Il Rapporto Clusit 2026, nelle edizioni di marzo e di ottobre, descrive un attaccante che ha smesso di dimostrare e ha ricominciato a estorcere: 507 incidenti gravi in Italia nel 2025, 245 nel primo semestre 2026, il manifatturiero al primo posto fra le vittime, il 57% degli incidenti con impatto alto. Il contributo legge questi dati dal lato opposto a quello tecnologico: che cosa accade, sul piano giuridico, all'impresa che subisce l'attacco senza avere predisposto un presidio. L'analisi attraversa il GDPR e il risarcimento ex art. 82, la NIS2 e la responsabilità personale degli amministratori, gli adeguati assetti ex art. 2086 c.c., il Modello 231 generico dopo Cass. 31505/2026, la catena di fornitura e la copertura assicurativa, e si chiude con le verifiche che il board può disporre da subito.
Rapporto Clusit 2026 — edizione di marzo (dati 2025) e aggiornamento di ottobre (primo semestre 2026)
L'attacco informatico è un evento tecnico per pochi minuti. Dal momento successivo è un fatto giuridico: una violazione da notificare, un contratto inadempiuto, un danno da risarcire, una delibera che non c'è. Il Rapporto Clusit misura la probabilità dell'evento; il diritto ne fissa il prezzo, e lo pone a carico di chi non ha predisposto un presidio.
Il Rapporto Clusit censisce dal 2011 gli incidenti informatici gravi divenuti pubblici e li classifica per attaccante, vittima, tecnica e impatto. L'edizione di marzo 2026 chiude il 2025 con un dato senza precedenti: 5.265 incidenti gravi nel mondo, il 49% in più dell'anno precedente, e 507 in Italia, il 42% in più del 2024, pari al 9,6% del totale mondiale per un Paese che vale meno del 2% dell'economia globale. Il cybercrime a scopo di estorsione spiega l'89% degli eventi mondiali; in Italia gli attaccanti si dividono fra criminali, al 61%, e attivisti, al 38,7%, e la tecnica più frequente è il DDoS, che satura un servizio fino a renderlo irraggiungibile, al 38,5% dei casi.
L'aggiornamento di ottobre, presentato al Security Summit di Verona il 28 ottobre 2026, registra per il primo semestre 2026 un nuovo record mondiale, 4.911 incidenti, e per l'Italia 245 eventi, meno dei 280 del primo semestre 2025. Il calo non è un miglioramento, e l'Associazione lo dice espressamente: è la ritirata degli attacchi dimostrativi, scesi dal 38,7% al 17% del campione, che lascia scoperto ciò che resta. Il cybercrime sale all'82%; il malware diventa la prima tecnica, al 43%; il phishing e l'ingegneria sociale, al 17%, raggiungono in sei mesi i due terzi dell'intero 2025; gli incidenti a impatto alto passano dal 39,3% al 57%, con un ulteriore 8% di eventi critici.
Il dato che più interessa l'impresa è la classifica delle vittime. Il settore pubblico scende dal 28,4% all'11%, e Clusit attribuisce la discesa a difese migliorate e all'effetto della legge 90/2024 e della NIS2. Al primo posto sale il manifatturiero, con il 18,4% degli incidenti italiani: le vittime italiane sono il 17% di quelle manifatturiere mondiali, a fronte di un peso complessivo del Paese del 5%. Crescono l'ICT, che il Rapporto lega a un effetto a cascata sulle catene di fornitura, e il commercio. Il Rapporto chiude invitando a trattare la cybersecurity come responsabilità strategica del management e a trasformare la conformità alle nuove discipline in un miglioramento misurabile, non in un adempimento documentale.
Fin qui la statistica. Il seguito riguarda ciò che la statistica non misura: la posizione dell'impresa colpita nel giorno dopo.
Un attacco ransomware a un'impresa manifatturiera produce, nello stesso istante, tre fatti giuridicamente rilevanti e distinti.
Il primo è una violazione dei dati personali, se gli archivi cifrati o sottratti contengono dati di dipendenti, clienti o fornitori: ricorre la fattispecie dell'art. 4, n. 12, del Regolamento (UE) 2016/679 e scattano gli obblighi degli artt. 33 e 34.
Il secondo è un inadempimento contrattuale, verso i clienti che non ricevono le forniture e verso i clienti soggetti alla NIS2 che hanno imposto per contratto requisiti di sicurezza e obblighi di segnalazione ai propri fornitori.
Il terzo è un reato subìto, che la legge 28 giugno 2024, n. 90 ha reso più grave per chi lo commette, con l'inasprimento delle pene per l'accesso abusivo e il danneggiamento di sistemi e con l'introduzione, al terzo comma dell'art. 629 c.p., dell'estorsione commessa mediante reati informatici. Il riscatto richiesto non è una trattativa commerciale: è il prezzo di un'estorsione, e la decisione di pagarlo va assunta con il concorso di chi può valutarne i profili penali, sanzionatori e assicurativi.
Ciascuno di questi fatti genera un procedimento, un termine e una responsabilità. L'impresa che non si è protetta li affronta senza il solo elemento che potrebbe alleggerirli: la prova di avere fatto, prima, ciò che la legge chiedeva.
L'art. 32 del Regolamento impone misure tecniche e organizzative adeguate al rischio, e l'art. 5, paragrafo 2, pone sul titolare l'onere di dimostrare la conformità. Dopo una violazione la domanda del Garante e del giudice non è se l'attacco fosse evitabile, ma se le misure fossero adeguate e documentate: la cifratura, le copie di sicurezza, l'autenticazione a più fattori, la formazione, la procedura di gestione degli incidenti.
La violazione va notificata all'autorità entro settantadue ore dal momento in cui il titolare ne è venuto a conoscenza, salvo che sia improbabile un rischio per gli interessati, e va comunicata a questi ultimi quando il rischio è elevato (artt. 33 e 34). L'impresa senza procedura di incidente scopre questi termini mentre decorrono.
Sul risarcimento la Corte di giustizia ha fissato due principi che pesano sulla difesa. Con la sentenza del 4 maggio 2023, causa C-300/21, ha chiarito che il danno immateriale ex art. 82 non richiede una soglia di gravità, pur dovendo essere provato dall'interessato. Con la sentenza del 14 dicembre 2023, causa C-340/21, ha affermato che l'accesso abusivo di terzi ai dati non basta, di per sé, a ritenere inadeguate le misure del titolare, ma che spetta al titolare provarne l'adeguatezza, e che il timore fondato di un uso abusivo dei propri dati può costituire danno risarcibile. Ne discende che l'impresa colpita risponde verso ogni interessato che dimostri quel timore, a meno di provare un presidio adeguato; e che il presidio non documentato, in giudizio, non esiste.
Le sanzioni amministrative dell'art. 83 arrivano, per la violazione dell'art. 32, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore, e fino a 20 milioni o al 4% per le violazioni dei principi e dei diritti degli interessati. Nella prassi del Garante la mancanza di misure elementari, dopo una violazione, è la circostanza che più pesa nella quantificazione.
Il D.Lgs. 4 settembre 2024, n. 138, che recepisce la direttiva (UE) 2022/2555, ha spostato la sicurezza informatica dal reparto tecnico al consiglio di amministrazione. L'art. 23 pone in capo agli organi di amministrazione e direttivi l'approvazione delle modalità di attuazione delle misure di gestione del rischio, la sorveglianza sulla loro esecuzione, la responsabilità per le violazioni e l'obbligo di seguire una formazione specifica, promuovendola presso i dipendenti. L'art. 24 elenca le misure, fra cui la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento e l'igiene informatica di base. L'art. 25 scandisce la notifica degli incidenti significativi al CSIRT Italia: pre-notifica entro ventiquattro ore, notifica entro settantadue, relazione finale entro un mese.
L'apparato sanzionatorio dell'art. 38 arriva, per i soggetti essenziali, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo e, per gli importanti, fino a 7 milioni o all'1,4%; vi si aggiungono, sul piano non pecuniario, la sospensione temporanea di certificati e autorizzazioni per i soggetti essenziali inadempienti alle diffide e l'incapacità a svolgere funzioni dirigenziali per le persone fisiche responsabili. Il comma 5 pone in capo a chi rappresenta il soggetto essenziale il dovere di assicurarne il rispetto. È questo il passaggio che cambia la natura del rischio per il vertice: l'omissione non è più soltanto dell'ente.
Due date rendono il tema attuale. Per la generalità dei soggetti della prima ondata le misure di sicurezza di base della Determinazione ACN n. 379907/2025 scadevano il 31 ottobre 2026, pochi giorni dopo la presentazione del Rapporto; per i soggetti inseriti in elenco nel 2026 i termini corrono fino al 31 luglio 2027, con obbligo di notifica dal 1° gennaio 2027. Chi ha lasciato decorrere il termine non è in ritardo su un programma: è in violazione di un obbligo.
L'art. 24, comma 2, lettera d), pone la sicurezza della catena di approvvigionamento a carico del soggetto NIS, e la Determinazione ACN n. 127437/2026 gli chiede di elencare i fornitori rilevanti. L'impresa che non rientra nel perimetro, ma serve un cliente che vi rientra, riceve dal contratto gli obblighi che la legge non le impone direttamente: requisiti tecnici, obblighi di segnalazione tempestiva, diritti di verifica, clausole risolutive. Il manifatturiero italiano, primo bersaglio secondo Clusit, è fatto in larga parte di questi fornitori. Per loro l'attacco subìto è, prima di ogni altra cosa, un inadempimento verso il cliente, con le penali e il recesso che il contratto prevede, e la prova di avere adottato le misure pattuite è l'unica difesa.
L'art. 2086, secondo comma, del codice civile impone all'imprenditore che opera in forma societaria di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell'impresa, anche in funzione della rilevazione tempestiva della crisi. Un assetto che non censisce il rischio informatico, in un'impresa che dipende dai propri sistemi per produrre, fatturare e incassare, non è adeguato: il fermo di produzione di alcune settimane, che il 57% degli incidenti italiani a impatto alto rende concreto, è una causa di crisi come un'altra, e più rapida di molte.
Ne discende la responsabilità degli amministratori secondo le regole ordinarie. L'art. 2381, terzo e quinto comma, assegna al consiglio la valutazione dell'adeguatezza degli assetti sulla base delle informazioni ricevute e agli organi delegati la cura della loro adeguatezza; il sesto comma impone a ogni amministratore di agire in modo informato. Gli artt. 2392 e 2476 fondano l'azione di responsabilità per la violazione di questi doveri. La regola del giudizio imprenditoriale, che sottrae al sindacato del giudice le scelte di gestione, protegge le decisioni assunte dopo un'istruttoria; non protegge l'assenza di istruttoria. L'amministratore che non ha mai posto all'ordine del giorno la sicurezza informatica, che non ha ricevuto la formazione dell'art. 23 del decreto NIS2, che non ha approvato misure né chiesto conto della loro attuazione, non ha compiuto una scelta: ha omesso di compierla, ed è su questa omissione che si fonda l'addebito, in sede civile come in sede concorsuale.
L'art. 24-bis del D.Lgs. 231/2001 include fra i reati presupposto l'accesso abusivo, il danneggiamento di sistemi e di dati e le altre fattispecie informatiche; il D.Lgs. 160/2026, di cui questo sito ha dato conto, vi ha aggiunto, con l'art. 25-vicies, le condotte legate ai sistemi di intelligenza artificiale. Il rischio tipico non è soltanto quello dell'impresa vittima, ma quello dell'impresa i cui dipendenti, per raggiungere un risultato, accedono a sistemi altrui o alterano dati, e dell'impresa che, per difendersi, è tentata da condotte a loro volta illecite.
La Corte di cassazione, con la sentenza n. 31505 del 17 agosto 2026, ha confermato che il Modello generico, privo di dati e di obblighi precisi, non vale come esimente e si converte in elemento a carico. Trasposto al rischio informatico, il principio significa che la parte speciale deve descrivere i sistemi, gli accessi, i flussi verso l'Organismo di Vigilanza e i controlli effettivamente operanti; e che l'Organismo deve ricevere l'informazione sugli incidenti, non apprenderla dai giornali. Un Modello che cita l'art. 24-bis senza mappare i sistemi è, dopo un attacco, un documento che prova la consapevolezza del rischio e l'inerzia nel presidiarlo.
Due luoghi del diritto privato completano il quadro. Il primo è il contratto con i fornitori di servizi informatici, cloud e gestione remota: senza clausole su livelli di servizio, misure di sicurezza, obblighi di notifica e responsabilità, l'impresa colpita attraverso il fornitore non ha un'azione utile verso chi ha aperto la porta, e risponde da sola verso i propri clienti e verso gli interessati. Il secondo è la polizza cyber: le condizioni di mercato subordinano la copertura a presidi minimi, in genere l'autenticazione a più fattori, le copie di sicurezza separate, gli aggiornamenti dei sistemi, e prevedono esclusioni per la loro mancanza. L'impresa che non si protegge scopre di non essere assicurata nel momento in cui chiede l'indennizzo.
In tutte le sedi esaminate ricorre lo stesso elemento: il presidio deve essere documentato. La delibera dell'organo amministrativo, la valutazione del rischio, le procedure, il registro della formazione, i verbali delle prove di ripristino e delle simulazioni di notifica sono la differenza fra l'impresa che ha subìto un attacco e l'impresa che risponde di averlo reso possibile. Il phishing al 17% degli incidenti, in crescita costante dal 2021, ricorda che la misura più efficace resta la formazione del personale: ma la formazione non registrata, in giudizio, non è mai avvenuta.
Lo Studio assiste imprenditori e board nella costruzione di questi presidi e, quando l'evento si è già verificato, nella gestione delle notifiche, dei rapporti con l'autorità e con le controparti, e nella difesa nei procedimenti che ne derivano. Per la componente organizzativa e tecnologica opera in convenzione con G.M. Consulting S.r.l., che ha dedicato al medesimo Rapporto un'analisi dal lato del presidio: gmconsulting.one/insights.
Fonti. Clusit, Rapporto 2026 sulla sicurezza ICT in Italia e nel mondo (marzo 2026, dati 2025) e aggiornamento ottobre 2026 (primo semestre 2026); Regolamento (UE) 2016/679, artt. 4, 5, 32, 33, 34, 82 e 83; Corte di giustizia UE, 4 maggio 2023, C-300/21, e 14 dicembre 2023, C-340/21; D.Lgs. 4 settembre 2024, n. 138, artt. 23, 24, 25 e 38; Determinazioni ACN n. 379907/2025 e n. 127437/2026; legge 28 giugno 2024, n. 90; artt. 2086, 2381, 2392 e 2476 c.c.; D.Lgs. 8 giugno 2001, n. 231, artt. 24-bis e 25-vicies; D.Lgs. 9 settembre 2026, n. 160; Cass. pen., Sez. I, 17 agosto 2026, n. 31505.