From the space economy to cyber resilience: why the Airbus–Leonardo–Thales Alenia Space alliance is redefining Italian and EU technological sovereignty

The agreement announced between Airbus, Leonardo and Thales Alenia Space (Thales 67% / Leonardo 33%) for the creation of a new European space champion represents a turning point both industrially and strategically. It is not merely a merger of assets, but the affirmation of a vision that intertwines: technological sovereignty, national security, the space sector, cyber governance, and industrial compliance.

In this brief paper, I explore three fundamental legal-economic directions:

(i) control of strategic assets through Golden Power;

(ii) cyber governance and obligations deriving from the NIS2 Directive;

(iii) the European space supply chain and the Italian national interest.

---

## 1. Golden Power: strategic assets, corporate transactions and national oversight

The Italian “Golden Power” regulation allows the government to intervene preventively in acquisition, merger, contribution, or corporate resolution operations involving companies operating in sectors of strategic relevance for defense, national security, energy, and communications. In recent years, its scope of application has been significantly extended to include dual-use technologies, digital infrastructures, telecommunications, and cloud services.

In the context of the Airbus–Leonardo–Thales Alenia Space operation, it is worth noting that:

* Leonardo contributes know-how, production lines (in Italy), and shareholdings in Thales Alenia Space.

* The new European space entity will combine capabilities in Earth observation, military/civil satellite communications, on-orbit services, and dual-use critical infrastructures.

* These activities potentially fall within the sphere of strategic relevance and assets that may trigger governmental intervention under the Golden Power framework.

From an operational standpoint: the companies involved and their counterparts must assess in advance whether the operation falls under notification or pre-notification (a voluntary procedure introduced by DPCM 133/2022) in order to avoid sanctions or additional obligations. For the legal advisor, it is crucial to map: shareholdings, critical technologies, production location, data control, corporate governance, and “trigger events” that activate special powers.

### The “critical orbital data” as an autonomous strategic asset for Golden Power purposes

In the new space-cyber supply chain, the protected object of Golden Power is not only the physical asset (satellite, control center, ground station) nor merely the corporate shareholding. It is also the exclusive or privileged availability of the information flow generated by the orbital infrastructure that enables critical public functions (crisis monitoring, secure military communications, territorial surveillance).

In other words, critical orbital data becomes a “strategic asset” and is therefore subject to conditions, localization constraints, limits on extra-EU circulation, and even obligations to maintain certain capabilities in Italy.

This approach is consistent with three factual elements:

National programs such as *IRIDE** (the national Earth observation constellation) are expressly designed for Italian civil resilience and civil protection, with a strong national industrial contribution.

The Airbus–Leonardo–Thales Alenia Space joint venture integrates secure government communication capabilities already tested in programs such as *SpainSat NG** (Airbus + Thales Alenia Space), designed for national military communications with an operational duration up to 2040.

* The new group explicitly declares the goal of providing secure communications and orbital services to European governments to reduce external dependencies, particularly toward U.S. operators such as SpaceX and its Starlink network.

The consultant (team) must operate within this framework, carrying out a “Golden Power due diligence on orbital data”; not only asking “can I notify this operation or not?” but also “what is the risk that the Presidency of the Council will impose constraints on the data center localization, on access to the ground segment, or on the governance of data flows collected from the satellite?”

This service should be made available to:

* SMEs supplying subsystems (SAR antennas, hyperspectral payloads, processing software) that are transferring equity to foreign funds;

* downstream operators performing geospatial analytics for Defense/Civil Protection who are considering partnerships or M&A with non-EU entities;

* foreign institutional investors or infrastructure funds wishing to enter the space market and needing to understand whether the asset could be “blocked” by Golden Power.

The multidisciplinary team (legal, audit, geopolitical analysis) acts as an ex-ante filter: it prevents a transaction from collapsing during authorization because the “critical orbital data” component was not addressed. This becomes direct economic value for companies.

---

## 2. Cyber governance and the NIS2 Directive: new rules for digital resilience

The NIS2 Directive (EU 2022/2555) constitutes the new European pillar of network and information systems security. The main points:

* Expansion of the perimeter: 18 sectors considered essential or “highly critical”.

* Introduction of management-level responsibilities, risk management obligations, supply-chain cyber resilience, and incident reporting.

In the case of Airbus–Leonardo–Thales Alenia Space:

* The new European space entity will manage critical infrastructures, orbital service providers, and systems interfacing with public administrations, defense, and intelligence.

* Consequently, it will in my view assume the status of an “essential entity” under NIS2, with corresponding obligations of integrated cybersecurity, auditing, operational continuity, and third-party management.

The space supply chain and related cyber services will require coordinated governance: contracts, updated 231 models, cyber policies, resilience metrics.

This will necessitate the supervision of compliance and cybersecurity experts capable of offering a hybrid service: regulatory compliance + strategic assessment of cyber risk within the space supply chain.

### Toward the “Cyber-Orbital 231 Model”

For operators in the space economy and digital defense, the traditional 231 Model is no longer sufficient. A new integrated model is needed that includes:

* Cyber resilience requirements from NIS2 as part of the protocols under Legislative Decree 231/2001 — transforming them from IT technical compliance into organizational and penal-preventive safeguards;

* Supply-chain contractual clauses requiring audits and operational continuity from space and cyber subcontractors (those refusing audits are excluded from the supply chain);

* Data governance policies regulating localization, encryption, access, logging, and incident management on critical orbital data — treated as a strategic asset relevant for Golden Power purposes;

* Board responsibility: periodic board minutes documenting the level of cyber-operational and spatial exposure, demonstrating qualified diligence.

This “Cyber-Orbital 231 Model” should become central for:

Technological SMEs involved in national programs such as *IRIDE** and PLATiNO (Italian new-generation satellite platform with radar and hyperspectral payloads) that must ensure compliance;

* ICT companies providing cybersecurity and continuous monitoring services for space infrastructures;

* Entities wishing to qualify as suppliers of the new European space champion and needing to align governance and compliance to NIS2 standards.

The described system (i) secures the subcontracting chain in front of the prime contractors Airbus/Leonardo/Thales; (ii) demonstrates board accountability under NIS2; (iii) reduces administrative liability risk under Decree 231 in case of cyber events affecting strategic services.

---

## 3. European technological sovereignty and Italy’s negotiating role

The Airbus–Leonardo–Thales Alenia Space operation must be placed within a broader framework of European and national industrial policy: reducing dependence on non-European technologies (particularly U.S.), affirming sovereign space and orbital communication capabilities, and transforming national security into a digital-orbital dimension.

Italy, thanks to Leonardo’s industrial mix and Thales Alenia Space’s presence on its territory, can move from being a simple user to becoming a protagonist in the regulatory and operational design of the space economy.

This implies:

* Control over data and infrastructure: localization, interoperability, continuity of service in crisis scenarios.

* Strategic public contracts (procurement) including clauses on data sovereignty, cyber audit, resilience requirements, and supply chain control.

* A growing role of compliance within the national supply chain: the ecosystem of (economic + national + cyber) security becomes a competitive factor.

In this perspective, the agreement promoted in Europe acts as a catalyst for Italian companies: SMEs of the space supply chain, cyber integrators, orbiting system providers. The market is evolving and demands legal-technological consultancy.

This scenario opens another service line for consultants: State–Enterprise negotiation assistance.

The medium-large Italian space/cyber company about to transfer know-how or assets to a multinational structure can be assisted in a regulated dialogue with the Presidency of the Council and competent Ministries, to obtain a “conditional clearance” under Golden Power and industrial stabilization clauses in Italy.

In other words: the private company’s interest is defended by leveraging the grammar of national security. It is not classic litigation; it is industrial diplomacy supported by competent actors.

---

## 4. Immediate operational impacts for Italian space-cyber supply chain companies

4.1 NIS2 obligations: suppliers of critical space and satellite systems fall within the regulatory scope; they must assess their supply chain, incident reporting, operational continuity, and governance documentation.

4.2 231 Models / corporate liability: must include specific safeguards for cybersecurity, cyber risk management, and director responsibility within “essential” entities.

4.3 Golden Power: acquisition, joint venture, or contribution operations within the space economy may require notification; control over data and production in Italy may be a condition for authorization.

4.4 Public contracts and data sovereignty: public administrations and strategic operators will require clauses on audit, cyber certification, localization, access, and resilience; this will fall within the consultant’s (team’s) scope of activity.

---

### What companies will need:

#### Golden Power & Critical Orbital Data Due Diligence

* Preventive analysis of strategic assets, including information flows generated by orbital payloads and ground segments;

* Mapping of Golden Power intervention risks in acquisitions, JVs, transfers, and technological outsourcing;

* Definition of a pre-notification strategy and any negotiable conditions with the Presidency of the Council;

* Preparation of localization/data sovereignty clauses in public and semi-public contracts.

Value for the client:

* Reduction of authorization blockage risk;

* Protection of intellectual property and national know-how;

* Increase in corporate value in view of M&A operations.

Target:

* Italian space economy SMEs (hyperspectral payloads, SAR radar, geospatial AI, ground segments);

* Foreign funds and investors wishing to acquire equity.

---

#### Cyber-Orbital 231 Model – NIS2 compliant

* Integration of NIS2 obligations into the 231 Model;

* Definition of directors’ responsibilities on cyber risk and operational continuity;

* Inclusion in supply-chain contracts of clauses on audit, resilience, incident reporting, and data sovereignty;

* Preparation for qualification as a critical supplier of the new European space champion.

Value for the client:

* Protection from administrative liability under Legislative Decree 231/2001 in the event of a cyber incident;

* Alignment with standards required by Airbus–Leonardo–Thales Alenia Space and national public contractors;

* Documentable competitive advantage in space, cyber, and defense tenders and framework agreements.

Target:

* Space economy and cyber-defense operators;

* Entities aiming to enter the Airbus–Leonardo–Thales supply chain from 2025 onward.

---

## Conclusion

The Airbus–Leonardo–Thales Alenia Space axis expresses something more than an industrial aggregation: it represents a new, eminent paradigm — that of an innovative European “security ecosystem.”

The consultant will be involved, called to act as an intermediary between Companies and States, providing expertise according to a multidisciplinary framework functional to the implementation of this fascinating set of neo-resilient domains.

---

Introduzione L’intesa annunciata tra Airbus, Leonardo e Thales Alenia Space (Thales 67 % / Leonardo 33 %) per la creazione di un nuovo campione spaziale europeo rappresenta un momento di svolta sia industriale che strategico. Non soltanto una fusione di asset, ma l’affermazione di una visione che intreccia: sovranità tecnologica, sicurezza nazionale, settore spaziale, cyber-governance e compliance industriale. In questo breve lavoro esploro tre direttrici giuridico-economiche fondamentali: (i) controllo degli asset strategici tramite Golden Power; (ii) governance cyber e obblighi derivanti dalla Direttiva NIS2; (iii) filiera spaziale europea e interesse nazionale italiano.

1. Golden Power: asset strategici, passaggi societari e presidio nazionale

La disciplina italiana del cosiddetto “Golden Power” consente al governo di intervenire preventivamente su operazioni di acquisizione, fusione, conferimento o delibere societarie che riguardino società che operano in settori di rilevanza strategica per la difesa, la sicurezza nazionale, l’energia, le comunicazioni. Negli ultimi anni l’ambito applicativo è stato sensibilmente esteso anche alle tecnologie dual-use, infrastrutture digitali, telecomunicazioni e cloud. Nel contesto dell’operazione Airbus–Leonardo–Thales Alenia Space, vale evidenziare che:

  • Leonardo conferisce know-how, linee produttive (in Italia) e partecipazioni in Thales Alenia Space.
  • Il nuovo soggetto europeo spaziale metterà insieme capacità che riguardano l’osservazione della Terra, comunicazioni satellitari militari/civili, servizi orbitanti, infrastrutture critiche dual-use.
  • Tali attività rientrano potenzialmente nella sfera della rilevanza strategica e degli asset che possono far scattare l’intervento governativo sotto Golden Power.

Dal punto di vista operativo: le imprese coinvolte e le loro controparti devono valutare preventivamente se l’operazione rientra in notifica o in prenotifica (procedura volontaria introdotta dal DPCM 133/2022) al fine di evitare condanne o obblighi aggiuntivi. Per il consulente legale è cruciale mappare: partecipazioni, tecnologie critiche, localizzazione della produzione, controllo del dato, governance societaria, “trigger events” che attivano poteri speciali.

Il "dato orbitale critico” come asset strategico autonomo ai fini Golden Power. Nella nuova filiera spazio-cyber, l’oggetto protetto dal Golden Power non è solo l’asset fisico (satellite, centro di controllo, stazione di terra) né solo la partecipazione societaria. È anche la disponibilità esclusiva o privilegiata del flusso informativo generato dall’infrastruttura orbitale che abilita funzioni pubbliche critiche (monitoraggio crisi, comunicazioni militari sicure, sorveglianza del territorio). In altri termini, il dato orbitale critico diventa “bene strategico” e quindi soggetto a condizioni, vincoli di localizzazione, limiti alla circolazione extra-UE, fino a obblighi di mantenere determinate capability in Italia.

Questa impostazione è coerente con tre elementi fattuali:

  • Programmi nazionali come IRIDE (costellazione nazionale di osservazione della Terra) sono concepiti espressamente per resilienza civile e protezione civile italiane, con forte contributo industriale nazionale.
  • La joint venture spaziale Airbus–Leonardo–Thales integra capacità di comunicazioni governative sicure già sperimentate in programmi come SpainSat NG (Airbus + Thales Alenia Space) pensati per comunicazioni militari nazionali con durata operativa fino al 2040.
  • Il nuovo gruppo dichiara esplicitamente l’obiettivo di fornire comunicazioni sicure e servizi orbitali a governi europei per ridurre dipendenze esterne, in particolare verso operatori statunitensi come SpaceX e la sua rete Starlink.

Il consulente (team) deve inserirsi in questo insieme, realizzando una “due diligence Golden Power dati orbitali”; non solo “posso notificare o no l’operazione?” ma “qual è il rischio che la Presidenza del Consiglio imponga vincoli sulla localizzazione del data-center, sugli accessi al ground segment, sulla governance dei flussi di dati raccolti dal satellite?”. Questo servizio è da mettersi a disposizione di

  • PMI fornitrici di sottosistemi (antenne SAR, payload hyperspectral, software di processamento) che stanno cedendo equity a fondi esteri;
  • operatori downstream che fanno analytics geospaziale per Difesa/Protezione Civile e che stanno valutando partnership o M&A con soggetti non UE;
  • investitori istituzionali stranieri o fondi infrastrutturali che vogliono entrare nel mercato spaziale e devono capire se l’asset è “bloccabile” da Golden Power.

Il team multicompetenze (legale, audit, analisi geopolitica) si pone come filtro ex-ante: evita che una transazione salti in fase autorizzativa perché non è stata gestita la componente “dato orbitale critico”. Questo diviene valore economico diretto per le Aziende

2. Cyber-governance e Direttiva NIS2: nuove regole di resilienza digitale

La Direttiva NIS2 (UE 2022/2555) costituisce il nuovo pilastro europeo della sicurezza delle reti e dei sistemi informativi. I punti principali:

  • Ampliamento del perimetro: 18 settori considerati essenziali o “ad alta criticità”.
  • Introduzione di responsabilità a livello dirigenziale, obblighi di risk management, supply-chain cyber resilience, incident-reporting.
  • Nel caso Airbus–Leonardo–Thales Alenia Space:
  • Il nuovo soggetto spaziale europeo gestirà infrastrutture critiche, fornitori di servizi orbitali, sistemi che si interfacceranno con PA, difesa, intelligence.
  • Di conseguenza assumerà a mio avviso lo status di “entità essenziale” sotto NIS2, con conseguenti obblighi di cybersecurity integrata, audit, continuità operativa, gestione terze parti.
  • La filiera spaziale e cyber-servizi collegati richiederanno una governance coordinata: contratti, modelli 231 aggiornati, policy cyber, metriche di resilienza.
  • Questo imporrà la supervisione di esperti compliance e cyber-security in grado di offrire un servizio ibrido: compliance normativa + valutazione strategica del rischio cyber nella supply-chain spaziale.

Verso il “Modello 231 Cyber-Orbitale”. Per gli operatori della space economy e della difesa digitale, il Modello 231 tradizionale non è più sufficiente. Serve un modello integrato che includa:

  1. requisiti di resilienza cyber da NIS2 come parte dei protocolli ex d.lgs. 231/2001, cioè li si trasforma da compliance tecnica IT a presidio organizzativo penal-preventivo;
  2. clausole contrattuali di filiera che impongano audit e continuità operativa anche ai sub-fornitori spaziali e cyber (chi non accetta l’audit esce dalla supply chain);
  3. policy di data governance che disciplinano localizzazione, cifratura, accesso, logging e gestione incidenti sul dato orbitale critico, trattato come bene strategico rilevante ai fini Golden Power;
  4. responsabilità degli amministratori: verbalizzazione periodica in CdA del livello di esposizione cyber-operativa e spaziale, così da dimostrare diligenza qualificata.

Questo “Modello 231 Cyber-Orbitale” dovrà divenire centrale per:

  • PMI tecnologiche coinvolte in programmi nazionali come IRIDE e PLATiNO (piattaforma satellitare italiana di nuova generazione con payload radar e hyperspectral) che devono mettersi in ordine.
  • società ICT che forniscono servizi di cybersecurity e monitoraggio continuo alle infrastrutture spaziali;
  • soggetti che vogliono candidarsi a fornitori qualificati del nuovo campione spaziale europeo e devono “mettere a posto” governance e compliance per risultare affidabili ai fini NIS2.

Il sistema che descrivo (i) mette in sicurezza la catena di subfornitura davanti ai prime contractor Airbus/Leonardo/Thales; (ii) dimostra accountability del CdA in ottica NIS2; (iii) riduce rischio di responsabilità amministrativa ex 231 su eventi cyber con impatto su servizi strategici.

3. Sovranità tecnologica europea e ruolo negoziale dell’Italia

L’operazione Airbus–Leonardo–Thales Alenia Space va inserita in un contesto più ampio di politica industriale europea e nazionale: la riduzione della dipendenza da tecnologie non-europee (in particolare statunitensi), l’affermazione di una capacità spaziale e di comunicazione orbitale sovrana, la trasformazione della sicurezza nazionale in chiave digitale-orbitale. L’Italia, grazie al mix industriale di Leonardo e alla presenza di Thales Alenia Space sul suo territorio, può assumere da semplice utente a protagonista del disegno regolatorio e operativo della space economy. Ciò implica:

  • Presidio di dato e infrastruttura: localizzazione, interoperabilità, continuità del servizio in scenari di crisi.
  • Contratti pubblici strategici (appalti) che includono clausole su sovranità del dato, audit cyber, requisiti di resilience, supply chain control.
  • Ruolo crescente della compliance nella filiera nazionale: l’ecosistema della sicurezza (economica + nazionale + cyber) diventa fattore competitivo. In tale ottica l’accordo promosso in Europa è un catalizzatore per le imprese italiane: PMI della filiera spaziale, integratori cyber, fornitori di sistemi orbitanti. Il mercato è in evoluzione e richiede consulenza legale-tecnologica.

Questo scenario apre un’altra linea di servizio per il consulente: assistenza negoziale Stato-Impresa.

  • L’impresa spaziale/cyber italiana medio-grande che sta per cedere know-how o asset a una struttura multinazionale può essere accompagnata in un’interlocuzione regolata con Presidenza del Consiglio e Ministeri competenti, per ottenere un “nulla osta condizionato” Golden Power e clausole di stabilizzazione industriale in Italia.
  • Tradotto: si difende l’interesse dell’impresa privata facendo leva sulla grammatica della sicurezza nazionale. Non è contenzioso classico. È diplomazia industriale assistita da attori competenti.

4. Impatti operativi immediati per le imprese della filiera spazio-cyber italiana

4.1 Obblighi NIS2: fornitori di sistemi critici spaziali e satellitari rientrano nell’ambito regolamentare; devono valutare la propria catena di fornitura, incident reporting, continuità operativa, documentazione di governance. 4.2 Modelli 231 / responsabilità degli enti: devono includere presidi specifici di cyber-security, gestione del rischio cyber, responsabilità degli amministratori nei soggetti “essenziali”. 4.3 Golden Power: operazioni di acquisizione, joint venture, conferimenti nell’ambito della space-economy possono essere oggetto di notifica; il controllo del dato e della produzione in Italia può essere elemento di condizionalità. 4.4 Contratti pubblici e sovranità del dato: le amministrazioni pubbliche e gli operatori strategici richiederanno clausole su audit, certificazione cyber, localizzazione, accessi, resilienza; questo sarà oggetto dell'attività del consulente (team)

Di cosa necessiteranno le Imprese: Due diligence Golden Power & Data Orbitale Critico

  • analisi preventiva degli asset strategici, inclusi i flussi informativi generati dai payload orbitali e dai segmenti di terra;
  • mappatura dei rischi di intervento Golden Power su acquisizioni, JV, trasferimenti, outsourcing tecnologico;
  • definizione della strategia di prenotifica e delle eventuali condizioni negoziabili con la Presidenza del Consiglio;
  • predisposizione delle clausole di localizzazione/sovranità del dato nei contratti pubblici e para-pubblici. Valore per il cliente:
  • riduzione rischio blocco autorizzativo;
  • tutela della proprietà intellettuale e del know-how nazionale;
  • aumento del valore d’impresa in vista di M&A. Target:
  • PMI della space-economy italiana (payload hyperspectral, radar SAR, AI geospaziale, segmenti di terra);
  • fondi e investitori stranieri che vogliono entrare nel capitale.

Modello 231 Cyber-Orbitale NIS2 compliant

  • integrazione degli obblighi NIS2 nel Modello 231;
  • definizione delle responsabilità degli amministratori sul rischio cyber e continuità operativa;
  • inserimento nei contratti di filiera di clausole di audit, resilienza, incident reporting, sovranità del dato;
  • preparazione alla qualifica come fornitore critico del nuovo campione spaziale europeo. Valore per il cliente:
  • difesa da responsabilità amministrativa ex d.lgs. 231/2001 in caso di incidente cyber;
  • allineamento agli standard richiesti da Airbus–Leonardo–Thales Alenia Space e dagli appaltanti pubblici nazionali;
  • vantaggio competitivo documentabile nelle gare e negli accordi quadro spaziali, cyber e difesa. Target:
  • operatori della space-economy e cyber-defense;
  • soggetti che vogliono entrare nella supply chain Airbus–Leonardo–Thales dal 2025 in avanti.

Conclusione L’asse Airbus–Leonardo–Thales Alenia Space esprime qualcosa di più di un’aggregazione industriale: rappresenta un nuovo, eminente paradigma, quello di un innovativo “ecosistema della sicurezza” europea. Il consulente verrà coinvolto, chiamato a porsi da tramite tra Imprese e Stati, fornendo competenze secondo uno schema multidisciplinare, funzionale all'attuazione di questo affascinante insieme di ambiti neo-resilienti.