Il blackout Enav è di cultura istituzionale prima che infrastrutturale

Hacker o guasto, per chi resta a terra non cambia molto. Il blackout Enav mostra che la resilienza operativa è una sfida ancora da vincere. Venerdì mattina lo spazio aereo italiano si è scoperto a mezzo servizio. Un’anomalia sulla rete geografica di trasmissione dati che collega i centri di controllo ha costretto Enav a dimezzare la capacità, con ritardi e cancellazioni da Malpensa a Fiumicino fino a Punta Raisi. La principale preoccupazione del comunicato ufficiale è stata escludere un’“attività malevole”. E’ una rassicurazione comprensibile ma poco rilevante. Per il passeggero bloccato al gate, per la compagnia che deve riproteggere equipaggi e coincidenze, per l’albergo che perde la prenotazione, un bug e un ransomware costano allo stesso modo.

Il punto da discutere oggi, infatti, più che il movente, è l’architettura. Ed è un film già visto. Il 28 giugno 2025 un’avaria della stessa rete E-Net al Centro di controllo di Milano aveva fermato oltre 320 voli nel nord-ovest. Il collegamento principale e quello di riserva, affidati allo stesso fornitore esterno, erano caduti insieme. Sedici mesi dopo, la manutenzione della rete è ancora in capo a Tim, il guasto è di nuovo attribuito alla rete, e il ministro delle Infrastrutture ha già indicato il colpevole nel fornitore: ma una ridondanza basata sulla condivisione di fornitore, dorsale e cultura organizzativa ha qualcosa che non convince. Il resto del mondo non sta meglio, ma impara più in fretta. Nel Regno Unito l’8 settembre Nats ha subìto il terzo collasso nazionale in tre anni. E’ accaduto ottantuno giorni dopo che il regolatore aveva chiuso l’ultima delle 34 raccomandazioni nate dal disastro dell’agosto 2023: prova che la conformità formale spuntata su una checklist non coincide con la resilienza. Negli Stati Uniti il sistema Notam della FAA si spense nel gennaio 2023 per un file cancellato per errore. Nel luglio 2024 un aggiornamento difettoso di CrowdStrike lasciò a terra migliaia di voli in tutto il mondo.

L’Europa, pur con il suo proverbiale incedere normativo, la diagnosi l’ha già scritta. La direttiva Nis2 sulla cybersicurezza delle infrastrutture critiche obbliga i soggetti essenziali a governare il rischio dei fornitori e a garantire la continuità operativa. Il regolamento Dora impone alla finanza test di resilienza e la mappatura delle dipendenze critiche, ed è ormai il benchmark per qualunque infrastruttura. Il decreto italiano di recepimento della Nis2 è entrato in vigore il 16 ottobre 2024. Il blackout ne ha celebrato, con tempismo involontario, il secondo compleanno, mentre le evidenze sulle misure di sicurezza di base sono attese per fine mese. In Italia queste norme sono troppo spesso vissute come carta da produrre per l’Agenzia per la cybersicurezza nazionale, non come ingegneria da progettare. Nei consigli di amministrazione l’IT resta una voce di costo da comprimere in gara. E il mercato del lavoro non offre abbastanza architetti di rete e specialisti di continuità operativa per tradurre i regolamenti in sistemi.

La soluzione non è un appello alla diplomazia, né l’ennesima commissione d’indagine, né lo stellone italico, che per sua natura non è ridondato. Serve capitale: reti davvero diversificate, test di failover sotto carico reale, contratti con i fornitori che prezzino il rischio sistemico. E serve capitale umano, formato e pagato quanto vale. Non basta notificare burocraticamente la resilienza operativa dei servizi essenziali: va costruita ogni giorno, nella cultura istituzionale e organizzativa prima ancora che nelle infrastrutture.