La sicurezza informatica non è più solo una questione tecnica. Gli attacchi cyber possono integrare reati presupposto ai fini del D.Lgs. 231/2001, con conseguenze dirette sulla responsabilità degli enti. Come cambia il ruolo del Modello 231 e quali attenzioni sono richieste a imprese e professionisti.
Cybersecurity: da problema IT a tema di compliance
Negli ultimi anni la trasformazione digitale ha reso le imprese sempre più dipendenti dai sistemi informatici. Allo stesso tempo, è cresciuta in modo significativo l’esposizione ai rischi cyber, oggi considerati tra i principali fattori di vulnerabilità aziendale.
In questo contesto, la cybersecurity ha progressivamente superato i confini della funzione IT per assumere una valenza organizzativa e giuridica. Un attacco informatico non incide soltanto sulla continuità operativa o sull’immagine dell’impresa, ma può avere effetti diretti anche sul piano della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001.
I reati informatici nel perimetro del D.Lgs. 231/2001
Il collegamento tra Modello 231 e sicurezza informatica trova un preciso fondamento normativo nell’articolo 24‑bis del decreto, che ha introdotto tra i reati presupposto diverse fattispecie di natura informatica.
Rientrano in questo ambito, ad esempio, l’accesso abusivo a sistemi informatici o telematici, l’utilizzo illecito di credenziali, il danneggiamento di dati o infrastrutture digitali, l’intercettazione non autorizzata di comunicazioni informatiche e la frode informatica. Si tratta di condotte che possono essere realizzate anche a seguito di carenze organizzative, come l’assenza di regole chiare sugli accessi o controlli interni non adeguatamente strutturati.
Il rischio cyber come espressione della colpa organizzativa
Nel sistema delineato dal D.Lgs. 231/2001, la responsabilità dell’ente non deriva automaticamente dalla commissione del reato, ma dalla cosiddetta colpa di organizzazione. È proprio su questo profilo che il rischio informatico assume un rilievo centrale.
Un incidente cyber può infatti mettere in evidenza debolezze strutturali dell’assetto aziendale: mancanza di policy di sicurezza formalizzate, valutazione incompleta dei rischi IT, insufficiente formazione del personale o controlli interni inefficaci. In tali circostanze, l’evento informatico può tradursi in una contestazione di responsabilità 231, qualora emerga che l’ente non si è dotato di un modello organizzativo idoneo a prevenire i reati informatici.
Il Modello 231 come strumento di governo del rischio informatico
Alla luce di questa evoluzione, il Modello 231 è chiamato a svolgere un ruolo attivo anche nella gestione della cybersecurity. Non è sufficiente un richiamo formale ai reati informatici: è necessario integrare il rischio cyber in modo concreto all’interno del sistema dei controlli.
Ciò comporta, in primo luogo, una mappatura dei processi aziendali maggiormente esposti a rischi informatici e l’individuazione di presìdi organizzativi coerenti con la struttura e le dimensioni dell’impresa. È inoltre fondamentale prevedere procedure per la gestione degli incidenti di sicurezza e definire flussi informativi chiari verso l’Organismo di Vigilanza.
Un ulteriore aspetto riguarda il coordinamento tra il Modello 231 e gli altri strumenti di governance aziendale, come le policy IT, i sistemi di gestione della sicurezza delle informazioni e i piani di continuità operativa, evitando sovrapposizioni o incoerenze.
Il ruolo dell’Organismo di Vigilanza
L’inclusione del rischio informatico nel perimetro 231 incide anche sull’attività dell’Organismo di Vigilanza, chiamato a confrontarsi con ambiti sempre più complessi sotto il profilo tecnico. Pur senza assumere competenze specialistiche proprie delle funzioni IT, l’OdV deve essere posto nelle condizioni di comprendere l’impianto generale dei sistemi informativi e di valutare l’adeguatezza dei presìdi adottati.
Diventa quindi essenziale garantire flussi informativi tempestivi in caso di incidenti cyber e verificare l’effettiva attuazione delle misure previste dal modello, anche attraverso il supporto di competenze specialistiche.
Indicazioni operative per imprese e professionisti
Sul piano applicativo, l’adeguamento del Modello 231 ai rischi di cybersecurity passa attraverso alcune azioni fondamentali: una valutazione del rischio informatico integrata con la mappatura dei rischi 231, l’aggiornamento delle procedure in materia di accessi e gestione delle credenziali, programmi di formazione mirati per il personale e verifiche periodiche sull’efficacia dei controlli adottati.
Particolare attenzione deve essere riservata anche all’allineamento tra Modello 231, disciplina in materia di protezione dei dati personali e normativa NIS2, al fine di costruire un sistema di compliance coerente e sostenibile. In questo percorso, il ruolo dei professionisti – commercialisti, consulenti del lavoro e avvocati – è centrale nel tradurre i rischi tecnologici in presìdi organizzativi giuridicamente rilevanti.
Box operativo: cosa deve verificare il professionista
Nell’assistere l’impresa nell’adozione o nell’aggiornamento del Modello 231, il professionista è chiamato a considerare con attenzione anche il profilo della sicurezza informatica. In particolare, è opportuno verificare:
- Mappatura dei rischi informatici
Che il risk assessment 231 includa in modo esplicito i processi esposti a rischi cyber e le possibili fattispecie di reato informatico rilevanti ai sensi dell’art. 24‑bis del D.Lgs. 231/2001. - Coerenza tra Modello 231 e policy IT
Che le procedure previste dal Modello siano allineate alle policy aziendali in materia di sicurezza informatica, gestione degli accessi, utilizzo delle credenziali e protezione dei dati. - Adeguatezza dei presìdi organizzativi
Che i controlli interni non siano solo formalmente previsti, ma effettivamente attuati e proporzionati alla struttura dell’impresa. - Gestione degli incidenti informatici
Che siano previste procedure chiare per la segnalazione e la gestione degli incidenti cyber, con flussi informativi tempestivi verso l’Organismo di Vigilanza. - Formazione del personale
Che l’azienda abbia attivato iniziative di formazione e sensibilizzazione sui rischi informatici e sui comportamenti vietati, anche in ottica 231. - Ruolo dell’OdV
Che l’Organismo di Vigilanza sia adeguatamente informato sull’assetto dei sistemi informativi e sugli eventi di sicurezza rilevanti. - Allineamento normativo
Che il Modello 231 sia coordinato con gli obblighi derivanti dalla normativa privacy e dalla disciplina NIS2, evitando sovrapposizioni o lacune.
In conclusione
La cybersecurity non rappresenta più un ambito separato dalla compliance, ma un elemento essenziale del sistema di prevenzione dei reati previsto dal D.Lgs. 231/2001. Integrare in modo efficace il rischio informatico nel Modello organizzativo consente alle imprese non solo di ridurre l’esposizione a sanzioni, ma anche di rafforzare la solidità complessiva dei sistemi di controllo interno.
La sfida per le aziende e per chi le assiste è oggi quella di trasformare il rischio cyber in un’opportunità di miglioramento organizzativo, rendendo il Modello 231 uno strumento concreto, attuale e realmente aderente alla realtà operativa.
Alessandra Bortolin – Centro Studi CGN
