Abbiamo consegnato il 92% del mercato europeo al cloud statunitense e non sappiamo che questa concentrazione è foriera di rischi di sicurezza su tutto il sistema produttivo. Ma senza arrivare al blocco geopolitico unilaterale, eventualmente deciso da Trump con un Executive Order (in fondo siamo buoni clienti), lo scenario intermedio che vedo e’ l’attacco a data center di un alleato da parte di un paese terzo come e’ appena successo ad AWS nel Golfo. Con la NIS2 c’e’ qualche pezzo di carta preventivo ma non reattivo, del resto abbiamo aggiornato il piano pandemico poco fa e il piano di restart elettrico dopo il black out spagnolo dell’anno scorso ma sul cloud, il digitale e le telecomunicazioni siamo fragilissimi. Penso pure ai vari attacchi in concomitanza con eventi sportivi: comunque la parte logica sembra ampiamente problematizzata, anche se non risolta, mentre su quella fisica ho qualche dubbio che si tenga in considerazione.
Il 20 ottobre 2026, mentre i cittadini italiani e britannici cercavano di pagare al supermercato o di prelevare contanti, l’app di Revolut smetteva di funzionare in mezza Europa. Questo disservizio non è stato causato da un attacco hacker sofisticato o da una decisione politica di Washington, ma dal fatto che un guasto energetico aveva colpito la regione cloud di Google a Londra. In poche ore i servizi bancari, logistici e digitali di mezza Europa hanno mostrato i loro limiti.
Il caso Revolut non è un episodio isolato, ma costituisce il sintomo più recente di una dipendenza strutturale che Italia ed Europa continuano a sottovalutare, proprio mentre su altri fronti come pandemie e reti elettriche si è fatto qualche passo avanti.
In pochi mesi abbiamo visto tre livelli di rischio digitale e infrastrutturale materializzarsi o diventare più concreti, ovvero l’aggiornamento tardivo ma reale del piano pandemico italiano, le lezioni e i limiti del blackout iberico del 2025, e la trasformazione dei data center in bersagli militari, come dimostrato dagli attacchi iraniani alle strutture AWS nel Golfo e dai reciproci colpi tra Russia e Ucraina. Il quadro che emerge è sbilanciato.
Su alcuni rischi abbiamo piani operativi, cronoprogrammi e meccanismi di finanziamento. Sul cloud e sulle telecomunicazioni di base abbiamo soprattutto obblighi di conformità e la speranza che i grandi fornitori americani non cadano o non vengano fatti cadere.
Sommario
Il piano pandemico, un aggiornamento che arriva in ritardo ma esiste
Il Piano strategico operativo di preparazione e risposta a una pandemia da patogeni a trasmissione respiratoria a maggiore potenziale pandemico per gli anni dal 2025 al 2029 è stato approvato dalla Conferenza Stato Regioni il 30 aprile 2026 e pubblicato in Gazzetta Ufficiale a giugno. Sostituisce il vecchio piano per l’influenza valido dal 2021 al 2023, allarga l’ambito oltre l’influenza e stanzia risorse significative con 50 milioni nel 2025, 150 nel 2026 e 300 milioni annui dal 2027. Prevede sorveglianza integrata, scorte, protocolli flessibili e un Comitato di coordinamento. Non è perfetto e arriva con anni di ritardo rispetto alla scadenza del precedente, ma è un documento operativo con obiettivi, fondi e obblighi regionali.
Questo è il livello di formalizzazione che manca altrove. Il piano pandemico non elimina il rischio, ma crea un quadro condiviso, risorse vincolate e meccanismi di monitoraggio. È il tipo di strumento che permette, almeno in teoria, di passare da una risposta improvvisata a una gestione strutturata.
Il sistema elettrico, lezioni del blackout iberico e limiti italiani
Il blackout del 28 aprile 2025 in Spagna e Portogallo ha mostrato cosa succede quando una rete altamente rinnovabile, con interconnessioni limitate e problemi di gestione della tensione, collassa in pochi secondi. L’Italia ha il Piano di Emergenza per la Sicurezza del Sistema Elettrico, che prevede distacchi programmati a rotazione per evitare blackout incontrollati, e un Piano di Riaccensione gestito da Terna, con centrali in grado di ripartire autonomamente ed effettuare test periodici. L’Italia ha rafforzato le procedure di difesa e rimane meglio interconnessa della penisola iberica.
Questi strumenti esistono e vengono esercitati. Non sono un piano pandemico pubblico e discusso, ma sono comunque operativi. Il problema non è l’assenza totale di pianificazione, bensì il fatto che anche qui la resilienza resta parziale e dipende dalla capacità di coordinamento tra Terna, distributori e produttori in condizioni estreme. Il blackout iberico ha comunque funzionato da campanello d’allarme europeo, spingendo a riflessioni su inerzia di sistema e interconnessioni.
Il cloud, dipendenza, sovranità e assenza di piani reattivi
Qui il divario diventa evidente. Il mercato cloud europeo è dominato per circa il novantadue per cento da provider statunitensi, con i tre grandi fornitori Amazon, Microsoft e Google che coprono da soli intorno al 78%. In Italia la concentrazione sulla spesa per infrastrutture e piattaforme digitali delle grandi imprese è ancora più alta. Questa non è solo una questione di mercato, ma riguarda la continuità operativa per pubbliche amministrazioni, banche, sanità, trasporti e imprese.
L’Unione europea ha risposto con iniziative di sovranità digitale. Il Cloud and AI Development Act e il pacchetto sulla Sovranità Tecnologica del 2026 introducono livelli di garanzia, criteri per gli appalti pubblici sensibili e l’obiettivo di ridurre la dipendenza. GAIA X offre un quadro di fiducia e certificazione, ma non un’infrastruttura alternativa di scala. Gli stessi grandi fornitori hanno lanciato offerte denominate Cloud Sovrano Europeo con gestione più locale e data center situati in Europa. Restano però soggetti a legislazioni extraterritoriali americane come il CLOUD Act. Un ordine esecutivo che limitasse i servizi verso l’Unione Europea non è lo scenario più probabile poiché l’Europa è un cliente importante, tuttavia resta una leva politica reale.
Manca soprattutto un piano reattivo paragonabile a quello pandemico o di riaccensione elettrica. La direttiva NIS2 e la direttiva CER impongono valutazioni dei rischi, misure di sicurezza fisica e logica, piani di continuità e segnalazione per i fornitori di servizi cloud e data center. Sono strumenti preventivi e di conformità che non dicono, in modo operativo e nazionale, cosa fare se una o più regioni cloud di un grande fornitore americano diventano inaccessibili per giorni o settimane a causa di un evento tecnico grave, di un sabotaggio o di un attacco cinetico su infrastrutture collocate in un Paese alleato.
I data center come bersagli, dal Golfo alla nuova geografia del rischio
Nel marzo 2026 droni iraniani hanno colpito strutture AWS negli Emirati Arabi Uniti e danneggiato impianti in Bahrein. Si sono verificati danni strutturali, interruzioni di energia e perdita permanente di dati in alcune aree di disponibilità. Successivamente Russia e Ucraina hanno iniziato a colpire reciprocamente i data center. Questi episodi hanno dimostrato che la ridondanza tra più aree di disponibilità all’interno della stessa regione geografica non protegge da un evento che colpisce l’intera area, e che i data center possono diventare obiettivi militari o di pressione geopolitica.
Lo scenario intermedio, rappresentato da un attacco fisico o ibrido a data center di un alleato da parte di un Paese terzo in conflitto, è passato dalla teoria alla cronaca. La direttiva NIS2 e la direttiva CER richiedono di considerare anche le minacce ibride e la sicurezza fisica, ma restano obblighi di preparazione a livello di singolo operatore. Non esiste un coordinamento nazionale o europeo dimensionato per gestire la perdita improvvisa di capacità cloud significativa localizzata all’estero. La lezione del Golfo è geografica, in quanto scegliere un provider significa scegliere anche un luogo, una rete elettrica e uno spazio aereo.
Il caso Revolut di oggi rientra in questa logica di fragilità, anche se la causa è stata un guasto energetico e non un attacco. Mostra quanto rapidamente un problema in una singola regione si propaghi a servizi critici per i cittadini. La parte logica e informatica è relativamente più matura, infatti durante i Giochi di Milano Cortina 2026 gli attacchi informatici, anche di matrice filorussa, sono stati in larga parte mitigati grazie al coordinamento e alla capacità di filtraggio del traffico. La parte fisica, specialmente quando riguarda infrastrutture non italiane, rimane più debole.
Un confronto sbilanciato di preparazione
Su pandemie e sistema elettrico l’Italia ha documenti, risorse e procedure testate, per quanto perfettibili e arrivati in ritardo. Sul digitale la risposta principale resta la conformità normativa con direttive come NIS2, CER e DORA per il settore finanziario, insieme alle iniziative europee di medio periodo sulla sovranità. Queste ultime sono necessarie ma non sostituiscono la capacità di risposta rapida a un’interruzione significativa. La diversificazione geografica e tra più provider esiste come buona pratica, ma non è generalizzata per i carichi di lavoro critici. Le alternative europee hanno capacità limitate rispetto ai grandi fornitori americani.
Questo sbilanciamento non è solo tecnico, ma riflette priorità politiche e tempi di maturazione diversi. Un piano pandemico si aggiorna con un accordo Stato Regioni e uno stanziamento in legge di bilancio. Un piano di riaccensione elettrica è gestito da Terna all’interno del Codice di Rete. Per il cloud manca un soggetto con lo stesso livello di responsabilità sistemica e strumenti operativi equivalenti. L’Agenzia per la Cybersicurezza Nazionale ha un ruolo crescente sulla sicurezza informatica, ma il problema della continuità derivante dalla dipendenza esterna trascende la sola dimensione informatica.
Un approccio più equilibrato richiederebbe almeno tre elementi. Primo, trattare la continuità dei servizi cloud critici come un tema di resilienza nazionale ed europea, non solo di mercato o di conformità normativa. Secondo, accelerare la capacità reale di alternative e di portabilità dei carichi, andando oltre le regole e le certificazioni. Terzo, integrare esplicitamente negli scenari di rischio nazionale la possibilità di perdita prolungata di capacità cloud localizzata all’estero, con esercitazioni che coinvolgano la Pubblica Amministrazione, gli operatori essenziali e i provider.
Il caso Revolut di oggi, gli attacchi nel Golfo e il confronto con i piani pandemico ed elettrico mostrano la stessa cosa, ovvero che abbiamo imparato a formalizzare la risposta ad alcuni rischi del ventesimo secolo, ma stiamo ancora costruendo gli strumenti per quelli del ventunesimo. Finché la dipendenza dai grandi fornitori resta così elevata e la pianificazione reattiva così asimmetrica, ogni guasto energetico, ogni incidente regionale o ogni escalation ibrida continuerà a trasformarsi, in tempi molto brevi, in un problema per cittadini e servizi essenziali. La differenza tra avere un piano e doverne improvvisare uno non è teorica, ma è operativa. E’ un tema su cui la nostra Autorità per Cibersicurezza Nazionale (ACN) dovrebbe porre la massima attenzione.
