From construction sites to data: motorway concessions and cyber risk

Negli ultimi anni il mestiere del concessionario autostradale è cambiato in profondità. L’immaginario pubblico continua a legarlo soprattutto a pedaggi, viadotti, gallerie, cantieri. Chi governa una rete, invece, vive sempre più dentro un ecosistema fatto di flussi informativi continui: dati di traffico, segnalazioni di incidenti, relazioni sugli interventi delle squadre sul campo, allarmi provenienti da sensori e sistemi di monitoraggio distribuiti lungo l’infrastruttura.

Una concessionaria autostradale è oggi, in misura crescente, un operatore di dati critici. Ogni decisione sull’apertura di un cantiere, sulla gestione di un evento meteo estremo, sulla programmazione delle manutenzioni nasce da una lettura – corretta o meno – di questi flussi. Allo stesso tempo, gli stessi dati alimentano la rappresentazione ufficiale della gestione verso Ministeri, Autorità, Corte dei conti, mercati finanziari, comunità locali.

In questo scenario la disciplina europea sulla cybersicurezza (in particolare la Direttiva NIS2) e il suo recepimento nell’ordinamento italiano tramite il d.lgs. 4 settembre 2024, n. 138 non rappresentano semplicemente un nuovo catalogo di obblighi. Se letti in una chiave sistemica, possono diventare un potente alleato delle operations: uno strumento che consente a chi governa la rete di portare al centro del tavolo – in CdA, nei piani industriali, nel dialogo con lo Stato concedente – la propria visione data-driven della concessione.

Scopo di questo lavoro è mostrare come si sia evoluto il modello operativo del concessionario, quale ruolo assuma il “dato autostradale critico”, in che modo gli appalti funzionino da “codice sorgente” della trasformazione digitale, e perché NIS2, d.lgs. 138/2024 e il mondo 231 possano essere letti come architettura di governance a servizio – e non a detrimento – dell’esercizio quotidiano della rete.

1. Una rete di asfalto e bit: come cambiano le operations

Per molti anni il funzionamento ordinario di una concessione si è retto su uno schema relativamente stabile: infrastrutture fisiche progettate e manutenute con logiche ingegneristiche tradizionali; impianti tecnologici (portali, cabine, centrali di controllo) incaricati di raccogliere segnali e allarmi; operatori sul campo che pattugliano, intervengono, segnalano; una sala operativa che riceve informazioni, assume decisioni, coordina risorse.

La digitalizzazione ha inizialmente interessato la componente “statica” della rete: sistemi ITS sempre più sofisticati, sensori per il monitoraggio strutturale di ponti e viadotti, telecamere intelligenti, reti in fibra ottica lungo la carreggiata, piattaforme per la rilevazione automatica di incidenti e code. Si è trattato di un primo salto in avanti importante, ma ancora centrato principalmente sull’hardware e sui sistemi.

La vera discontinuità si manifesta quando la trasformazione digitale investe la componente “dinamica” delle operations: le squadre di manutenzione, i pattugliamenti, il pronto intervento, le attività capillari di verifica lungo la rete. In questo secondo passaggio, agli operatori non si chiede più soltanto di “fare” ma anche di registrare, in modo uniforme e strutturato, ciò che vedono e ciò che fanno. Le schede cartacee lasciano il posto a dispositivi digitali che consentono di classificare gli interventi secondo tassonomie condivise: natura dell’evento, localizzazione, causa presunta, gravità, tempi di risposta e di risoluzione, esito.

Tutte queste informazioni confluiscono in un patrimonio informativo unitario, che dialoga con i dati di traffico, con i parametri provenienti dai sensori, con le segnalazioni esterne. Se il modello dati è progettato in modo adeguato, il salto di qualità è evidente: la programmazione dei cantieri non dipende più da logiche puramente calendariali, ma da analisi dei pattern che emergono dai flussi informativi; i tratti di rete che “chiedono aiuto” si lasciano individuare prima che il degrado diventi emergenza; la performance delle squadre operative può essere misurata in maniera oggettiva, con una granularità impossibile in passato.

In questa prospettiva, l’operatore sul campo diventa un “sensore intelligente” di un sistema cyber-fisico complesso. La governance delle operations non può più fare a meno di una governance del dato. La responsabilità del top management non si esaurisce nella firma su un documento di programmazione: comprende la capacità di costruire e governare quell’infrastruttura informativa che rende possibili le decisioni quotidiane sulla rete.

2. Il “dato autostradale critico” come alleato delle operations

Per descrivere il cuore di tale infrastruttura può essere utile introdurre la nozione di “dato autostradale critico”. Si tratta dell’insieme di informazioni che descrivono lo stato reale della rete – infrastrutture, traffico, incidenti, cantieri, condizioni meteo – e che sono necessarie per garantire sicurezza e continuità del servizio. Gli stessi dati, aggregati e resi leggibili, costituiscono la base per la rendicontazione verso gli organi pubblici, per la costruzione dei Piani Economico-Finanziari, per la redazione di report ESG, per il confronto con le comunità attraversate dall’infrastruttura.

Il dato autostradale è critico per almeno tre ragioni. In primo luogo, perché la sua indisponibilità o il suo ritardo possono paralizzare la capacità di vedere ciò che sta accadendo sulla rete e dunque impedire una gestione efficace di eventi avversi. In secondo luogo, perché la sua manipolazione o corruzione possono condurre a decisioni sbagliate – ad esempio la mancata attivazione di interventi preventivi o la sottostima di rischi strutturali – con conseguenze sulla sicurezza degli utenti e sull’integrità dell’infrastruttura. In terzo luogo, perché la sua falsificazione o la sua rappresentazione distorta rischiano di compromettere la veridicità dei KPI comunicati a Regolatori, Corte dei conti, mercati, stakeholder territoriali.

Dal punto di vista delle operations, la centralità di questo dato è evidente. È grazie ad esso che diventa possibile scegliere le finestre orarie meno impattanti per l’apertura di un cantiere; identificare in modo oggettivo le aree in cui si concentrano gli incidenti; correlare eventi meteorologici e criticità infrastrutturali; costruire mappe di priorità per gli investimenti. Dal punto di vista giuridico-economico, lo stesso patrimonio informativo è ciò che consente di difendere un PEF davanti a un organo di controllo, di argomentare la razionalità di scelte operative dinanzi a una magistratura contabile o penale, di dimostrare coerenza tra dichiarazioni ESG e condotte effettive.

Proteggere, governare e valorizzare il dato autostradale critico significa, in definitiva, proteggere il cuore stesso delle operations. La cybersicurezza non è, da questo punto di vista, un layer separato, ma un elemento intrinseco del modello operativo.

3. Appalti come “codice sorgente” della trasformazione digitale

Se è vero che il dato autostradale critico è la materia prima delle decisioni, è altrettanto vero che la sua esistenza, qualità e governabilità dipendono da ciò che accade a monte, sul terreno della contrattualistica pubblica. Gli appalti sono, in senso lato, il “codice sorgente” della trasformazione digitale: definiscono che cosa chiediamo al mercato, per quanto tempo, con quali condizioni di utilizzo dei sistemi e dei dati che essi generano.

Una concessionaria che intenda sviluppare un modello pienamente data-driven deve, in primo luogo, affrontare il tema della proprietà, dell’accesso e del riuso dei dati generati da sensori, piattaforme ITS, applicazioni per le squadre operative, sistemi di pagamento. Le clausole contrattuali dovrebbero chiarire chi è titolare dei dati, in quali limiti il fornitore può riutilizzarli per finalità proprie o per altri clienti, quale diritto di accesso permanente conservi il concessionario, in quale misura i formati siano aperti ed esportabili verso data lake aziendali o piattaforme condivise. In assenza di una disciplina puntuale, il rischio è quello di un lock-in tecnologico e informativo, in cui il dato critico finisce per essere “ostaggio” del fornitore.

Un secondo profilo riguarda la definizione delle performance. Nella contrattualistica tradizionale l’attenzione è concentrata sulla disponibilità fisica degli impianti, sul rispetto dei tempi di intervento, sulla corretta esecuzione delle manutenzioni. In una prospettiva di gestione basata sui dati occorre misurare anche – e soprattutto – la qualità informativa: accuratezza, completezza, latenza dei dati che alimentano la sala operativa e i sistemi di analisi; capacità dei sistemi di integrare informazioni di natura diversa (traffico, asset, meteo, eventi operativi); predisposizione di strumenti analitici effettivamente utilizzabili dalle strutture di esercizio.

Un terzo elemento riguarda l’interoperabilità e la sicurezza by design. Le infrastrutture di trasporto e i relativi sistemi di gestione sono sempre più connessi a piattaforme nazionali ed europee, a servizi di altri gestori, a sistemi di emergenza. Nel contempo, NIS2 e il d.lgs. 138/2024 richiedono misure di sicurezza adeguate non soltanto per i sistemi IT “classici”, ma anche per le componenti OT e per la supply chain digitale. Gli appalti devono, quindi, prevedere requisiti di interoperabilità rispetto a standard riconosciuti, obblighi di aggiornamento e di gestione delle vulnerabilità, test periodici di sicurezza, impegni specifici dei fornitori in caso di incidenti cyber.

In questa prospettiva, il giurista degli appalti non è chiamato a sovrapporsi alle operations, ma a tradurne le esigenze in architettura contrattuale: a fare in modo che la visione data-driven del management trovi una proiezione duratura nei rapporti con il mercato.

4. NIS2, d.lgs. 138/2024 e il rischio operativo

La Direttiva (UE) 2022/2555 (NIS2) e il d.lgs. n. 138/2024 che ne dà attuazione in Italia segnano un salto di qualità nella disciplina della cybersicurezza. L’obiettivo dichiarato è quello di rafforzare la resilienza delle reti e dei servizi essenziali, imponendo un approccio di gestione del rischio strutturato, controlli effettivi, sanzioni dissuasive. Il perimetro soggettivo viene ampliato e approfondito, includendo, tra gli altri, gli operatori del settore dei trasporti e delle infrastrutture critiche.

Per un concessionario autostradale, il messaggio di fondo è che il rischio cyber viene riconosciuto come componente del rischio operativo. Non si tratta solo di proteggere basi dati amministrativi o sistemi di fatturazione: occorre considerare l’esposizione di sale operative, sistemi che comandano barriere, segnaletica, ventilazione in galleria, piattaforme utilizzate dalle squadre per ricevere istruzioni e trasmettere informazioni. Un incidente che colpisca questi sistemi può compromettere la capacità di monitorare la rete, rallentare o impedire l’attivazione di misure di sicurezza, alterare dati che saranno successivamente utilizzati per giustificare scelte operative o di investimento.

La normativa pone inoltre grande enfasi sulla catena di fornitura. L’operatore essenziale non è più responsabile soltanto dei propri sistemi, ma è chiamato a valutare e governare i rischi derivanti da fornitori e subfornitori critici: imprese ICT, integratori, manutentori che gestiscono componenti digitalizzate della rete. La supply chain diventa parte integrante dell’infrastruttura dal punto di vista del rischio cyber e, conseguentemente, della responsabilità.

In questo contesto, il ruolo delle operations è tutt’altro che marginale. Chi ha la responsabilità quotidiana della rete deve essere in grado di individuare i sistemi effettivamente critici, le informazioni che non possono essere perse o alterate, gli scenari di attacco che avrebbero conseguenze rilevanti sulla sicurezza stradale. La gestione del rischio cyber non è, dunque, “roba da IT”, ma una parte della progettazione e della conduzione dell’esercizio.

5. Organi di vertice: dalla mera deliberazione alla competenza informata

Un punto particolarmente significativo del d.lgs. 138/2024 è rappresentato dalla disciplina degli organi di amministrazione e direzione. L’art. 23 prevede che essi approvino le modalità di implementazione delle misure di gestione del rischio, sovrintendano all’attuazione degli obblighi previsti, ricevano informazioni periodiche sui livelli di esposizione e sugli incidenti, e, soprattutto, siano tenuti a seguire una formazione specifica in materia di cybersicurezza.

Questo impianto riflette la consapevolezza, da parte del legislatore europeo e nazionale, che la cybersicurezza non può essere un tema delegato in via esclusiva agli specialisti. Governa davvero il rischio chi comprende la sua natura, le sue possibili manifestazioni, le leve a disposizione per ridurlo. Per i componenti del CdA e per il top management di un concessionario autostradale, ciò implica l’obbligo – non più eludibile – di acquisire competenze minime sui sistemi OT/IT critici, sui dati essenziali per la resilienza, sulle conseguenze operative di un incidente digitale ed awareness rispetto alle connesse responsabilità civili e penali.

Dal punto di vista delle operations, questo rappresenta un’opportunità. Un vertice che è tenuto a formarsi sulle tematiche cyber - e che non è legittimato dalla norma a delegarne le funzioni - è un vertice che può essere coinvolto, in modo non puramente formale, nella comprensione del modello data-driven della rete. La formazione obbligatoria, se costruita a partire da casi concreti e dal racconto della rete vista dall’esercizio, può diventare lo spazio in cui il management porta la propria visione al centro del tavolo decisionale, sostenuto da una cornice normativa che legittima l’esigenza di investire in sistemi, dati, competenze.

In chiave 231, la documentazione della formazione degli organi di vertice, delle discussioni consiliari, delle decisioni assunte in materia di rischio cyber diventa, oltre tutto, un presidio difensivo. Mostra che l’ente ha preso sul serio gli obblighi NIS2, che ha valutato i rischi, che ha adottato misure proporzionate. Ciò vale sia verso le Autorità di vigilanza, sia nell’eventualità di procedimenti per responsabilità dell’ente o dei singoli.

6. Verso un “Modello 231 Autostradale Digitale”

In un ambiente in cui la dimensione digitale pervade le operations, il Modello 231 “classico” rischia di rivelarsi insufficiente se non viene aggiornato. Non perché le categorie di reato cambino, ma perché cambiano i contesti in cui i rischi si manifestano e gli strumenti con cui possono essere prevenuti. Per gli operatori autostradali può allora essere utile pensare a un “Modello 231 Autostradale Digitale”, capace di integrare la prospettiva NIS2 all’interno dei processi operativi.

Un tale modello dovrebbe, innanzitutto, riconoscere espressamente il rischio cyber come parte del rischio operativo. Ciò significa mappare i processi in cui la dipendenza da sistemi digitali è elevata – gestione delle gallerie, monitoraggio strutturale, coordinamento dei cantieri, gestione delle emergenze – e definire protocolli specifici che individuino ruoli, responsabilità, flussi informativi in caso di incidente digitale. Significa, inoltre, prevedere forme strutturate di informativa all’Organismo di Vigilanza e di interazione tra questo e le funzioni di esercizio.

In secondo luogo, il modello dovrebbe includere una vera e propria data governance del dato autostradale critico: identificazione delle principali categorie di dati, regole di accesso, tracciatura delle operazioni, criteri di conservazione, modalità di anonimizzazione o pseudonimizzazione per usi esterni. La possibilità di ricostruire, a posteriori, quali informazioni fossero disponibili in un certo momento e come siano state utilizzate costituisce un elemento essenziale sia per la prevenzione, sia per la difesa.

Un terzo elemento riguarda l’integrazione della supply chain. Il Modello 231 e la contrattualistica devono dialogare, prevedendo criteri di selezione dei fornitori che tengano conto della maturità cyber e della capacità di integrazione dati, oltre che di parametri economici, e clausole che disciplinino obblighi informativi, audit, cooperazione nella gestione degli incidenti. La catena di fornitura non può essere un “buco nero” dal punto di vista del rischio; deve essere portata dentro l'ambito di compliance.

Infine, il modello dovrebbe valorizzare la dimensione della “board accountability tracciata”: prevedere momenti strutturati in cui i principali indicatori di rischio – safety, cyber, ESG, profili regolatori – sono portati all’attenzione del CdA, discussi e tradotti in decisioni documentate. Ciò consente, da un lato, di alimentare circoli virtuosi di miglioramento; dall’altro, di disporre di una storia decisionale verificabile.

7. Conclusioni: una grammatica comune per diritto, dati e operations

Il sistema delle concessioni autostradali si muove oggi in un ambiente complesso, caratterizzato da aspettative elevate, controlli rafforzati, rischi tecnologici in crescita. La digitalizzazione della rete e delle operations non è un’opzione, ma una traiettoria già in atto, con intensità diverse. Il rischio cyber, lungi dall’essere una variabile marginale, incide direttamente sulla capacità di garantire sicurezza e continuità del servizio, sulla credibilità della rendicontazione, sulla responsabilità dell’ente e dei suoi vertici.

In questo contesto NIS2, il d.lgs. 138/2024 e il sistema 231 non dovrebbero essere letti soltanto come fonte di vincoli e di sanzioni potenziali. Possono, se adeguatamente compresi, rappresentare la grammatica comune che permette al diritto, ai dati e alle operations di parlarsi. La nozione di dato autostradale critico aiuta a mettere a fuoco ciò che davvero conta, al di là della singola tecnologia. La contrattualistica, intesa come codice sorgente della trasformazione digitale, consente di stabilizzare nel tempo il modello desiderato. La formazione obbligatoria degli organi di vertice e l’evoluzione dei modelli 231 aprono spazi per un coinvolgimento consapevole del CdA e del top management nella gestione del rischio.

Per chi governa una rete, la sfida è far sì che questa grammatica lavori a favore, e non contro, l’esercizio. Significa usare la cornice normativa per argomentare la necessità di investimenti coerenti; per strutturare processi decisionali trasparenti e difendibili; per costruire relazioni più mature con lo Stato concedente, con i controllori, con i mercati. In ultima analisi, significa riconoscere che governare una concessione oggi vuol dire tenere insieme la strada, il dato e la responsabilità. Il diritto, quando si lascia contaminare dal linguaggio delle operations, diventa uno strumento per farlo, non un ostacolo da aggirare.