Il 20 settembre 2025 un cyberattacco ha colpito tre tra i principali scali europei Londra Heathrow, Bruxelles e Berlino. I sistemi digitali che governano il check-in e la gestione dei bagagli sono stati resi inutilizzabili, determinando ritardi, cancellazioni e l’impossibilità di garantire la regolarità del traffico.
Per giorni, migliaia di passeggeri sono rimasti intrappolati in un caos che ha reso evidente quanto il trasporto aereo sia dipendente dal funzionamento ininterrotto dei sistemi informatici.
La causa non va ricercata nei singoli aeroporti ma in Collins Aerospace, società statunitense del gruppo RTX Corporation che fornisce a livello globale software critici. Ad essere colpito è stato MUSE, un sistema che consente alle compagnie aeree di condividere infrastrutture di check-in e gate. Questa architettura centralizzata, pensata per efficienza ed economia di scala, si è rivelata un punto di caduta unico capace di bloccare più aeroporti simultaneamente. L’attacco ha quindi mostrato come la catena di fornitori sia oggi il vero tallone d’Achille del settore.
Secondo l’Agenzia europea per la cybersicurezza (ENISA) l’incidente è riconducibile a un ransomware. Al di là della finalità economica, non è esclusa la matrice geopolitica. Colpire un fornitore globale di infrastrutture civili critiche può avere lo scopo di creare instabilità, mettere alla prova le difese occidentali o mascherare attività di esfiltrazione di dati. La linea di confine tra criminalità informatica organizzata e strategia statale appare sempre più sottile.
L’impatto pratico è stato pesante. A Bruxelles circa il 40% dei voli è stato cancellato, Heathrow ha registrato oltre il 90% di partenze in ritardo la domenica e Berlino ha visto più di due terzi dei voli interessati da disservizi. L’uso di procedure manuali come etichette scritte a mano e liste cartacee si è rivelato insostenibile per un hub internazionale. È apparso chiaro che la dipendenza tecnologica è ormai tale da rendere impossibile un ritorno, anche temporaneo, a modalità di lavoro “analogiche”.
Negli ultimi anni l’Unione Europea ha avviato un percorso organico di rafforzamento della sicurezza cibernetica, con l’obiettivo di garantire un livello comune di protezione in tutti gli Stati membri. La prima Direttiva NIS ha rappresentato il punto di partenza, introducendo l’idea che i fornitori di servizi essenziali e i prestatori di servizi digitali dovessero conformarsi a specifici obblighi di gestione del rischio e di notifica degli incidenti. Tuttavia, l’esperienza applicativa ha dimostrato che l’approccio iniziale risultava disomogeneo e frammentato, con un’applicazione variabile da Paese a Paese e un livello di protezione non uniforme.
La risposta è stata l’adozione della Direttiva NIS2, che ha ampliato notevolmente l’ambito soggettivo, includendo una gamma più ampia di soggetti ritenuti strategici, tra cui infrastrutture di trasporto, energia, sanità e amministrazioni pubbliche. La direttiva ha inoltre introdotto standard di governance più stringenti, imponendo agli organi direttivi delle imprese una responsabilità diretta nell’attuazione delle misure di sicurezza. Non si tratta solo di un adempimento tecnico, ma di un vero e proprio dovere gestionale che incide sulla responsabilità degli amministratori e sulla valutazione complessiva della compliance aziendale.
Particolare rilievo assume il riferimento alla catena di fornitura. Le nuove regole mirano a prevenire situazioni in cui la vulnerabilità di un singolo fornitore possa compromettere l’intero sistema. In tal senso, la NIS2 impone di estendere i controlli e gli standard di sicurezza anche ai rapporti contrattuali con i partner commerciali, delineando un sistema multilivello di responsabilità. L’approccio europeo, dunque, si orienta verso un modello che riconosce la cybersicurezza come un elemento strutturale della stabilità economica e della sicurezza collettiva.
Il legislatore italiano ha progressivamente adattato il proprio ordinamento agli sviluppi del diritto europeo in materia di cybersicurezza. Il recepimento della prima Direttiva NIS aveva portato all’introduzione di obblighi di sicurezza e di notifica per gli operatori di servizi essenziali e per i prestatori di servizi digitali. Tale modello, pur rappresentando un passo in avanti, ha mostrato limiti significativi, soprattutto in termini di coordinamento e di effettività delle misure adottate.
L’attuazione della NIS2 costituisce un passaggio decisivo. Essa richiede non solo di estendere l’ambito dei soggetti coinvolti, ma anche di introdurre meccanismi di responsabilità manageriale più incisivi. In Italia un ruolo centrale è affidato all’Agenzia per la Cybersicurezza Nazionale, che assume funzioni di indirizzo, coordinamento e vigilanza, garantendo uniformità di applicazione. Il recepimento comporta altresì un rafforzamento delle competenze delle autorità di regolazione settoriale, chiamate a operare in sinergia con l’Agenzia.
Un profilo particolarmente rilevante riguarda la responsabilità degli amministratori e dei dirigenti delle imprese. L’ordinamento nazionale, in linea con le previsioni europee, attribuisce loro un dovere di supervisione e di controllo sull’adozione delle misure di sicurezza, configurando ipotesi di responsabilità non solo verso l’impresa ma anche in relazione agli effetti esterni di eventuali carenze. Ciò comporta la necessità di una revisione dei modelli organizzativi e delle clausole contrattuali con i fornitori, con l’obiettivo di garantire che l’intera catena di approvvigionamento rispetti standard adeguati.
Il recepimento italiano, pertanto, non si limita a tradurre formalmente le regole europee, ma le integra nel tessuto normativo nazionale, generando un sistema che tende a responsabilizzare maggiormente i soggetti coinvolti e a rafforzare la protezione complessiva contro le minacce informatiche. In questo quadro il diritto italiano si muove nella direzione di una sempre maggiore convergenza tra tutela della sicurezza, regolazione del mercato e responsabilità degli operatori economici.
Il settore dell’aviazione ha tradizionalmente concentrato gli sforzi sulla protezione fisica. L’incidente del 2025 mostra che l’attenzione deve spostarsi verso la sicurezza informatica. È indispensabile garantire un monitoraggio costante dei sistemi IT e OT, adottare un’architettura di sicurezza che non presuma fiducia automatica e segmentare le reti in modo da impedire la propagazione degli attacchi. Le relazioni contrattuali con i fornitori devono contenere clausole che impongano controlli periodici, standard minimi di sicurezza e procedure obbligatorie di notifica.
Il ricorso all’improvvisazione manuale ha confermato che oggi la continuità dei servizi aerei non può basarsi su soluzioni di emergenza elementari. Servono sistemi ridondanti, piani alternativi realmente praticabili e formazione del personale su procedure digitali di emergenza. L’informatica non è più un supporto, ma parte integrante del funzionamento del trasporto aereo, e quindi della stessa sicurezza nazionale ed economica.
L’attacco a Collins Aerospace deve spingere ad una riflessione. La dipendenza da pochi fornitori strategici, la centralizzazione delle funzioni e l’interconnessione dei sistemi hanno creato nuove forme di vulnerabilità. L’Europa, gli Stati membri e le imprese devono riconoscere che la protezione delle infrastrutture digitali è oggi parte integrante della sicurezza collettiva. La normativa fornisce un quadro stringente ma dovrà essere seguita da un impegno effettivo nell’adozione di misure tecniche e organizzative solide. La sicurezza digitale non è più un tema tecnico, ma una componente essenziale della stabilità economica e della fiducia dei cittadini.
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
