Il blackout di Google Cloud a Londra e la finanza che dipende da pochi
In questa analisi5 sezioni
Sezione 01 di 05: Cosa è successo
Martedì 20 ottobre 2026, poco dopo le 7 ora di Londra, una delle tre zone della regione cloud londinese di Google, europe-west2-b, ha smesso di funzionare. Google ha attribuito il guasto a un «evento elettrico» in una struttura di terzi. Per diverse ore decine di servizi sono rimasti inaccessibili o instabili.
Il caso più visibile è stato Revolut, con problemi su pagamenti con carta, prelievi e bonifici. Disservizi sono stati segnalati anche da clienti di Lloyds, Halifax e HSBC, oltre che da Royal Mail e dalla piattaforma video usata per alcune udienze nei tribunali britannici. Il ripristino per la maggior parte dei clienti è arrivato solo nel pomeriggio. Revolut ha assicurato che denaro e dati erano al sicuro, ma per ore milioni di persone non hanno potuto usare il proprio conto.
Sezione 02 di 05: Un guasto locale, un effetto di sistema
Il dato rilevante non è il guasto in sé: i data center possono fermarsi, ed è per questo che il cloud è organizzato su più zone. Il punto è che un problema circoscritto a una zona si è tradotto in un disservizio diffuso, nello stesso momento, per banche diverse.
È la definizione concreta del rischio di concentrazione. Quando molti operatori poggiano sulla stessa infrastruttura, un singolo punto di guasto smette di essere un incidente aziendale e diventa un evento che riguarda il sistema finanziario.
Sezione 03 di 05: Le regole esistono, la prova arriva ora
Regno Unito e Unione europea avevano già riconosciuto il problema. Il 10 luglio 2026 il Tesoro britannico ha designato Google Cloud EMEA, insieme alle società europee di Amazon Web Services, Microsoft e Oracle, come «terze parti critiche» del sistema finanziario, sotto la vigilanza diretta di Banca d’Inghilterra, PRA e FCA.
Nell’Unione, il regolamento DORA (2022/2554), applicabile dal gennaio 2025, ha introdotto la sorveglianza europea sui fornitori ICT critici. Nel novembre 2025 le tre autorità europee di vigilanza hanno incluso Google Cloud EMEA nella prima lista di questi fornitori.
Dopo il blackout, secondo Reuters, l’Autorità bancaria europea ha contattato Google per valutare l’impatto sulle entità finanziarie dell’Unione, mentre la commissione Tesoro della Camera dei Comuni ha chiesto spiegazioni a Banca d’Inghilterra e FCA. L’Eba ha ricordato che la designazione non trasferisce la responsabilità della gestione degli incidenti né solleva le banche dai propri obblighi.
Sezione 04 di 05: Il limite della resilienza delegata
DORA chiede agli operatori finanziari di gestire il rischio informatico, di dotarsi di piani di continuità e di strategie di uscita dai fornitori. Ma la resilienza non si acquista con un contratto. Se una parte rilevante del sistema bancario usa lo stesso fornitore, la stessa regione e spesso gli stessi servizi gestiti, la ridondanza interna a quel fornitore non basta.
C’è poi una questione di sovranità. Servizi essenziali per milioni di europei dipendono da infrastrutture controllate da poche imprese statunitensi. La vigilanza diretta è un passo avanti, ma non cambia la struttura del mercato.
La posizione di Algopolio
Sezione 05 di 05: Cosa serve adesso
Per Algopolio l’episodio di Londra mostra che la dipendenza dalle Big Tech non riguarda solo dati e contenuti, ma l’accesso a beni essenziali come il proprio denaro.
Quando un’infrastruttura privata diventa critica, deve rispondere a obblighi di natura pubblica: un’analisi dell’incidente completa e accessibile, informazioni chiare ai clienti colpiti, verifiche indipendenti sulla capacità di ripresa. E le autorità devono poter misurare la concentrazione prima che si manifesti come un blackout.
