Il 17 febbraio 2026, il Juzgado de lo Mercantil nº 1 de Córdoba ha emesso un’ordinanza che nessun direttore tecnologico di un operatore licenziato avrebbe voluto leggere. Non per il contenuto in sé, ma per ciò che implica a cascata sull’intera catena infrastrutturale del gioco a distanza. L’offensiva anti-pirateria di La Liga ha smesso di essere un problema spagnolo di diritti audiovisivi. È diventata una variabile di rischio operativo per chiunque gestisca una piattaforma iGaming in Europa.
L’ingiunzione che ha cambiato le regole: da takedown a carpet bombing
L’ordinanza di Córdoba non si limita a ordinare il blocco di siti pirata. Impone a NordVPN e ProtonVPN di inibire in tempo reale, su territorio spagnolo, gli indirizzi IP collegati a 16 siti che trasmettono illecitamente le partite. La svolta giuridica sta nella classificazione di questi fornitori come “intermediari tecnologici” ai sensi del Digital Services Act dell’Unione Europea: una lettura che reinterpreta in senso restrittivo la tradizionale protezione di safe harbour, spingendo i provider VPN verso un ruolo attivo nel filtraggio del traffico, con obblighi di due diligence che il quadro precedente non contemplava.
Nella pratica, la differenza rispetto ai blocchi statici è sostanziale. Le ingiunzioni dinamiche autorizzano La Liga e i suoi partner audiovisivi, in primis Telefónica, ad aggiornare le blacklist IP durante lo svolgimento delle partite senza supervisione giudiziaria preventiva per ogni singola modifica. A supporto dell’operazione, una task force di circa 50 analisti monitora il web in tempo reale alla ricerca di segnali IPTV illeciti. Un sistema progettato per essere agile. E, proprio per questo, imprevedibile nei danni collaterali.
Il blast radius: quando Cloudflare diventa danno collaterale
Le piattaforme moderne non esistono in silos isolati. Un aggregatore di giochi che gestisce decine di migliaia di titoli attraverso un’unica integrazione API si appoggia ai principali servizi di Content Delivery Network per garantire velocità di caricamento e protezione DDoS. Cloudflare è il riferimento di mercato. La Liga lo sa. Ed è proprio lì che concentra parte dell’offensiva.
Il problema tecnico è strutturale: le architetture Anycast funzionano assegnando un singolo indirizzo IP a migliaia di domini diversi. Bloccare un range IP per colpire un sito pirata che si nasconde dietro Cloudflare significa potenzialmente oscurare centinaia di servizi legittimi. Non è un’ipotesi teorica. Nel corso della stagione 2024/2025, i blocchi indiscriminati hanno raggiunto siti istituzionali spagnoli, risorse culturali come la Real Academia Española, altri siti del patrimonio civico e, secondo le analisi degli esperti di rete, servizi potenzialmente critici per la sicurezza pubblica. Matthew Prince, CEO di Cloudflare, ha definito pubblicamente “bonkers” la strategia di bloccare interi range IP tramite gli ISP, sottolineando danni “vast” per i cittadini spagnoli e il rischio concreto di compromettere servizi di emergenza.
Per gli operatori iGaming, il rischio si trasforma in un problema di continuità operativa molto concreto. Se un aggregatore condivide, anche indirettamente, un’infrastruttura di rete colpita da un’ingiunzione dinamica, l’intero casinò può subire un blackout improvviso. Single Point of Failure: il termine tecnico per indicare il momento in cui un’unica interruzione abbatte l’intero sistema. Il danno non si ferma all’interfaccia utente. Molti sistemi di validazione delle transazioni e protocolli di comunicazione RNG si appoggiano a proxy trasparenti: un blocco IP errato può colpire gateway di pagamento e sistemi di controllo, impedendo ricariche di conto e validazioni di ticket. Quando la comunicazione tra il client del giocatore e l’aggregatore si interrompe, il software PRNG perde la sincronizzazione con l’evento di gioco. Sessioni congelate. GGR perso.
Il parallelo con l’Italia è utile per misurare la scala del problema. Le analisi di APNIC e dell’Università di Twente su Piracy Shield mostrano che il blocco a livello IP di CDN e infrastrutture condivise ha prodotto oltre 6.700 FQDN affetti per errore, con centinaia di siti non streaming completamente oscurati e blocchi persistiti per mesi su servizi web, email e DNS. Lo scenario spagnolo di La Liga segue la stessa logica, con una potenza di fuoco giudiziaria ora rivolta anche alle infrastrutture VPN.
La latenza come variabile strategica: il Sunday Effect nel live betting
Nel betting contemporaneo, la latenza non è una metrica IT. È il motore del conversion rate. Circa il 55-60% dei volumi delle scommesse sportive in mercati maturi come Italia e Spagna è ormai generato dal live betting, dove le quote cambiano ogni secondo e la velocità di conferma della giocata determina direttamente il margine dell’operatore. Dati Optimove Insights su 3,8 milioni di giocatori (2024) collocano la quota live al 57% in Italia e al 55% in Spagna, confermando che il live ha da tempo superato il pre-match come principale motore di raccolta.
Le misure anti-pirateria di La Liga costringono gli ISP a implementare filtri DPI sempre più invasivi e rotte di routing meno dirette. Il risultato, in scenari reali documentati, è un overhead di rete che può tradursi in tassi di fallimento della conferma scommessa a doppia cifra per disallineamento delle quote dinamiche. Un ordine di grandezza che, amplificato dal cosiddetto Sunday Effect, diventa una minaccia sistemica: i picchi verticali di traffico che si verificano la domenica pomeriggio o durante i match di Champions League coincidono esattamente con i momenti in cui i blocchi IP di La Liga sono più aggressivi e i sistemi sotto massima pressione.
C’è un’ironia amara in tutto questo. I flussi pirata, appoggiandosi a infrastrutture agili, offrono stream con ritardi ridotti rispetto alle trasmissioni ufficiali, che nella distribuzione OTT standard raggiungono latenze di 15-30 secondi. Le misure anti-pirateria, rallentando le reti dei fornitori legittimi, concedono un vantaggio asimmetrico agli scommettitori che bypassano i blocchi tramite VPN sofisticate o protocolli P2P. Sanno l’esito dell’azione prima che i motori di quote possano sospendere il mercato. Arbitraggio di latenza nel micro-betting. Un danno finanziario diretto per gli operatori che giocano secondo le regole.
DORA e AI Act: la convergenza normativa che cambia il perimetro di rischio
Dal 17 gennaio 2025, il Regolamento (UE) 2022/2554 è pienamente applicabile alle entità finanziarie dell’Unione Europea. Per gli operatori iGaming, questo si traduce in requisiti di resilienza operativa e incident reporting sempre più allineati a quelli bancari, specie tramite i partner di pagamento e i fornitori ICT critici da cui dipendono. La legge richiede la gestione strutturata degli incidenti, la responsabilità sulla resilienza dei partner terzi inclusi CDN e aggregatori, e la garanzia di continuità del servizio come condizione sostanziale della licenza operativa.
Chi opera nel settore da anni nota che questa sovrapposizione crea una posizione di vulnerabilità inedita. Se un operatore subisce interruzioni frequenti per via della guerra infrastrutturale tra leghe sportive e tech-giant, potrebbe trovarsi esposto ai requisiti DORA sulla disponibilità del servizio senza aver commesso alcun errore diretto. L’AI Act aggiunge un ulteriore livello di complessità: se i sistemi di filtraggio degli ISP iniziano a bloccare indirizzi IP basandosi su modelli predittivi non trasparenti, si rischia di entrare in rotta di collisione con il divieto di monitoraggio generale del DSA e con i vincoli dell’AI Act sui sistemi di sorveglianza ad alto rischio. Un nodo che il legislatore non ha ancora sciolto, ma che i compliance manager devono già considerare nei propri risk assessment.
Il darwinismo ADM: 52 licenze, 7 milioni e la nuova gerarchia del mercato
Il riordino normativo italiano ha ridisegnato il perimetro competitivo con una velocità che ha colto molti operatori impreparati. Il D.Lgs. 25 marzo 2024, n. 41 ha trasformato un mercato da oltre 400 concessionari a soli 52 titoli assegnati a 46 operatori, con avvio del nuovo regime dal 13 novembre 2025. Il costo della concessione è salito a 7 milioni di euro per nove anni, versati in due tranche (4 milioni all’aggiudicazione, 3 milioni all’avvio della raccolta), con fideiussione minima di 1,5 milioni e completa eliminazione delle skin come canale di distribuzione.
Il caso Multigioco ha mostrato al settore cosa significhi concretamente la morte regolatoria. Con determinazione del 1° agosto 2025, la concessione n. 15133 è decaduta per mancato versamento dell’imposta unica sulle scommesse, omesso rinnovo della fideiussione e reclami dei giocatori per giacenze non pagate. Sospensione immediata della raccolta, interruzione dei collegamenti con i sistemi ADM e avvio di segnalazioni penali, civili e tributarie. Nessun preavviso operativo. In questo contesto, i 46 nuovi licenziatari ADM non cercano soltanto volume di titoli. Cercano Regulatory Integrity: la capacità del fornitore B2B di assorbire il rischio operativo e garantire stabilità in un mercato dove un singolo errore tecnico o contabile può costare la concessione.
Dalla resilienza tecnica alla resilienza normativa: le priorità per il 2026
La risposta a questo scenario non passa dall’aumento del catalogo. Passa dalla trasformazione della complessità normativa in un vantaggio competitivo strutturale. La certificazione RGS è la condizione abilitante per qualsiasi partnership con i nuovi licenziatari ADM. Un pacchetto chiuso di titoli già validati dagli Organismi di Verifica accreditati (GLI, iTech Labs) e pronti al go-live in 4-12 settimane vale incomparabilmente di più di un catalogo sterminato che scarica sull’operatore il costo e il tempo delle omologazioni locali.
La data sovereignty risponde direttamente alle preoccupazioni di compliance: nodi server residenti nello Spazio Economico Europeo, con pieno controllo ADM e DGOJ sull’accesso ai dati e senza dipendenze critiche da giurisdizioni extra-SEE per i flussi di gioco e di reporting. Non è un dettaglio architetturale. È un argomento di vendita verso il management degli operatori che devono rispondere alle autorità di vigilanza. cIl presidio tecnico locale sulla domenica pomeriggio completa il quadro. Un Technical Account Manager capace di interpretare un errore 400 del sistema SOGEI durante i timeout del protocollo PGAD non è un optional. È la differenza tra mantenere la concessione e perdere il diritto di operare nel mercato italiano.
Il quadro che emerge dalla convergenza tra l’offensiva anti-pirateria di La Liga, il riordino ADM e l’entrata in vigore di DORA disegna un mercato dove la sopravvivenza commerciale si misura sulla qualità dell’infrastruttura tecnica e sulla profondità della conoscenza normativa locale. In un settore dove la rete può cadere per un gol, la domanda che i direttori generali degli operatori licenziati devono rispondere è una sola: il vostro aggregatore è attrezzato per garantire la stabilità del GGR nel mezzo di una guerra digitale che non ha ancora mostrato la sua forma definitiva?
