Cybersicurezza, l’evoluzione normativa verso la prevenzione infrastrutturale e la crisi di fiducia

L’attuale accelerazione normativa in materia di cybersicurezza non è un fenomeno isolato, ma il culmine di un percorso di maturazione del Diritto penale che ha dovuto confrontarsi con la dematerializzazione della condotta illecita. Da tempo, la prassi forense ha evidenziato come le fattispecie incriminatrici classiche – pensiamo all’accesso abusivo o al danneggiamento di sistemi informatici – sebbene ben concepite, risultassero insufficienti a intercettare la dinamica del rischio nell’ecosistema aziendale.

L’evoluzione delle minacce, dal defacement alle prime forme di ransomware, ha spostato il focus dalla repressione del reato consumato alla prevenzione infrastrutturale. La creazione dell’Agenzia per la Cybersicurezza Nazionale (ACN) e l’istituzione del Perimetro di Sicurezza Nazionale Cibernetica non sono solo atti politici, ma il riconoscimento legislativo di una crisi di fiducia che il settore privato, e chi lo assiste, ha percepito in anticipo sul legislatore.

Per un avvocato che ha seguito l’evoluzione di questi fenomeni, è chiaro che la responsabilità dell’ente oggi non si gioca solo sul nesso causale tra omissione e reato, ma sulla valutazione ex ante della prevenzione. Il nuovo Decreto legislativo n. 138/2024, che recepisce la Direttiva Nis 2, definisce in modo oggettivo lo stato dell’arte tecnico e organizzativo a cui gli enti devono conformarsi.

In primo luogo, la diligenza non è più un concetto elastico. Nis 2 estende la platea degli obbligati (soggetti essenziali e importanti) in modo così capillare da includere anche le PMI che operano in ambiti rilevanti. Ciò impone una consapevolezza trasversale che supera la tradizionale compartimentalizzazione del rischio in azienda, un aspetto spesso sottovalutato nei modelli di compliance più datati.

Inoltre, Nis 2 impone che la supervisione della gestione del rischio sia formalmente assunta dagli organi apicali. Questa previsione si salda perfettamente con l’impianto del D.lgs. 231/2001. L’assenza di un controllo attivo da parte della governance non è solo un’inadempienza amministrativa ACN, ma la prova che la volontà colposa di organizzazione risiede proprio al vertice.

I professionisti che hanno assistito alla gestione delle prime crisi cyber in contesti aziendali sanno bene che il fallimento di un sistema di prevenzione si annida spesso non nell’assenza di un firewall, ma nella carenza di governance e nell’omessa formazione culturale sui rischi.

L’impatto della Legge 90/2024 sul rischio penale delle aziende

La recente Legge n. 90/2024, che ha inasprito il regime sanzionatorio per i reati informatici ex art. 24-bis d.lgs. 231/2001, non è un mero esercizio di politica criminale, ma un segnale inequivocabile per l’impresa.

L’inclusione esplicita dell’estorsione nel catalogo 231 (in correlazione con i delitti informatici) riflette la realtà processuale della doppia estorsione (cifratura più minaccia di data leakage). In aula, la difesa di un ente dovrà dimostrare di aver adottato protocolli rigorosi non solo per la prevenzione dell’attacco, evitando il danneggiamento di sistemi, ma anche per la gestione della crisi post-attacco, compresa la valutazione etica e legale di un potenziale riscatto, che interseca il rischio di riciclaggio.

L’aumento delle sanzioni pecuniarie per i delitti informatici impone che il risk assessment di un modello organizzativo (MOG) non possa,a maggior ragione, limitarsi a una mappatura formale. La valutazione dell’impatto di un reato deve essere ricalcolata tenendo conto del nuovo quantum sanzionatorio, elevando l’indice di rischio e richiedendo, di conseguenza, un rafforzamento proporzionato dei presidi di controllo.

Il vero punto di convergenza tra diritto della sicurezza e Diritto penale è la prova della colpa organizzativa. L’avvocato che interviene in un procedimento 231 derivante da un cybercrime deve affrontare la tesi accusatoria secondo cui l’ente era sprovvisto o addirittura non ha adottato un MOG idoneo a prevenire il reato.

Per i soggetti obbligati, il D.lgs. 138/2024 stabilisce un livello di diligenza oggettivizzato. L’omessa adozione di una misura minima nis 2 – come la gestione del rischio o l’implementazione dell’autenticazione multifattore – non è più vista come una semplice deficienza tecnica, ma come una carenza organizzativa grave che rende il MOG inidoneo ab origine.

L’azione di vigilanza dell’ACN e l’eventuale irrogazione di una sanzione amministrativa diventano una prova prima facie processualmente fortissima dell’inadeguatezza preesistente. E’ un onere probatorio che si ribalta. Dimostrare l’efficacia del MOG diventa arduo se l’ente è stato precedentemente sanzionato per l’inosservanza dei protocolli di base.

Un elemento che emerge chiaramente nella gestione delle crisi aziendali è l’importanza dell’obbligo di notifica tempestiva degli incidenti all’ACN. Il fallimento reiterato in questo adempimento non è solo un illecito amministrativo, ma un’indicazione inequivocabile di una carenza sistemica nei flussi informativi interni e nei protocolli di incident response dell’ente, fattore cruciale per sostenere la tesi della colpa di organizzazione in sede penale.

La necessità di una compliance integrata e strategica

La nuova era della cyber-accountability impone un modello di compliance che superi la logica dei silos aziendali, unendo GDPR (Regolamento UE 2016/679), Nis 2 e D.lgs. 231/2001.

La prevenzione di un data breach è, nella quasi totalità dei casi, il risultato della prevenzione di un reato informatico (rischio 231 monitorato dall’OdV). La collaborazione tra l’organismo di vigilanza (OdV), il Data Protection Officer (DPO) e le funzioni CISOo/IT non è auspicabile, ma necessaria. L’ OdV deve formalmente inglobare i flussi informativi del DPO e del CISOo nella mappatura del rischio 231.

La carenza formativa specifica del personale in ambito cyber è la porta d’accesso per reati come l’accesso abusivo (phishing). Per un legale, dimostrare l’inefficacia del MOG in virtù di un protocollo formativo assente o superficiale è una linea d’accusa diretta. Pertanto, l’investimento nella formazione cautelare diventa un protocollo inderogabile ex art. 6 D.lgs. 231/2001.

Il professionista che opera in questo ambito ha oggi il compito di tradurre le rigide norme Nis 2 in protocolli operativi e di controllo che siano effettivamente idonei a prevenire il reato e a resistere a una contestazione in sede giudiziaria. L’adeguamento del MOG non è un esercizio documentale, ma la revisione profonda del modello di gestione del rischio aziendale, con l’obiettivo ultimo di negare l’imputazione di una negligenza organizzativa strutturale.

La governance del rischio nel terzo millennio

L’evoluzione giurisprudenziale e normativa ha trasformato la cybersicurezza da costo tecnico a responsabilità di governance con un impatto economico e reputazionale diretto e inasprito. L’inosservanza degli standard Nis 2 è, per l’ente, la via diretta verso la dimostrazione di una colpa organizzativa sotto il D.lgs. 231/2001. L’unico sistema di difesa efficace per l’impresa è un modello di compliance integrata e strategicamente vigilato, che utilizzi gli obblighi Nis 2 come presidi formali per i reati ex art. 24-bis, trasformando la prevenzione normativa in esimente processuale. L’onere di implementare un sistema di gestione del rischio che sia non solo conforme ma efficacemente attuato ricade oggi sull’ente con una pressione senza precedenti, amplificata dall’aumento delle sanzioni pecuniarie introdotte dalla Legge 90/2024.

Chi assiste sul piano legale l’azienda deve quindi adottare una prospettiva anticipatoria, lavorando al fianco dell’Organismo di Vigilanza e del management per tradurre le prescrizioni tecniche (come i requisiti di incident response imposti dal D.lgs. 138/2024) in norme interne vincolanti e verificabili. In tal senso, la vigilanza dell’OdV sulle procedure Nis 2 diviene la garanzia di esimente più significativa in un’eventuale controversia penale.

La mancata adozione o l’inefficace attuazione delle misure Nis 2, al di là della sanzione amministrativa ACN, rende il MOG una mera fictio iuris processuale. Si assiste, in sostanza, alla definitiva convergenza del diritto penale e del diritto regolatorio, dove la diligenza cautelare non è più un concetto generale, ma un set di best practice normativamente codificate.

L’obiettivo finale per l’ente non è solo evitare l’attacco, ma, nel caso questo si verifichi, dimostrare in sede giudiziaria di aver esercitato tutto il dovere di controllo e vigilanza richiesto dallo stato dell’arte e dalla legge, un esercizio di accountability che definisce la maturità legale e operativa delle organizzazioni del terzo millennio.

L'articolo Cybersicurezza, l’evoluzione normativa verso la prevenzione infrastrutturale e la crisi di fiducia proviene da Red Hot Cyber.

Молдова разрывает культурное соглашение с Россией из-за рисков пропаганды

Парламент Молдовы утвердил денонсацию культурного соглашения с Российской Федерацией, заявив, что в нынешней геополитической ситуации документ может использоваться как инструмент дезинформации и представлять угрозу информационной безопасности страны.

Европа всерьёз рассматривает немыслимое: ответный удар по России, — Politico

После череды российских провокаций — дронов, глушения GPS и диверсий, ЕС обсуждает ответ: кибератаки по ключевым объектам РФ, внезапные учения НАТО у границ и собственные информационные операции, нацеленные на жителей России.

Русский язык стал обязательным в школах КНДР

С нового учебного года изучение русского языка стало обязательным для изучения северокорейскими школьниками, начиная с четвертого класса, заявил министр природных ресурсов и экологии Александр Козлов на заседании межправительственной комиссии России и КНДР в Москве.

Politico: США отказались давать гарантии безопасности Украине до подписания мирного соглашения

США готовы обсуждать долгосрочные гарантии безопасности для Украины, но только после заключения мирного соглашения.

Дрони атакували місто Новокуйбишевськ у Самарській області рф. Попередньо, під ударом опинився НПЗ.

Місцеві пишуть, що чули вибухи в районі нафтопереробного заводу «Роснєфті».

Україна за законом має провести референдум з територіальних питань, – путін.

Він додав, що одним із ключових пунктів перемовин зі США він вважає визнання "суверенітету росії" над Кримом і Донбасом.

рф припинить бойові дії лише якщо українські війська залишать займані території, – путін.

У протилежному разі, за його словами, москва "добиватиметься свого військовим шляхом".

БпЛА влучив у військову частину полку Росгвардії "Ахмат-Північ" у районі Грозного.

На місці спалахнула пожежа. 🔥

Вночі "добрі" дрони атакували Новокуйбишевський НПЗ на рф, який входить до "Роснафти".

Місцеві жалілись на сильні вибухи, а очевидці публікують відео атаки.

У США тимчасово зупинили обробку імміграційних запитів громадян Афганістану після нападу біля Білого дому, – Служба громадянства й імміграції.

Нагадуємо, вчора 2 солдатів Нацгвардії були вбиті біля Білого дому у Вашингтоні.