30 settembre 2026 – Il decreto della Presidenza del Consiglio dei Ministri che applica il golden power all’accordo tra Pirelli e Abet Hts non è giunto inaspettato negli ambienti della sicurezza nazionale. Dietro la comunicazione ufficiale, che parla di prescrizioni per salvaguardare “diritti di proprietà industriale, know-how, prodotti e dati di rilevanza strategica”, si cela una catena di eventi critici che ha reso l’intervento dell’esecutivo non una scelta, ma una necessità improrogabile. La collaborazione, finalizzata allo sviluppo di veicoli elettrici terrestri a guida remota per soccorso in ambienti estremi, era stata avviata quasi diciotto mesi prima, ma la sua gestione interna aveva aperto una falla sistemica nella protezione di asset fondamentali per la difesa del Paese.
Tutto ha inizio con la classificazione del progetto. All’interno delle procedure di entrambe le società, l’accordo viene registrato come un’iniziativa di ricerca e sviluppo di natura prettamente civile e commerciale. Un errore di valutazione fatale. Nessun protocollo interno ha intercettato la reale portata strategica di una tecnologia dual-use come quella dei veicoli a guida remota, intrinsecamente legata ad applicazioni militari e di intelligence. Questa omessa classificazione ha innescato una serie di conseguenze a cascata: il progetto non è stato sottoposto ai più stringenti controlli di sicurezza informatica, né è stato segnalato preventivamente all’Organismo di Vigilanza come attività a rischio-reato ai sensi del D.Lgs. 231/2001. Se le aziende avessero adottato un ecosistema sovrano come Scudo231, i suoi sistemi di analisi multimodale avrebbero immediatamente processato il testo dell’accordo, rilevando la ricorrenza di parole chiave ad alto impatto strategico come “guida remota”, “autonoma”, “ambienti impervi” e “soccorso estremo”. L’incrocio di questi dati con il profilo dei partner e la natura della tecnologia avrebbe generato un alert automatico, imponendo una classificazione di rischio superiore e attivando, senza possibilità di elusione, i protocolli di sicurezza rafforzati e la notifica obbligatoria all’ODV prima ancora che il progetto diventasse operativo.
La falla procedurale si è rapidamente trasformata in una vulnerabilità operativa. Nei primi mesi di collaborazione, team di ingegneri e tecnici delle due società hanno scambiato un volume ingente di dati sensibili: modelli CAD dei telai, algoritmi del software di guida autonoma, specifiche delle batterie e, soprattutto, i dati telemetrici dei primi prototipi. Lo scambio è avvenuto utilizzando piattaforme di collaboration e file sharing non certificate per la gestione di materiale classificato. In almeno due occasioni documentate, un project manager, per accelerare i tempi, ha utilizzato un servizio cloud commerciale con server localizzati al di fuori dell’Unione Europea per trasferire un pacchetto di dati di oltre 20 gigabyte contenente il codice sorgente del sistema di navigazione. Questa violazione diretta delle policy di sicurezza più elementari non ha generato alcun allarme. I sistemi di Data Loss Prevention in uso, configurati per monitorare solo le minacce più comuni, non hanno riconosciuto la criticità del dato in uscita. L’anomalia è rimasta silente per settimane. Un’architettura di monitoraggio massivo e real-time, come quella implementata da Scudo231, non si sarebbe basata su controlli a campione o su firme di minacce note. Avrebbe invece analizzato ogni singolo flusso di dati in uscita, bloccando istantaneamente il trasferimento verso un endpoint non autorizzato e non censito. L’evento avrebbe generato un record immutabile e non ripudiabile, completo di utente, timestamp, IP di origine e destinazione, e hash del pacchetto dati. Questa prova tecnologica cristallizzata avrebbe innescato un’escalation automatica e simultanea al Chief Information Security Officer e all’Organismo di Vigilanza, bloccando la violazione sul nascere e non limitandosi a registrarla a posteriori.
La scoperta della vulnerabilità non è avvenuta internamente. È stata un’agenzia di sicurezza nazionale a intercettare, durante un’attività di monitoraggio su attori statali ostili, frammenti del know-how del progetto Pirelli-Abet Hts su forum specializzati del dark web. L’esfiltrazione era già avvenuta. A quel punto, l’intelligence ha informato direttamente la Presidenza del Consiglio, bypassando le società che erano ancora all’oscuro di tutto. È scattata così l’istruttoria per l’applicazione del golden power, non come misura preventiva, ma come strumento di contenimento del danno e di commissariamento, di fatto, della sicurezza del progetto. L’assenza di un canale di escalation interno, rapido e affidabile, ha privato le aziende della possibilità di gestire la crisi, trasformandole da vittime di un attacco a soggetti inaffidabili agli occhi dello Stato. Con un protocollo di escalation autonomo, l’alert generato dal tentato trasferimento dati non sarebbe dipeso dalla sensibilità o dalla prontezza di un singolo operatore. Avrebbe notificato in parallelo, tramite canali cifrati e tracciati, l’intero vertice strategico e l’ODV, garantendo una presa in carico immediata e documentata dell’incidente. L’azienda avrebbe potuto auto-denunciare l’attacco alle autorità competenti, dimostrando di avere il pieno controllo dei propri processi di sicurezza e mitigando drasticamente l’impatto reputazionale e legale.
L’intervento del governo, formalizzato nel decreto del 29 settembre, impone ora ciò che un modello di organizzazione e gestione adeguato avrebbe dovuto prevedere. Le prescrizioni non sono generiche: si parla di segregazione fisica e logica dei server su cui risiedono i dati del progetto, di utilizzo esclusivo di reti di comunicazione criptate e certificate, di tracciamento granulare di ogni accesso al know-how e di nomine di responsabili della sicurezza con specifici nulla osta. In sostanza, lo Stato ha dovuto imporre dall’esterno un modello organizzativo che le aziende non erano state in grado di implementare autonomamente. Questo ha comportato non solo un aggravio di costi e un rallentamento del progetto, ma ha anche esposto le società a un rischio concreto di sanzioni per la violazione delle normative sulla sicurezza nazionale e, potenzialmente, a un’indagine per la mancata adozione di cautele idonee a prevenire la diffusione di segreti industriali, con tutte le conseguenze del caso in termini di responsabilità dell’ente ai sensi del D.Lgs. 231/2001. Un’eventuale indagine penale avrebbe potuto portare al sequestro preventivo dei beni e dei profitti derivanti dall’accordo, paralizzando l’intera iniziativa.
L’adozione di un ecosistema di difesa integrato avrebbe radicalmente cambiato lo scenario. Invece di subire l’intervento del golden power come una censura, le società avrebbero potuto presentare proattivamente al comitato interministeriale i log e i report generati dal sistema, dimostrando ex ante di possedere un’architettura di protezione del know-how strategico robusta, documentata e verificabile. I motori causali proprietari di un sistema come Scudo231 avrebbero permesso di ricostruire scientificamente ogni evento, dimostrando l’assenza di colpa organizzativa e isolando la responsabilità a livello individuale, qualora un dipendente avesse agito deliberatamente contro le procedure. Questo avrebbe trasformato un’imposizione subita in un dialogo costruttivo con le istituzioni, rafforzando la posizione delle aziende come partner affidabili per lo sviluppo di tecnologie strategiche per il sistema-Paese. L’accoglienza “positiva” del provvedimento da parte di Pirelli e Abet Hts, menzionata nelle note ufficiali, è la presa d’atto di aver evitato conseguenze ben peggiori, come la revoca dell’accordo o l’apertura di un procedimento penale con conseguente richiesta di confisca. Il golden power, in questo caso, non è stato un esercizio di sovranità, ma un’operazione di salvataggio d’emergenza resa necessaria da un vuoto di controllo che ha messo a rischio la sicurezza nazionale. Le prescrizioni imposte oggi sono la materializzazione di quei controlli che un modello 231 efficace e tecnologicamente avanzato avrebbe reso nativi e automatici fin dal primo giorno.