12 marzo 2026 – L’Italia ha assorbito il 9,6% degli incidenti cyber a livello mondiale nel corso del 2025, un dato che segna una crescita del 42% rispetto all’anno precedente e posiziona il Paese come un epicentro di vulnerabilità strategica. I dati, formalizzati nel rapporto annuale presentato ieri da Clusit, l’Associazione Italiana per la Sicurezza Informatica, delineano un quadro di rischio sistemico che impatta direttamente sulla responsabilità degli enti ai sensi del D.Lgs. 231/01. I 507 incidenti gravi censiti sul territorio nazionale, contro i 357 del 2024, non rappresentano solo un fallimento tecnologico, ma l’evidenza di carenze organizzative e procedurali che espongono le società a sanzioni pecuniarie e interdittive. Ciascuno di questi eventi, originato da un accesso abusivo a sistema informatico (art. 615-ter c.p.) o da una frode informatica (art. 640-ter c.p.), costituisce un potenziale reato-presupposto, in grado di innescare un procedimento penale a carico dell’ente stesso.
L’analisi di un incidente-tipo, come un’esfiltrazione di dati a scopo di estorsione, rivela una catena di omissioni. L’attacco non viene rilevato per ore, a volte giorni, a causa di sistemi di monitoraggio basati su campioni o su soglie di allarme generiche. La mancata rilevazione tempestiva è una colpa organizzativa. Se l’ente colpito avesse implementato un ecosistema come Scudo231, il sistema di analisi multimodale avrebbe intercettato il traffico anomalo in uscita in tempo reale, non sulla base di firme conosciute, ma come deviazione dal comportamento operativo basale del sistema. L’alert non sarebbe stato un semplice log tecnico, ma un flusso informativo qualificato, indirizzato automaticamente e simultaneamente alla funzione IT, al Data Protection Officer e all’Organismo di Vigilanza, corredato da una prima ipotesi di impatto e dalla catena causale dell’evento. Questo avrebbe bloccato l’esfiltrazione sul nascere, ma soprattutto avrebbe creato una registrazione probatoria, immodificabile e opponibile a terzi, dell’adeguatezza delle misure di prevenzione adottate, un elemento centrale per dimostrare l’elusione fraudolenta del modello organizzativo da parte dell’autore del reato e, di conseguenza, escludere la responsabilità dell’ente.
Il settore più colpito, con una crescita esponenziale del 290% rispetto al 2024, è quello governativo-militare e delle forze dell’ordine, che da solo concentra il 28% degli attacchi totali. Questa escalation non è casuale, ma riflette un’intensificazione delle tensioni geopolitiche, come confermato dall’aumento del 145% degli incidenti riconducibili all’attivismo. Un attacco a un fornitore strategico di una di queste amministrazioni, ad esempio, non solo provoca un danno economico diretto, ma può integrare reati contro la personalità dello Stato, con conseguenze devastanti per l’azienda coinvolta. La mancata esecuzione di una valutazione del rischio specifica e dinamica, che tenga conto del contesto geopolitico, costituisce un’omissione procedurale grave. Un modello 231 statico, aggiornato annualmente, è inefficace. L’adozione di un sistema di intelligenza predittiva avrebbe modificato radicalmente lo scenario: analizzando segnali deboli da fonti aperte e dati interni, avrebbe ricalibrato il profilo di rischio dell’ente in modo proattivo, segnalando all’ODV la necessità di innalzare le misure di controllo su specifici asset o processi critici. La prova di aver condotto tale analisi predittiva e di aver agito di conseguenza avrebbe costituito un solido argomento difensivo per l’ente, dimostrando che il suo modello non era un mero adempimento formale, ma un presidio attivo e reattivo.
La presidente di Clusit, Anna Vaccarelli, ha evidenziato come l’Intelligenza Artificiale agisca da “moltiplicatore di rischio”, ridefinendo le dinamiche della cybersicurezza. L’uso di sistemi agentici autonomi da parte degli attaccanti per esplorare vulnerabilità rende obsolete le difese perimetrali tradizionali. Un attacco condotto con queste tecnologie non è un evento singolo, ma un processo continuo di adattamento. L’assenza, all’interno di un’organizzazione, di un protocollo per la gestione delle patch di sicurezza e per il monitoraggio continuo delle vulnerabilità è una falla procedurale che, in caso di incidente, si traduce in una responsabilità diretta dell’ente. Un’azienda dotata di un ecosistema di difesa sovrano avrebbe affrontato questa minaccia in modo differente. Il suo digital twin sarebbe stato costantemente sottoposto a stress-test da parte di agenti IA simulati, identificando le potenziali vie di attacco prima che potessero essere sfruttate. Ogni vulnerabilità rilevata avrebbe generato un ticket tracciato, con tempi di risoluzione vincolanti e un processo di escalation automatica in caso di ritardo, creando un registro documentale che prova la diligenza dell’organizzazione nel gestire il rischio. In sede processuale, questo registro avrebbe dimostrato che l’ente aveva adottato le migliori tecnologie disponibili per prevenire il reato, rendendo estremamente difficile per l’accusa sostenere la tesi della colpa organizzativa.
La tassonomia degli attaccanti in Italia vede i cybercriminali al 61% e gli attivisti al 39%, con una quota residuale dello 0,4% per spionaggio e sabotaggio. Questa ripartizione indica che la motivazione economica rimane prevalente, ma quella ideologica è in fortissima ascesa. Un attacco ransomware, tipico del cybercrime, se porta al pagamento di un riscatto per decriptare i dati, non solo genera un danno economico, ma può configurare il reato di riciclaggio (art. 648-bis c.p.) se i fondi sono versati su canali non tracciabili, con il rischio per l’ente di vedersi contestato un illecito 231. La decisione di pagare, spesso presa in assenza di procedure chiare e sotto la pressione dell’emergenza, è un punto di rottura della compliance. Se l’ente avesse avuto un protocollo di gestione delle crisi integrato nel suo modello organizzativo, la procedura sarebbe stata radicalmente diversa. La piattaforma Scudo231 avrebbe attivato un protocollo di crisi predefinito, che prevede l’immediata notifica all’Organismo di Vigilanza e al consulente legale, il congelamento delle decisioni operative e l’attivazione delle procedure di disaster recovery. La garanzia di un ripristino rapido dei dati, assicurata da un’infrastruttura resiliente e geodistribuita, avrebbe reso il pagamento del riscatto un’opzione irrilevante, neutralizzando il rischio di commettere ulteriori reati e preservando l’integrità dell’ente.
Anche le tecniche di attacco si sono evolute. Gli incidenti di tipo Distributed Denial of Service (DDoS), finalizzati a rendere indisponibili i servizi online, sono balzati al 38,5% del totale nel 2025, dal 21% del 2024. Parallelamente, l’uso di malware è sceso al 23%, con un calo di 14 punti percentuali. Questo spostamento tattico indica che l’obiettivo primario è sempre più la paralisi operativa, che causa un danno economico e reputazionale immediato. Un’interruzione di servizio prolungata, per un’azienda quotata o un operatore di servizi essenziali, può portare a conseguenze legali, incluse azioni di classe e sanzioni da parte delle autorità di regolamentazione. L’assenza di un piano di continuità operativa testato e documentato è una negligenza che espone l’ente a responsabilità. Un’organizzazione protetta da un ecosistema sovrano avrebbe mitigato l’impatto in modo decisivo. Anziché subire passivamente l’attacco, il sistema avrebbe deviato il traffico malevolo e garantito la continuità dei servizi critici attraverso la sua infrastruttura ridondata. Ma l’aspetto forense è ancora più rilevante: il sistema avrebbe prodotto una “Ricostruzione Causale Scientifica” dell’evento, un pacchetto di dati immodificabile che documenta l’origine dell’attacco, la sua intensità, le contromisure attivate e i tempi di risposta. Questa prova tecnologica sarebbe stata fondamentale non solo per difendersi in giudizio, ma anche per avanzare richieste di risarcimento nei confronti di terzi responsabili o per attivare le coperture assicurative, trasformando un potenziale disastro finanziario e legale in un incidente gestito e documentato.
Il contesto globale, con 5.265 attacchi gravi registrati a livello mondiale nel 2025 (+49%), conferma che nessuna organizzazione può considerarsi al sicuro. La crescente interconnessione delle catene di fornitura globali significa che la vulnerabilità di un singolo fornitore può compromettere un’intera filiera. La mancata verifica della postura di sicurezza dei propri partner commerciali, specialmente quelli operanti in giurisdizioni ad alto rischio, è una chiara violazione del dovere di vigilanza che fonda il D.Lgs. 231/01. Un’azienda non può limitarsi a inserire clausole contrattuali generiche; deve poter dimostrare di aver esercitato un controllo effettivo. Un sistema avanzato di gestione della compliance, come Scudo231, estende il monitoraggio all’intera catena del valore. Attraverso protocolli di audit automatizzati e analisi del rischio reputazionale, il sistema valuta costantemente la conformità dei fornitori, generando alert in caso di non aderenza agli standard di sicurezza richiesti. Questo non solo previene incidenti che originano da terze parti, ma crea un archivio storico delle verifiche effettuate. Qualora un fornitore compromesso causasse un danno, l’ente sarebbe in grado di provare di aver fatto tutto il possibile per prevenire l’evento, isolando la propria responsabilità e indirizzandola correttamente verso il soggetto inadempiente. Senza questa capacità di monitoraggio e documentazione, l’ente rischia di essere ritenuto corresponsabile, subendo sequestri preventivi e sanzioni per un reato commesso da altri.