 134/2024.

Il piano individua anche un collo di bottiglia operativo. Le navi di manutenzione e riparazione limitano la capacità di ripristino; anche la disponibilità di attrezzature e personale specializzato è un problema, soprattutto per i cavi elettrici più complessi. Un altro fronte è la dipendenza da fornitori extra UE, compresi alcuni considerati ad alto rischio. Il tema delle filiere di posa dei cavi è approfondito nell’analisi sul confronto tra Stati Uniti e Cina sulla digitalizzazione.

Il piano è diventato operativo in tre tappe.

Febbraio 2026: pacchetto di misure e progetti prioritari. Dopo la valutazione dei rischi pubblicata dal gruppo di esperti nell’ottobre 2025, il 5 febbraio 2026 è stato presentato il rapporto con il pacchetto di misure di mitigazione (Cable Security Toolbox) e l’elenco dei progetti di cavi di interesse europeo. I progetti sono 13 e saranno sviluppati per fasi nei prossimi quindici anni. Nel 2026 sono disponibili 60 milioni per le attrezzature di riparazione e 20 milioni per strumenti di monitoraggio; altri 267 milioni andranno ai progetti prioritari tra 2026 e 2027. Tra le rotte indicate una parte dall’Italia. Secondo quanto riportato dalla stampa cipriota, il rapporto prevede un nuovo cavo dalla Francia e dall’Italia con approdi in Croazia, Cipro, Grecia, Albania, Montenegro ed Egitto fino al Mar Arabico, come alternativa al Mar Rosso e allo Stretto di Bab el-Mandeb.

Marzo 2026: i primi bandi. Il 17 marzo la Commissione ha aperto due bandi CEF per 200 milioni: 180 milioni per le dorsali di rete, con priorità ai 13 progetti di interesse europeo, e 20 milioni per dotare i cavi di capacità di monitoraggio in tempo reale.

Giugno 2026: gli hub regionali. Il 23 giugno la Commissione ha stanziato 5,8 milioni per i primi due hub regionali dei cavi. L’hub del Mediterraneo, finanziato con 3,3 milioni, è coordinato dall’Italia con Grecia, Cipro e Malta. Servirà a scambiare informazioni quasi in tempo reale, rilevare anomalie e coordinare la risposta agli incidenti transfrontalieri. L’hub del Baltico, da 2,5 milioni, è coordinato dalla Finlandia. Nello stesso giorno è partito un bando da 40 milioni per moduli di riparazione installabili sulle navi già in servizio. Le proposte si possono presentare fino all’8 ottobre 2026; il bando segue un primo bando pilota da 20 milioni per il Baltico, e in autunno è prevista una nuova chiamata per altri bacini o per nuovi Stati aderenti.

La legge 26 gennaio 2026, n. 9 disciplina le attività nella dimensione subacquea. È entrata in vigore l’11 febbraio 2026, tranne l’articolo 10 e i commi 1, 2, 4 e 5 dell’articolo 16, che secondo il testo vigente entrano in vigore il 30 dicembre 2027. Il testo è aggiornato all’atto pubblicato il 7 agosto 2026.

Il perimetro. Rientrano le attività svolte almeno in parte a una profondità pari o superiore a 40 metri, compreso il rilascio in mare di operatori o veicoli subacquei. La legge si applica nelle aree sotto giurisdizione nazionale e, in alto mare, solo per le infrastrutture di interesse nazionale. Restano escluse le attività militari, di polizia giudiziaria e di pubblica sicurezza, dei Vigili del fuoco, la pesca, la sicurezza nazionale anche cibernetica, le attività turistico-ricreative e sportive. Le infrastrutture di interesse nazionale sono individuate con decreto del Presidente del Consiglio, sentita anche l’Agenzia per la cybersicurezza nazionale.

L’Agenzia. L’Agenzia per la sicurezza delle attività subacquee ha sede a Roma e personalità giuridica di diritto pubblico. Il direttore generale è nominato con decreto del Presidente del Consiglio, su proposta del Ministro della difesa, sentita l’Autorità politica delegata per le politiche del mare. L’incarico dura al massimo quattro anni ed è rinnovabile per altri quattro al massimo. La dotazione organica è di trentanove unità, oltre al direttore generale. La spesa autorizzata è di 8.671.449 euro per il 2026, 6.531.449 euro per il 2027 e 6.458.508 euro annui dal 2028.

Le norme sulla protezione delle infrastrutture. Cinque disposizioni riguardano direttamente cavi e condotte.

L’articolo 10 introduce un obbligo di comunicazione. Chi intende svolgere attività subacquee nelle acque interne o nel mare territoriale deve comunicarle all’Agenzia con almeno quindici giorni di preavviso, salvo urgenze e soccorso. L’Agenzia adotta misure di mitigazione se l’attività può portare alla manomissione, al danneggiamento o alla distruzione di cavi e condotte. Chi non effettua la comunicazione o viola le misure rischia la reclusione fino a due anni, salvo che il fatto costituisca reato più grave.

L’articolo 12 impone la condivisione delle informazioni. Sono coinvolti l’Agenzia, la Marina militare, la Guardia di finanza, le Capitanerie di porto e l’Agenzia per la cybersicurezza nazionale.

L’articolo 13 opera accanto ai recepimenti nazionali di NIS2 e CER. L’Agenzia può individuare e monitorare, con la Centrale operativa e gli assetti della Marina militare, le attività subacquee che per tipologia, prossimità o quota mettono a rischio piattaforme, cavi e condotte. Può concorrere ai piani di emergenza per ripristinare cavi e condotte interrotti e promuovere il recupero delle eccedenze di banda tra utilizzatori in caso di rottura.

L’articolo 6 riguarda il monitoraggio tecnico. L’Agenzia può prescrivere, per ragioni di interesse pubblico, l’installazione di sensori per il monitoraggio di sicurezza e la rilevazione di minacce, con condivisione dei dati raccolti.

L’articolo 28 attribuisce alla Marina militare la protezione dell’infrastruttura subacquea nazionale anche con l’uso della forza. La Marina può ordinare ed eseguire l’ingaggio, la disabilitazione, la distruzione, il sequestro o il dirottamento in porto di mezzi intenti a danneggiare cavi e condotte. La norma riguarda i cavi che approdano in Italia o sono di interesse nazionale. A queste attività concorre la Guardia di finanza.

L’avvio dell’Agenzia e il decreto-legge 144/2026

L’operatività dell’Agenzia passa dal decreto-legge 7 agosto 2026, n. 144. Nel testo approvato dalle commissioni della Camera, l’articolo 24 autorizza il direttore generale a usare le risorse disponibili, in attesa del regolamento previsto dall’articolo 7 della legge 9/2026. Porta inoltre dal 30 al 40 per cento della dotazione organica il limite dell’articolo 33. Quel limite riguarda il personale di altre amministrazioni di cui l’Agenzia può avvalersi per la prima operatività, a partire dalla nomina del direttore generale.

Il decreto è in fase di conversione. Alla Camera le dichiarazioni di voto sulla fiducia sono fissate per il 28 settembre, seguite dal voto finale. Poi toccherà al Senato, perché la conversione deve intervenire entro il 6 ottobre 2026.

Ricerca e sviluppo tecnologico

Il Polo nazionale della dimensione subacquea promuove la ricerca e la competitività del settore; la legge consente all’Agenzia di collaborare con il Polo per definire linee guida sulle tecnologie subacquee. Il Polo ha già finanziato ricerca mirata. Il bando PNS-2024-R-04, pubblicato nel marzo 2024, riguardava la conoscenza dell’ambiente subacqueo, la protezione delle infrastrutture critiche dei fondali e la sorveglianza e il controllo cyber. Prevedeva un finanziamento massimo di 3,4 milioni di euro, non oltre il 50% del costo, per un progetto in tre fasi da completare in 24 mesi. L’obiettivo era un dimostratore di rete subacquea per monitorare infrastrutture critiche, progettato secondo il principio di sicurezza fin dalla progettazione.

Che cosa cambia per gestori e responsabili della sicurezza

Le considerazioni che seguono sono una lettura redazionale dei testi citati, non prescrizioni contenute nelle norme.

Pianificare le attività in mare. Dal 30 dicembre 2027 l’obbligo di comunicazione con quindici giorni di preavviso diventa operativo, con sanzione penale. Chi gestisce cantieri, posa o manutenzione di cavi deve inserire questo passaggio nei propri calendari.

Allineare i regimi di sicurezza. I gestori di cavi restano soggetti a NIS2 e CER, ma avranno un interlocutore in più. Il piano europeo ricorda che gli incidenti ai cavi di comunicazione vanno notificati al CSIRT o all’autorità competente. L’Agenzia può prescrivere sensori e l’hub del Mediterraneo punta allo scambio di dati quasi in tempo reale. Conviene quindi coordinare fin d’ora sicurezza fisica, continuità operativa e notifica degli incidenti. Un riferimento utile è l’approccio alla protezione degli asset strategici negli scenari di crisi.

Ridurre i tempi di ripristino. Il caso Estlink 2 mostra che un guasto può fermare un collegamento per circa sei mesi. Percorsi ridondanti, accordi preventivi con chi ripara e prove periodiche di reindirizzamento del traffico diventano gestione ordinaria. I moduli di riparazione finanziati dall’UE possono accorciare i tempi, ma solo se inseriti nei piani di emergenza.

Conclusione

La dimensione subacquea è entrata a pieno titolo nella sicurezza nazionale. L’Europa ha fissato priorità e risorse e ha dato all’Italia un ruolo di coordinamento nel Mediterraneo. L’Italia ha una cornice giuridica, un’Agenzia dedicata e poteri d’intervento per la Marina. La prova decisiva sarà l’attuazione: conversione del decreto di agosto, regolamenti, nomina dei vertici e funzionamento dell’hub regionale.