Introduzione
La cybersicurezza non rappresenta più soltanto una questione tecnica riservata agli informatici.
Nel 2026 la protezione dei sistemi digitali è diventata un tema centrale per imprese, pubbliche amministrazioni, professionisti, infrastrutture critiche e organizzazioni che gestiscono dati, reti, servizi essenziali o informazioni strategiche.
Un attacco ransomware, una violazione di dati personali, il furto delle credenziali di accesso, una vulnerabilità non corretta o l’indisponibilità improvvisa di un sistema informatico possono produrre conseguenze molto più ampie della semplice perdita di dati.
Un incidente cyber può determinare:
- interruzione dell’attività;
- perdita di informazioni riservate;
- divulgazione di dati personali;
- richieste di riscatto;
- danni economici;
- responsabilità nei confronti di clienti e utenti;
- sanzioni amministrative;
- responsabilità degli organi societari;
- danni reputazionali;
- obblighi di comunicazione alle autorità;
- conseguenze civili e, in determinate circostanze, penali.
Il legislatore europeo e quello italiano hanno progressivamente trasformato la cybersicurezza da materia prevalentemente tecnica a vero e proprio obbligo organizzativo e giuridico.
La Direttiva europea NIS2 e il decreto legislativo italiano che l’ha recepita hanno ampliato considerevolmente il numero dei soggetti sottoposti a obblighi specifici di gestione del rischio informatico.
Parallelamente, il GDPR continua a imporre a imprese, professionisti ed enti pubblici l’adozione di misure tecniche e organizzative adeguate alla protezione dei dati personali.
A ciò si aggiunge la normativa italiana sul rafforzamento della cybersicurezza nazionale e sui reati informatici.
La sicurezza informatica deve quindi essere considerata oggi come una componente della governance dell’organizzazione, al pari della sicurezza sul lavoro, della protezione dei dati personali, della compliance e della gestione dei rischi aziendali.
Che cos’è la cybersicurezza?
Per cybersicurezza si intende l’insieme delle misure tecniche, organizzative, procedurali e giuridiche finalizzate a proteggere:
- sistemi informatici;
- reti;
- dispositivi;
- infrastrutture digitali;
- dati;
- servizi;
- comunicazioni;
- informazioni aziendali;
- processi digitalizzati;
da accessi non autorizzati, alterazioni, distruzione, indisponibilità, perdita o utilizzo illecito.
La cybersicurezza riguarda quindi almeno tre fondamentali esigenze:
Riservatezza
Le informazioni devono essere accessibili soltanto ai soggetti autorizzati.
Integrità
I dati e i sistemi devono essere protetti da modificazioni non autorizzate.
Disponibilità
Sistemi e informazioni devono rimanere disponibili quando necessari.
A questi principi si aggiungono oggi concetti fondamentali quali:
- resilienza;
- autenticità;
- continuità operativa;
- capacità di risposta agli incidenti;
- ripristino dei sistemi;
- sicurezza della supply chain.
Perché la cybersicurezza è diventata un problema giuridico?
La digitalizzazione ha modificato radicalmente il funzionamento delle organizzazioni.
Un’impresa può dipendere completamente da:
- posta elettronica;
- cloud;
- software gestionali;
- sistemi di pagamento;
- piattaforme web;
- database clienti;
- server;
- infrastrutture di rete;
- fornitori tecnologici;
- servizi esternalizzati.
Di conseguenza, un incidente informatico può incidere contemporaneamente su:
continuità aziendale, privacy, contratti, responsabilità civile, rapporti con clienti, compliance e reputazione.
La sicurezza informatica non può quindi essere affidata esclusivamente al responsabile IT.
Il rischio cyber deve essere valutato e governato anche dagli organi direttivi e amministrativi dell’organizzazione.
Questo principio emerge chiaramente anche dalla disciplina NIS2, che attribuisce agli organi di gestione dei soggetti coinvolti un ruolo diretto nell’approvazione e nella supervisione delle misure di gestione del rischio di cybersicurezza. La disciplina europea prevede inoltre specifici obblighi di formazione per i componenti degli organi di gestione.
NIS2: cosa cambia per la cybersicurezza delle imprese
Uno dei principali pilastri della nuova disciplina europea è rappresentato dalla Direttiva NIS2.
In Italia la direttiva è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, che individua l’Agenzia per la Cybersicurezza Nazionale quale Autorità nazionale competente NIS, Punto di contatto unico e riferimento nazionale per la gestione degli incidenti attraverso CSIRT Italia.
La normativa ha ampliato notevolmente l’ambito della precedente disciplina NIS.
L’obiettivo è quello di conseguire un livello elevato e comune di sicurezza informatica, rafforzando la resilienza dei soggetti la cui attività assume particolare rilevanza economica o sociale.
Soggetti essenziali e soggetti importanti
La NIS2 distingue principalmente tra:
- soggetti essenziali;
- soggetti importanti.
La concreta individuazione dipende da diversi elementi, tra cui:
- settore di attività;
- dimensioni dell’organizzazione;
- importanza dei servizi;
- ruolo strategico svolto;
- specifiche disposizioni normative.
La disciplina coinvolge numerosi settori strategici, tra i quali, a seconda dei presupposti previsti dalla legge:
- energia;
- trasporti;
- settore bancario;
- infrastrutture dei mercati finanziari;
- sanità;
- acqua potabile;
- acque reflue;
- infrastrutture digitali;
- gestione dei servizi ICT;
- pubblica amministrazione;
- spazio;
- servizi postali;
- gestione dei rifiuti;
- industria;
- produzione di determinati beni;
- fornitori digitali;
- ricerca.
Il decreto italiano prevede specifici meccanismi per l’individuazione e registrazione dei soggetti essenziali e importanti.
NIS2: la cybersicurezza diventa responsabilità della governance
Una delle principali innovazioni riguarda il coinvolgimento diretto degli organi di gestione.
La normativa europea stabilisce che gli organi amministrativi dei soggetti essenziali e importanti devono:
- approvare le misure di gestione dei rischi cyber;
- supervisionarne l’attuazione;
- acquisire adeguate competenze;
- seguire specifica formazione.
La cybersicurezza non può quindi essere considerata esclusivamente “un problema del tecnico informatico”.
Il consiglio di amministrazione, la direzione e i vertici dell’organizzazione devono essere coinvolti nel processo decisionale.
Questo modifica radicalmente il modo in cui il rischio informatico deve essere gestito.
Non è più sufficiente chiedere al reparto IT:
“Abbiamo un antivirus?”
Occorre invece poter dimostrare l’esistenza di una vera strategia di gestione del rischio.
Quali misure di sicurezza richiede la NIS2?
La disciplina europea utilizza un approccio basato sul rischio.
Le organizzazioni devono adottare misure tecniche, operative e organizzative adeguate e proporzionate rispetto ai rischi ai quali sono esposte.
Tra gli elementi espressamente considerati dalla disciplina rientrano:
- politiche di analisi del rischio;
- sicurezza dei sistemi informativi;
- gestione degli incidenti;
- continuità operativa;
- backup;
- disaster recovery;
- gestione delle crisi;
- sicurezza della supply chain;
- sicurezza dei fornitori;
- sicurezza nello sviluppo e manutenzione dei sistemi;
- gestione delle vulnerabilità;
- verifica dell’efficacia delle misure adottate;
- formazione del personale;
- cyber hygiene;
- crittografia;
- controllo degli accessi;
- gestione degli asset;
- autenticazione multifattore.
Si tratta quindi di una visione molto più ampia rispetto alla semplice installazione di software di sicurezza.
La sicurezza della supply chain
Uno degli aspetti più rilevanti della NIS2 riguarda la sicurezza della catena di fornitura.
Un’organizzazione può infatti disporre di eccellenti sistemi interni e risultare comunque vulnerabile attraverso:
- software house;
- provider cloud;
- consulenti informatici;
- società di manutenzione;
- fornitori di servizi;
- piattaforme esterne;
- outsourcer;
- fornitori che possiedono credenziali di accesso ai sistemi.
La disciplina europea richiede espressamente di considerare le vulnerabilità dei fornitori diretti e dei prestatori di servizi nell’ambito della gestione del rischio cyber.
Questo aspetto ha importanti conseguenze anche sul piano contrattuale.
I contratti con i fornitori tecnologici dovrebbero disciplinare adeguatamente:
- standard di sicurezza;
- gestione degli incidenti;
- obblighi di comunicazione;
- accessi ai sistemi;
- subfornitori;
- tempi di risposta;
- backup;
- responsabilità;
- audit;
- continuità operativa.
Incidenti cyber: gli obblighi di notifica
La NIS2 introduce una procedura particolarmente stringente per la segnalazione degli incidenti significativi.
La disciplina europea prevede, in sintesi:
- un primo preallarme entro 24 ore dalla conoscenza dell’incidente significativo;
- una successiva notifica entro 72 ore;
- ulteriori aggiornamenti e una relazione finale secondo quanto previsto dalla normativa.
Il sistema è costruito per consentire alle autorità di acquisire rapidamente informazioni sugli incidenti capaci di provocare:
- gravi interruzioni operative;
- rilevanti perdite finanziarie;
- danni considerevoli ad altre persone fisiche o giuridiche.
Questo significa che un’impresa interessata dalla normativa deve predisporre prima dell’incidente una procedura interna in grado di stabilire:
- chi rileva l’incidente;
- chi lo classifica;
- chi informa la direzione;
- chi contatta CSIRT Italia o l’autorità competente;
- quali informazioni devono essere raccolte;
- chi gestisce le comunicazioni;
- chi conserva la documentazione.
Aspettare l’attacco per decidere cosa fare può rendere estremamente difficile rispettare termini così ridotti.
GDPR e cybersicurezza: due normative strettamente collegate
La NIS2 non sostituisce il GDPR.
Le due discipline possono applicarsi contemporaneamente allo stesso incidente.
Un attacco ransomware, ad esempio, potrebbe:
- compromettere la disponibilità dei sistemi;
- determinare un incidente rilevante ai fini della cybersicurezza;
- comportare contemporaneamente l’accesso illecito a dati personali.
In questo caso possono sorgere obblighi differenti nei confronti di autorità differenti.
L’articolo 32 GDPR e le misure di sicurezza
Il GDPR impone al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate al rischio.
Tra gli elementi espressamente considerati vi sono:
- pseudonimizzazione;
- cifratura;
- riservatezza;
- integrità;
- disponibilità;
- resilienza dei sistemi;
- capacità di ripristinare tempestivamente i dati;
- procedure periodiche di verifica delle misure adottate.
Il Garante per la protezione dei dati personali evidenzia che non esiste un unico elenco di misure valide per qualsiasi organizzazione: la sicurezza deve essere determinata sulla base del rischio concretamente presentato dal trattamento.
Non esiste una sicurezza informatica uguale per tutti
Un piccolo studio professionale e un grande ospedale non presentano necessariamente gli stessi rischi.
Allo stesso modo, un’impresa che gestisce:
- dati sanitari;
- milioni di utenti;
- pagamenti;
- infrastrutture strategiche;
deve normalmente adottare misure più articolate rispetto a una realtà molto più semplice.
Il concetto fondamentale è quello di adeguatezza.
La sicurezza deve essere proporzionata a:
- tipologia dei dati;
- numero degli interessati;
- probabilità dell’attacco;
- potenziale gravità delle conseguenze;
- tecnologie disponibili;
- natura dell’attività;
- stato dell’arte.
Data breach: quando un attacco cyber diventa una violazione dei dati personali?
Un data breach è una violazione di sicurezza che determina accidentalmente o illecitamente:
- distruzione;
- perdita;
- modifica;
- divulgazione non autorizzata;
- accesso non autorizzato;
a dati personali.
Il Garante include tra i possibili esempi anche l’impossibilità di accedere ai dati provocata da virus, malware o attacchi esterni.
Un data breach non coincide quindi soltanto con il “furto” di un database.
Anche la perdita della disponibilità dei dati può assumere rilevanza.
Data breach: entro quando deve essere notificato al Garante?
Il titolare del trattamento che viene a conoscenza di una violazione deve valutare il rischio per i diritti e le libertà delle persone.
Quando la violazione presenta il livello di rischio previsto dal GDPR, deve essere notificata all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza dell’evento.
Se la notifica avviene dopo le 72 ore, il ritardo deve essere motivato.
Questo termine non deve essere confuso con quello previsto dalla NIS2.
Un unico attacco potrebbe quindi richiedere valutazioni parallele.
Quando devono essere informati anche gli interessati?
Non tutti i data breach richiedono automaticamente una comunicazione pubblica o individuale ai soggetti coinvolti.
Quando, tuttavia, la violazione è suscettibile di comportare un rischio elevato per i diritti e le libertà delle persone, può sorgere l’obbligo di comunicare il data breach anche agli interessati.
La comunicazione deve consentire loro di comprendere il problema e adottare eventuali misure di tutela.
Il Garante ha anche recentemente sanzionato condotte nelle quali, pur essendo stata effettuata la notifica all’Autorità, la comunicazione agli interessati era avvenuta tardivamente nonostante l’elevato livello di rischio.
Tutti i data breach devono essere documentati
Anche quando non sussistano le condizioni per notificare il data breach al Garante, il titolare deve documentare le violazioni.
È quindi opportuno mantenere un registro degli incidenti e dei data breach contenente almeno:
- data dell’incidente;
- natura della violazione;
- sistemi coinvolti;
- dati coinvolti;
- persone interessate;
- conseguenze;
- misure adottate;
- valutazione del rischio;
- ragioni della notifica o della mancata notifica.
La documentazione costituisce un elemento centrale del principio di accountability.
Ransomware: quali problemi giuridici pone?
Il ransomware è una delle minacce informatiche più significative.
L’attaccante compromette i sistemi e generalmente:
- cifra i dati;
- blocca i sistemi;
- sottrae informazioni;
- minaccia di divulgarle;
- richiede il pagamento di un riscatto.
L’incidente può determinare contemporaneamente:
- interruzione dell’attività;
- perdita di disponibilità dei dati;
- data breach;
- violazione di segreti aziendali;
- responsabilità contrattuali;
- obblighi NIS2;
- obblighi GDPR;
- conseguenze reputazionali.
Per questa ragione ogni organizzazione dovrebbe possedere un Incident Response Plan.
Pagare il riscatto risolve il problema?
Non necessariamente.
Il pagamento non garantisce:
- restituzione dei dati;
- cancellazione delle copie sottratte;
- funzionamento della chiave di decrittazione;
- mancata pubblicazione delle informazioni;
- assenza di nuovi attacchi.
Inoltre, prima di qualsiasi decisione devono essere valutati attentamente anche i profili giuridici e di compliance connessi all’identità del soggetto destinatario del pagamento.
La strategia più efficace resta la prevenzione attraverso:
- backup sicuri;
- segmentazione;
- autenticazione multifattore;
- aggiornamenti;
- monitoraggio;
- formazione;
- procedure di risposta.
Phishing e social engineering
Non tutti gli attacchi sfruttano vulnerabilità tecniche.
Una parte significativa degli incidenti utilizza direttamente il comportamento umano.
Il phishing può indurre un dipendente a:
- consegnare username e password;
- aprire un allegato infetto;
- effettuare un bonifico;
- modificare coordinate bancarie;
- consentire l’accesso a sistemi aziendali.
Per questo la formazione del personale è una vera misura di sicurezza.
La stessa NIS2 include la formazione e le pratiche di igiene informatica tra gli elementi fondamentali della gestione del rischio.
Password, autenticazione multifattore e controllo degli accessi
Una strategia efficace di cybersicurezza dovrebbe prevedere almeno:
- password robuste;
- divieto di riutilizzo delle password critiche;
- autenticazione multifattore;
- gestione delle credenziali amministrative;
- revoca immediata degli account degli ex dipendenti;
- principio del minimo privilegio;
- registrazione degli accessi;
- monitoraggio degli account sospetti.
Conservare credenziali obsolete o password con sistemi inadeguati può costituire un serio problema anche sul piano privacy.
Il Garante ha recentemente contestato, nell’ambito di un importante data breach, la conservazione di password in chiaro e l’utilizzo di tecniche crittografiche non adeguate agli standard di sicurezza.
Backup e disaster recovery
Il backup rappresenta una delle misure fondamentali contro ransomware, errori umani e perdita di dati.
Tuttavia, non è sufficiente affermare genericamente:
“Abbiamo il backup”.
Occorre verificare:
- frequenza;
- integrità;
- segregazione;
- cifratura;
- conservazione;
- possibilità di ripristino;
- protezione dagli stessi attaccanti.
Un backup che non sia mai stato testato potrebbe risultare inutilizzabile proprio nel momento dell’emergenza.
La NIS2 include espressamente backup, disaster recovery e continuità operativa tra gli elementi della gestione del rischio cyber.
Vulnerabilità software e aggiornamenti
Un software non aggiornato può rappresentare una porta di ingresso per un attacco.
Le organizzazioni devono quindi adottare procedure per:
- inventario dei sistemi;
- monitoraggio delle vulnerabilità;
- installazione delle patch;
- gestione dei software obsoleti;
- eliminazione dei servizi inutilizzati;
- verifica delle configurazioni.
La mancata gestione delle vulnerabilità può assumere rilevanza anche nella valutazione dell’adeguatezza delle misure di sicurezza.
La giurisprudenza europea sulla cybersicurezza e il GDPR
Anche la giurisprudenza europea sta progressivamente definendo quali conseguenze derivino da un attacco informatico.
Un principio particolarmente importante è il seguente:
il semplice fatto che un sistema sia stato violato da hacker non dimostra automaticamente che le misure di sicurezza adottate fossero inadeguate.
L’adeguatezza deve essere valutata concretamente considerando:
- rischio;
- gravità delle conseguenze;
- stato dell’arte;
- misure adottate;
- caratteristiche del trattamento.
Allo stesso tempo, nell’ambito di una domanda risarcitoria, il titolare deve essere in grado di dimostrare l’adeguatezza delle misure tecniche e organizzative adottate.
L’attacco di un hacker esonera automaticamente l’organizzazione?
No.
La giurisprudenza europea ha chiarito che il semplice fatto che la violazione sia stata commessa da un terzo cybercriminale non determina automaticamente l’esonero del titolare del trattamento.
L’organizzazione deve poter dimostrare di avere adottato misure adeguate e, nei casi di richiesta risarcitoria, deve valutarsi il rapporto causale tra eventuale violazione degli obblighi e danno subito dall’interessato.
Questo principio è estremamente importante.
Non è sufficiente difendersi affermando:
“Siamo stati attaccati, quindi non abbiamo responsabilità”.
Occorre dimostrare come il rischio fosse stato gestito prima dell’attacco.
Data breach e risarcimento del danno
La violazione del GDPR non determina automaticamente un risarcimento.
La giurisprudenza europea richiede, in linea generale:
- una violazione del Regolamento;
- un danno;
- un rapporto causale tra violazione e danno.
Il danno può essere:
- patrimoniale;
- non patrimoniale.
La perdita del controllo sui propri dati può assumere rilevanza, ma deve essere concretamente dimostrato il danno lamentato.
Responsabilità civile per mancata cybersicurezza
Un incidente informatico può provocare danni non soltanto agli interessati ai sensi del GDPR.
Potrebbero subire conseguenze anche:
- clienti;
- fornitori;
- partner;
- utenti;
- altre imprese.
Si pensi all’impresa che, a seguito di un attacco, non riesca a:
- fornire un servizio;
- rispettare una scadenza;
- consegnare merci;
- elaborare pagamenti;
- garantire l’accesso a una piattaforma.
Potranno quindi emergere questioni relative a:
- responsabilità contrattuale;
- responsabilità extracontrattuale;
- forza maggiore;
- obblighi di diligenza;
- clausole contrattuali;
- limitazioni di responsabilità.
Responsabilità degli amministratori e vertici aziendali
Con la NIS2 la sicurezza informatica entra definitivamente nell’ambito della corporate governance.
Gli organi di gestione dei soggetti interessati devono approvare e supervisionare le misure di gestione del rischio cyber.
Ciò rafforza l’esigenza di documentare:
- valutazioni dei rischi;
- investimenti;
- decisioni;
- audit;
- formazione;
- piani di sicurezza;
- gestione degli incidenti.
La cybersicurezza deve quindi essere discussa a livello direzionale e non relegata esclusivamente al reparto tecnico.
La legge italiana n. 90/2024 sulla cybersicurezza
Il quadro nazionale è stato ulteriormente rafforzato dalla legge 28 giugno 2024, n. 90, dedicata al rafforzamento della cybersicurezza nazionale e ai reati informatici.
La normativa interviene, tra l’altro, sulla resilienza delle pubbliche amministrazioni, sulla sicurezza nazionale, sugli obblighi relativi agli incidenti e sulla disciplina penalistica dei reati informatici.
La legge costituisce un ulteriore tassello di un sistema nel quale gli attacchi cyber vengono considerati non soltanto come problemi tecnologici, ma come fenomeni capaci di incidere direttamente sugli interessi strategici dello Stato.
Pubbliche amministrazioni e cybersicurezza
Le pubbliche amministrazioni rappresentano obiettivi particolarmente sensibili.
Gestiscono infatti:
- dati personali;
- dati giudiziari;
- informazioni sanitarie;
- tributi;
- servizi essenziali;
- infrastrutture;
- comunicazioni istituzionali.
La normativa italiana ha introdotto specifici obblighi di notifica degli incidenti per determinate pubbliche amministrazioni ed enti individuati dalla legge.
La sicurezza informatica della PA deve quindi essere considerata parte integrante della continuità dei servizi pubblici.
Infrastrutture critiche e sicurezza nazionale
Un attacco cyber contro una piccola workstation e un attacco contro:
- rete energetica;
- ospedale;
- sistema ferroviario;
- acquedotto;
- infrastruttura finanziaria;
non hanno naturalmente lo stesso impatto.
La crescente interconnessione tra infrastrutture fisiche e digitali rende la cybersicurezza una componente della stessa sicurezza nazionale.
Un incidente informatico può infatti determinare conseguenze nel mondo reale.
Per questo le moderne politiche di sicurezza non distinguono più rigidamente tra:
sicurezza fisica e sicurezza digitale.
Cybersecurity e infrastrutture sanitarie
Il settore sanitario rappresenta un esempio particolarmente significativo.
Un attacco può incidere contemporaneamente su:
- dati sanitari;
- prenotazioni;
- sistemi diagnostici;
- fascicoli sanitari;
- servizi ospedalieri;
- continuità delle cure.
Il rischio non è quindi soltanto privacy.
La mancata disponibilità di un sistema può incidere direttamente sulla continuità del servizio sanitario.
Intelligenza artificiale e nuove minacce cyber
L’intelligenza artificiale sta modificando anche il panorama delle minacce informatiche.
Può essere utilizzata per:
- creare phishing più credibili;
- produrre deepfake;
- imitare voci;
- automatizzare attacchi;
- analizzare vulnerabilità;
- personalizzare campagne di social engineering.
Parallelamente, strumenti di intelligenza artificiale possono essere impiegati anche nella difesa:
- anomaly detection;
- threat intelligence;
- analisi degli eventi;
- rilevamento delle frodi;
- automazione della risposta.
La questione giuridica diventa quindi quella della governance del rischio.
L’utilizzo di sistemi innovativi non elimina gli obblighi di sicurezza e controllo.
Deepfake e frodi aziendali
Una delle minacce emergenti riguarda l’utilizzo di audio e video sintetici per impersonare:
- amministratori;
- dirigenti;
- clienti;
- fornitori.
Un dipendente potrebbe ricevere apparentemente una chiamata dal direttore finanziario con la richiesta di eseguire urgentemente un bonifico.
Per questo la sicurezza deve comprendere anche procedure organizzative, ad esempio:
- doppia verifica dei pagamenti;
- callback;
- autorizzazioni multiple;
- procedure indipendenti dal semplice riconoscimento della voce.
La tecnologia da sola non risolve ogni rischio.
Crittografia e protezione delle informazioni
La cifratura rappresenta una delle principali misure per ridurre le conseguenze della sottrazione dei dati.
Può riguardare:
- dispositivi;
- database;
- backup;
- comunicazioni;
- archivi.
GDPR e NIS2 riconoscono espressamente l’importanza della crittografia nell’ambito delle misure di sicurezza.
Nel medio periodo assume inoltre crescente rilevanza il tema della crittografia post-quantum, in vista dell’evoluzione delle capacità computazionali.
Cybersecurity e studi professionali
Anche gli studi professionali devono affrontare seriamente il rischio informatico.
Uno studio legale, ad esempio, può conservare:
- documenti giudiziari;
- dati personali;
- dati particolari;
- strategie processuali;
- corrispondenza riservata;
- documenti finanziari;
- credenziali;
- informazioni coperte da segreto professionale.
Un attacco può quindi compromettere non soltanto la privacy, ma anche:
- riservatezza professionale;
- rapporto fiduciario con il cliente;
- continuità dell’attività;
- termini processuali.
La sicurezza dovrebbe comprendere almeno:
- autenticazione multifattore;
- backup;
- cifratura;
- aggiornamenti;
- gestione delle password;
- controllo degli accessi;
- formazione;
- procedure per gli incidenti.
Il ruolo dell’Avvocato nelle controversie cyber
La gestione di un incidente informatico richiede spesso competenze multidisciplinari.
Accanto al tecnico informatico possono essere necessari:
- avvocato;
- DPO;
- responsabile cybersecurity;
- forensic specialist;
- consulente assicurativo;
- organi aziendali.
Il legale può intervenire nella valutazione di:
- obblighi NIS2;
- data breach;
- responsabilità;
- rapporti contrattuali;
- comunicazioni;
- denunce;
- conservazione della prova;
- contenzioso;
- rapporti con clienti e fornitori.
Digital forensics: perché conservare correttamente le prove?
Dopo un attacco è fondamentale evitare che le attività di ripristino distruggano informazioni utili a ricostruire l’incidente.
Possono essere rilevanti:
- log;
- timestamp;
- email;
- indirizzi IP;
- immagini forensi;
- file;
- eventi del sistema;
- copie dei messaggi di riscatto.
Una corretta acquisizione della prova digitale può essere essenziale tanto per le investigazioni quanto per un successivo procedimento civile o penale.
Cyber assicurazioni
Sempre più organizzazioni valutano polizze dedicate al rischio cyber.
Le coperture possono riguardare, a seconda del contratto:
- incident response;
- perdita di dati;
- interruzione di attività;
- responsabilità verso terzi;
- costi forensi;
- assistenza legale;
- recupero dei sistemi.
L’assicurazione, tuttavia, non sostituisce gli obblighi di sicurezza.
Una polizza non può essere considerata alternativa alla prevenzione.
Cybersecurity: checklist essenziale per imprese e professionisti
Ogni organizzazione dovrebbe almeno verificare:
- esistenza di un inventario di hardware e software;
- aggiornamento dei sistemi;
- autenticazione multifattore;
- gestione corretta delle password;
- segregazione degli account amministrativi;
- backup periodici;
- test di ripristino;
- protezione degli endpoint;
- monitoraggio dei sistemi;
- formazione anti-phishing;
- piano di risposta agli incidenti;
- procedura data breach;
- registro degli incidenti;
- verifica dei fornitori;
- clausole cybersecurity nei contratti;
- valutazione NIS2;
- verifica GDPR;
- piano di continuità operativa;
- disaster recovery;
- coinvolgimento degli organi direttivi.
Cosa fare immediatamente dopo un attacco informatico?
Le prime ore sono particolarmente importanti.
Occorre evitare improvvisazioni.
In termini generali è opportuno:
- attivare il piano di incident response;
- coinvolgere immediatamente i tecnici;
- isolare i sistemi compromessi quando appropriato;
- preservare le prove;
- individuare i dati interessati;
- verificare se l’incidente rientri nella NIS2;
- verificare l’esistenza di un data breach;
- valutare gli obblighi di notifica;
- informare gli organi aziendali;
- documentare tutte le decisioni;
- attivare eventualmente la compagnia assicurativa;
- coordinare le comunicazioni verso clienti e interessati.
La gestione tecnica e quella giuridica devono procedere parallelamente.
Cybersicurezza e responsabilità: cosa insegna la giurisprudenza?
Dalla giurisprudenza europea emergono alcuni principi ormai essenziali.
Subire un attacco non significa automaticamente avere violato il GDPR
La violazione del sistema non dimostra, da sola, che le misure adottate fossero insufficienti.
La loro adeguatezza deve essere verificata concretamente.
L’organizzazione deve però dimostrare le proprie misure
Il principio di accountability impone al titolare di poter dimostrare le misure tecniche e organizzative adottate.
L’hacker non rappresenta automaticamente un caso di esonero
La presenza di un cybercriminale esterno non libera automaticamente l’organizzazione dalle proprie responsabilità.
Il risarcimento richiede un danno
Una violazione normativa, da sola, non comporta automaticamente il diritto a una somma di denaro.
Devono essere dimostrati danno e rapporto causale.
Anche la perdita del controllo sui dati può essere rilevante
Un danno non patrimoniale può derivare anche dalla perdita di controllo sui propri dati, purché il pregiudizio venga concretamente dimostrato.
La cybersicurezza non è più un costo IT
Uno degli errori strategici più frequenti consiste nel considerare la sicurezza informatica come una semplice voce di spesa tecnologica.
In realtà una corretta strategia di cybersecurity protegge:
- continuità dell’impresa;
- patrimonio informativo;
- clienti;
- reputazione;
- dati personali;
- segreti commerciali;
- capacità operativa;
- posizione giuridica dell’organizzazione.
Un investimento insufficiente in sicurezza può trasformarsi, dopo un incidente, in costi molto superiori.
La sicurezza informatica come obbligo organizzativo
L’evoluzione normativa dimostra un cambio di paradigma.
La domanda non è più soltanto:
“L’impresa è stata attaccata?”
La domanda giuridicamente rilevante diventa:
“Quali misure aveva adottato prima di essere attaccata?”
Occorrerà quindi poter documentare:
- analisi del rischio;
- misure di prevenzione;
- formazione;
- aggiornamenti;
- controlli;
- procedure;
- supervisione;
- reazione all’incidente.
Questo è il cuore della moderna responsabilità in materia di cybersicurezza.
Domande frequenti sulla cybersicurezza
Cos’è la NIS2?
È la disciplina europea che rafforza gli obblighi di cybersicurezza per numerosi soggetti pubblici e privati appartenenti a settori considerati rilevanti o strategici.
La NIS2 riguarda tutte le aziende?
No. L’applicabilità dipende da settore, dimensione e ulteriori criteri previsti dalla normativa.
Cos’è un data breach?
È una violazione di sicurezza che provoca distruzione, perdita, modifica, divulgazione non autorizzata o accesso illecito a dati personali.
Tutti i data breach devono essere notificati?
No. La notifica al Garante dipende dal rischio per i diritti e le libertà delle persone.
Quanto tempo ho per notificare un data breach?
Quando la notifica è dovuta, deve essere effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza.
NIS2 e GDPR sono la stessa cosa?
No. Sono normative differenti che possono però applicarsi contemporaneamente allo stesso incidente.
Un ransomware può essere un data breach?
Sì, quando determina una violazione della riservatezza, integrità o disponibilità dei dati personali.
Se l’attacco è stato commesso da hacker l’impresa non è responsabile?
Non automaticamente. Occorre verificare l’adeguatezza delle misure adottate e le cause dell’evento.
L’azienda deve usare l’autenticazione multifattore?
La NIS2 include espressamente l’uso di sistemi di autenticazione multifattore tra le misure da considerare nell’ambito della gestione del rischio.
Gli amministratori devono occuparsi di cybersecurity?
Per i soggetti interessati dalla NIS2, gli organi di gestione hanno un ruolo diretto nell’approvazione e supervisione delle misure di cybersecurity.
Un data breach dà sempre diritto al risarcimento?
No. Devono essere dimostrati violazione, danno e rapporto causale.
Il GDPR richiede la cifratura?
La cifratura è espressamente indicata tra le misure tecniche che possono concorrere a garantire un livello adeguato di sicurezza, valutato in relazione al rischio.
Conclusioni
Nel 2026 la cybersicurezza rappresenta una delle principali frontiere della sicurezza globale e della responsabilità giuridica delle organizzazioni.
La crescente digitalizzazione di imprese, pubbliche amministrazioni e professionisti rende sistemi informatici e dati una componente essenziale dell’attività economica e istituzionale.
NIS2, GDPR e normativa nazionale mostrano chiaramente una tendenza comune:
la sicurezza informatica non può più essere improvvisata dopo l’attacco.
L’organizzazione deve adottare preventivamente un modello di gestione del rischio capace di:
- prevenire gli incidenti;
- rilevarli rapidamente;
- limitarne gli effetti;
- garantire continuità;
- tutelare i dati;
- gestire i fornitori;
- documentare le decisioni;
- adempiere agli obblighi di notifica.
La cybersecurity deve quindi diventare parte integrante della governance.
Il responsabile IT rimane essenziale, ma non può essere l’unico soggetto chiamato a gestire il problema.
Direzione, amministratori, responsabili privacy, consulenti e professionisti devono cooperare nella costruzione di un sistema realmente resiliente.
Dal punto di vista giuridico, inoltre, la possibilità di dimostrare cosa sia stato fatto prima dell’incidente può diventare determinante.
La moderna disciplina della cybersicurezza non richiede l’impossibile garanzia che nessun attacco possa mai avere successo.
Richiede invece che organizzazioni e professionisti possano dimostrare di avere:
identificato i rischi, adottato misure adeguate, formato il personale, controllato i sistemi e predisposto procedure efficaci di risposta.
È questa la nuova dimensione della sicurezza digitale: non soltanto tecnologia, ma prevenzione, organizzazione, governance e responsabilità.
