Il Bundestag ha approvato venerdì la più ampia riforma dei servizi segreti tedeschi del dopoguerra: BND e BfV ottengono per la prima volta un mandato legale all’azione offensiva, non più alla sola raccolta di informazioni. Il testo — disegno di legge del governo Merz, doc. 21/7868, approvato in forma modificata secondo il testo licenziato dalla commissione Affari interni, doc. 21/9161 — è passato con 308 voti favorevoli, 190 contrari e 71 astensioni. Con il voto in seconda lettura, CDU/CSU e SPD hanno sostenuto il provvedimento, AfD e Die Linke lo hanno respinto, i Verdi si sono astenuti quasi compatti.
La riforma riscrive in parallelo il BND-Gesetz e il Bundesverfassungsschutzgesetz, sciogliendoli l’uno dall’altro: le vecchie catene di rinvio al testo sul Verfassungsschutz, giudicate poco chiare, sono sostituite da norme proprie per ciascun servizio, come già fatto nel MAD-Gesetz. Al BND viene attribuita la facoltà di agire proattivamente su una minaccia per neutralizzarla, in presenza di una specifica situazione di pericolo. La cornice è però stretta, e il disegno di legge la circoscrive espressamente: le norme operano in situazioni eccezionali di emergenza e crisi, a tutela della capacità di alleanza e di difesa del Paese e della protezione della popolazione civile. Il pacchetto elenca le misure ipotizzabili: infiltrazione mirata nei sistemi informatici di laboratori di armi chimiche o fabbriche di droni per sabotarne la produzione; disattivazione o messa fuori uso dei server di gruppi di hacker statali o di attori della disinformazione; cancellazione dei dati delle vittime nei sistemi delle gang informatiche; manipolazione di forniture mediante immissione di componenti difettosi. L’intercettazione informatica — il cosiddetto hacking — trova la sua disciplina recependo la sentenza del Bundesverfassungsgericht del 24 giugno 2025 sul cosiddetto caso “Trojaner II”.
Il BfV riceve con il nuovo § 59 BVerfSchG un elenco più contenuto di “misure di protezione” interne: compromissione della funzionalità di mezzi d’offesa come esplosivi o armi, reindirizzamento o blocco di flussi di dati durante attacchi informatici, cancellazione o falsificazione di dati memorizzati a fini di minaccia, immissione di informazioni false in capo ai soggetti coinvolti. L’esercizio di coercizione diretta contro le persone resta espressamente vietato e in capo alla sola polizia, e il testo licenziato in commissione introduce un criterio di sussidiarietà: le misure del BfV operano solo se non è possibile un intervento di altro tipo. Le misure sono attivabili soltanto contro associazioni terroristiche e potenze straniere. Nella relazione di minoranza allegata al testo di commissione, l’opposizione contesta che proprio questa architettura renda “non approvabile” il nuovo Verfassungsschutzgesetz e chiede la soppressione in blocco dei §§ 59 e seguenti.
Entrambe le agenzie acquisiscono la base giuridica per l’analisi di grandi masse di dati tramite intelligenza artificiale e per il confronto biometrico delle immagini con materiale reperito online. Il BND potrà conservare i metadati raccolti in sorveglianza strategica per dodici mesi, mentre i contenuti vanno conservati senza previa selezione per sei mesi; BfV e BND possono inoltre imporre ai gestori di telecomunicazioni, con provvedimento di garanzia, il congelamento dei dati di traffico che si prevede serviranno, in attesa che ricorrano le condizioni per richiederli. Il BfV potrà infine investigare strutture di criminalità organizzata, competenza normalmente della polizia. La legge rafforza infine le tutele: obbligo di diligenza nell’impiego di persone di fiducia minorenni, e — per effetto dei 97 pagine di emendamenti introdotti dalla coalizione — protezione rafforzata di medici e psicoterapeuti dalla sorveglianza del BND, con la comunicazione confidenziale con un sistema di IA equiparata ai colloqui tra persone.
Il ministro dell’Interno Alexander Dobrindt (CSU) ha parlato di “riforma del secolo”, rivendicando la trasformazione dei servizi in “veri servizi segreti”, “su un piano di parità con i nostri partner europei”. Nina Warken (CDU), ministra presso la Cancelleria responsabile del BND, ha parlato della più vasta modifica del diritto dei servizi segreti nella storia del Paese e ha detto davanti ai deputati che potenze straniere minacciano la Germania ogni giorno in forma coperta — “mascherano il sabotaggio da incidente, lo spionaggio da affare e la propaganda da opinione”, con casi che emergono solo settimane dopo, quando un incendio o un danno a un cavo si rivelano sabotaggio — rivendicando che la riforma consente al BND di “agire quando nessun altro può agire”. All’opposizione, Die Linke parla di “piena libertà di movimento per gli agenti”; il deputato verde Konstantin von Notz ha riconosciuto che “molto è riuscito” ma ha condizionato il sostegno alle parti del Verfassungsschutzgesetz alla cancellazione delle “parti costituzionalmente dubbie”. Il Verfassungsblog contesta il punto teorico centrale: le soglie più basse riconosciute all’intelligence tedesca si giustificavano con il fatto che il servizio non potesse usare operativamente ciò che raccoglieva — “chi può fare poco, può sapere di più”. Se il BfV può ora impiegare i propri risultati per l’azione, quel fondamento cade; secondo la rivista la disciplina dei §§ 59 e seguenti, nella parte in cui attribuisce al BfV l’azione operativa contro il terrorismo internazionale a livello federale, è incompatibile con la Legge fondamentale e sposta la competenza in capo al Bundeskriminalamt.
La riforma allinea Berlino a una tendenza europea consolidata. Il Regno Unito disciplina l'”equipment interference” dal 2016 nell’Investigatory Powers Act, con il quadro di garanzie del relativo codice di condotta. La Francia ha inserito misure di “hack-back” nel Code de la défense fin dal 2013; la legge di programmazione militare 2024-2030, aggiornata dalla legge del 16 agosto 2026, destina 5,4 miliardi di euro ai tre servizi di intelligence sotto il ministero delle Forze armate — DGSE, DRM e DRSD — e 4 miliardi alla cyberdifesa, il triplo della programmazione precedente, puntando su “capacità di risposta e lotta offensiva” e su una “capacità di dissuasione informatica graduata e attribuibile” contro attori statali. I Paesi Bassi hanno varato nel 2024 una legge temporanea sulle operazioni cibernetiche che amplia il mandato di AIVD e MIVD. Berlino arriva ultima tra i grandi partner, e la distanza da colmare era l’argomento centrale dell’esecutivo: per ragioni storiche — Gestapo, Stasi, la memoria ancora viva — il servizio estero era rimasto confinato alla raccolta, un limite che secondo l’ex capo del Joint Intelligence Committee britannico John Omand ha reso la Germania “notevolmente inefficace” nel dominio digitale negli ultimi quindici anni.
La riforma disegna per la prima volta un mandato operativo offensivo e accentua, insieme, la concentrazione del controllo: la vigilanza sui servizi viene riunita in capo all’Unabhängiger Kontrollrat, disciplinato da un autonomo testo normativo, con l’organico portato da sei a dodici membri. Il testo recepisce le indicazioni della giurisprudenza costituzionale che dal 2022 ha posto prescrizioni fondamentali in materia di intelligence. Resta il problema politicamente più sensibile: la clausola che consente al BfV di limitare lo scambio di informazioni con singoli uffici di intelligence dei Länder in presenza di indicatori concreti di rischio per interessi federali o statali, con l’accordo necessario della maggioranza degli uffici e azione autonoma del servizio federale nei casi urgenti. E resta aperto il fronte giudiziario: la dottrina costituzionalista annuncia che la tenuta del § 59 davanti alla Corte di Karlsruhe è la vera partita. Berlino ha scelto la parità operativa con i partner. In quale misura la eserciterà resterà, per definizione, in larga parte invisibile — e dipenderà da quanto il nuovo Kontrollrat saprà vedere dentro un mandato che ora include l’azione, non solo la raccolta.
The Record, German parliament passes law giving spy agencies hacking, sabotage powers, 13 novembre 2026
