Resilienza delle infrastrutture critiche, ecco i danni degli algoritmi

Durante un incidente che coinvolge un servizio essenziale, la crisi non si sviluppa solo nei sistemi e nelle procedure di risposta: si sviluppa anche nello spazio informativo in cui l’evento viene interpretato, amplificato e distorto. Questa dimensione – oggi modellata dagli algoritmi di visibilità delle piattaforme digitali – costituisce un fattore di rischio operativo sempre meno trascurabile.

La resilienza delle infrastrutture critiche viene ancora letta, molto spesso, in chiave fisica e cyber. Si proteggono asset, reti, sistemi OT, supply chain, continuità operativa. È un approccio inevitabile ed anche giusto. Ma durante un incidente rilevante – un blackout, un degrado di rete, un’interruzione dei trasporti, un guasto esteso a un servizio essenziale – esiste ormai un’ulteriore dimensione che condiziona la gestione dell’evento: quella informativa.

Resilienza cognitiva e dimensione informativa degli incidenti

Oggi gli incidenti non si sviluppano solo nello spazio fisico e digitale dell’operatore. Si sviluppano anche nell’infosfera delle piattaforme, dove contenuti, screenshot, immagini decontestualizzate, attribuzioni premature e ipotesi non verificate vengono selezionati e amplificati da algoritmi che privilegiano velocità, intensità emotiva e coinvolgimento. Per questo motivo, l’amplificazione algoritmica non dovrebbe essere trattata come un semplice problema di comunicazione esterna, ma come un fattore di rischio da integrare nei modelli di preparazione, continuità operativa e incident response.

Bisogna sottolineare che anche prima di arrivare a una piena architettura cognitiva, ogni incidente infrastrutturale produce già una dinamica informativa autonoma che interferisce con la gestione operativa della crisi, e che gli operatori devono saper leggere fin da ora.

Oltre la disinformazione intenzionale

Quando si parla di dimensione informativa delle crisi, l’attenzione si concentra spesso sulle campagne di disinformazione deliberate, condotte da attori ostili nel quadro delle minacce ibride. È un tema reale e in alcuni contesti ben documentato. La nuova strategia europea contro la manipolazione informativa mostra bene come le operazioni FIMI (Foreign Information Manipulation & Interference) possano sfruttare crisi, vulnerabilità sociali, elezioni e infrastrutture critiche per orientare percezioni e reazioni pubbliche.

Ma la disinformazione intenzionale non esaurisce il problema. Una parte significativa del rischio nasce dal funzionamento ordinario delle piattaforme digitali. Nelle prime fasi di un incidente esiste quasi sempre un vuoto informativo: i fatti non sono ancora accertati, l’operatore sta verificando l’estensione del problema, i tempi di ripristino sono incerti. In questa finestra temporale, le piattaforme non restano neutrali: tendono a rendere più visibili i contenuti più drammatici, controversi o emotivamente rilevanti.

Il blackout che ha colpito la penisola iberica il 28 aprile 2025 – uno dei maggiori eventi di questo tipo in Europa negli ultimi decenni – offre un esempio particolarmente nitido. Mentre autorità e operatori avviavano le verifiche tecniche, chiarendo che l’accertamento delle cause non sarebbe stato immediato, le piattaforme erano già sature di attribuzioni premature: le energie rinnovabili indicate come causa principale, ipotesi di sabotaggio, articoli falsificati con la grafica di testate internazionali. Anche quando le ricostruzioni ufficiali e i rapporti successivi hanno ridimensionato o escluso alcune delle ipotesi più diffuse, le narrazioni distorte avevano già contribuito a strutturare la percezione pubblica dell’incidente.

Il punto non è quindi solo stabilire se ci sia un attore ostile dietro la propagazione di contenuti falsi o fuorvianti. È riconoscere che l’ambiente informativo contemporaneo ha una dinamica propria, che si attiva quasi automaticamente durante eventi ad alta incertezza e alta visibilità, indipendentemente da chi la alimenta o la sfrutta.

Quando la visibilità diventa parte del rischio

Una crisi tecnica produce inevitabilmente una domanda di spiegazione. Gli utenti vogliono sapere che cosa sta accadendo, quanto durerà, chi è responsabile, quali comportamenti adottare. Se le risposte ufficiali richiedono tempo, lo spazio lasciato aperto viene occupato da interpretazioni concorrenti. In un ambiente algoritmico, però, non tutte le interpretazioni competono ad armi pari: quelle più rapide, emotive, conflittuali o accusatorie tendono ad avere un vantaggio iniziale.

Questo meccanismo è coerente con una letteratura ormai ampia sull’economia dell’attenzione e in particolare sul ruolo dell’indignazione e dell’engagement emotivo nella circolazione dei contenuti. Applicato agli incidenti infrastrutturali, il punto è che la finestra iniziale di incertezza combina tre fattori particolarmente critici: paura, bisogno di causalità immediata e scarsità di informazioni verificate. È in questa combinazione che la visibilità cessa di essere un semplice effetto comunicativo e diventa parte del rischio.

Il ruolo dell’Osint

In questa prospettiva l’ecosistema informativo pubblico non può più essere considerato uno sfondo esterno. Una possibilità è considerare le fonti pubbliche e l’OSINT come componenti di un sistema di supporto decisionale, soprattutto quando le informazioni non strutturate possono generare segnali rilevanti per imprese e organizzazioni. Nel caso delle infrastrutture critiche questa intuizione diventa ancora più stringente: ciò che circola pubblicamente durante un incidente influenza direttamente il comportamento degli utenti, la pressione sugli operatori e la qualità della risposta istituzionale.

I quattro piani del rischio operativo

Ridurre il fenomeno a un tema reputazionale sarebbe un errore. L’effetto dell’amplificazione algoritmica si manifesta su almeno quattro piani che incidono direttamente sulla gestione dell’incidente.

Il comportamento del pubblico

Il primo è il comportamento del pubblico. In molte situazioni la resilienza dipende anche dalla capacità degli utenti di seguire indicazioni corrette: evitare aree critiche, usare canali ufficiali, ridurre consumi, non congestionare i servizi di assistenza. Se lo spazio informativo è saturo di contenuti contraddittori o fuorvianti, la cooperazione si riduce e l’incidente diventa più difficile da governare.

La pressione sui sistemi di risposta

Il secondo è la pressione sui sistemi di risposta. Narrazioni imprecise o speculative possono produrre un incremento di richieste verso contact center, strutture di emergenza ed enti locali, generando attrito operativo proprio mentre servirebbero focalizzazione e coordinamento tra funzioni tecniche, decisionali e istituzionali.

L’erosione della fiducia

Il terzo è l’erosione della fiducia. Anche quando il ripristino tecnico avviene nei tempi previsti, la percezione pubblica dell’evento può consolidarsi attorno a una narrativa di incompetenza o opacità. Una volta stabilizzato questo frame, gli incidenti successivi diventano più difficili da gestire, perché la base di fiducia necessaria per ottenere cooperazione e credibilità risulta già compromessa.

Il regime di attribuzione

Il quarto è il regime di attribuzione. In un incidente complesso, la causa può essere tecnica, cyber, fisica, organizzativa o ancora ignota. Se l’attribuzione narrativa corre più velocemente dell’analisi tecnica, l’operatore rischia di dover rispondere non solo all’incidente reale, ma anche a un incidente percepito, spesso più semplice, più emotivo e più politicamente utilizzabile.

NIS2, CER e una nozione più ampia di resilienza

Il punto è particolarmente rilevante nel quadro normativo europeo che si sta consolidando attorno a NIS2 e CER. In entrambi i casi, la resilienza non può più essere interpretata come semplice robustezza tecnico-infrastrutturale: richiede capacità organizzativa, gestione del rischio, preparazione, continuità, coordinamento e risposta. Questo vale in particolare per soggetti critici ed entità essenziali, chiamati a dimostrare non solo misure tecniche adeguate, ma anche capacità effettiva di gestione dell’incidente.

Dentro questa cornice, la dimensione informativa merita maggiore attenzione. Non perché ogni organizzazione debba trasformarsi in una media company, ma perché un incidente oggi viene inevitabilmente interpretato e amplificato in ambienti digitali che influenzano il comportamento degli utenti, la pressione sugli operatori e la qualità della risposta istituzionale. Il punto spesso sottovalutato è che i tempi della verifica tecnica sono inevitabilmente più lenti di quelli della propagazione algoritmica.

Un operatore ha bisogno di accertare cause, perimetro, impatti, interdipendenze. Le piattaforme, invece, premiano ciò che arriva prima, emoziona di più, sembra spiegare il problema in modo immediato. Quando questa asimmetria non viene considerata in anticipo, il rischio è che la comunicazione ufficiale entri nello spazio pubblico già in ritardo, e quindi in una posizione strutturalmente più debole.

Crisi tecnica e crisi narrativa: due dinamiche in parallelo

In molti incidenti rilevanti si sviluppano dunque due dinamiche in parallelo. La prima è tecnica: rilevazione del problema, attivazione delle procedure, verifica delle cause, mitigazione, ripristino. La seconda è narrativa: attribuzioni premature, ricerca di colpevoli, amplificazione di contenuti emotivamente forti, emergere di canali percepiti come più rapidi o più credibili di quelli ufficiali.

Queste due dinamiche non coincidono nei tempi né nelle logiche. La prima richiede verifica e coordinamento. La seconda tende a premiare semplificazione, velocità e intensità emotiva. La letteratura e la pratica della crisis communication hanno da tempo messo a fuoco questa frizione: nei lavori sulle crisi reputazionali nell’infosfera, così come nelle esperienze professionali legate all’information integrity e alla crisis response in contesti ibridi, il punto ricorrente è che una crisi non è definita soltanto dal fatto originario, ma dal modo in cui pubblici, media, piattaforme e stakeholder lo interpretano nelle prime ore. Se l’operatore non ha già predisposto canali, procedure e responsabilità per leggere questa dinamica, la subisce.

Questa distinzione permette anche di evitare un equivoco. Integrare la dimensione informativa nella resilienza infrastrutturale non significa considerare ogni critica come disinformazione, né trasformare la comunicazione pubblica in controllo del discorso. Significa invece riconoscere che, in condizioni di incertezza, il modo in cui un evento viene narrato può modificare il modo in cui l’evento viene gestito.

Tre implicazioni pratiche per la preparazione alla crisi

Una prima implicazione riguarda la situational awareness. Accanto al monitoraggio tecnico, cyber e di servizio, gli operatori dovrebbero prevedere una forma di monitoraggio narrativo durante gli incidenti significativi: quali contenuti stanno circolando, quali interpretazioni stanno prendendo piede, quali messaggi stanno inducendo comportamenti problematici, quali canali risultano più credibili per il pubblico coinvolto. Non si tratta di fare intelligence sulle opinioni, ma di capire se il contesto informativo sta aggravando l’impatto dell’evento.

Una seconda riguarda la comunicazione anticipatoria. Gli operatori dovrebbero predisporre prima dell’incidente canali verificati, messaggi modulari, procedure di aggiornamento rapido e criteri chiari per distinguere ciò che è noto, ciò che è in verifica e ciò che non può ancora essere confermato. Nella comunicazione di crisi, dire “non lo sappiamo ancora” può essere più efficace che lasciare il vuoto interpretativo a fonti non verificate, purché sia inserito in una sequenza credibile di aggiornamenti.

Una terza riguarda le esercitazioni. I tabletop exercise e le simulazioni di crisi usano già una grammatica consolidata – scenario, inject, decisioni, escalation, after action review – che può essere estesa alla dimensione informativa digitale. Non si tratta solo di simulare la perdita di un sistema, l’attacco a una rete OT o l’interruzione di una supply chain, ma anche false attribuzioni, leak parziali, immagini decontestualizzate, hashtag ostili e conflitto tra tempi tecnici e tempi comunicativi. La resilienza non è solo capacità di ripristino; è capacità di mantenere coordinamento e fiducia mentre l’evento viene interpretato pubblicamente.

Una quarta implicazione esterna: la partita con i policy maker

Le tre implicazioni precedenti riguardano ciò che ogni operatore può e dovrebbe fare al proprio interno. Ma sarebbe ingenuo fermarsi qui. Il problema, alla radice, non nasce nella preparazione dell’operatore: nasce nell’architettura delle piattaforme che selezionano e amplificano i contenuti durante un incidente. Nessun monitoraggio narrativo interno, per quanto strutturato, può compensare il fatto che gli operatori critici non hanno né visibilità su ciò che gli algoritmi stanno amplificando in tempo reale, né canali privilegiati per immettere informazioni verificate nello spazio pubblico durante un’emergenza.

È qui che il quadro normativo europeo mostra un limite operativo. Il Digital Services Act ha introdotto obblighi di trasparenza algoritmica, valutazione dei rischi sistemici e accesso ai dati per i ricercatori, ma questi strumenti non sono ancora tradotti in un meccanismo operativo stabile che colleghi l’osservabilità delle piattaforme alla gestione concreta degli incidenti infrastrutturali. Il risultato è uno scollamento: i soggetti più direttamente esposti all’amplificazione algoritmica durante una crisi – operatori di rete, gestori di trasporti, fornitori di servizi essenziali – non sono interlocutori riconosciuti del meccanismo di osservabilità che il DSA prevede.

Per gli operatori critici questa non è una questione teorica di policy. È una questione di strumenti che mancano sul tavolo proprio mentre l’incidente è in corso. Chi gestisce infrastrutture essenziali ha voce nei tavoli di implementazione di NIS2 e CER, nei coordinamenti settoriali, nei processi di trasposizione nazionale del DSA. Usare quella voce per richiedere che la resilienza informativa diventi parte esplicita del perimetro regolatorio significa non aspettare che il quadro normativo si adatti da solo, ma contribuire a definire cosa serve davvero sul campo. Nel lungo periodo la posta in gioco è ancora più alta: se la dimensione informativa rimane fuori dalla governance degli incidenti, ogni crisi tecnica continuerà a svilupparsi con un fianco scoperto.

Dalla comunicazione alla resilienza cognitiva

Il punto, in ultima analisi, è concettuale prima ancora che tecnico. La comunicazione di crisi non può più essere considerata una funzione accessoria che interviene dopo il lavoro degli ingegneri, dei responsabili cyber o delle unità operative. In un ecosistema digitale ad alta velocità, la comunicazione è una componente della resilienza.

Questo non significa sostituire le competenze tecniche con competenze comunicative. Significa metterle in relazione. Un messaggio pubblico sbagliato può aumentare il carico operativo; una spiegazione troppo tardiva può lasciare spazio a interpretazioni ostili; una mancata distinzione tra causa accertata e ipotesi può consolidare narrative difficili da correggere; un canale ufficiale poco credibile può spingere gli utenti verso fonti alternative più rapide ma meno affidabili.

Per gli operatori di infrastrutture critiche, la domanda non è più soltanto: come proteggiamo il sistema? È anche: come viene interpretato l’incidente mentre lo stiamo gestendo? Chi sta fornendo le spiegazioni più visibili? Quali comportamenti stanno producendo quelle spiegazioni? Quale livello di fiducia residua esiste tra operatore, istituzioni e pubblico?

La resilienza infrastrutturale del prossimo decennio dipenderà sempre più dalla capacità di tenere insieme tre livelli: continuità tecnica, sicurezza cyber-fisica e stabilità dell’ambiente informativo. Separarli significa vedere solo una parte dell’incidente.

L’algoritmo non causa necessariamente il guasto. Ma può contribuire a trasformare un guasto in una crisi più ampia. Ed è per questo che l’amplificazione algoritmica è ormai un rischio infrastrutturale, e che la resilienza cognitiva – la capacità di tenere insieme decisione tecnica, comunicazione pubblica e ambiente informativo – diventa una competenza da costruire, non un sottoprodotto della comunicazione di crisi.