Ing. Calogero Bono
Il guasto Microsoft del 12 e 13 novembre 2026 ha bloccato Outlook, Teams, Copilot e altri servizi in oltre 70 paesi, secondo Wired. Microsoft esclude un attacco informatico e parla di un problema di rete. Passata l'emergenza resta la domanda più scomoda. Quante funzioni della tua azienda dipendono da un unico fornitore, e chi ha deciso che fosse così.
Qualche termine, prima di entrare nei fatti. NIS2 è la direttiva europea sulla sicurezza di reti e sistemi, in Italia recepita dal D.Lgs. 138/2024. Lock-in indica quanto sia difficile lasciare un fornitore. Fornitore non fungibile è quello che non si sostituisce facilmente. Entra ID e Intune sono i servizi Microsoft per identità e gestione dei dispositivi. Governance è il modo in cui l'organizzazione decide e si assume i rischi.
Che cosa è successo a Microsoft 365?
Secondo TechCrunch il problema è iniziato di giovedì con Outlook e Teams, per estendersi poi a email, file e documenti. Sono stati colpiti anche Copilot, Defender e i pannelli Intune degli amministratori. Kentik ha misurato il ritorno del traffico dopo circa 18 ore.
Wired riferisce che le segnalazioni su Downdetector sono partite poco dopo le 12 ora della costa Est. Ne abbiamo seguito l'evoluzione nel nostro articolo sul rientro dopo quasi due giorni.
Qual è la causa dichiarata dal fornitore?
Un portavoce di Microsoft ha detto che si è trattato di un problema tecnico non legato ad attacchi o all'IA. L'incidente sarebbe nato da un problema durante un precedente aggiornamento della capacità di rete, emerso dopo una modifica recente. Sono dichiarazioni dell'azienda, non verifiche indipendenti.
Microsoft promette un rapporto completo dopo l'analisi. Prima aveva parlato di «un gran numero di server improvvisamente non disponibili». Per i dettagli tecnici iniziali puoi leggere il nostro pezzo sui server in tilt dopo i controlli di salute.
Chi ha subito le conseguenze più pesanti?
Wired cita governi da Giappone a Stati Uniti, compagnie aeree, servizi di emergenza e ospedali. Punto Informatico, richiamando Reuters, racconta di una società finanziaria taiwanese tornata al fax per confermare le transazioni. Nel Regno Unito il National Health Service e la Metropolitan Police non riuscivano a gestire prenotazioni e database.
Sempre secondo Punto Informatico è il down più lungo di sempre per Microsoft. Un precedente è l'incidente di Exchange Online oltre le 12 ore.
Perché la NIS2 chiama in causa chi ha scelto la dipendenza?
Per Cybersecurity360 il rischio di concentrazione nasce spesso da molte decisioni corrette, prese separatamente. Posta, Teams, Entra ID, Intune e Defender hanno ciascuno una buona ragione, ma nessuno valuta la somma.
L'articolo 23 del D.Lgs. 138/2024 richiama le responsabilità degli organi di amministrazione. Il testo precisa che il CdA non deve scegliere il fornitore, ma capire quanto costa, in termini di rischio, non poterne fare a meno. La non fungibilità, aggiunge, è spesso una condizione costruita negli anni dall'azienda.
Limiti da conoscere
La causa completa non è confermata. Abbiamo solo le dichiarazioni di Microsoft, in attesa del rapporto post-incidente. Non è stato chiarito se l'azienda abbia log per escludere attività malevole, perché non ha risposto a TechCrunch. Gli effetti totali, dice Wired, potrebbero non essere mai noti. La lettura sulla governance è un'opinione di Cybersecurity360, non un obbligo normativo specifico.
Cosa cambia per chi lavora con il digitale
Per chi usa Microsoft 365 la prima mossa è mappare le dipendenze, dalle funzioni aziendali ai servizi e ai fornitori. Spesso emergono legami nascosti, come app che usano l'identità centralizzata. Poi serve stimare tempi e costi di un'uscita, senza duplicare tutto, perché la ridondanza costa e aggiunge complessità. Valuta anche i crediti SLA e confronta le alternative, ad esempio con la guida su Google Workspace e Microsoft 365.
Il nostro parere
Condividiamo l'impostazione di fondo. Dare la colpa solo al cloud è comodo, ma un fornitore può guastarsi e l'azienda resta comunque responsabile delle proprie scelte. Il rischio è trasformare la NIS2 in carta da archiviare. Il punto debole è che per una piccola impresa un piano di uscita completo può essere impraticabile. Anche lì però scrivere cosa si accetta è meglio che scoprirlo durante il guasto.
Domande frequenti
Il down di Microsoft del novembre 2026 è stato un attacco informatico?
No, secondo Microsoft. L'azienda ha parlato di un problema tecnico non legato a cyber o IA e ha detto di non avere evidenze di attività malevole. Sono dichiarazioni in attesa del rapporto completo.
Quanto è durato il guasto?
Kentik ha misurato il ritorno del traffico dopo circa 18 ore di interruzione. Wired parla di un'interruzione di 24 ore, con ripristino ancora parziale. I tempi variano tra regioni e servizi.
Quali servizi Microsoft sono stati colpiti?
Molti. TechCrunch cita Outlook, Teams, file e documenti, Copilot, Defender e i pannelli Intune. Alcuni utenti hanno avuto problemi con i computer Windows nel cloud.
La NIS2 vieta di usare un solo grande fornitore?
No. Secondo Cybersecurity360 la NIS2 non impone un modello tecnologico né vieta la concentrazione. Chiede una gestione strutturata dei rischi, della catena di fornitura e delle responsabilità degli organi di governo.
Serve un piano multi-cloud?
Non necessariamente. La fonte spiega che la ridondanza ha costi e può aggiungere complessità e rischi di sicurezza. Serve conoscere le alternative e decidere in modo consapevole quali dipendenze accettare.
Il rapporto post-incidente e le scelte da mettere per iscritto
Nelle prossime settimane conterà il rapporto completo che Microsoft ha promesso. Conterà anche quanto la tua azienda saprà documentare le proprie dipendenze.
- Leggi il rapporto post-incidente di Microsoft appena esce e confronta la causa dichiarata con quella emersa finora.
- Chiedi alla direzione di approvare per iscritto quali dipendenze accetta e quali vuole ridurre.
- Fai una prova di uscita sulla sola identità o sulla posta, per stimare tempi e risorse reali.
