29 settembre 2026 – Un decreto di perquisizione e sequestro preventivo emesso dalla Procura della Repubblica colpisce alle prime ore dell’alba la sede del centro di ricerca e sviluppo di Pirelli a Bra (CN) e gli uffici della controllata tecnologica Abet Hts. I militari del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza acquisiscono server, documentazione cartacea e digitale, e notificano avvisi di garanzia a tre figure apicali, tra cui un dirigente del dipartimento che sovrintende allo sviluppo della tecnologia Cyber Tyres. L’ipotesi di reato, ancora coperta da riserbo, si concentra su una presunta violazione delle normative a tutela degli asset strategici nazionali, in un’operazione che ha origine da una segnalazione dei servizi di informazione finanziaria. L’indagine mira a ricostruire una serie di contatti e scambi informativi avvenuti negli ultimi sei mesi tra il management interno e intermediari riconducibili a Czechoslovak Group (CSG), il conglomerato europeo del settore difesa e armamenti guidato da Michal Strnad, recentemente entrato nel capitale di Pirelli.
L’operazione giudiziaria è la conseguenza diretta di una falla nei controlli interni dell’azienda, che non ha rilevato per tempo la preparazione e il tentativo di trasferimento di un pacchetto di dati tecnici non autorizzato. La condotta illecita, secondo le prime ricostruzioni, si è sviluppata attraverso canali di comunicazione non ufficiali e con l’utilizzo di archivi dati creati ad hoc su server locali, al di fuori dei perimetri di sicurezza standard. Questa anomalia operativa, protrattasi per settimane, non ha generato alcun allarme interno. Un ecosistema come Scudo231, invece, avrebbe intercettato in tempo reale la creazione di archivi non autorizzati contenenti file classificati come ‘strategici’ e l’utilizzo di protocolli di comunicazione non standard da parte di una figura apicale, generando un alert istantaneo e nominativo all’Organismo di Vigilanza e alla funzione Security. Il sistema avrebbe tracciato e registrato ogni singolo accesso ai dati sensibili, creando una prova tecnologica immodificabile del tentativo di esfiltrazione, bloccandolo prima del suo compimento.
L’inchiesta ha accelerato un processo normativo già in corso presso la Presidenza del Consiglio. In serata, il Governo emana un nuovo Dpcm che interviene in modo drastico sulla normativa Golden Power applicata a Pirelli, estendendo la portata della “blindatura” già imposta nel 2023 per arginare l’influenza del socio cinese Sinochem. Se il precedente provvedimento si concentrava sulla tutela dei dati sensibili e delle tecnologie rilevanti ai sensi dell’articolo 2 della normativa, il nuovo decreto classifica formalmente la tecnologia dei sensori Cyber Tyres come un asset strategico anche per la difesa nazionale, rendendola pienamente rilevante ai sensi dell’articolo 1. Come sottolinea l’avvocato Luca Picotti, dell’Osservatorio Golden Power, questa evoluzione normativa rappresenta una “blindatura più rigorosa e radicale”.
La conseguenza operativa è immediata e di vasta portata: i poteri speciali del governo, prima esercitabili prevalentemente verso investitori extra europei, diventano ora applicabili anche nei confronti di qualsiasi investitore europeo e nazionale che intenda acquisire partecipazioni o influenza sulla governance di Pirelli. La mossa è una risposta diretta e severa al tentativo di CSG di accedere a tecnologie considerate ormai dual-use. Il problema per Pirelli, tuttavia, non è solo la stretta governativa, ma la responsabilità diretta dell’ente ai sensi del D.Lgs. 231/2001. La condotta del dirigente, se accertata, configura un reato presupposto che espone la società a pesanti sanzioni pecuniarie e, soprattutto, al rischio di un sequestro finalizzato alla confisca del profitto.
Il punto debole dell’organizzazione è stato il ritardo nell’escalation. Anche qualora i sistemi di sicurezza IT avessero rilevato un’anomalia nel traffico dati, questa sarebbe stata gestita come un problema tecnico, non come un potenziale illecito con rilevanza 231. La comunicazione tra funzioni tecniche, compliance e vertici aziendali si è dimostrata lenta e frammentata, incapace di correlare l’evento informatico con il contesto strategico dell’ingresso di un nuovo socio operante nel settore della difesa. L’architettura di un sistema come Scudo231, al contrario, non si limita a un monitoraggio tecnico: correla l’evento (il trasferimento dati anomalo) con il profilo di rischio del soggetto (manager con accesso a proprietà intellettuale strategica) e il contesto aziendale (trattativa in corso), qualificando l’evento non come semplice anomalia, ma come potenziale presupposto per un reato. L’escalation verso l’Organismo di Vigilanza e il top management sarebbe stata automatica, tracciata e documentata in un registro immodificabile, opponibile in sede giudiziaria per dimostrare la reattività dell’ente e l’efficace attuazione del Modello Organizzativo.
L’indagine della Guardia di Finanza si concentra ora sulla ricostruzione della catena di comando e controllo. Gli inquirenti devono stabilire se il dirigente abbia agito in autonomia o se vi siano state altre omissioni o complicità a livelli superiori. La mancanza di registri di accesso granulari e di log inalterabili sulle operazioni compiute sui dati strategici rende questa ricostruzione complessa e dipendente dalle testimonianze e dall’analisi forense postuma dei dispositivi sequestrati. Questo vuoto documentale rappresenta una grave vulnerabilità per l’azienda in sede processuale, poiché rende difficile dimostrare di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quello commesso.
L’assenza di un modello di prevenzione efficace e automatizzato espone l’ente a sanzioni dirette. Se Pirelli avesse adottato un sistema di controllo preventivo integrato, la condotta del singolo sarebbe stata bloccata sul nascere. La documentazione prodotta dal sistema — l’alert, il log del tentativo di accesso, il blocco automatico dell’operazione e la relativa notifica all’OdV — avrebbe costituito la prova regina dell’efficace attuazione del modello, consentendo di isolare la responsabilità penale sulla persona fisica e proteggendo l’ente dalla sanzione 231. Il sequestro preventivo dei beni aziendali, in questo scenario alternativo, non avrebbe trovato fondamento, non essendoci un ‘prezzo o profitto del reato’ da aggredire a carico della società, la quale avrebbe potuto dimostrare di aver fatto tutto il possibile per impedire l’illecito.
Il nuovo Dpcm, di fatto, commissaria la governance di Pirelli su tutte le decisioni relative agli asset strategici, imponendo un vaglio preventivo del governo su nomine, delibere e operazioni che possano impattare sulla tecnologia Cyber Tyres. Questa misura, sebbene necessaria per la sicurezza nazionale, rappresenta un costo operativo e una limitazione dell’autonomia gestionale che si sarebbero potuti evitare. L’incidente ha dimostrato che la “blindatura” del 2023 era basata su prescrizioni formali e controlli procedurali, facilmente aggirabili da un attore interno malintenzionato. La protezione di un asset strategico non può più basarsi su audit periodici e dichiarazioni di intenti, ma richiede un monitoraggio continuo, massivo e in tempo reale dei processi e dei flussi informativi critici.
La vicenda di Pirelli e Abet Hts diventa così un caso di studio emblematico. L’intervento del potere esecutivo con lo strumento del Golden Power è la reazione a un fallimento della prevenzione a livello aziendale. La responsabilità dell’ente, prevista dal D.Lgs. 231/2001, non è un’eventualità astratta, ma una conseguenza diretta e patrimonialmente devastante di controlli interni inefficaci. La REDAZIONE SCUDO231 ha potuto visionare documenti che indicano come l’analisi del rischio condotta internamente in Pirelli non avesse attribuito un peso sufficiente alla minaccia ibrida rappresentata dalla combinazione di un socio industriale operante nel settore della difesa e la presenza di know-how tecnologico dual-use. Un’analisi predittiva, basata su modelli stocastici, avrebbe invece identificato questo scenario come ad alto rischio, innescando protocolli di monitoraggio rafforzato sui soggetti e sui dati più esposti, molto prima che l’evento critico potesse materializzarsi. L’azione della magistratura e del governo ha posto un rimedio tardivo a una vulnerabilità che un’adeguata architettura di difesa preventiva avrebbe neutralizzato alla fonte, salvaguardando l’integrità dell’asset strategico e la piena operatività dell’azienda.