C’è una tradizione, in Italia, di guardare il cielo per capire cosa si sta preparando: nuvole che si addensano prima di un temporale, un peso che matura in alto prima di scendere. Chi ha guardato per mestiere quel cielo — cantautori, non meteorologi — lo ha sempre saputo: le nuvole non sono leggere. Sono gravide di qualcosa che, prima o poi, nasce e cade.
Indice degli argomenti
Il cielo digitale e la nuvola che cade
Questo pezzo prende sul serio quella metafora e la applica a un cielo più recente, quello digitale, non meno gravido del primo. È concepito come un disco a 33 giri, con due lati che affrontano la stessa domanda in due registri diversi. Il Lato A racconta cosa succede, in pratica, quando la nuvola tocca terra — cavi, codice, tempeste, e i corpi che ne pagano il prezzo. Il Lato B racconta cosa quella caduta rivela — dipendenze concentrate, norme che rincorrono la realtà, un piano B che ancora non esiste. Stesso tema, due facciate. Si ascolta — si legge — in ordine, oppure si parte da quella che interessa di più: come tutti i buoni dischi, funziona in entrambi i sensi.
Una domanda perfettamente in linea con lo spirito del DigEat Festival, che nasce proprio per rallentare il passo davanti all’accelerazione tecnologica e interrogare, con maggiore lucidità, il nostro rapporto con il digitale: non per subirlo come destino, ma per comprenderne infrastrutture, regole, fragilità e conseguenze umane.
Side A
Chiamiamo “nuvola” quello che non è mai stato meno simile a una nuvola: un oggetto senza peso, senza luogo, senza corpo.
Traccia 1 — L’illusione della leggerezza
È un nome felice, quasi un atto di cortesia verso noi stessi — ci piace credere che i messaggi, le fotografie, i segreti più imbarazzanti fluttuino in un etere tiepido, sospesi come pulviscolo, sottratti alla gravità delle cose vere.
Non è così, naturalmente. Non lo è mai stato. Dietro ogni nuvola c’è un tubo, spesso quanto una canna da giardino, appoggiato sul fondo dell’oceano, indifferente alle correnti e alle ancore delle navi. Dietro ogni sincronizzazione istantanea c’è un capannone che scalda l’aria come una fornace, un router che qualcuno, da qualche parte, ha configurato male una mattina di luglio. La leggerezza che ci vendiamo è un’invenzione retorica: sotto, tutto è cavo, rame, silicio, elettricità, manutenzione umana. Tutto pesa.
È un equivoco antico. Ogni civiltà ha avuto bisogno di credere che le proprie infrastrutture più critiche fossero, in fondo, invisibili: gli dei reggevano il cielo senza sforzo apparente, i telegrafi dell’Ottocento sembravano magia più che rame teso su pali. Noi abbiamo solo raffinato l’illusione, sostituendo gli dei con un’icona a forma di nuvola stampata su ogni schermo del pianeta.
Il problema comincia quando la nuvola, per una ragione o per l’altra, decide di comportarsi come qualunque altro oggetto pesante: cade. E quando cade non fa il rumore soffice della bambagia, ma quello di un continente che smette di parlare con l’altro, di un ospedale che non trova più le cartelle cliniche, di milioni di persone che scoprono, tutte insieme, quanto in basso viaggiasse per davvero il cielo digitale.
Le pagine che seguono raccontano come, di preciso, questo soffitto invisibile smetta di reggere — e cosa succede, letteralmente, quando la nuvola tocca terra.
Traccia 2 — Cause: cavi, codice, tempeste
Il cielo digitale può cadere in tre modi, e nessuno richiede una cospirazione: basta un’ancora trascinata sul fondale, una riga di codice scritta di fretta, o un sussulto del sole.
I cavi, innanzitutto — quelli che portano quasi tutto ciò che chiamiamo internet, oltre il 95% del traffico intercontinentale, sono poco più spessi di una canna da giardino, posati sul fondo dell’oceano come fili di lana dimenticati. Attraverso quei fili passano, ogni giorno, transazioni finanziarie per diecimila miliardi di dollari, eppure si rompono spesso: centocinquanta, duecento volte l’anno, quasi sempre per un’ancora o una rete da pesca, raramente per malizia, e la riparazione richiede da qualche giorno a qualche settimana. Nel 2022 un vulcano sottomarino ha reciso l’unico cavo che teneva Tonga collegata al resto del mondo, e l’arcipelago è sparito da internet per settimane. Nel Mar Rosso, dove passa il novanta per cento delle comunicazioni tra Europa e Asia, i ribelli Houthi hanno reso quel tratto di mare un collo di bottiglia permanente; nel Baltico, le ancore sospette di una flotta ombra hanno fatto il resto. La fragilità, qui, è fisica e visibile: un tubo che si spezza è un tubo che si spezza, non serve un esperto per capirlo.
Più subdola è la fragilità del software, perché non lascia segni sul fondo del mare, solo cicatrici nei log. Nel luglio 2024 un aggiornamento difettoso di un antivirus — CrowdStrike, per essere precisi — ha mandato in crash 8,5 milioni di computer Windows in tutto il mondo in poche ore: meno dell’1 per cento dei dispositivi Windows esistenti, eppure bastati a fermare ospedali, banche e aeroporti su più continenti contemporaneamente. Una sola compagnia aerea, Delta, ha cancellato oltre 7.000 voli in cinque giorni stimando il danno in circa 500 milioni di dollari; gli assicuratori hanno calcolato che le sole prime 500 aziende americane, Microsoft esclusa, abbiano perso oltre 5 miliardi. È stato definito il più grande blackout informatico della storia, e non è stato un attacco: è stata una svista. Due anni prima, in Canada, era bastato ancora meno — un tecnico che rimuoveva un filtro di controllo durante un aggiornamento di rete — perché il gestore Rogers lasciasse dodici milioni di persone senza telefono, internet e, cosa più grave, senza numero di emergenza, per oltre ventisei ore: l’inchiesta ufficiale ha impiegato due anni a stabilirlo con precisione, perché per quattordici ore nessuno, dentro Rogers, riusciva più ad accedere ai propri log per capire cosa fosse successo. In entrambi i casi non c’era nessun nemico da combattere, nessuna intenzione da processare. C’era solo una riga di configurazione, scritta da qualcuno che pensava fosse una mattina come le altre — ed è proprio questo, più di ogni attacco informatico, a rivelare quanto sottile sia il margine di errore che ci siamo concessi in nome dell’efficienza.
E poi c’è il cielo vero, quello sopra le nuvole finte. Nel 1859 una tempesta solare incendiò i fili del telegrafo e regalò aurore boreali visibili quasi all’equatore; centotrent’anni dopo, nel marzo 1989, una tempesta molto più modesta bastò a far collassare in novanta secondi l’intera rete elettrica del Quebec, lasciando sei milioni di persone al buio per nove ore. Gli scienziati non concordano su quanto spesso un evento su scala Carrington possa ripetersi — le stime vanno dall’uno al dodici per cento di probabilità per decennio, una forbice ampia, ma anche il valore più prudente non consola granché. Una tempesta di quella portata, oggi, non brucerebbe fili di rame ma trasformatori e satelliti, spegnendo intere reti elettriche per mesi e producendo danni stimati in migliaia di miliardi di dollari. Non è un’ipotesi da romanzo: è già successo due volte, e prima o poi succederà una terza.
Traccia 3 — Il giorno in cui tutto si ferma
Il 15 gennaio 2022, mentre l’eruzione del vulcano sottomarino Hunga Tonga oscurava il cielo di cenere e produceva un’onda d’urto atmosferica così potente da fare il giro del pianeta più volte, l’unico cavo che collegava l’arcipelago al resto del mondo si spezzò in un istante. Da un momento all’altro, l’intera popolazione smise di esistere per internet — e internet smise di esistere per lei. Per settimane, l’unico modo per sapere se un parente fosse sopravvissuto è stato bussare alla sua porta, di persona, come si faceva prima che esistesse un modo più veloce, e che nel frattempo avevamo scambiato per l’unico modo possibile.
È un’immagine estrema, ma serve a misurare la distanza tra la metafora e il fatto: quando la connessione salta, quello che si ferma non è un’app, è l’economia stessa. Una stima valuta in 43 miliardi di dollari il costo di una sola giornata di blackout globale — undici miliardi solo per gli Stati Uniti, quasi dieci per la Cina, oltre tre per il Regno Unito — anche se la cifra viene da un’unica fonte e va presa come ordine di grandezza, non come dato di bilancio. Ne è una controprova più recente e più circoscritta: nell’ottobre 2025 un problema DNS nei data center di Amazon Web Services ha fatto cadere per alcune ore servizi tra loro apparentemente scollegati — assistenti vocali, videogiochi, app bancarie, portali di enti pubblici — con un danno economico complessivo stimato in 2,5 miliardi di dollari. Non serve spegnere tutta la rete per fermare mezzo mondo: basta spegnere il pezzo giusto di infrastruttura condivisa, quello che tutti, senza saperlo, avevano in comune.
Quando la rete cade, anche i gesti più elementari si complicano. Nel blackout Rogers del 2022, i negozi canadesi hanno dovuto tornare al contante perché le carte non funzionavano più — ma il dato più grave è un altro: per ore, chi aveva un’emergenza reale non è riuscito a chiamare il numero di soccorso, perché anche le linee 911 passavano dalla stessa rete crollata. Ospedali che non trovano le cartelle cliniche, voli cancellati a grappoli perché nessuno sa più chi sia a bordo di quale aereo, pagamenti che si bloccano a metà transazione: la rete non è più un servizio in più accanto agli altri, è diventata l’infrastruttura sotto tutte le altre infrastrutture, quella che nessuno vede finché non manca.
L’effetto più controintuitivo riguarda l’energia. Le reti elettriche moderne si affidano a internet per bilanciarsi in tempo reale, minuto per minuto, tra domanda e offerta — ed è qui che la beffa di Tonga si fa quasi comica, se non fosse tragico: molte case dotate di pannelli solari sono rimaste al buio non perché mancasse il sole, ma perché gli inverter avevano bisogno di un aggiornamento periodico via rete per continuare a funzionare. La tecnologia pensata apposta per renderci indipendenti dalla rete elettrica tradizionale si è rivelata, in realtà, dipendente da un’altra rete, invisibile e altrettanto fragile.
Il resto è più difficile da misurare in miliardi. Privati di colpo delle interazioni digitali, alcuni hanno raccontato di aver respirato meglio, di aver dormito meglio; molti altri hanno scoperto un’ansia acuta da disconnessione, per cui esiste già un nome — nomofobia — che fino a poco tempo fa sembrava quasi una parola scherzosa, buona per un titolo di giornale. A Tonga, chi voleva sapere se una madre o un fratello fossero vivi ha dovuto tornare a spostarsi porta a porta, fisicamente, per giorni, come si faceva prima. È forse questo il punto più scomodo di tutta la vicenda: non che la rete sia fragile — lo sappiamo tutti, in fondo — ma che avevamo smesso di ricordarci come si fa, a fare altrimenti.
Traccia 4 — Chi ripara il mondo
Chi ripara i cavi spezzati? Meno di sessanta, settanta navi in tutto il mondo sono attrezzate per farlo, una flotta che invecchia più in fretta di quanto cresca, mentre il numero di cavi da mantenere aumenta ogni anno. Ogni taglio resta aperto per giorni, a volte settimane — il tempo che una di queste navi raggiunga il punto esatto sul fondale e ripari lo strappo quasi a mano, come un intervento di sartoria sottomarina. È un collo di bottiglia che l’Unione Europea sta iniziando a prendere sul serio, valutando una flotta sovrana di riparazione per le emergenze più critiche: in questo settore, a differenza di quasi tutti gli altri, non basta avere i soldi, serve anche la nave, e le navi si costruiscono in anni, non in settimane.
La seconda risposta è la ridondanza — avere più strade quando una si chiude. Durante il blackout Rogers, i concorrenti Bell e Telus si offrirono di ospitare i clienti rimasti senza rete, ma Rogers dovette rifiutare: non riusciva più nemmeno ad accedere al proprio database utenti per autorizzare il trasferimento. Da quell’imbarazzo è nato un obbligo di legge: oggi, in Canada, se una rete cade i telefoni dei suoi clienti si appoggiano automaticamente su quella di un concorrente, invece di restare muti per ventisei ore. A Tonga, il ripristino è passato invece per i terminali Starlink donati nei giorni successivi all’eruzione — la prima volta in cui una costellazione satellitare privata ha sostituito, temporaneamente, un’intera infrastruttura nazionale di terra.
La terza risposta, la più trascurata, è anche la più semplice: sapere ancora come si fa senza. Dopo il proprio blackout, Rogers ha dotato tutto il personale di gestione delle crisi di un accesso a internet indipendente dalla propria rete — una soluzione quasi comica nella sua ovvietà, se non fosse che nessuno l’aveva prevista prima. È la contraddizione che accomuna quasi tutti questi episodi: i piani di continuità operativa erano, spessissimo, documenti digitali, salvati su server che dipendevano dalla stessa rete appena spenta. Un’azienda che custodisce il proprio piano d’emergenza soltanto su un cloud raggiungibile via internet non ha, a rigore, un piano d’emergenza: ha una scommessa. Le organizzazioni che hanno retto meglio agli shock degli ultimi anni sono quelle con qualcosa di più antiquato e più solido — un numero di telefono scritto su carta, una radio a frequenza che non ha bisogno di router, una piccola riserva di contante in cassaforte, un elenco di chi chiamare stampato e non solo salvato su un file. Non è nostalgia: è l’unica assicurazione che funziona anche quando tutto il resto smette di farlo.
Outro — reprise
Alle audizioni sul disastro Rogers, qualcuno ha detto una frase che vale più di ogni statistica raccolta finora: l’ottimizzazione è nemica della resilienza. Abbiamo costruito un mondo iper-efficiente togliendogli, pezzo per pezzo, ogni margine di errore — un solo cavo dove ne servirebbero tre, un solo fornitore dove ne servirebbero due, un solo piano, digitale, dove basterebbe anche un foglio di carta. Funziona benissimo, finché funziona.
Poi, un giorno, la nuvola tocca terra. Quasi mai per una cospirazione: per un’ancora, per una riga di codice, per un sussulto del sole — le stesse tre cause di sempre. E in quel momento contano più i vicini di casa che si conoscono di nome, il contante nel cassetto, il numero scritto su un foglio, di qualunque server ridondato in un altro continente.
Non serve smettere di costruire nuvole. Basta ricordarsi, ogni tanto, di quanto pesano.
Side B
La resilienza di un sistema si misura, prima ancora che dalla sua robustezza, dal numero di punti in cui può essere colpito una sola volta per fermarlo del tutto.
Traccia 1 — Un solo interruttore
Nel gennaio 2026, in Iran, è bastato agire su un singolo fornitore di connettività — Asiatech — per azzerare da solo circa il 9,4% dello spazio di indirizzamento IPv6 nazionale, contribuendo a un blackout che si sarebbe poi prolungato, a fasi alterne, per 88 giorni: il più lungo mai registrato a livello statale. Non è stato necessario colpire l’intera rete: è bastato un solo nodo, sufficientemente centrale.
Lo stesso conflitto ha offerto, a poche settimane di distanza, una dimostrazione speculare. A marzo 2026, attacchi con droni hanno danneggiato fisicamente data center di Amazon Web Services nella regione del Golfo, con effetti misurabili sull’affidabilità dei servizi ospitati negli hub del Bahrein e degli Emirati. Un singolo fornitore di connettività nazionale e un singolo hyperscaler globale sono stati colpiti, nello stesso conflitto, con la stessa logica: non serve disabilitare l’intera rete, basta disabilitare il nodo su cui si appoggia una quota sufficientemente ampia di traffico.
Fuori da ogni scenario bellico, la stessa concentrazione regola l’infrastruttura cloud globale in tempo di pace. Tre soli fornitori — Amazon Web Services, Microsoft Azure e Google Cloud — coprono oggi poco più del 60% della spesa mondiale in infrastruttura cloud. Il blackout di Amazon Web Services dell’ottobre 2025, già raccontato nel Side A, torna qui come una reprise — ma cambiando lato cambia la lettura: là contava il costo della caduta, qui conta la sua geometria. Servizi privi di qualunque legame apparente sono caduti insieme perché si appoggiavano tutti, senza saperlo, allo stesso fornitore.
I tre episodi — coercizione statale, attacco cinetico, errore amministrativo — non sono comparabili sul piano delle cause, ma lo sono su quello strutturale: dimostrano che la resilienza di un intero sistema digitale, nazionale o globale, dipende oggi da un numero di soggetti sorprendentemente ridotto. La vera posta in gioco della concentrazione infrastrutturale non sta nella probabilità dell’evento che la colpisce, ma nell’ampiezza del suo raggio d’azione.
Traccia 2 — L’Italia nel mirino
Il 26 giugno 2026 Trenitalia ha inviato ai propri clienti una comunicazione ai sensi dell’articolo 34 del Regolamento UE 2016/679: un accesso non autorizzato aveva riguardato dati anagrafici e di viaggio legati ai titoli acquistati. È l’ultimo episodio di una sequenza che, nei mesi precedenti, aveva già coinvolto il fornitore IT Almaviva, con la sottrazione rivendicata di 2,3 terabyte di documentazione riconducibile anche al gruppo Ferrovie dello Stato — piani industriali, contratti, dati di filiera. Non un evento isolato, quindi, ma un caso di scuola per capire cosa significhi, oggi, dipendere da un fornitore esterno per la gestione dei propri dati: la sicurezza dell’intera catena si misura sull’anello più debole, e quell’anello è raramente sotto il controllo diretto di chi risponde, in ultima istanza, agli utenti.
Il Rapporto Clusit 2026 restituisce la cornice statistica di questo singolo episodio. Nel 2025 l’Italia ha registrato 507 incidenti gravi, il 9,6% del totale mondiale, in crescita del 42% sull’anno precedente. Il settore dei trasporti e della logistica è tra quelli con la crescita più marcata, +134,6% su base annua, secondo soltanto al comparto governativo e militare (oltre il 28% degli incidenti censiti, +290%). Il manifatturiero segue con il 12,6%. Sul fronte delle tecniche, l’anomalia italiana è netta: il DDoS pesa per il 38,5% degli attacchi rilevati nel Paese, molto più che nella media globale, trainato da una crescita dell’hacktivism del 145% rispetto al 2024.
È una fisionomia diversa da quella globale, ed è qui che sta il dato più interessante: mentre nel mondo oltre l’80% degli incidenti gravi produce impatti classificati come “alti” o “critici”, in Italia la distribuzione si rovescia — oltre la metà degli attacchi resta nella fascia media o bassa. Non significa che il rischio sia minore, ma che ha una forma diversa: meno intrusioni profonde e prolungate, più disturbo massivo e visibile, spesso a fini dimostrativi più che estorsivi. Il caso Trenitalia, però, ricorda che la seconda categoria di rischio — quella meno frequente ma più grave, legata alla catena di fornitura e alla riservatezza dei dati — resta interamente presente anche nel panorama italiano, e riguarda proprio le infrastrutture che la normativa più recente qualifica come essenziali.
Traccia 3 — Da protezione a resilienza
Il passaggio concettuale su cui si regge l’intero impianto normativo recente è semplice da enunciare e complesso da attuare: dalla protezione, intesa come tentativo di evitare l’incidente, alla resilienza, intesa come capacità di sopravvivergli. Il D.Lgs. 138/2024, che recepisce in Italia la Direttiva NIS2, traduce questo passaggio in tre obblighi puntuali, pensati per rafforzarsi a vicenda più che per sommarsi.
Il primo riguarda la gestione del rischio lungo l’intera catena di fornitura (art. 24). Ai soggetti “essenziali” e “importanti” non è più consentito limitarsi a misure perimetrali: servono politiche documentate di analisi del rischio, autenticazione a più fattori, crittografia, e soprattutto una responsabilità estesa alla sicurezza dei fornitori terzi — non basta più proteggere i propri sistemi, occorre vigilare anche su quelli di chi li fa funzionare per conto proprio. È esattamente il punto che il caso Trenitalia-Almaviva illustra: la norma, qui, anticipa un problema reale, non lo insegue.
Il secondo obbligo è quello di notifica (art. 25): un incidente significativo va segnalato al CSIRT Italia con una pre-notifica entro 24 ore e una notifica completa entro 72, seguita da una relazione finale entro un mese. Sono finestre strette, pensate non per punire chi subisce un attacco ma per permettere alle autorità di intercettare per tempo un contagio sistemico — riconoscere, cioè, se un incidente isolato sia in realtà il primo sintomo di una campagna più ampia contro settori o infrastrutture affini. Rompono, in questo, con una prassi precedente fatta più spesso di comunicati stampa rassicuranti che di segnalazioni tempestive.
Il terzo obbligo, il più dirompente sul piano giuridico, riguarda la responsabilità diretta dei vertici (art. 23). Gli organi di amministrazione non possono più delegare la sicurezza informatica ai soli dipartimenti IT: devono approvare le misure di gestione del rischio, supervisionarne l’esecuzione, sottoporsi essi stessi a una formazione specifica e periodica. In caso di inadempimento colposo, rispondono personalmente — una previsione che sposta la cybersicurezza dal perimetro tecnico a quello della responsabilità amministrativa d’impresa, rendendola materia di consiglio di amministrazione allo stesso titolo del bilancio.
A vigilare sul rispetto di questi tre obblighi è l’Agenzia per la Cybersicurezza Nazionale, con un potere sanzionatorio che, per i soggetti essenziali, arriva fino a 10 milioni di euro o al 2% del fatturato mondiale: una soglia costruita, non a caso, sul modello dissuasivo già collaudato dal GDPR.
Traccia 4 — Oltre lo schermo (CER e DORA)
La resilienza fisica ha una sua norma dedicata, e una sua storia di attuazione più lenta di quanto il testo stesso prevedesse. Il D.Lgs. 134/2024, che recepisce la Direttiva CER, avrebbe dovuto vedere la Presidenza del Consiglio adottare la Strategia nazionale per la resilienza dei soggetti critici entro il 17 luglio 2025. È stata pubblicata l’11 giugno 2026, con undici mesi di ritardo. Le Autorità Settoriali Competenti dovranno adottare, entro il 17 luglio 2026, l’elenco definitivo dei soggetti critici nei rispettivi settori — energia, trasporti, sanità, acqua, spazio, filiera alimentare — da cui discenderanno obblighi di resilienza fisica, notifica degli incidenti e vigilanza ispettiva, con sanzioni che vanno da 25.000 a 125.000 euro. Il resto del cronoprogramma, però, si allunga oltre l’orizzonte immediato: la piattaforma per la notifica degli incidenti fisici partirà solo a dicembre 2026, gli stress test settoriali non prima della fine del 2027.
Un secondo binario, quello finanziario, segue una logica diversa e più compiuta. Banche, mercati finanziari e infrastrutture digitali sono esplicitamente sottratti al regime generale della CER: per questi settori, la resilienza operativa è disciplinata dal Regolamento DORA, in vigore dal gennaio 2025, che si applica in via di lex specialis rispetto alle regole generali di NIS2 e CER. DORA articola l’obbligo su cinque pilastri — gestione del rischio ICT, segnalazione degli incidenti, test di resilienza operativa digitale periodici, gestione del rischio dei fornitori terzi critici, condivisione strutturata delle informazioni sulle minacce — con un regime sui fornitori cloud e ICT molto più stringente della disciplina generale sulla catena di fornitura, coerentemente con un settore dove un singolo fornitore compromesso può propagare il rischio a decine di istituti contemporaneamente.
Il risultato pratico, per chi deve rispondere di questi obblighi, è un panorama in cui NIS2, CER, DORA e la preesistente ISO 27001 si sovrappongono senza fondersi: stessa materia, autorità diverse, soglie di notifica diverse, calendari diversi. Il rischio concreto non è la mancanza di regole, ma la loro moltiplicazione: procedure duplicate, audit ridondanti, report paralleli che assorbono risorse senza necessariamente migliorare la postura difensiva reale. La resilienza, in questo quadro, non si misura nella qualità dei testi normativi pubblicati, ma nella capacità — ancora da dimostrare — di farli funzionare insieme, nei tempi che gli stessi decreti si sono dati e che finora non hanno rispettato.
Traccia 5 — Il piano B che non c’è
Sia NIS2 sia la Direttiva CER prevedono, tra le misure minime di gestione del rischio, la continuità operativa: gestione dei backup, disaster recovery, piani di crisi. Nessuna delle due norme, però, impone di verificare che quei piani funzionino nello scenario più radicale — quello in cui la connettività digitale stessa, non un singolo sistema, viene meno per ore o giorni. Un’azienda può essere pienamente conforme sulla carta, avere backup testati e piani di crisi aggiornati, e scoprire solo durante un blackout reale che quei documenti sono raggiungibili unicamente attraverso la stessa rete che si è appena spenta: è accaduto, letteralmente, a un grande operatore di telecomunicazioni nordamericano, che dopo un blackout ha dovuto dotare ex post il proprio personale di crisi di un accesso a internet indipendente dalla propria infrastruttura — una misura sensata, ma introdotta a evento già concluso.
La norma, in altre parole, chiede di prevedere il disastro ma non di provare a viverlo senza strumenti digitali. Colmare questo vuoto non richiederebbe un nuovo impianto normativo, ma un’estensione mirata di ciò che già esiste: DORA impone già, per il settore finanziario, test periodici di resilienza operativa digitale; lo stesso obbligo, esteso ai soggetti essenziali NIS2 e ai soggetti critici CER, potrebbe includere esplicitamente uno scenario di “blackout totale” — connettività a zero per un tempo definito, ventiquattro o quarantotto ore — durante il quale si verifica se l’organizzazione sa ancora raggiungere il proprio personale, autorizzare pagamenti, comunicare con le autorità e con il pubblico senza alcun canale digitale primario. Non sarebbe un esercizio simbolico: è l’unico modo per distinguere, prima che sia troppo tardi, un piano di continuità reale da un documento che promette continuità solo finché la rete regge.
Coda
Le parti precedenti hanno seguito lo stesso oggetto attraverso registri diversi: la concentrazione infrastrutturale che rende un singolo nodo decisivo, i numeri che confermano l’Italia come bersaglio reale e non ipotetico, tre corpi normativi — NIS2, CER, DORA — costruiti sulla stessa premessa, che la sicurezza non sia un evento ma un processo continuo, e un vuoto specifico che nessuno dei tre colma ancora.
Chi risponde, davvero, quando la nuvola cade? Rispondono, sulla carta, i vertici aziendali, le Autorità Settoriali Competenti, i supervisori finanziari — un’architettura di responsabilità precisa, ma che presuppone, in ciascun caso, che l’infrastruttura digitale attraverso cui quella responsabilità si esercita resti disponibile. È esattamente l’ipotesi che un blackout mette in discussione. La resilienza normativa, finché non include il caso in cui gli strumenti della resilienza stessa smettono di funzionare, resta un esercizio compiuto solo a metà.
Partecipa alla community