Nell’era digitale ordini, fatture, dati di clienti e dipendenti e perfino i frigoriferi dei supermercati dipendono dalla rete. Se l’attacco coinvolge dati personali e crea un rischio per le persone, il Regolamento (UE) 2016/679 (GDPR) impone di notificare la violazione al Garante entro 72 ore. L’articolo spiega cosa comporta un attacco, quali obblighi scattano e come un’impresa può prepararsi.
Che cos’è un attacco hacker e quali sono i più frequenti?
Un attacco hacker, o attacco informatico, è un’azione volontaria che sfrutta una debolezza di sistemi, procedure o persone. Lo scopo è rubare dati o denaro, bloccare un’attività o prenderne il controllo. Non serve essere una grande azienda per diventare un bersaglio: molti attacchi sono campagne automatiche che cercano qualsiasi sistema vulnerabile.
Per le imprese, gli schemi più ricorrenti sono quattro:
- Phishing: messaggi che imitano banche, corrieri o fornitori per indurre a cliccare un link o a inserire le proprie credenziali.
- Compromissione della posta elettronica: l’attaccante entra in una casella aziendale e la usa per chiedere bonifici o cambiare le coordinate di pagamento. È la cosiddetta Business Email Compromise (frode tramite email aziendale).
- Ransomware: un programma che cifra i file e blocca i sistemi per chiedere un riscatto. Spesso l’attaccante minaccia anche di pubblicare i dati sottratti.
- Attacchi agli impianti connessi: la manomissione da remoto di macchine e impianti gestiti via Internet. È quanto accaduto all’inizio di novembre ai frigoriferi di supermercati e aziende alimentari europee, comprese alcune italiane.
I dati confermano che il fenomeno tocca da vicino il tessuto produttivo. Secondo l’Operational Summary dell’ACN, a settembre 2026 in Italia si sono registrati 485 eventi e 235 incidenti informatici. Il Rapporto Clusit di ottobre 2026 indica la manifattura come primo bersaglio in Italia nel primo semestre, con il 18,4% degli incidenti gravi noti.
Cosa comporta un attacco hacker in azienda?
Un attacco hacker in azienda comporta quasi sempre un fermo, una perdita economica, spesso una violazione dei dati e una serie di adempimenti da gestire in poche ore. Il danno non resta confinato ai computer.
Il primo effetto è operativo. Senza gestionale non si emettono ordini e fatture, senza posta elettronica non si comunica con clienti e fornitori, e un impianto manomesso può fermare la produzione o rovinare la merce. In un supermercato di Palermo colpito a novembre sono stati eliminati interi banchi di surgelati e pollame.
Il secondo effetto riguarda i dati, che possono essere cifrati, cancellati oppure sottratti e pubblicati. Pagare il riscatto non garantisce di riaverli, né che le copie rubate vengano distrutte.
Poi arrivano i costi: bonifici fraudolenti difficili da recuperare, interventi tecnici, ore di lavoro perse, ritardi nelle consegne con possibili penali contrattuali. Infine c’è la fiducia, perché clienti e committenti si chiedono se i loro dati e le loro forniture siano al sicuro.
Quando un attacco hacker diventa una violazione dei dati personali?
Ogni volta che colpisce dati personali, anche solo rendendoli inaccessibili. Per il GDPR la violazione dei dati personali (data breach) è l’incidente di sicurezza che ne provoca, in modo accidentale o illecito, la distruzione, la perdita, la modifica, la divulgazione o l’accesso non autorizzati (art. 4, punto 12).
La violazione può colpire la riservatezza, l’integrità o la disponibilità dei dati. Anche un ransomware che si limita a cifrare i file è quindi un data breach: il Garante cita tra gli esempi l’impossibilità di accedere ai dati per attacchi esterni o malware (programmi malevoli).
In azienda i dati personali sono ovunque: anagrafiche e IBAN di clienti e fornitori, buste paga, immagini della videosorveglianza, caselle di posta. Se finiscono in mani sbagliate espongono le persone a frodi e furti d’identità, e ne risponde l’impresa.
Quali obblighi scattano dopo un attacco informatico?
Dipende da che cosa è stato colpito e dal tipo di impresa. Gli obblighi principali riguardano la protezione dei dati personali e, per le imprese soggette alla NIS2, la notifica degli incidenti all’ACN.
- Notifica al Garante privacy: se l’attacco provoca una violazione di dati personali (data breach) con un rischio per le persone, l’impresa deve notificarla senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta (art. 33 GDPR). La notifica si invia con la procedura telematica del Garante; oltre le 72 ore va motivata.
- Comunicazione agli interessati: se il rischio è elevato, l’impresa deve informare anche le persone coinvolte, per esempio dipendenti o clienti (art. 34 GDPR).
- Registro delle violazioni: ogni violazione va documentata internamente, anche quando non si notifica (art. 33, par. 5, GDPR).
- Notifica al CSIRT Italia: le imprese soggette al D.Lgs. 138/2024, che recepisce la direttiva NIS2, devono inviare una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese (art. 25). Ne abbiamo parlato nell’articolo sulla scadenza NIS2 di ottobre 2026.
La violazione degli obblighi di sicurezza e di notifica può costare fino a 10 milioni di euro o, se superiore, il 2% del fatturato mondiale annuo (art. 83, par. 4, GDPR). Nel 2025 il Garante ha ricevuto 2.415 notifiche di data breach, il 10% in più rispetto al 2024, quasi otto su dieci da soggetti privati.
In 72 ore non si improvvisa. La procedura di gestione del data breach e il registro delle violazioni vanno predisposti prima, nell’ambito della gestione della privacy e della sicurezza dei dati.
Perché la sicurezza informatica è prima di tutto una questione di organizzazione?
Perché molti attacchi entrano da una porta lasciata aperta: una password debole, un sistema non aggiornato, un clic su un messaggio ben costruito, un accesso remoto concesso a un fornitore e mai chiuso. Nel caso dei frigoriferi, secondo la nota di Palazzo Chigi del 3 novembre, in Italia sono stati colpiti soprattutto sistemi obsoleti, esposti su Internet e con autenticazione debole.
La tecnologia serve, ma da sola non basta: la sicurezza informatica è una responsabilità della direzione, non solo del tecnico informatico. Anche il GDPR chiede misure tecniche e organizzative adeguate al rischio (art. 32).
Prepararsi significa quindi stabilire prima chi avvisa chi, chi valuta se c’è una violazione di dati e chi isola i sistemi. Servono poi poche regole conosciute da tutti: verificare con una telefonata ogni cambio di IBAN, tenere copie di sicurezza (backup) separate e provate, aggiornare o sostituire i dispositivi fuori supporto. E serve formazione, perché il personale è il primo filtro contro phishing e frodi via email.
Quanto vale, allora, la sicurezza informatica di un’impresa?
Vale quanto ciò che protegge: la continuità dell’attività, i dati di clienti e dipendenti, la fiducia costruita in anni di lavoro. Per questo non va trattata come una spesa tecnica da affrontare dopo un attacco, ma come una parte della gestione aziendale, al pari della qualità o della sicurezza sul lavoro.
Per chi vuole un metodo strutturato c’è la norma ISO/IEC 27001:2022, lo standard internazionale per la gestione della sicurezza delle informazioni. È volontaria, adatta a imprese di ogni dimensione e settore, e organizza la protezione di tutte le informazioni aziendali, non solo dei dati personali. La certificazione dà a clienti e committenti la fiducia che i rischi siano gestiti in modo adeguato.
Per la maggior parte delle imprese il primo passo non è acquistare nuove tecnologie, ma sapere quali dati e sistemi sono critici e chi vi accede. Studio Quality affianca le aziende nella prevenzione e nella gestione degli attacchi informatici sul piano documentale e normativo. Ci occupiamo di adeguamento al GDPR, procedure di gestione del data breach, e verifica di applicabilità e adeguamento alla NIS2. Accompagniamo inoltre le imprese verso la certificazione ISO/IEC 27001, integrandola con i sistemi di gestione per qualità, ambiente e sicurezza già in essere.
