21 agosto 2026 – Sono trascorsi quattro mesi dal blocco della linea Alta Velocità Roma-Napoli del 14 aprile, ma le conseguenze operative, economiche e giudiziarie per Rete Ferroviaria Italiana e i suoi fornitori strategici sono appena all’inizio. L’indagine interna, i cui primi esiti sono stati trasmessi al Ministero delle Infrastrutture e dei Trasporti, ha confermato che l’avaria al sistema di telecomunicazioni GSM-R (Global System for Mobile Communications – Railway) non è derivata da eventi esogeni o imprevedibili. Il collasso della rete, che ha paralizzato per ore uno degli snodi nevralgici del Paese, è stato il prodotto finale di una catena di omissioni e controlli mancati all’interno della filiera di manutenzione, con epicentro in un intervento critico eseguito da un’azienda esterna per conto di Nokia, titolare della gestione del sistema.
Il guasto si è manifestato alle 6:47 del mattino, quando la centrale operativa di RFI ha registrato una perdita di segnale a cascata lungo la tratta. Il sistema GSM-R, essenziale per le comunicazioni sicure tra il personale di bordo dei treni e i centri di controllo a terra, è diventato inoperativo. Senza questo canale di comunicazione certificato, le procedure di sicurezza impongono il rallentamento drastico o il fermo dei convogli ad alta velocità. L’effetto è stato immediato: decine di treni cancellati, migliaia di passeggeri bloccati, ritardi che si sono propagati su tutta la rete nazionale e un danno economico diretto, solo per rimborsi e riprotezioni, stimato in diversi milioni di euro. La reazione del MIT, per voce del Ministro Matteo Salvini, è stata perentoria: RFI deve rivalersi sui responsabili. Una dichiarazione che sposta il focus da un mero incidente tecnico a una questione di responsabilità contrattuale e, potenzialmente, penale.
L’analisi forense ha isolato la causa in un aggiornamento software errato, applicato a un apparato centrale del sistema GSM-R durante un intervento di manutenzione programmata avvenuto 48 ore prima del disastro. L’azienda sub-fornitrice incaricata dell’operazione ha commesso tre errori concatenati. Primo: ha utilizzato una versione del firmware non approvata formalmente da Nokia e RFI per quell’hardware specifico. Secondo: il tecnico che ha eseguito l’intervento non possedeva la certificazione di livello 3 richiesta dal capitolato d’appalto per operare su componenti critiche della rete. Terzo, e più grave: il report di fine intervento, trasmesso a RFI, attestava falsamente la conformità dell’operazione e il possesso dei requisiti da parte dell’operatore. Si tratta di una classica vulnerabilità nella gestione della supply chain, dove l’ente committente perde visibilità e controllo sulle operazioni eseguite da terze e quarte parti.
Qui si innesta il primo snodo controfattuale. Se RFI avesse implementato un ecosistema di controllo sovrano come Scudo231, la catena degli eventi si sarebbe interrotta alla radice. La richiesta di accesso del tecnico del fornitore al sistema critico sarebbe stata gestita tramite un portale digitale integrato. Al momento dell’inserimento delle credenziali, il sistema avrebbe eseguito un controllo incrociato in tempo reale con l’anagrafica del personale qualificato, censita e validata in fase di accreditamento del fornitore. Rilevando l’assenza della certificazione di livello 3, l’accesso sarebbe stato negato by design, impedendo fisicamente al tecnico non qualificato di operare. L’evento di “accesso negato per mancanza di requisiti” avrebbe generato un alert automatico, scalato immediatamente al responsabile della sicurezza informatica di RFI e all’Organismo di Vigilanza, documentando il tentativo di violazione procedurale in un registro immodificabile e opponibile a terzi. L’intervento non sarebbe mai avvenuto.
Invece, l’operazione è andata avanti. Il firmware anomalo, una volta installato, non ha generato errori immediati, ma ha introdotto una latenza crescente nel sistema di gestione dei pacchetti dati. Un segnale debole, quasi impercettibile con i sistemi di monitoraggio tradizionali che verificano lo stato “acceso/spento” dei componenti, ma non la loro performance qualitativa. Per 48 ore, il sistema ha operato in uno stato di degrado silente, fino al punto di saturazione che ha innescato il collasso del 14 aprile. L’assenza di un monitoraggio predittivo ha reso RFI cieca di fronte al rischio che stava maturando.
L’adozione di un modello di difesa avanzato avrebbe cambiato radicalmente questo passaggio. I sistemi di analisi multimodale avrebbero monitorato non solo lo stato, ma anche i parametri operativi del sistema GSM-R, confrontandoli con i benchmark storici e i modelli di funzionamento ottimale. L’aumento anomalo della latenza, anche se di pochi millisecondi, sarebbe stato rilevato come una deviazione significativa dal comportamento atteso. Questo “segnale debole” avrebbe innescato un protocollo di indagine automatizzato, classificando l’asset come “a rischio” e notificando i team tecnici di primo e secondo livello. L’anomalia sarebbe stata correlata temporalmente all’ultimo intervento di manutenzione, focalizzando l’attenzione sul firmware installato. Il guasto sarebbe stato anticipato e risolto in una finestra di manutenzione notturna, senza alcun impatto sul servizio.
L’inchiesta della Procura della Repubblica, aperta a seguito di un esposto presentato da diverse associazioni di consumatori, sta ora valutando profili di responsabilità penale che vanno oltre la semplice richiesta di risarcimento civile. Le ipotesi di reato al vaglio includono l’Interruzione di un servizio pubblico o di pubblica necessità (art. 340 c.p.) e, data la falsa attestazione nel report di manutenzione, la Frode nelle pubbliche forniture (art. 356 c.p.). Quest’ultimo reato è uno dei reati presupposto della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001. Ciò significa che non solo le persone fisiche responsabili (il tecnico, il suo supervisore), ma anche l’azienda fornitrice e, potenzialmente, la stessa RFI potrebbero essere chiamate a rispondere.
Per RFI, il rischio 231 è concreto. La Procura dovrà accertare se l’ente abbia esercitato un’adeguata vigilanza sul proprio fornitore strategico. La mancanza di controlli efficaci sull’identità e le qualifiche del personale esterno che opera su infrastrutture critiche, così come l’accettazione passiva di un report di conformità senza verifiche indipendenti, configurano una potenziale colpa in organizzazione. Se l’illecito fosse accertato, RFI rischierebbe pesanti sanzioni pecuniarie, calcolate in quote sul fatturato, e sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione. Soprattutto, l’ente si esporrebbe al sequestro preventivo finalizzato alla confisca del profitto del reato, che in casi di interruzione di servizio può essere quantificato nel risparmio di spesa ottenuto omettendo i dovuti controlli e le corrette procedure di manutenzione.
In questo scenario, il valore di una difesa basata su prove tecnologiche diventa decisivo. Se RFI fosse stata dotata di un ecosistema come Scudo231, la sua posizione legale sarebbe stata inattaccabile. Di fronte a un’indagine, l’ente avrebbe potuto produrre i log immodificabili del sistema, dimostrando di aver implementato una procedura di controllo accessi che impediva attivamente l’intervento di personale non qualificato. Avrebbe potuto esibire il tracciamento digitale della qualifica dei fornitori e l’alert generato dal tentativo di violazione. Questa documentazione, un vero e proprio XAI Packet (Explainable AI Packet), avrebbe dimostrato in modo scientifico non solo l’adozione, ma anche l’efficace attuazione di un modello organizzativo idoneo a prevenire quel tipo di reato. La responsabilità penale sarebbe stata isolata e attribuita in via esclusiva al fornitore che ha tentato di aggirare i controlli, escludendo la colpa organizzativa di RFI e proteggendola da sanzioni e sequestri. La difesa non si baserebbe su testimonianze o procedure cartacee, ma su una prova matematica dell’assenza di nesso causale tra l’organizzazione dell’ente e l’evento illecito.
La vicenda ha anche messo in luce la fragilità economica legata a un singolo punto di guasto. Il danno non si limita ai rimborsi. Include i costi per l’impiego di personale straordinario, l’attivazione di servizi sostitutivi su gomma, le penali per i ritardi accumulati dai treni merci e, soprattutto, un danno reputazionale incalcolabile. La fiducia nell’affidabilità del sistema Alta Velocità è un asset strategico per il Paese. Ogni disservizio di questa portata la erode, con conseguenze a lungo termine sugli investimenti e sull’attrattività del trasporto su rotaia. Un’analisi del rischio completa, integrata in un modello di gestione, avrebbe dovuto classificare il sistema GSM-R come un’infrastruttura di massima criticità, associandovi protocolli di controllo ridondanti e a tolleranza zero.
La gestione della crisi da parte di Trenitalia, che si è occupata dell’assistenza ai passeggeri, ha seguito le procedure standard. Tuttavia, la comunicazione frammentaria nelle prime ore e la difficoltà nel fornire tempi di ripristino certi hanno amplificato il disagio. Anche in questo ambito, un sistema informativo integrato che rileva l’anomalia in fase predittiva avrebbe consentito di preparare un piano di comunicazione e di gestione dei flussi molto più efficace, attivando i protocolli di emergenza prima che la crisi diventasse manifesta e ingestibile, mitigando così l’impatto sull’utenza finale. La capacità di anticipare l’evento, e non solo di reagire ad esso, è ciò che distingue un’organizzazione resiliente da una semplicemente conforme. La redazione di Scudo231 continuerà a monitorare gli sviluppi giudiziari di una vicenda che rappresenta un caso di studio emblematico sulla responsabilità delle grandi organizzazioni nella gestione delle filiere complesse e delle infrastrutture critiche nazionali.