A cura dell’Avv. Diego De Paolis

Un data breach non rappresenta soltanto un incidente informatico o un problema di conformità al GDPR. Sempre più spesso costituisce l’inizio di un’indagine penale che coinvolge l’azienda, i suoi amministratori e, in determinate circostanze, il Chief Information Security Officer (CISO) o altri responsabili della sicurezza informatica.

Negli ultimi anni l’aumento degli attacchi ransomware, delle violazioni di dati personali e degli incidenti cyber ha portato le Procure italiane ad approfondire con maggiore frequenza la gestione dell’evento, verificando se l’organizzazione abbia adottato adeguate misure di prevenzione, risposta e conservazione delle prove digitali.

Una gestione errata delle prime ore successive all’incidente può aggravare le conseguenze giuridiche e compromettere sia la posizione processuale dell’azienda sia l’efficacia della successiva difesa.

In questo articolo analizziamo il quadro normativo, le responsabilità penali che possono emergere dopo un data breach, gli aspetti maggiormente esaminati dai Pubblici Ministeri e le migliori pratiche di incident response sotto il profilo legale e forense.

1. Inquadramento normativo

La disciplina applicabile deriva dall’interazione di numerose fonti normative.

Tra le principali:

• Regolamento (UE) 2016/679 (GDPR);
• Direttiva NIS2 e relativa normativa nazionale di recepimento;
• Codice Penale;
• Codice di Procedura Penale;
• Codice Privacy (D.Lgs. 196/2003);
• D.Lgs. 231/2001 sulla responsabilità amministrativa degli enti;
• Codice dell’Amministrazione Digitale (CAD), ove applicabile.

Il GDPR impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate al rischio (art. 32), notificare le violazioni dei dati personali all’Autorità Garante entro 72 ore nei casi previsti (art. 33) e comunicare il breach agli interessati quando sussiste un rischio elevato (art. 34).

Sul piano penale, invece, il data breach può rappresentare il punto di partenza per accertare eventuali responsabilità connesse a reati informatici, omissioni, falsificazioni documentali, distruzione di prove digitali o profili di colpa professionale.

2. Casi pratici: cosa indagano le Procure dopo un data breach

Caso 1 – Mancanza di adeguate misure di sicurezza

Una delle prime verifiche riguarda l’adeguatezza delle misure di sicurezza adottate prima dell’attacco.

Gli investigatori acquisiscono frequentemente:

• policy aziendali;
• valutazioni dei rischi;
• procedure di backup;
• sistemi di autenticazione;
• sistemi EDR e antivirus;
• configurazioni firewall;
• registri degli accessi;
• audit interni.

L’obiettivo è comprendere se il data breach fosse evitabile mediante l’adozione di misure normalmente richieste dagli standard di settore.

Caso 2 – Gestione dell’incidente

Le prime 24-48 ore risultano decisive.

Il Pubblico Ministero può verificare:

• quando è stato scoperto l’attacco;
• chi è intervenuto;
• quali decisioni siano state assunte;
• se siano stati alterati o cancellati log;
• se siano stati conservati gli elementi probatori.

Una gestione improvvisata dell’incidente può compromettere l’accertamento dei fatti.

Caso 3 – Distruzione o alterazione delle prove digitali

È un aspetto frequentemente sottovalutato.

Durante le attività di ripristino, personale interno o consulenti esterni possono inconsapevolmente:

• sovrascrivere file;
• eliminare log;
• modificare timestamp;
• cancellare sistemi compromessi.

Dal punto di vista processuale, tali condotte possono rendere molto più complessa la ricostruzione tecnica dell’incidente.

Caso 4 – Ransomware e pagamento del riscatto

Sempre più Procure analizzano:

• modalità di negoziazione con gli attaccanti;
• eventuali trasferimenti di criptovalute;
• procedure autorizzative;
• coinvolgimento del management.

La scelta di pagare il riscatto non costituisce automaticamente un illecito, ma può assumere rilievo investigativo in funzione delle circostanze concrete.

3. Quali responsabilità rischiano azienda, amministratori e CISO

La posizione dell’azienda

L’impresa può essere destinataria:

• di procedimenti davanti al Garante Privacy;
• di azioni risarcitorie;
• di indagini penali;
• della contestazione della responsabilità amministrativa ex D.Lgs. 231/2001, ove ne ricorrano i presupposti.

Le conseguenze economiche possono risultare estremamente rilevanti.

La posizione degli amministratori

Gli amministratori sono chiamati a dimostrare di avere predisposto un sistema organizzativo adeguato alla gestione del rischio cyber.

L’assenza di governance, controlli interni o investimenti minimi in sicurezza può assumere rilievo anche sotto il profilo della responsabilità personale.

Il rischio per il CISO

Il Chief Information Security Officer non risponde automaticamente di ogni violazione.

La sua responsabilità dipende da numerosi fattori, tra cui:

• deleghe ricevute;
• effettivi poteri decisionali;
• autonomia di spesa;
• obblighi organizzativi;
• documentazione delle attività svolte.

In sede investigativa vengono spesso acquisiti:

• verbali delle riunioni;
• e-mail;
• report di vulnerabilità;
• richieste di investimento;
• ticket di sicurezza;
• penetration test;
• audit interni.

Una corretta tracciabilità delle attività svolte rappresenta uno dei principali strumenti di tutela.

4. Consigli pratici per aziende e responsabili della sicurezza

Per ridurre il rischio di responsabilità è consigliabile:

Predisporre un Incident Response Plan

Ogni organizzazione dovrebbe disporre di procedure formalizzate che individuino ruoli, responsabilità e flussi decisionali.

Conservare correttamente le prove digitali

La digital forensics deve iniziare immediatamente.

Log, immagini forensi, copie dei server e dei dispositivi devono essere acquisiti con metodologie idonee a garantirne l’integrità.

Documentare ogni decisione

Ogni scelta compiuta durante la gestione dell’incidente dovrebbe risultare adeguatamente verbalizzata.

La documentazione costituisce spesso uno degli elementi principali valutati dagli organi investigativi.

Coinvolgere tempestivamente consulenti legali e forensi

La gestione tecnica e quella giuridica devono procedere parallelamente.

Un intervento esclusivamente informatico rischia di trascurare aspetti probatori essenziali.

Aggiornare costantemente la governance cyber

Le organizzazioni dovrebbero riesaminare periodicamente:

• policy;
• procedure;
• formazione del personale;
• sistemi di monitoraggio;
• piani di continuità operativa.

5. Audit legale-forense: uno strumento di prevenzione

L’audit legale-forense consente di verificare preventivamente se l’organizzazione sia realmente pronta ad affrontare un incidente informatico anche sotto il profilo investigativo.

L’attività comprende, tra l’altro:

• analisi della governance cyber;
• verifica delle procedure di incident response;
• valutazione della conservazione delle evidenze digitali;
• analisi della documentazione interna;
• simulazioni di gestione di un data breach;
• verifica dei profili di responsabilità degli organi aziendali.

Intervenire prima che si verifichi un attacco significa ridurre sensibilmente i rischi di contenzioso, sanzioni e responsabilità personali.

Se la tua azienda ha subito un data breach o desidera verificare la propria preparazione sotto il profilo penale, un audit legale-forense permette di individuare le criticità organizzative, rafforzare la gestione dell’incidente e predisporre una strategia difensiva efficace in caso di indagini.

FAQ

Il CISO risponde automaticamente di un data breach?

No. La responsabilità dipende dalle deleghe ricevute, dai poteri effettivamente esercitati, dalle attività svolte e dalla concreta organizzazione aziendale.

Un data breach comporta sempre un procedimento penale?

No. Tuttavia, nei casi più gravi o quando emergono ipotesi di reato, possono essere avviate indagini penali oltre ai procedimenti amministrativi.

Cosa acquisiscono normalmente gli investigatori?

Log di sistema, configurazioni dei server, backup, e-mail, policy aziendali, registri degli accessi, documentazione tecnica, report di sicurezza e dispositivi informatici.

È sufficiente notificare il Garante Privacy?

No. La notifica prevista dal GDPR costituisce soltanto uno degli adempimenti. Occorre anche gestire correttamente le evidenze digitali, documentare le decisioni adottate e valutare gli eventuali profili penalistici.

Perché effettuare un audit legale-forense?

Per verificare preventivamente la conformità dell’organizzazione, rafforzare la governance della sicurezza informatica, preservare le prove digitali e ridurre il rischio di responsabilità civili, amministrative e penali.