I malware cognitivi sono sistemi malevoli capaci di adattare il proprio comportamento all’ambiente bersaglio, eludendo i controlli tradizionali. Per gli amministratori di società, un attacco di questo tipo può tradursi in responsabilità diretta ex art. 2381 c.c. se l’assetto organizzativo non risultava adeguato al rischio. La direttiva NIS2 (recepita con d.lgs. 138/2024) impone oggi misure minime vincolanti e sanzioni fino a 10 milioni di euro o il 2% del fatturato globale.
Punti chiave
- Punto 1 — Gli amministratori rispondono ex art. 2381 c.c. se l’assetto IT non era adeguato al rischio cyber.
- Punto 2 — Il d.lgs. 138/2024 (NIS2) prevede sanzioni fino a 10 milioni di euro o il 2% del fatturato globale.
- Punto 3 — I malware cognitivi adattivi rendono obsoleti i modelli di sicurezza perimetrale: serve difesa algoritmica attiva.
Quando un attacco informatico colpisce una società cliente, la prima domanda che si pone il legale non è tecnica: è chi risponde e con quale patrimonio. I malware cognitivi, capaci di modificare autonomamente il proprio codice per aggirare antivirus e sistemi di rilevamento, alzano il livello di rischio residuo ben oltre quello che un assetto organizzativo standard riesce a coprire. Questo sposta la valutazione sulla diligenza degli organi sociali in un territorio sempre più giuridicamente denso.
Lo spunto arriva da un’analisi pubblicata da Agenda Digitale, che mappa il fenomeno dei malware cognitivi e le sue implicazioni per governance aziendale, obblighi europei e modelli di difesa algoritmica. Il quadro regolatorio e di responsabilità che ne emerge è già operativo.
Il contesto normativo
L’art. 2381, commi 3 e 5, c.c. obbliga gli amministratori deleganti a valutare l’adeguatezza degli assetti organizzativi, amministrativi e contabili: un sistema IT vulnerabile a malware adattivi può essere contestato come assetto inadeguato, con conseguente responsabilità risarcitoria verso la società. Sul piano europeo, il d.lgs. 138/2024, che recepisce la direttiva NIS2 (UE 2022/2555), estende gli obblighi di cybersecurity a migliaia di soggetti “essenziali” e “importanti”, imponendo misure tecniche e organizzative proporzionate al rischio, notifiche agli incidenti entro 24 ore dalla prima rilevazione, e sanzioni che arrivano a 10 milioni di euro o al 2% del fatturato annuo globale per i soggetti essenziali.
Il GDPR (Reg. UE 2016/679, art. 32) rimane in parallelo applicabile ogni volta che l’attacco compromette dati personali, con obbligo di notifica al Garante entro 72 ore e possibili sanzioni fino al 4% del fatturato globale. Il Codice della crisi (d.lgs. 14/2019) completa il quadro: un rischio cyber non presidiato può integrare un segnale di inadeguatezza degli assetti rilevante ai fini dell’allerta precoce.
Cosa cambia per lo studio
- Due diligence societaria: nelle operazioni di M&A o nelle verifiche periodiche, occorre includere un audit specifico sul rischio cyber e sulla conformità NIS2, non solo sul GDPR. Un fornitore critico non conforme trasferisce rischio contrattuale al cliente.
- Responsabilità degli amministratori: nei contenziosi post-attacco, verifica subito se esisteva una policy di gestione del rischio informatico approvata dal CdA e se l’organo di controllo aveva ricevuto flussi informativi adeguati. L’assenza di questi elementi rafforza la pretesa risarcitoria ex art. 2392 c.c.
- Clausole contrattuali: nei contratti con fornitori IT e cloud, inserisci obblighi specifici di notifica degli incidenti in linea con le finestre NIS2 (24 ore per la prima segnalazione, 72 ore per la notifica completa). Senza queste clausole, il cliente subisce il ritardo del fornitore.
- Polizze cyber: verifica che le coperture assicurative del cliente escludano o includano esplicitamente i malware adattativi e gli attacchi AI-driven. Le polizze standard precedenti al 2022 spesso non li contemplano, creando lacune di indennizzo.
- Gestione dell’incidente: al momento dell’attacco, la sequenza legale è: conservazione forense delle evidenze, notifica CSIRT Italia entro 24 ore (se soggetto NIS2), notifica Garante entro 72 ore (se coinvolti dati personali), comunicazione agli interessati se il rischio è elevato.
Attenzione a
Confondere conformità GDPR con conformità NIS2. Sono obblighi distinti, con perimetri soggettivi diversi e autorità di controllo diverse (Garante per il GDPR, ACN per NIS2). Uno studio che assiste imprese manifatturiere, energetiche o sanitarie deve verificare separatamente l’iscrizione al registro NIS2 e gli adempimenti correlati: l’omissione espone l’amministratore a sanzioni personali oltre che societarie.
Sottovalutare il rischio nella catena di fornitura. I malware cognitivi colpiscono spesso attraverso fornitori terzi (supply chain attack). Se il contratto con il fornitore non prevede obblighi di sicurezza certificati e diritti di audit, il cliente non ha strumenti contrattuali per rivalersi e il danno rimane in capo all’impresa colpita.
Domande frequenti
Quando risponde personalmente l’amministratore per un attacco ransomware subito dalla società?
L’amministratore risponde ex art. 2392 c.c. se non aveva predisposto un assetto organizzativo adeguato al rischio informatico, come richiesto dall’art. 2381 c.c. La responsabilità scatta quando si prova che l’attacco era prevedibile e prevenibile con misure proporzionate, e che l’organo gestorio non aveva adottato né monitorato tali misure.
Quali aziende devono iscriversi al registro NIS2 e entro quando?
Il d.lgs. 138/2024 obbliga i soggetti essenziali e importanti — operanti in settori come energia, trasporti, sanità, infrastrutture digitali, PA — a registrarsi sulla piattaforma ACN. Le scadenze operative sono fissate dall’ACN con provvedimenti attuativi progressivi: le imprese interessate dovevano completare l’auto-registrazione entro il 28 febbraio 2025.
Cosa devo inserire nel contratto con un fornitore cloud per tutelarmi in caso di attacco informatico?
Inserisci: obbligo di notifica dell’incidente entro 24 ore dalla rilevazione, standard di sicurezza certificati (ISO 27001 o equivalente), diritto di audit del cliente, clausola penale per ritardo nella notifica, e limitazione della responsabilità del fornitore solo se ha rispettato gli SLA di sicurezza. Senza questi elementi, il cliente assorbe integralmente il danno.
Fonte di riferimento: AgendaDigitale