Cybersecurity e responsabilità degli amministratori: omessa vigilanza sui rischi tecnologici

1. Il fatto

   Secondo quanto riportato da testate quali BeBeez e Milano Finanza, si registra un aumento significativo di azioni di responsabilità contro i consigli di amministrazione di società che hanno subito ingenti perdite a causa di attacchi ransomware o truffe del tipo cosiddetto CEO Fraud. La vicenda, che ha visto diverse pronunce di merito presso la Sezione Specializzata in Materia di Impresa del Tribunale di Milano, riguarda amministratori accusati di non aver implementato neppure le misure minime di difesa digitale.

   Attualmente molte di queste cause pendono in primo grado, dove i curatori fallimentari o i nuovi soci contestano non tanto l'insuccesso di una scelta tecnica, quanto la totale assenza di una governance informatica. In particolare, i provvedimenti recenti hanno evidenziato come la mancata vigilanza sui flussi informativi e l'assenza di protocolli di risposta agli incidenti abbiano esposto le società a rischi irragionevoli, conducendo alla revoca degli organi amministrativi e alla contestazione di danni milionari per l'interruzione delle attività produttive.

2. 

   Le norme in gioco

   Il quadro normativo ruota attorno a tre perni fondamentali:

   1. l'art. 2086, comma 2, c.c., che impone il dovere di istituire un assetto organizzativo adeguato alla natura e alle dimensioni dell'impresa, includendovi ormai stabilmente la componente digitale;
   2. l'art. 2381 c.c., che declina l'obbligo degli organi delegati di curare tali assetti e del consiglio di valutarne l'adeguatezza sulla base dei flussi informativi;
   3. il D.Lgs. 138/2024, di recepimento della Direttiva NIS 2, che introduce la responsabilità diretta e personale degli organi direttivi per la mancata approvazione e vigilanza sulle misure di gestione dei rischi informatici. La violazione di tali norme comporta la responsabilità solidale ex art. 2392 c.c. per i danni arrecati alla società e ai creditori.

3. Cosa dice la giurisprudenza

   La giurisprudenza di merito ha chiarito un discrimine fondamentale: la Business Judgment Rule protegge la discrezionalità delle scelte gestorie, ma non l'omissione dei doveri procedurali. I giudici hanno affermato che la predisposizione di un adeguato assetto organizzativo non costituisce una scelta di merito insindacabile, bensì un obbligo di legge pre-decisionale.

   Secondo l'orientamento consolidato, l'amministratore risponde quando ignora i segnali di allarme o non attiva i flussi informativi necessari. In ambito tecnologico, la mancanza di un piano di disaster recovery o l'assenza di formazione del personale non sono considerate scelte gestorie sfortunate, bensì colpa professionale per inosservanza della diligenza richiesta dalla natura dell'incarico. La giurisprudenza di legittimità ha precisato in ambiti affini che il monitoraggio dei rischi deve essere costante e documentato, rendendo l'inerzia digitale fonte di responsabilità in presenza di un danno prevedibile.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. Monitorare costantemente la verbalizzazione dei flussi informativi tra l'area IT e il consiglio di amministrazione, al fine di provare l'adempimento dell'obbligo di agire in modo informato.
   2. Raccomandare ai clienti l'adozione di protocolli minimi certificati (ad es. ISO 27001) per poter invocare l'esimente dell'idoneità astratta degli assetti predisposti.
   3. Verificare che le polizze D&O (Directors & Officers) non contengano esclusioni specifiche per i danni informatici riconducibili a colpa grave nell'organizzazione aziendale.

Riferimenti: Art. 2086 c.c.Art. 2381 c.c.Art. 2392 c.c.D.Lgs. 138/2024Direttiva NIS 2

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 29 agosto 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica