Il conto: GDPR, NIS2 e il dilemma del riscatto

Perché è un data breach, sempre

Un attacco ransomware che comporta esfiltrazione di dati personali è una violazione di dati personali ai sensi dell’art. 4, n. 12, del GDPR: non è una questione interpretabile. Ma anche la sola cifratura, senza alcuna copia verso l’esterno, costituisce una violazione — perché il regolamento protegge tre proprietà, e la disponibilità è una di queste. Un’azienda che non può più accedere ai dati dei propri dipendenti ha subito una violazione della disponibilità, con o senza furto.

La distinzione conta per gli obblighi che ne discendono. Nella sola perdita di disponibilità, se il ripristino è rapido e completo, il rischio per gli interessati può risultare basso e la comunicazione a ciascuno di loro può non essere dovuta. Quando invece i dati escono, il rischio si sposta su un piano diverso e la valutazione cambia radicalmente.

Da quando corrono le 72 ore

È l’errore più diffuso e il più costoso. Le 72 ore non decorrono dalla fine dell’analisi forense, né dal momento in cui si capisce con esattezza quali dati siano stati toccati. Secondo le linee guida dell’European Data Protection Board 01/2021 sulla notifica delle violazioni, il titolare è «a conoscenza» quando ha un ragionevole grado di certezza che un incidente di sicurezza si sia verificato e abbia compromesso dati personali. Il lunedì mattina in cui i file non si aprono, quel grado di certezza c’è quasi sempre.

Il regolamento tiene conto del fatto che le informazioni saranno incomplete: prevede espressamente la possibilità di una notifica per fasi, con integrazioni successive. Ciò che non prevede è l’attesa. Una notifica tardiva va accompagnata dalle ragioni del ritardo, e quelle ragioni finiscono nel provvedimento.

Il doppio binario: Garante e ACN

Qui sta il punto che nella maggior parte degli articoli sul tema manca del tutto. Un’organizzazione che rientra nel perimetro NIS2 e subisce un ransomware con esfiltrazione non ha un obbligo di notifica: ne ha due, verso due autorità diverse, con tempistiche diverse, e i due obblighi non si assorbono a vicenda.

Il regime NIS2 è stato recepito in Italia con il D.Lgs. 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024; da quella data l’Agenzia per la Cybersicurezza Nazionale opera come autorità nazionale competente e punto di contatto unico. L’art. 25 impone ai soggetti essenziali e importanti una notifica al CSIRT Italia articolata su tre livelli: una prima segnalazione tempestiva, una notifica strutturata entro 72 ore, un’analisi dettagliata entro un mese.

Vale la pena notare cosa questo comporta al di là della scadenza. Come osserva il Cyber Security Report, il meccanismo trasforma la gestione dell’incidente in un processo organizzativo formalizzato, verificabile e integrato con le responsabilità degli organi direttivi. Tradotto: non è più una faccenda del reparto informatico. È una responsabilità del consiglio di amministrazione, e in quanto tale va documentata prima che serva.

Chi rientra davvero nel perimetro

Prima di parlare di scadenze, va sciolto un nodo che nella pratica blocca molte aziende: come si fa a sapere se si è dentro. La risposta onesta è che non è sempre immediato, e per una ragione strutturale — l’elenco dei soggetti essenziali e importanti non è pubblico. L’individuazione passa dal meccanismo di registrazione e valutazione gestito da ACN: una prima finestra si è aperta tra il 1° dicembre 2024 e il 28 febbraio 2025, e a regime la registrazione o il suo aggiornamento si svolge dal 1° gennaio al 28 febbraio di ogni anno.

La NIS2 ha ampliato il perimetro in modo notevole. È caduta la vecchia distinzione tra operatori di servizi essenziali e fornitori di servizi digitali, sostituita da quella tra soggetti essenziali e importanti, e ai settori tradizionalmente critici — energia, trasporti, sanità, finanza, infrastrutture digitali, pubblica amministrazione — se ne sono aggiunti altri che molti imprenditori non associano alla parola «critico»: gestione dei rifiuti, alimentare, chimica, manifatturiero, servizi postali, servizi ICT, fornitori digitali, organizzazioni di ricerca.

Quel «manifatturiero» in elenco, letto insieme al fatto che la manifattura è il settore italiano più colpito dal ransomware, spiega perché questa puntata riguardi molti più lettori di quanti pensino di essere coinvolti.

Nel frattempo il fenomeno si muove nella direzione opposta. Applicando un modello di classificazione probabilistica alle rivendicazioni ransomware, gli analisti stimano che le aziende italiane colpite e verosimilmente rientranti nel perimetro siano passate da 39 su 143 nel 2024 (il 27,3%) a 52 su 160 nel 2025, il 32,5%. Gli autori sono espliciti sui limiti: è una stima probabilistica, non una verifica ufficiale, e due sole annualità non bastano a stabilire una tendenza. Ma la direzione è quella.

Cosa sanziona davvero il Garante

Leggere i provvedimenti recenti è più istruttivo di qualsiasi previsione: emerge con chiarezza che non si viene sanzionati per essere stati attaccati, ma per ciò che si è omesso prima e dopo.

A questi si affiancano provvedimenti specificamente ransomware degli anni precedenti, tra cui una sanzione di 900.000 euro a una società di gestione documentale che non era intervenuta su una vulnerabilità già segnalata dai propri stessi sistemi. Il filo conduttore è costante: vulnerabilità note e non sanate, credenziali gestite male, comunicazioni tardive.

Va poi ricordato un aspetto che sfugge spesso: la carenza di misure di sicurezza (art. 32) e la violazione degli obblighi di notifica e comunicazione (artt. 33 e 34) sono illeciti distinti e cumulabili, collocati per giunta su due livelli sanzionatori diversi — fino a 10 milioni di euro o al 2% del fatturato mondiale i primi, fino a 20 milioni o al 4% i secondi. Un singolo incidente può quindi generare due contestazioni.

Il dilemma del riscatto

La domanda arriva sempre, di solito entro le prime ore, e merita una risposta precisa invece delle formule che circolano.

In Italia non esiste oggi un divieto generale di pagare un riscatto. Chi scrive il contrario semplifica. Esistono però tre ordini di problemi concreti.

Il primo è sanzionatorio internazionale: numerosi gruppi ransomware, o le entità che ne gestiscono i proventi, figurano in liste di soggetti sanzionati. L’autorità statunitense competente ha chiarito che i pagamenti verso destinatari sanzionati espongono a conseguenze anche quando chi paga ignorava l’identità della controparte. Per un’impresa con attività, controllate o rapporti bancari negli Stati Uniti il rischio è tutt’altro che teorico, e va valutato prima, non durante.

Il secondo è di efficacia: pagare compra una chiave di decifratura, non la cancellazione dei dati sottratti. Nessuna garanzia è esigibile da una controparte criminale, e la promessa di distruggere le copie è, per definizione, non verificabile.

Il terzo è quello che interessa di più chi legge questo sito: il pagamento non estingue alcun obbligo. Non fa venire meno la notifica al Garante, non fa venire meno la comunicazione agli interessati, non attenua di per sé la contestazione sulle misure di sicurezza.

L’assicurazione cyber

È la prima domanda pratica di ogni imprenditore, e merita una risposta priva di entusiasmo. Le polizze cyber coprono tipicamente i costi di risposta all’incidente — consulenza forense, ripristino, assistenza legale, gestione della comunicazione — e le perdite da interruzione dell’attività. Coprono più raramente, e comunque nei limiti previsti dalla singola polizza, i danni verso terzi. Le sanzioni amministrative non sono assicurabili in molti ordinamenti e sono comunemente escluse: la sanzione del Garante resta a carico dell’impresa.

C’è però un effetto collaterale virtuoso di cui vale la pena parlare. I questionari di sottoscrizione si sono irrigiditi al punto che oggi ottenere una copertura a condizioni ragionevoli richiede di dimostrare autenticazione a più fattori, backup testati e segmentazione della rete. Il mercato assicurativo è diventato, di fatto, uno strumento di igiene informatica forzata: molte aziende hanno adottato misure per assicurarsi, non per proteggersi — e ne hanno beneficiato comunque.

Nota: la struttura delle coperture varia sensibilmente tra compagnie e la materia è in evoluzione. Prima di fare affidamento su una polizza conviene farsi indicare per iscritto il trattamento riservato al pagamento del riscatto e alle sanzioni amministrative.

Il terzo e il quarto orologio

Finora abbiamo parlato di due obblighi. Per alcune organizzazioni sono di più, e conviene sapere quali arrivano e quando, perché due delle scadenze cadono nei prossimi mesi.

Il settore finanziario ha un regime proprio. Il regolamento sulla resilienza operativa digitale — DORA — si applica all’ambito finanziario con criteri più stringenti della NIS2 e introduce requisiti specifici anche per i fornitori ICT considerati critici. Chi opera in quel perimetro non sostituisce gli obblighi generali: li somma.

Chi produce, dall’11 settembre 2026, notifica anche i propri prodotti. Il Cyber Resilience Act, in vigore dal 10 dicembre 2024, applica il grosso degli obblighi dall’11 dicembre 2027, ma gli obblighi di segnalazione decorrono dall’11 settembre 2026. Da quella data i fabbricanti di prodotti con elementi digitali dovranno trasmettere le segnalazioni attraverso una piattaforma unica gestita da ENISA, con un preavviso entro 24 ore dalla consapevolezza e una notifica completa entro 72 ore.

Sullo sfondo si muove una proposta ulteriore. Nel gennaio 2026 la Commissione europea ha presentato una revisione del Cyber Security Act, ora all’inizio dell’iter, che estende l’attenzione ai rischi della catena di fornitura ICT: prevede un meccanismo per designare fornitori ad alto rischio e limitare l’uso dei loro componenti in settori chiave, e introduce uno schema di certificazione della «postura di sicurezza» organizzativa. È materia da seguire, non ancora da adempiere.

Chi sei, cosa rischi

Schema qualitativo a fini divulgativi. La qualificazione effettiva dipende da settore, dimensione e determinazioni ACN applicabili.

Fonti