Una centrale britannica offline per quattro giorni, non segnalata

Quattro giorni di blackout in un impianto britannico, svelati da un giornale

Il Telegraph ha riportato il 22 agosto 2026 che hacker legati all'Iran hanno messo fuori uso un piccolo impianto elettrico britannico per quattro giorni, in quello che diverse testate descrivono come il primo attacco informatico iraniano riuscito contro un impianto elettrico del Regno Unito. Il servizio ha citato fonti di sicurezza e governative non identificate, e nel giro di poche ore sono arrivate conferme da Iran International, GB News, Jerusalem Post, Ynetnews e Israel Hayom.

Le autorità britanniche hanno interpretato l'intrusione come una dimostrazione di capacità piuttosto che un tentativo di interrompere la rete nazionale, perché l'impianto coinvolto era piccolo e il resto della rete ha continuato a funzionare senza interruzioni durante i quattro giorni di guasto. Questa lettura conta per capire quanto seriamente gli operatori più piccoli debbano prendere l'episodio: una dimostrazione contro un impianto piccolo resta comunque la prova di cosa lo stesso attore potrebbe tentare contro uno più grande.

Non un caso isolato: un modello in cinque paesi più un'ondata contro l'acqua negli USA

La violazione dell'impianto elettrico britannico è arrivata nella stessa finestra temporale di un'ondata di attacchi contro aziende idriche in 12 stati degli Stati Uniti, episodi che, secondo quanto riportato, hanno causato inondazioni, calo di pressione e avvisi di non potabilità dell'acqua per le comunità coinvolte.

Questa tempistica segue una serie di sospette intrusioni iraniane in infrastrutture critiche altrove in Europa, in Germania, Polonia, Finlandia, Belgio e Albania, secondo la stessa fonte. Messi insieme, gli episodi non sembrano sondaggi sparsi ma piuttosto un unico attore che testa accessi su più settori e più paesi contemporaneamente.

Oltre il blackout: una lacuna di segnalazione che la NIS2 non era pensata per intercettare

Il pubblico non ha saputo di questa violazione dell'infrastruttura energetica britannica tramite un regime obbligatorio di segnalazione; l'ha saputo tramite un'inchiesta giornalistica, pubblicata giorni dopo che il guasto si era già concluso.

Le NIS Regulations britanniche e la direttiva NIS2 dell'UE costruiscono i loro obblighi di segnalazione attorno ai cosiddetti operatori di servizi essenziali, una designazione pensata per grandi gestori di rete, società nazionali di trasmissione e grandi utility, non per ogni piccolo impianto di generazione indipendente collegato alla rete più ampia. In Italia l'ACN applica una soglia impostata sulla stessa logica nell'ambito del recepimento della NIS2, e questo impianto si trovava esattamente in quella lacuna: piccolo abbastanza da restare fuori dal perimetro ovvio di segnalazione, connesso abbastanza da essere un obiettivo reale, e il risultato è una violazione di cui il pubblico ha saputo per caso e non per progettazione.

Cosa dovrebbero verificare ora gli operatori industriali ed energetici del Regno Unito e dell'UE

Ogni operatore britannico o dell'UE che gestisce infrastrutture industriali o energetiche ha ora un motivo concreto per riverificare due ipotesi: se il proprio impianto farebbe effettivamente scattare un obbligo di segnalazione ai sensi della NIS2 o delle NIS Regulations britanniche, e se la segmentazione tra IT e tecnologia operativa resisterebbe allo stesso percorso di intrusione usato qui.

Il modello in cinque paesi, Germania, Polonia, Finlandia, Belgio e Albania, insieme all'ondata contro l'acqua negli USA, sconsiglia di trattare questo come un episodio isolato da liquidare con una scrollata di spalle; consiglia di trattare l'esposizione di un piccolo impianto come una voce reale sullo stesso registro dei rischi della più grande utility nazionale, perché l'attore dietro l'episodio non seleziona gli obiettivi in base alle dimensioni.

Da leggere ora: La moratoria NIS2 tedesca è finita  |  Agenti IA autonomi hanno attaccato il governo di Taiwan