Cybersicurezza nelle aziende. Una necessita ?

1Immaginate che domani mattina l'azienda si fermi

Immaginate di arrivare in ufficio e trovare tutti i computer bloccati. I dipendenti non riescono ad accedere ai gestionali. Le fatture emesse e ricevute sono inaccessibili. Le caselle e-mail non funzionano. Sul monitor compare un messaggio che chiede il pagamento di una somma di denaro — spesso in criptovaluta — per restituire l'accesso ai dati. Nel frattempo, gli ordini in attesa non vengono evasi, i clienti non ricevono risposta e i fornitori iniziano a chiedersi cosa stia accadendo.

Quello appena descritto non è uno scenario riservato alle grandi multinazionali o alle infrastrutture critiche dello Stato. È la conseguenza concreta di un attacco ransomware, e può riguardare — come accade con crescente frequenza — anche una piccola o media impresa. Anzi, le PMI sono spesso bersagli particolarmente interessanti proprio perché i loro sistemi di protezione tendono a essere meno strutturati rispetto a quelli delle grandi organizzazioni.

La cybersicurezza nelle aziende non è, quindi, una questione riservata al reparto informatico o agli esperti di tecnologia. È un elemento che riguarda l'organizzazione, la continuità operativa, la gestione del rischio e — come vedremo — anche la responsabilità giuridica dell'impresa e di chi la amministra.

2Cosa si intende per cybersicurezza aziendale

La sicurezza informatica aziendale non si esaurisce nell'installazione di un antivirus o nell'acquisto di un firewall. Comprende l'insieme delle misure tecniche, organizzative e procedurali adottate per proteggere i sistemi informatici, le reti, gli account, i dispositivi, i documenti e le informazioni dell'impresa.

Questo significa che una politica di sicurezza efficace deve necessariamente coinvolgere tre livelli distinti: la tecnologia (gli strumenti utilizzati), l'organizzazione (le procedure e le responsabilità interne) e le persone (la formazione e la consapevolezza del personale). L'assenza di uno solo di questi elementi può rendere insufficienti anche gli investimenti sugli altri due.

I rischi a cui un'impresa è concretamente esposta sono molteplici e variegati:

• Ransomware: un programma malevolo cifra i dati aziendali e ne blocca l'accesso fino al pagamento di un riscatto;
• Phishing: comunicazioni ingannevoli inducono dipendenti o responsabili a rivelare credenziali di accesso o a compiere operazioni non autorizzate;
• Business Email Compromise (BEC): la casella di posta di un dirigente, di un collaboratore o di un fornitore viene compromessa o imitata per manipolare comunicazioni e pagamenti;
• Frode da modifica dell'IBAN: una fattura o una comunicazione viene alterata, sostituendo le coordinate bancarie legittime con quelle del truffatore;
• Accessi abusivi ai sistemi: soggetti non autorizzati accedono a database, archivi o piattaforme aziendali;
• Furto o diffusione di dati aziendali: informazioni riservate, dati dei clienti o segreti commerciali vengono sottratti o divulgati;
• Attacchi attraverso la supply chain: la compromissione di un fornitore di servizi informatici o di un partner commerciale può diventare il vettore di un attacco verso l'impresa cliente.

3Un caso pratico: la truffa dell'IBAN

Un dipendente dell'ufficio amministrativo riceve un'e-mail apparentemente proveniente da un fornitore abituale. Il messaggio, redatto in modo impeccabile e coerente con le comunicazioni precedenti, comunica la variazione delle coordinate bancarie per i pagamenti futuri, allegando una nuova fattura.

Il dipendente non ha motivo di dubitarne. Dispone il bonifico. Solo giorni dopo, quando il fornitore sollecita il pagamento della fattura, emerge che l'e-mail era stata inviata da un indirizzo fraudolento, oppure che la casella del fornitore era stata effettivamente compromessa — e i soldi sono ormai irrintracciabili su un conto estero.

Questo episodio dimostra con chiarezza che la sicurezza informatica aziendale non riguarda soltanto i firewall e gli antivirus. Riguarda anche le procedure operative: chi autorizza i pagamenti, come si verificano le variazioni delle coordinate bancarie, qual è il protocollo da seguire in caso di richiesta anomala. Una semplice telefonata di conferma al numero abituale del fornitore — non a quello eventualmente indicato nella e-mail sospetta — avrebbe potuto evitare la perdita.

4Il quadro normativo: GDPR, NIS2 e obblighi di cybersecurity per le aziende

Sul piano giuridico, la cybersecurity nelle imprese si inserisce in un contesto normativo articolato, che occorre conoscere almeno nelle sue linee essenziali.

Il Regolamento (UE) 2016/679 – GDPR

Il GDPR si applica a qualsiasi soggetto — impresa, professionista, ente — che tratti dati personali nell'ambito delle proprie attività. Sotto il profilo della sicurezza informatica, le disposizioni più rilevanti sono:

• Art. 5, par. 1, lett. f): il principio di «integrità e riservatezza», secondo cui i dati personali devono essere trattati in maniera da garantirne la sicurezza adeguata;
• Art. 24: obbligo del titolare del trattamento di adottare misure tecniche e organizzative adeguate a garantire il rispetto del regolamento;
• Art. 25: principio della protezione dei dati fin dalla progettazione e per impostazione predefinita (privacy by design e by default);
• Art. 32: obbligo di adottare misure di sicurezza tecniche e organizzative adeguate al rischio;
• Art. 33: obbligo di notificare all'Autorità Garante (data breach) entro 72 ore dalla conoscenza di una violazione dei dati personali, salvo che questa non presenti rischi per i diritti e le libertà delle persone fisiche;
• Art. 34: obbligo di comunicare la violazione agli interessati quando essa sia suscettibile di presentare un rischio elevato per i loro diritti e libertà.

Un attacco informatico che determini la perdita, la divulgazione non autorizzata o l'accesso illegittimo a dati personali costituisce, in linea generale, un evento che il titolare del trattamento è tenuto a valutare e, ove ne ricorrano i presupposti, a notificare. Il mancato rispetto di questi obblighi può esporre l'impresa a sanzioni amministrative.

La Direttiva NIS2 e il D.Lgs. n. 138/2024

La Direttiva (UE) 2022/2555, comunemente denominata NIS2, ha sostituito la precedente Direttiva NIS del 2016 con l'obiettivo di innalzare il livello comune di cybersicurezza in tutta l'Unione europea. In Italia, la direttiva è stata recepita con il D.Lgs. 4 settembre 2024, n. 138.

È indispensabile chiarire un punto essenziale: la NIS2 non si applica indistintamente a qualsiasi impresa. Il campo di applicazione riguarda i cosiddetti «soggetti essenziali» e «soggetti importanti» operanti in determinati settori e che soddisfano determinati criteri dimensionali e operativi. Verificare se la propria organizzazione rientri nell'ambito di applicazione del decreto richiede un'analisi concreta delle caratteristiche dell'impresa — settore di attività, dimensioni, tipologia di servizi erogati — e non può essere desunta in modo automatico.

Per i soggetti che vi rientrano, il decreto introduce obblighi significativi in materia di gestione del rischio cyber, segnalazione degli incidenti, continuità operativa, sicurezza della supply chain e governance aziendale. Un ruolo centrale è attribuito all'Agenzia per la Cybersicurezza Nazionale (ACN), che svolge funzioni di supervisione, coordinamento e supporto.

Anche per le imprese che non ricadono nell'ambito della NIS2, il decreto e il contesto normativo europeo segnalano una direzione chiara: la gestione del rischio informatico è ormai considerata parte integrante della corretta gestione aziendale.

5Il ruolo degli amministratori e degli organi direttivi

La cybersecurity aziendale coinvolge direttamente gli amministratori e chi ricopre ruoli di direzione e responsabilità all'interno dell'impresa. Questo non significa che ogni incidente informatico comporti automaticamente una responsabilità personale dell'amministratore: una simile affermazione sarebbe imprecisa e fuorviante. Le eventuali responsabilità devono essere valutate caso per caso, in relazione alla normativa concretamente applicabile, agli obblighi specifici dell'impresa, alle misure adottate e alle circostanze dell'evento.

Ciò che è possibile affermare con ragionevole certezza è che la gestione del rischio cyber deve entrare nelle decisioni organizzative dell'impresa. Quando l'attività dipende in misura significativa da sistemi digitali — gestionali, database, piattaforme cloud, comunicazioni via e-mail — la mancata adozione di misure di sicurezza proporzionate al rischio può assumere rilevanza nella valutazione dell'adeguatezza della gestione.

La NIS2, per i soggetti che vi rientrano, attribuisce esplicitamente agli organi di gestione la responsabilità di approvare le misure di gestione del rischio di cybersicurezza e di vigilare sulla loro attuazione. Anche al di fuori di questo specifico perimetro normativo, tuttavia, il tema non può essere considerato estraneo alle responsabilità organizzative degli amministratori.

6Cosa dovrebbe fare concretamente un'impresa

Le misure di sicurezza informatica devono essere proporzionate alle dimensioni, alle caratteristiche e ai rischi concreti dell'organizzazione. Non esiste una soluzione universale. Esistono, tuttavia, alcune misure di base che qualsiasi impresa dovrebbe valutare:

È importante sottolineare che alcune di queste misure non richiedono investimenti tecnologici rilevanti. La definizione di una procedura interna per la verifica delle coordinate bancarie, la formazione periodica del personale sul riconoscimento delle e-mail di phishing, o la predisposizione di un piano scritto per la gestione degli incidenti sono interventi che dipendono in larga misura dall'organizzazione, prima ancora che dalla tecnologia.

7Cybersecurity come investimento: il confronto con il costo di un incidente

È comprensibile che le imprese, soprattutto le PMI, considerino gli investimenti in sicurezza informatica come un costo difficile da giustificare in assenza di un incidente pregresso. Questa valutazione rischia però di essere imprecisa, perché non tiene conto dell'entità del danno che un attacco informatico può causare.

Le voci di costo associate a un incidente significativo possono comprendere: il fermo dell'attività per i giorni o le settimane necessarie al ripristino dei sistemi; la perdita definitiva di dati non recuperabili; le spese per consulenze informatiche forensi e per la ricostruzione degli archivi; le eventuali sanzioni per violazioni delle normative sulla protezione dei dati; il contenzioso civile con clienti o fornitori danneggiati dall'incidente; il danno reputazionale e la perdita di opportunità commerciali.

La prevenzione non può garantire l'assenza assoluta di incidenti: nessuna misura di sicurezza è infallibile. Può però ridurne significativamente la probabilità e, soprattutto, contenerne le conseguenze. Un sistema di backup funzionante e periodicamente verificato, ad esempio, non impedisce un attacco ransomware, ma può rendere non necessario il pagamento del riscatto e limitare i tempi di ripristino.

Ragionare sulla protezione dei dati aziendali e sulla resilienza dei sistemi come su un investimento — e non soltanto come su un costo — significa confrontare il costo delle misure preventive con il valore delle perdite che si intende evitare. In questa prospettiva, le risorse destinate alla sicurezza informatica assumono una dimensione diversa.

8Conclusione: la cybersicurezza nelle aziende non è un optional

La domanda posta nel titolo — la cybersicurezza nelle aziende è una necessità? — ammette oggi una risposta difficilmente contestabile.

Per alcune organizzazioni, la sicurezza informatica è oggetto di obblighi normativi specifici: il GDPR impone misure adeguate a chiunque tratti dati personali; il D.Lgs. n. 138/2024 di recepimento della NIS2 introduce obblighi più stringenti per i soggetti che rientrano nel relativo campo di applicazione. Per tutte le imprese che dipendono in misura significativa da sistemi digitali — e oggi sono la grande maggioranza — la gestione del rischio informatico rappresenta comunque un elemento essenziale della corretta conduzione dell'attività.

La domanda pertinente, quindi, non è più se un'azienda debba occuparsi di cybersicurezza, ma quale livello di protezione sia adeguato alla propria attività, ai dati trattati e ai rischi concretamente esistenti. Trovare una risposta a questa domanda richiede un'analisi specifica dell'organizzazione, che tenga conto delle sue caratteristiche, dei suoi obblighi normativi e delle minacce a cui è realmente esposta.

Un supporto legale specializzato può aiutare l'impresa a comprendere quali obblighi normativi le siano applicabili, a valutare l'adeguatezza delle misure adottate dal punto di vista giuridico e a gestire correttamente le conseguenze di un eventuale incidente informatico.