Un attacco informatico può compromettere non soltanto dati e documenti, ma anche impianti, merci e sicurezza delle persone. Il caso dei frigoriferi francesi lo rende evidente: il 12 ottobre 2026 il CERT-FR ha segnalato compromissioni dei controllori remoti degli impianti di refrigerazione, evidenziando l’esposizione su Internet delle relative interfacce di gestione (vedi link alla pagina governativa francese relativa all'attacco CERT-FR).

Il problema giuridico è preciso: essere vittima di un attacco non significa essere automaticamente esonerati da responsabilità. Tuttavia, neppure il successo dell’attacco dimostra, da solo, una negligenza dell’impresa. Occorre verificare quali misure fossero esigibili e quali conseguenze siano riconducibili alla loro omissione.

La normativa rilevante

Responsabilità civile: l’attacco non è automaticamente forza maggiore

Nei rapporti contrattuali opera l’art. 1218 c.c.: l’impresa che non esegue correttamente la prestazione deve dimostrare che l’inadempimento deriva da un’impossibilità non imputabile. Affermare «siamo stati attaccati» non equivale, dunque, a fornire questa prova.

Si immagini un deposito refrigerato che perda le merci affidategli. La verifica dovrà riguardare manutenzione, protezione degli accessi, allarmi e procedure di emergenza. L’aggressione esterna non esclude necessariamente una concorrente carenza organizzativa.

Verso soggetti estranei al contratto può operare l’art. 2043 c.c., con necessità di accertare condotta colposa, danno ingiusto e nesso causale. I presupposti e gli oneri probatori non coincidono, quindi, con quelli della responsabilità contrattuale.

Responsabilità degli amministratori: la sicurezza informatica non può essere ignorata

L’art. 2086 c.c. impone assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa. Quando l’attività dipende da sistemi digitali, ritengo che la gestione dei relativi rischi debba rientrare nella valutazione dell’adeguatezza organizzativa.

Gli artt. 2392 e 2476 c.c. possono fondare la responsabilità degli amministratori per danni derivanti dalla violazione dei loro doveri. Non sono garanti dell’inviolabilità informatica, ma non possono trascurare rischi conosciuti o segnalazioni tecniche rilevanti senza un’adeguata valutazione. La responsabilità richiede comunque un accertamento individualizzato della violazione e del danno.

GDPR e privacy

Gli artt. 24 e 32 del regolamento UE 2016/679 richiedono misure organizzative e tecniche adeguate al rischio. La sicurezza comprende riservatezza, integrità, disponibilità e capacità di ripristino. Una violazione può quindi sussistere anche senza sottrazione di dati, ad esempio quando un ransomware li renda indisponibili.

Occorre però evitare un automatismo: il sabotaggio di un frigorifero non è necessariamente un data breach. Il GDPR entra in gioco quando siano coinvolti dati personali. L’incidente può restare gravissimo anche quando questa disciplina non sia applicabile.

NIS2: obblighi di sicurezza e responsabilità degli organi direttivi

La direttiva UE 2022/2555, recepita dal D.Lgs. 138/2024, disciplina la sicurezza dei soggetti essenziali e importanti. Non si applica indistintamente a tutte le aziende: occorre verificare attività, dimensioni, eventuali eccezioni e individuazione da parte dell’ACN. Nel settore alimentare, l’allegato II considera distribuzione all’ingrosso, produzione industriale e trasformazione; il semplice esercizio di un supermercato non determina automaticamente l’assoggettamento.

L’art. 24 richiede misure proporzionate, comprendenti gestione degli incidenti, continuità operativa, sicurezza dei fornitori, gestione delle vulnerabilità e verifica dell’efficacia dei controlli. L’art. 23 attribuisce agli organi amministrativi e direttivi compiti di approvazione, vigilanza e formazione.

Va verificato anche il regime transitorio: per i soggetti inseriti nel 2025 rilevano termini collegati alla comunicazione di inclusione; per i nuovi soggetti del 2026, l’ACN ha previsto notifiche dal 1° gennaio 2027 e misure di base entro luglio 2027. Queste scansioni non sospendono gli altri obblighi già applicabili (vedi link Agenzia Nazionale per le Comunicazioni).

Responsabilità penale e condotte omissive 

Non esiste un reato generale consistente nell’essere stati attaccati. Possono invece emergere responsabilità personali per le conseguenze di omissioni colpose.

Gli artt. 40, secondo comma, e 43 c.p. impongono di individuare un obbligo giuridico di impedire l’evento, una condotta negligente e il relativo collegamento causale. Non basta attribuire al soggetto una qualifica formale: occorre ricostruirne compiti, poteri e concreta possibilità di intervento.

Se ricorrono tutti i presupposti, possono configurarsi omicidio o lesioni colpose, oppure le fattispecie dell’art. 449 c.p. in caso di incendio o altro disastro colposo. Non ogni guasto costituisce, però, un disastro penalmente rilevante. L’omissione di una protezione informatica non trasforma automaticamente il responsabile aziendale in concorrente nei reati dolosi dell’hacker.

Responsabilità “231”

Il D.Lgs. 231/2001 disciplina una distinta responsabilità dell’ente derivante da determinati reati. L’attacco subito non comporta automaticamente una responsabilità ai sensi dell’art. 24-bis.

Occorrono un reato presupposto commesso da un soggetto qualificato, i criteri di imputazione all’ente e gli ulteriori requisiti organizzativi previsti dal decreto. Rileva, in particolare, l’interesse o vantaggio dell’impresa.

Un possibile collegamento è l’art. 25-septies, relativo a omicidio colposo e lesioni gravi o gravissime commessi con violazione della normativa sulla sicurezza del lavoro. Un sabotaggio industriale può quindi richiedere anche questa verifica, senza alcun automatismo sanzionatorio.

Nel caso specifico: catena del freddo e sicurezza dei lavoratori

I regolamenti CE 178/2002 e 852/2004 impongono obblighi di sicurezza alimentare, autocontrollo e gestione dei prodotti non sicuri. Dopo un’alterazione delle temperature non basta riavviare l’impianto: occorre valutare gli alimenti e, quando necessario, attivare ritiro, richiamo e comunicazioni alle autorità.

Possono inoltre rilevare le contravvenzioni dell’art. 5 della legge 283/1962, anche in materia di cattiva conservazione. Quando la compromissione degli impianti esponga i lavoratori a pericoli, la valutazione dei rischi dell’art. 28 D.Lgs. 81/2008 deve considerare tali conseguenze.

Gli sviluppi europei: sicurezza dei prodotti connessi

Il Cyber Resilience Act, regolamento UE 2024/2847, introduce requisiti per i prodotti con elementi digitali. L’applicazione principale decorrerà dall’11 dicembre 2027, mentre determinati obblighi di segnalazione dei fabbricanti sono già applicabili dall’11 settembre 2026. Non vanno confusi con gli obblighi dell’impresa che utilizza il prodotto.

Cosa dice la giurisprudenza per i casi di attacchi informatici

Con riferimento alla giurisprudenza europea, è di particolare interesse la sentenza 14 dicembre 2023, C-340/21 della Corte di Giustizia Europea, che riguarda direttamente un attacco informatico.

La Corte di giustizia ha chiarito che l’accesso illecito di terzi non dimostra, da solo, l’inadeguatezza delle misure di sicurezza. La valutazione deve essere concreta e il titolare deve dimostrare l’adeguatezza delle misure adottate. L’intervento dell’hacker non determina, di per sé, l’esonero da responsabilità.

La pronuncia si coordina con la precedente 4 maggio 2023, C-300/21: il risarcimento previsto dall’art. 82 GDPR richiede violazione, danno e nesso causale. La sola inosservanza normativa non basta; non è però richiesta una soglia minima di gravità del danno non patrimoniale.

Le Sezioni Unite, nella sentenza n. 30328 dell’11 settembre 2002, Franzese, hanno definito il rigoroso accertamento causale nei reati omissivi. Non è una decisione informatica, ma il principio è rilevante: non basta affermare che una maggiore sicurezza avrebbe genericamente ridotto il rischio. Il collegamento tra omissione ed evento deve essere provato secondo lo standard penale.

La sentenza Sezioni Unite n. 38343 del 18 settembre 2014, ThyssenKrupp, in un caso non direttamente sovrapponibile a quello degli attacchi informatici, chiarisce invece in generale che, nei reati colposi rilevanti per la “231”, al fine di valutare l'elemento soggettivo, interesse e vantaggio riguardano la condotta, non l’evento lesivo in sé. Può rilevare, ad esempio, un risparmio derivante dall’omissione delle cautele, secondo la c.d. formula di Frank sulla distinzione tra dolo eventuale e colpa cosciente.

Anche il Garante Privacy è intervenuto in materia di cyber-attacchi.

Ad esempio, dopo l’attacco informatico alla Regione Lazio del 2021, il Garante ha sanzionato, tra gli altri, LAZIOcrea e Regione Lazio. Gli accertamenti hanno riguardato carenze di sicurezza e controllo. Il caso mostra che affidare i sistemi a un fornitore non elimina i doveri del titolare del trattamento (si veda il link al siro del Garante Privacy).

Conseguenze pratiche per imprese e professionisti

La prima tutela è una verifica documentata del sistema, non il semplice acquisto di un software.

Per impianti connessi è opportuno verificare accessi remoti, credenziali, aggiornamenti, separazione delle reti, sistemi di allarme e possibilità di gestione in emergenza. Il CERT-FR raccomanda, in particolare, di evitare l’esposizione pubblica delle interfacce dei controllori frigoriferi e avverte che il ripristino di fabbrica, da solo, può essere insufficiente.

La verifica deve comprendere i contratti con manutentori e fornitori informatici: responsabilità sugli aggiornamenti, durata del supporto, tempi di intervento, gestione delle vulnerabilità, accesso ai registri e collaborazione negli incidenti. La rivalsa richiederà di dimostrare l’inadempimento del fornitore e le sue conseguenze. L’art. 1229 c.c. impedisce inoltre di escludere preventivamente la responsabilità per dolo o colpa grave.

Serve poi una procedura per le comunicazioni.

Nel GDPR, la notifica al Garante deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo improbabilità di rischi per le persone. Per gli incidenti significativi NIS, lo schema ordinario prevede pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Presupposti e adempimenti restano distinti.

L’errore più pericoloso è considerare la cybersecurity una questione esclusivamente informatica.

Serve una verifica giuridica professionale, integrata e tecnica. Il professionista deve analizzare sistemi e vulnerabilità. L’avvocato deve individuare obblighi applicabili, responsabilità organizzative, adeguatezza dei contratti e procedure di gestione dell’incidente.

Non si tratta di sostenere che ogni impresa debba obbligatoriamente nominare un consulente esterno. Si tratta di assicurare competenze adeguate al rischio, soprattutto quando manchino internamente.

Il risultato dovrebbe essere un piano concreto: criticità, priorità, responsabili, interventi e verifiche successive. Un audit non attuato non mette in sicurezza l’impresa; una certificazione non garantisce immunità. La valutazione resta legata all’effettività delle misure e alla loro adeguatezza nel tempo.

In altri termini, l'impresa, per andare esente da responsabilità, non deve garantire l’impossibilità assoluta di un attacco. Deve però poter dimostrare una gestione diligente dei rischi pertinenti alla propria attività.

La distinzione decisiva non è soltanto tra sistema violato e sistema inviolato, ma tra rischio correttamente gestito e omissione concretamente imputabile. Da questa verifica possono dipendere risarcimenti, sanzioni e responsabilità personali.

Contatta lo Studio Legale Vallini Vaccari

Lo Studio Legale Vallini Vaccari assiste le imprese nella verifica della compliance, dei contratti informatici e delle responsabilità connesse agli incidenti. Contatta lo Studio per valutare la tua organizzazione e coordinare l’analisi legale con le necessarie verifiche tecniche.