Come evidenziato anche dal monito delle istituzioni europee, il tessuto economico si trova immerso in una permanente “zona grigia”, in cui attori statuali, gruppi proxy o isolati operatori ostili possono compromettere la continuità operativa sfruttando anche configurazioni superficiali e apparati di teleassistenza esposti su rete pubblica.
Per il management e gli organi di controllo, il recente episodio smantella definitivamente l’alibi dell’«a noi non succede». La sicurezza informatica non può più essere un capitolo di spesa confinato ai reparti IT, ma va considerato un pilastro essenziale della governance societaria e della responsabilità dell’ente.
Questa volta è toccato alla catena del freddo ma nessun settore è al sicuro: gli attacchi informatici possono colpire qualsiasi processo fisico connesso alla rete. Dalla depurazione idrica agli allevamenti intensivi, dai data center fino alla logistica: basta manomettere una teleassistenza esposta per causare danni materiali devastanti.
Il bollettino d’urgenza emanato dall’Agenzia per la Cybersicurezza Nazionale (ACN) nei confronti degli operatori della filiera alimentare ha messo a nudo una fragilità strutturale diffusa nell’industria manifatturiera e distributiva: la commistione tra reti informatiche ordinarie e sistemi industriali di telecontrollo.
Molti dei dispositivi che regolano impianti frigoriferi, linee di confezionamento, valvole o sensori termici poggiano su interfacce native prive di autenticazione a più fattori, account con credenziali predefinite e canali di manutenzione remota aperti senza adeguate reti private virtuali (VPN) o meccanismi di segregazione. Per mandare in avaria un impianto o vanificare settimane di produzione non serve un malware di grado militare; basta accedere a un pannello di controllo remoto non protetto e modificare i cicli di sbrinamento.
Quando l’interruzione del servizio o il deterioramento del bene impatta la fornitura a ospedali, mense o reti di vendita di massa, il danno trascende la perdita patrimoniale immediata: investe la conformità sanitaria, la responsabilità verso terzi, la tutela della salute pubblica e la tenuta reputazionale del marchio.
L’illusione che tali eventi costituiscano fatalità imprevedibili si scontra oggi anche con un quadro regolatorio profondamente mutato. Il recepimento della Direttiva NIS 2 tramite il D.Lgs. 138/2024 e l’entrata in vigore della Legge 90/2024 hanno introdotto un principio inequivocabile: la gestione del rischio cyber grava direttamente sugli organi di vertice societari, con obblighi stringenti di notifica degli incidenti e sanzioni dirette in caso di negligenza grave nell’adozione delle misure di mitigazione.
In questa cornice si inserisce il documento già pubblicato lo scorso mese di maggio 2026 dal Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili (CNDCEC), sul tema “Cybersecurity e Modello 231: integrazione dei rischi informatici nella governance d’impresa”.
Il documento sottolinea come la conformità tecnica debba necessariamente integrarsi con i sistemi di controllo interno e con il Modello di Organizzazione, Gestione e Controllo (MOGC) previsto dal D.Lgs. 231/2001.
La vulnerabilità informatica non è un mero fattore di rischio operativo, ma il presupposto abilitante per la commissione, attiva o passiva, di fattispecie di reato suscettibili di innescare la responsabilità amministrativa dell’ente ai sensi dell’art. 24-bis (reati informatici e trattamento illecito di dati).
Il Modello 231 come scudo sistemico: il ruolo di Risk Assessment e OdV
Integrare la cybersicurezza nel Modello 231 non significa redigere appendici documentali formali, bensì innervare l’architettura dei controlli aziendali con una precisa mappatura dei flussi logici e fisici.
L’approccio delineato dal CNDCEC chiama a raccolta vertici aziendali, Risk Manager e Organismi di Vigilanza (OdV) su direttrici operative puntuali:
- estensione del perimetro del Risk Assessment: la mappatura dei processi sensibili 231 deve oltrepassare l’infrastruttura IT corporate (gestionali, server di posta) per includere capillarmente il parco macchine OT (Operational Technology), le connessioni IoT industriali (Industrial Internet of Things) e i varchi di teleassistenza dei fornitori esterni;
- standardizzazione procedurale delle misure minime: le raccomandazioni diffuse dalle agenzie di cybersicurezza, segregazione di rete tra IT (rete aziendale e gestionale – uffici, ERP, posta) e OT (rete industriale e di impianto – PLC, robot, macchine di produzione), divieto di esposizione diretta su IP pubblici, adozione rigorosa di MFA (Multi-Factor Authentication o autenticazione a più fattori), audit periodici degli account privilegiati e dismissione dell’hardware end-of-life, devono tradursi in precise procedure organizzative vincolanti, la cui violazione integri sanzioni disciplinari interne;
- sorveglianza dell’Organismo di Vigilanza: l’OdV non può restare spettatore passivo di fronte alle tematiche digitali. Pur senza assumere ruoli operativi, l’organismo deve pretendere flussi informativi periodici sullo stato di adeguatezza delle misure cyber, verificare l’esecuzione dei penetration test e monitorare che la gestione della supply chain tecnologica rispetti criteri oggettivi di conformità.
Oltre la conformità di facciata: dalla reazione tecnica alla responsabilità di governance
L’offensiva contro i sistemi di refrigerazione industriale ha infranto una delle convinzioni più radicate e fallaci del nostro tessuto produttivo: l’idea che esistano settori «troppo tradizionali», «a bassa intensità tecnologica» o strutturalmente estranei alle logiche del cybersabotaggio. La realtà operativa impone una presa d’atto drastica: dal momento esatto in cui un computer industriale (PLC), una centralina termica, un inverter o una valvola pneumatica vengono collegati alla rete per consentire la teleassistenza o ottimizzare i consumi, l’impianto cessa di essere un bene meramente meccanico ed entra a pieno titolo nella superficie d’attacco della minaccia globale. Non esistono più confini impermeabili tra mondo digitale e processi fisici.
In questo scenario, continuare a relegare la cybersicurezza a un problema di pura pertinenza dell’ufficio IT o a un mero capitolo di costo infrastrutturale rappresenta un errore strategico gravido di conseguenze. La protezione della continuità operativa è oggi una responsabilità diretta e non delegabile del Consiglio di Amministrazione e del management.
Sotto il profilo civilistico e societario, la mancata predisposizione di difese proporzionate ai rischi digitali incrina il dovere di istituire «assetti organizzativi, amministrativi e contabili adeguati» imposto dall’art. 2086 del Codice Civile, esponendo gli amministratori a contestazioni dirette di responsabilità per culpa in vigilando e culpa in organizzando.
La vera sfida per professionisti, consulenti e vertici aziendali risiede dunque nel superare una logica meramente documentale o di “conformità di facciata”.
L’adozione di un Modello 231 non può ridursi a un mero adempimento burocratico da archiviare su uno scaffale, così come l’adeguamento ai criteri del D.Lgs. 138/2024 (NIS 2) e della Legge 90/2024 non può esaurirsi nell’acquisto di una licenza software o nella stipula di una polizza assicurativa. È indispensabile un’effettiva compenetrazione tra la valutazione dei rischi di reato informatico (art. 24-bis D.Lgs. 231/2001) e i protocolli industriali.
In un contesto geopolitico e tecnologico in cui l’azzeramento del rischio è un’utopia, il discrimine tra la resilienza e il collasso non è evitare ogni possibile intrusione, ma essere preparati ad affrontarla. Allineare i presidi tecnici all’architettura dei controlli interni e ai Modelli 231 è l’unico percorso concreto per garantire che l’inevitabile materializzarsi di un attacco cyber rimanga un evento operativo controllato, fronteggiato con diligenza, prontezza e metodo, e non si trasformi, all’indomani del disastro, nel capo d’imputazione di un’inadeguatezza gestionale.
La gestione dei rischi aziendali richiede strumenti concreti per verificare l’adeguatezza dell’organizzazione e l’effettiva tenuta dei sistemi di controllo interno. In quest’ottica, Checklist Assetti e 231 è il software in Excel che supporta professionisti e imprese nell’autovalutazione degli adeguati assetti organizzativi, amministrativi e contabili e dei presidi del Modello 231, aiutando a individuare criticità, valutare i livelli di rischio e pianificare gli interventi correttivi.
