Attacchi informatici alle aziende: phishing, ransomware e frodi nella prospettiva penale

Pubblicato il 12 novembre 2026, ultimo aggiornamento il 12 novembre 2026. Per founder, CEO e direzioni aziendali.

Un bonifico disposto sulla base di un messaggio falso non è necessariamente lo stesso fatto di un trasferimento ottenuto manipolando un sistema. Un servizio irraggiungibile non dimostra da solo un attacco. Una rivendicazione criminale non prova automaticamente l’acquisizione di tutti i dati dichiarati.

Per founder e CEO, riconoscere queste differenze non significa diventare analisti forensi. Significa comprendere quando la risposta tecnica deve essere affiancata da una valutazione penalistica e quali informazioni servano per decidere.

Il contesto: frequenza e impatto non sono la stessa cosa

Nell’Operational Summary di settembre 2026 ACN registra 485 eventi e 235 incidenti con impatto confermato. Tra le minacce più frequenti negli eventi compaiono DDoS, compromissione delle caselle email e phishing. Il ransomware resta la minaccia con il maggiore impatto operativo. Tra le modalità osservate il rapporto richiama lo sfruttamento di vulnerabilità e l’abuso di servizi di accesso remoto. [1]

Fonte: ACN, Operational Summary di settembre 2026 [1]. Eventi e incidenti sono categorie distinte e non vanno sommate.

Questi numeri vanno letti con cautela. ACN spiega che gli obblighi di notifica NIS2, pienamente operativi da gennaio 2026, hanno ampliato gli eventi e gli incidenti visibili all’Agenzia, senza un corrispondente aumento degli impatti. I dati descrivono il perimetro del monitoraggio: non sono un censimento di tutti gli attacchi avvenuti in Italia né la probabilità di un attacco alla singola impresa. [1]

La sequenza: dal vettore agli effetti

Un possibile percorso, non una catena inevitabile. Le fasi possono mancare, sovrapporsi o presentarsi in ordine diverso. Per ciascun passaggio bisogna tenere separati tre piani: i fatti osservati, le ipotesi e la qualificazione penale.

Cinque scenari, cinque punti di osservazione

Gli approfondimenti seguenti distinguono il fenomeno tecnico dalle questioni penalistiche. Con JavaScript attivo puoi selezionare uno scenario; senza JavaScript i contenuti restano tutti leggibili.

Il vettore non descrive tutto il fatto

Phishing e compromissione della posta

Il phishing utilizza comunicazioni ingannevoli per indurre comportamenti come la consegna di credenziali o l’apertura di contenuti malevoli. Lo spear phishing personalizza il messaggio rispetto al bersaglio.

La ricezione del messaggio non dimostra un accesso ai sistemi. Se l’account viene compromesso, occorre distinguere acquisizione delle credenziali, ingresso, permanenza e successive operazioni.

L’articolo 615-ter c.p. riguarda l’introduzione abusiva in un sistema protetto o la permanenza contro la volontà di chi ha diritto di escludere. L’articolo 615-quater disciplina specifiche condotte abusive su codici e altri mezzi di accesso, con i requisiti soggettivi previsti. Se il fatto è commesso con furto o indebito utilizzo dell’identità digitale può venire in rilievo l’aggravante dell’articolo 640-ter, terzo comma. Quando la posta viene monitorata o le comunicazioni vengono intercettate, si esamina anche l’articolo 617-quater. Nessuna di queste disposizioni si applica automaticamente per il solo fatto che sia circolata un’email sospetta. [3]

Norme da esaminare, in funzione dei fatti: artt. 615-ter, 615-quater, 617-quater, 640-ter (comma 3), 494 c.p.

Domanda per il CEO. Abbiamo evidenza soltanto del messaggio oppure anche di accessi, regole di inoltro o operazioni da ricostruire?

L’inganno alla persona e l’intervento sul sistema

Falsi ordini di pagamento e frodi aziendali

Un messaggio apparentemente proveniente dal CEO o da un fornitore può indurre un addetto a disporre un pagamento. Il fenomeno viene spesso descritto come business email compromise: può coinvolgere una casella realmente compromessa oppure comunicazioni che ne simulano la provenienza.

Se il pagamento deriva da artifici o raggiri che inducono una persona in errore, va esaminato l’articolo 640 c.p. Se invece il profitto con danno deriva dall’alterazione del funzionamento del sistema o da un intervento senza diritto su dati, informazioni o programmi, il riferimento può essere l’articolo 640-ter. L’uso di un nome o di una identità altrui può richiedere l’esame dell’articolo 494, mentre la successiva movimentazione dei fondi su conti terzi può rilevare ai fini dell’articolo 648-bis. [3]

L’impiego della posta elettronica non rende ogni truffa una frode informatica. Anche accessi e ulteriori condotte devono essere valutati separatamente.

Quando il pagamento è già partito, il tempo conta. La richiesta immediata alla banca di richiamo o blocco del bonifico può incidere sulle possibilità di recupero, e la segnalazione alla Polizia postale e per la sicurezza cibernetica può essere avviata in parallelo. Nessuna di queste iniziative garantisce il recupero delle somme.

Norme da esaminare, in funzione dei fatti: artt. 640, 640-ter, 494, 648-bis c.p.

Domanda per il CEO. Chi ha disposto il pagamento, sulla base di quale inganno, e quali operazioni risultano compiute sui sistemi?

Disponibilità e riservatezza possono essere colpite insieme

Ransomware, esfiltrazione e pressione estorsiva

Un ransomware può rendere inaccessibili dati e sistemi. All’indisponibilità può associarsi l’acquisizione non autorizzata delle informazioni e la minaccia di pubblicarle: ACN descrive questa combinazione, la cosiddetta doppia estorsione, nei casi osservati nel riepilogo di agosto 2026. [2] Per settembre il rapporto segnala l’attacco a un polo ospedaliero, con una sede temporaneamente chiusa e l’altra costretta a limitare la gestione dei pazienti: un esempio di quanto l’impatto operativo possa superare quello informatico. [1]

Il quadro penalistico può richiedere l’esame dell’accesso abusivo, del danneggiamento di dati o sistemi, della diffusione del programma dannoso e della condotta estorsiva. Gli articoli 635-bis e 635-quater distinguono oggetto, condotte ed eventi rilevanti; l’articolo 635-quater.1 riguarda la diffusione di apparecchiature, dispositivi o programmi diretti a danneggiare o interrompere sistemi e dati. [3]

L’articolo 629, terzo comma, introdotto dalla legge n. 90/2024, riguarda l’estorsione realizzata attraverso determinate condotte informatiche o la minaccia di compierle, con costrizione, ingiusto profitto e altrui danno. Consumazione, tentativo e rapporti tra reati richiedono valutazione concreta. [4]

Una rivendicazione non prova automaticamente che tutti i dati dichiarati siano stati acquisiti: lo ricorda lo stesso rapporto ACN, che avverte come alcune rivendicazioni possano non corrispondere a casi confermati. Ripristinare un backup, d’altra parte, non dimostra che nessuna informazione sia stata copiata.

Norme da esaminare, in funzione dei fatti: artt. 615-ter, 635-bis, 635-quater, 635-quater.1, 629 (comma 3), 56 c.p.

Domanda per il CEO. Quali fatti confermano cifratura, acquisizione dei dati e contenuto della minaccia, distinguendoli dalle dichiarazioni dell’attaccante?

Il bersaglio è la disponibilità

DDoS e interruzione dei servizi

Un attacco distributed denial of service mira a degradare o rendere indisponibile un servizio mediante richieste o traffico distribuito. Non implica necessariamente l’ingresso nell’archivio aziendale o l’acquisizione dei dati.

Il sito irraggiungibile non dimostra da solo un DDoS: vanno considerate cause, registrazioni tecniche e impatto. Nel rapporto di settembre 2026 ACN collega la crescita degli eventi soprattutto a DDoS e defacement, senza un corrispondente aumento degli impatti. Frequenza e gravità operativa non devono essere confuse. [1]

L’eventuale applicazione dell’articolo 635-quater richiede l’esame delle modalità previste e dell’evento, compreso il grave ostacolo al funzionamento. Per sistemi di pubblico interesse rileva la distinta disciplina dell’articolo 635-quinquies. [3]

Norme da esaminare, in funzione dei fatti: artt. 635-quater, 635-quinquies c.p.

Domanda per il CEO. Quali elementi distinguono tentativo di saturazione, rallentamento e interruzione effettivamente attribuibile alla condotta?

Il punto di ingresso può essere fuori dal perimetro diretto

Attacchi attraverso fornitori e servizi condivisi

L’impresa può subire conseguenze da un incidente presso un fornitore. Non tutti questi episodi costituiscono però un attacco alla supply chain in senso tecnico: occorre ricostruire il meccanismo concreto.

Nel riepilogo di agosto 2026, ACN descrive la cifratura di dati ospitati in un’area condivisa di un fornitore ICT, con effetti anche sulle organizzazioni clienti. Il caso mostra come l’impatto possa oltrepassare il soggetto inizialmente colpito. [2]

La qualificazione penale dipende dalle condotte effettive, non dalla posizione contrattuale del provider. Restano distinti gli eventuali inadempimenti, i livelli di servizio e le responsabilità risarcitorie. L’identificazione delle persone offese richiede l’analisi dei beni giuridici coinvolti. Se sono coinvolti dati personali, il fornitore che li tratta per conto dell’impresa è di norma responsabile del trattamento e deve informare il titolare senza ingiustificato ritardo dopo la violazione. [6]

Norme da esaminare, in funzione dei fatti: artt. 615-ter, 635-bis, 635-quater c.p.; art. 33, par. 2, GDPR.

Domanda per il CEO. Quali ambienti, dati e soggetti sono stati coinvolti, e quali evidenze possiamo ottenere dal fornitore in tempi utili?

Acquisire dati, alterarli e divulgarli non sono la stessa condotta

Nel linguaggio aziendale si parla spesso di “furto di dati”. È un’espressione descrittiva, non una qualificazione universale. Accesso, riproduzione, cancellazione e divulgazione possono richiedere l’esame di norme diverse.

Il fatto che un archivio contenga dati personali o segreti non rende automaticamente applicabile ogni disposizione penale dedicata a quelle materie. Occorrono i rispettivi presupposti, oltre alla valutazione degli obblighi amministrativi e contrattuali.

La risposta: contenere senza perdere la ricostruzione

Limitare un incidente e preservare informazioni utili sono esigenze da coordinare, non alternative assolute. Non si deve lasciare proseguire un attacco per raccogliere una prova, né applicare indiscriminatamente interventi che possano alterare elementi rilevanti.

1. 1Attivare

   Individuare chi coordina management, tecnici, legale e ulteriori funzioni pertinenti.

2. 2Distinguere

   Separare fatti confermati, ipotesi, rivendicazioni e informazioni mancanti.

3. 3Documentare

   Ricostruire cronologia, fonti, operazioni e decisioni assunte.

4. 4Valutare

   Esaminare tutela penale, notifiche, polizze, rapporti contrattuali e comunicazioni.

Schema di coordinamento, non protocollo forense o tecnico. Priorità e interventi dipendono dall’incidente.

Le evidenze devono essere considerate per origine, integrità, completezza e contesto. Una schermata può essere utile ma non sostituisce necessariamente i dati sottostanti. Le cautele previste dal codice di procedura penale per attività su sistemi e dati confermano la rilevanza della conservazione e della prevenzione delle alterazioni. [5]

Tutela penale e notifiche seguono percorsi diversi

Denuncia e querela

Denuncia e querela non sono intercambiabili. Per i reati procedibili a querela il termine ordinario è di tre mesi dal giorno in cui si ha notizia del fatto (articolo 124 c.p.). Alcune ipotesi, soprattutto se aggravate, sono invece procedibili d’ufficio: per questo la procedibilità va verificata subito, sulla base di una qualificazione provvisoria dei fatti. Per la società la querela è proposta dal legale rappresentante o da un procuratore speciale. Non occorre conoscere già l’autore per rappresentare i fatti all’autorità, anche tramite la Polizia postale o la Procura. [3] [5]

Data breach e dati personali

Se sono coinvolti dati personali, va separatamente valutato il data breach. La notifica al Garante, quando dovuta, deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. La comunicazione agli interessati è richiesta quando il rischio è elevato (articolo 34 GDPR). Il titolare deve inoltre documentare internamente tutte le violazioni, anche quelle non notificate (articolo 33, paragrafo 5). [6]

NIS2 e obblighi di settore

Se l’impresa rientra nell’ambito della disciplina NIS2 (decreto legislativo n. 138/2024), per gli incidenti significativi sono previsti una pre-notifica entro 24 ore dalla conoscenza, una notifica entro 72 ore e una relazione finale entro un mese, da inviare al CSIRT Italia. Per alcuni settori operano regimi specifici, ad esempio DORA per il settore finanziario. L’inquadramento del soggetto e la significatività dell’incidente vanno verificati caso per caso. [8]

Una notifica tecnica non sostituisce automaticamente la querela, né una denuncia esaurisce gli adempimenti amministrativi o contrattuali.

Il CEO sotto pressione: evitare due automatismi

Primo: essere vittima di un attacco non dimostra, da solo, una responsabilità penale dell’amministratore. La responsabilità personale richiede una fattispecie e l’accertamento dei suoi presupposti.

Secondo: la responsabilità 231 dell’ente non nasce automaticamente dalla compromissione dei suoi sistemi. Vanno verificati reato-presupposto, soggetti, interesse o vantaggio e criteri organizzativi. L’articolo 24-bis richiama specifiche fattispecie informatiche, tra cui, dopo la riforma del 2024, l’estorsione di cui all’articolo 629, terzo comma: non ogni incidente informatico. [4] [7]

Restano distinti i profili civili e di governance. Il dovere di istituire assetti organizzativi adeguati (articolo 2086 c.c.) rende rilevante la documentazione delle scelte. Per i soggetti NIS2, la disciplina attribuisce direttamente agli organi di amministrazione compiti di approvazione e supervisione delle misure di gestione del rischio. [8] Chiarezza dei ruoli, rapporti con i fornitori e capacità di documentare le decisioni riducono l’improvvisazione nella crisi, ma non costituiscono una garanzia di immunità.

Sette elementi da predisporre prima dell’emergenza

Uno strumento di organizzazione preliminare. Il conteggio non certifica sicurezza, conformità o idoneità del Modello 231.

0 di 7 elementi selezionati

Sistemi, dati e servizi critici sono individuati. Referenti tecnici e legali e poteri decisionali sono definiti. I contratti disciplinano collaborazione ed evidenze in caso di incidente. È previsto il coordinamento tra contenimento e preservazione delle informazioni. Denuncia, querela, data breach e notifiche NIS2 hanno percorsi e termini distinti da valutare. Sono noti i termini di denuncia del sinistro previsti dall’eventuale polizza cyber. Comunicazioni e decisioni rilevanti vengono documentate. Azzera selezioni

Le selezioni non vengono salvate né trasmesse dallo script. Non inserire dati riservati.

Domande frequenti

Una richiesta di riscatto prova che l’attaccante possieda i dati?

No. Il contenuto della richiesta va distinto dalle evidenze disponibili. Anche eventuali campioni richiedono una valutazione di attendibilità e portata.

Dobbiamo attendere il completamento dell’analisi tecnica?

Non necessariamente. Le iniziative legali e gli adempimenti possono richiedere valutazioni prima che la ricostruzione sia completa, e i termini per querela e notifiche decorrono dalla conoscenza del fatto. Le incertezze devono essere esplicitate, evitando affermazioni non supportate.

Possiamo sporgere denuncia o querela senza conoscere l’autore?

Sì. I fatti possono essere rappresentati all’autorità anche contro ignoti, con una qualificazione provvisoria che potrà essere rivista all’esito degli accertamenti.

Pagare garantisce il recupero e la cancellazione dei dati?

Non offre tale garanzia. Le eventuali interlocuzioni e operazioni richiedono una valutazione dedicata, anche dei vincoli applicabili ai destinatari. Una richiesta estorsiva non è una normale trattativa commerciale.

Dalla reazione alla capacità di tutela

L’impresa non ha bisogno soltanto di conoscere i nomi degli attacchi. Deve saper attivare un metodo: comprendere i fatti, limitare gli effetti, conservare informazioni affidabili e scegliere iniziative coerenti con il quadro giuridico.

Una valutazione penalistica del rischio cyber può collegare scenari di attacco, gestione delle evidenze, rapporti con i fornitori e percorsi di tutela. Il valore è nel coordinamento tra competenze diverse, non nella sostituzione dell’analisi tecnica con un’etichetta legale.

Fonti normative e istituzionali

1. ACN, Operational Summary, settembre 2026. Dati e indicatori osservati: non un censimento completo di tutti gli attacchi né una fonte di qualificazione penale.
2. ACN, Operational Summary, agosto 2026. Ransomware, esfiltrazione e impatti presso un fornitore ICT e le organizzazioni clienti.
3. Codice penale, testo vigente. In particolare articoli 56, 124, 494, 615-ter, 615-quater, 617-quater, 629, 635-bis, 635-quater, 635-quater.1, 635-quinquies, 640, 640-ter e 648-bis. Rilevano le condizioni e le aggravanti del caso concreto.
4. Legge 28 giugno 2024, n. 90, in particolare articoli 16 e 20. Il testo originario documenta la riforma; l’applicazione richiede le disposizioni vigenti.
5. Codice di procedura penale. In particolare articoli 247, 254-bis e 354 per attività pertinenti a dati e sistemi; articoli 122, 333, 336 e 337 su denuncia e querela.
6. Regolamento (UE) 2016/679, articoli 33 e 34; Garante per la protezione dei dati personali, Data breach.
7. Decreto legislativo 8 giugno 2001, n. 231. In particolare articoli 5, 6, 7 e 24-bis.
8. Decreto legislativo 4 settembre 2024, n. 138 (recepimento della direttiva NIS2), in particolare le disposizioni sugli organi di amministrazione e sulla notifica degli incidenti.

Avvertenza per il lettore

Questo articolo ha finalità esclusivamente informative e non costituisce consulenza legale, parere professionale o protocollo tecnico di gestione degli incidenti. Ogni caso presenta caratteristiche peculiari e deve essere attentamente analizzato sulla base dei fatti, delle evidenze e della normativa applicabile.

Scenari, diagrammi e checklist non accertano reati, responsabilità o adeguatezza dei sistemi. Qualificazione giuridica, procedibilità, termini e iniziative di tutela richiedono una valutazione individuale. Nessuna delle misure descritte garantisce l’identificazione degli autori, il recupero dei dati o il risarcimento.

La gestione dell’incidente deve coordinare competenze tecniche, legali e organizzative, rispettando anche protezione dei dati, riservatezza e ulteriori vincoli pertinenti. I report istituzionali descrivono fenomeni osservati e non sostituiscono l’accertamento del singolo episodio.

Published 12 November 2026, last updated 12 November 2026. For founders, CEOs and management teams.

A bank transfer made on the strength of a fake message is not necessarily the same offence as a transfer obtained by manipulating a system. An unreachable service does not by itself prove an attack. A criminal group’s claim does not automatically prove that all the data it names was taken.

For founders and CEOs, recognising these differences does not mean becoming a forensic analyst. It means understanding when the technical response must be paired with a criminal-law assessment and what information is needed to decide.

Context: frequency and impact are not the same thing

In its Operational Summary for September 2026, the Italian National Cybersecurity Agency (ACN) records 485 events and 235 incidents with confirmed impact. Among the most frequent threats in events are DDoS, email account compromise and phishing. Ransomware remains the threat with the greatest operational impact. Among the methods observed, the report mentions the exploitation of vulnerabilities and the abuse of remote access services. [1]

Source: ACN, Operational Summary, September 2026 [1]. Events and incidents are separate categories and should not be added together.

These figures should be read with caution. ACN explains that the NIS2 notification obligations, fully operational since January 2026, have widened the events and incidents visible to the Agency, without a corresponding rise in impacts. The data describe the scope of the monitoring: they are not a census of all attacks in Italy, nor the probability that any individual company will be attacked. [1]

The sequence: from vector to effects

One possible path, not an inevitable chain. Phases may be missing, overlap or occur in a different order. For each step, three levels must be kept apart: observed facts, hypotheses and criminal classification.

Five scenarios, five points of observation

The sections below separate the technical phenomenon from the criminal-law questions. With JavaScript enabled you can select a scenario; without JavaScript all content stays readable.

The vector does not describe the whole offence

Phishing and email compromise

Phishing uses deceptive communications to induce behaviour such as handing over credentials or opening malicious content. Spear phishing tailors the message to the target.

Receiving the message does not prove access to the systems. If the account is compromised, it is necessary to distinguish the capture of credentials, entry, persistence and subsequent operations.

Article 615-ter of the Italian Criminal Code concerns unauthorised entry into a protected system, or remaining in it against the will of the person entitled to exclude others. Article 615-quater covers specific abusive conduct involving access codes and other means of access, subject to the required mental element. Where the offence is committed through the theft or misuse of digital identity, the aggravating circumstance in article 640-ter, third paragraph, may apply. Where mail is monitored or communications are intercepted, article 617-quater is also examined. None of these provisions applies automatically merely because a suspicious email circulated. [3]

Provisions to examine, depending on the facts: Criminal Code arts. 615-ter, 615-quater, 617-quater, 640-ter (para. 3), 494.

Question for the CEO. Do we have evidence only of the message, or also of logins, forwarding rules or operations that need to be reconstructed?

Deceiving a person versus interfering with a system

Fake payment orders and corporate fraud

A message apparently from the CEO or a supplier can induce an employee to make a payment. The phenomenon is often called business email compromise: it may involve a genuinely compromised mailbox or communications that merely imitate the sender.

If the payment results from deceit or trickery that leads a person into error, article 640 of the Criminal Code (fraud) must be examined. If instead the profit, with harm to another, results from altering the operation of a system or from unauthorised intervention on data, information or programs, the reference may be article 640-ter (computer fraud). The use of another person’s name or identity may call for an examination of article 494 (impersonation), while the subsequent movement of the funds through third-party accounts may be relevant under article 648-bis (money laundering). [3]

The use of email does not turn every fraud into a computer fraud. Access and any further conduct must also be assessed separately.

Once a payment has been sent, time matters. An immediate request to the bank to recall or block the transfer can affect the chances of recovery, and a report to the Italian Postal and Cybersecurity Police (Polizia postale e per la sicurezza cibernetica) can be started in parallel. None of these steps guarantees that the money will be recovered.

Provisions to examine, depending on the facts: Criminal Code arts. 640, 640-ter, 494, 648-bis.

Question for the CEO. Who ordered the payment, on the basis of what deception, and what operations were carried out on the systems?

Availability and confidentiality can be hit together

Ransomware, data exfiltration and extortion pressure

Ransomware can make data and systems inaccessible. Unavailability may be accompanied by the unauthorised taking of information and a threat to publish it: ACN describes this combination, so-called double extortion, in the cases observed in its August 2026 summary. [2] For September the report notes an attack on a hospital complex, with one site temporarily closed and the other forced to limit patient care: an example of how operational impact can go beyond IT impact. [1]

The criminal-law picture may require examining unauthorised access, damage to data or systems, distribution of the harmful program and the extortionate conduct. Articles 635-bis and 635-quater distinguish object, conduct and relevant outcomes; article 635-quater.1 concerns the distribution of equipment, devices or programs aimed at damaging or interrupting systems and data. [3]

Article 629, third paragraph, introduced by Law no. 90/2024, concerns extortion carried out through certain computer-related conduct or the threat of committing it, involving coercion, unjust profit and harm to another. Completion, attempt and the relationship between offences require a case-by-case assessment. [4]

A claim does not automatically prove that all the data it names was taken: the ACN report itself warns that some claims may not correspond to confirmed cases. Restoring a backup, conversely, does not show that no information was copied.

Provisions to examine, depending on the facts: Criminal Code arts. 615-ter, 635-bis, 635-quater, 635-quater.1, 629 (para. 3), 56.

Question for the CEO. Which facts confirm encryption, data acquisition and the content of the threat, as distinct from the attacker’s statements?

The target is availability

DDoS and service interruption

A distributed denial of service attack aims to degrade or disable a service through distributed requests or traffic. It does not necessarily involve entering the company’s archives or taking data.

An unreachable website does not by itself prove a DDoS: causes, technical records and impact must all be considered. In its September 2026 report, ACN links the growth in events mainly to DDoS and defacement, without a corresponding rise in impacts. Frequency and operational seriousness should not be confused. [1]

Whether article 635-quater applies requires examining the methods used and the outcome, including the serious hindrance to the operation of the system. For systems of public interest, the separate provision of article 635-quinquies is relevant. [3]

Provisions to examine, depending on the facts: Criminal Code arts. 635-quater, 635-quinquies.

Question for the CEO. What distinguishes an attempt to saturate the service, a slowdown, and an interruption that can actually be attributed to the conduct?

The entry point may lie outside your direct perimeter

Attacks through suppliers and shared services

A company can suffer the consequences of an incident at a supplier. Not every such episode is, however, a supply-chain attack in the technical sense: the actual mechanism has to be reconstructed.

In its August 2026 summary, ACN describes the encryption of data hosted in a shared area of an ICT supplier, with effects on client organisations as well. The case shows how the impact can extend beyond the entity first hit. [2]

Criminal classification depends on the actual conduct, not on the provider’s contractual position. Possible breaches of contract, service levels and liability for damages remain separate matters. Identifying the injured parties requires analysing the legal interests affected. Where personal data is involved, a supplier processing it on the company’s behalf is normally a processor and must inform the controller without undue delay after a breach. [6]

Provisions to examine, depending on the facts: Criminal Code arts. 615-ter, 635-bis, 635-quater; GDPR art. 33(2).

Question for the CEO. Which environments, data and parties were involved, and what evidence can we obtain from the supplier in good time?

Acquiring, altering and disclosing data are not the same conduct

In business language people often speak of “data theft”. It is a descriptive expression, not a universal legal classification. Access, copying, deletion and disclosure may call for different provisions.

The fact that an archive contains personal data or secrets does not automatically make every criminal provision on those subjects applicable. Their respective requirements must be met, in addition to assessing administrative and contractual obligations.

The response: contain without losing the reconstruction

Limiting an incident and preserving useful information are needs to be coordinated, not absolute alternatives. An attack should not be allowed to continue in order to gather evidence, nor should measures be applied indiscriminately that could alter relevant material.

1. 1Activate

   Identify who coordinates management, technical staff, legal and any other relevant functions.

2. 2Distinguish

   Separate confirmed facts, hypotheses, claims and missing information.

3. 3Document

   Reconstruct the timeline, sources, operations and decisions taken.

4. 4Assess

   Examine criminal protection, notifications, insurance, contractual relationships and communications.

A coordination outline, not a forensic or technical protocol. Priorities and measures depend on the incident.

Evidence should be considered by origin, integrity, completeness and context. A screenshot may be useful but does not necessarily replace the underlying data. The safeguards that the Italian Code of Criminal Procedure provides for activities on systems and data confirm the importance of preservation and of preventing alteration. [5]

Criminal protection and notifications follow different paths

Report and complaint

A criminal report (denuncia) and a victim’s complaint (querela) are not interchangeable. For offences prosecutable only upon complaint, the ordinary time limit is three months from the day the victim learns of the fact (article 124 of the Criminal Code). Some cases, especially where aggravated, are instead prosecuted ex officio: prosecutability must therefore be checked at once, on the basis of a provisional classification of the facts. For a company, the complaint is filed by the legal representative or by a special attorney. It is not necessary to know the perpetrator already in order to present the facts to the authorities, including through the Postal and Cybersecurity Police or the Public Prosecutor’s Office. [3] [5]

Data breach and personal data

Where personal data is involved, a data breach must be assessed separately. Notification to the Italian Data Protection Authority (Garante), when required, must be made without undue delay and, where feasible, within 72 hours of becoming aware of the breach, unless the breach is unlikely to result in a risk to the rights and freedoms of individuals. Communication to the individuals concerned is required when the risk is high (article 34 GDPR). The controller must also document internally all breaches, including those not notified (article 33(5)). [6]

NIS2 and sector obligations

If the company falls within the scope of the NIS2 regime (Legislative Decree no. 138/2024), significant incidents call for an early warning within 24 hours of becoming aware, a notification within 72 hours and a final report within one month, to be sent to CSIRT Italia. Specific regimes apply in some sectors, for example DORA in the financial sector. Whether the entity is in scope and whether the incident is significant must be verified case by case. [8]

A technical notification does not automatically replace the criminal complaint, nor does a criminal report exhaust the administrative or contractual obligations.

The CEO under pressure: avoiding two shortcuts

First: being the victim of an attack does not, by itself, show criminal liability of the director. Personal liability requires an offence and proof of its elements.

Second: corporate liability under Legislative Decree 231/2001 does not arise automatically from the compromise of the company’s own systems. The predicate offence, the persons involved, the interest or advantage and the organisational criteria must be verified. Article 24-bis refers to specific computer-related offences, including, after the 2024 reform, the extortion referred to in article 629, third paragraph: not to every IT incident. [4] [7]

Civil-law and governance issues remain distinct. The duty to put in place adequate organisational structures (article 2086 of the Civil Code) makes it important to document decisions. For NIS2 entities, the rules directly assign management bodies the tasks of approving and overseeing risk-management measures. [8] Clear roles, supplier relationships and the ability to document decisions reduce improvisation in a crisis, but are not a guarantee of immunity.

Seven things to prepare before an emergency

A preliminary organisational tool. The count does not certify security, compliance or the suitability of a 231 Model.

0 of 7 items selected

Critical systems, data and services are identified. Technical and legal contacts and decision-making powers are defined. Contracts govern cooperation and evidence in the event of an incident. Coordination between containment and preservation of information is planned. Criminal report or complaint, data breach and NIS2 notifications have separate paths and time limits to assess. The claim-notification deadlines of any cyber insurance policy are known. Relevant communications and decisions are documented. Clear selections

Selections are not saved or transmitted by the script. Do not enter confidential data.

Frequently asked questions

Does a ransom demand prove that the attacker holds the data?

No. The content of the demand must be kept apart from the evidence available. Any samples also need to be assessed for reliability and scope.

Do we have to wait for the technical analysis to finish?

Not necessarily. Legal steps and obligations may call for decisions before the reconstruction is complete, and the time limits for a complaint and for notifications run from knowledge of the fact. Uncertainties should be stated openly, avoiding unsupported assertions.

Can we file a report or complaint without knowing the perpetrator?

Yes. The facts can be presented to the authorities against persons unknown, with a provisional classification that may be revised once the investigation has progressed.

Does paying guarantee recovery and deletion of the data?

It offers no such guarantee. Any contact with the attackers and any payment call for a dedicated assessment, including of the restrictions that may apply to the recipients. An extortion demand is not an ordinary commercial negotiation.

From reaction to the ability to protect

A company needs more than to know the names of attacks. It needs to be able to activate a method: understand the facts, limit the effects, preserve reliable information and choose steps consistent with the legal framework.

A criminal-law assessment of cyber risk can connect attack scenarios, evidence handling, supplier relationships and protection routes. The value lies in coordinating different skills, not in replacing technical analysis with a legal label.

Legal and institutional sources

The official texts and reports below are published in Italian.

1. ACN, Operational Summary, September 2026. Observed data and indicators: not a complete census of all attacks, nor a source of criminal classification.
2. ACN, Operational Summary, August 2026. Ransomware, exfiltration and impacts on an ICT supplier and its client organisations.
3. Italian Criminal Code (Codice penale), current text. In particular articles 56, 124, 494, 615-ter, 615-quater, 617-quater, 629, 635-bis, 635-quater, 635-quater.1, 635-quinquies, 640, 640-ter and 648-bis. The conditions and aggravating circumstances of the specific case are relevant.
4. Law no. 90 of 28 June 2024, in particular articles 16 and 20. The original text documents the reform; its application requires the provisions currently in force.
5. Italian Code of Criminal Procedure (Codice di procedura penale). In particular articles 247, 254-bis and 354 on activities concerning data and systems; articles 122, 333, 336 and 337 on criminal reports and complaints.
6. Regulation (EU) 2016/679 (GDPR), articles 33 and 34; Italian Data Protection Authority (Garante), data breach.
7. Legislative Decree no. 231 of 8 June 2001 (administrative liability of entities). In particular articles 5, 6, 7 and 24-bis.
8. Legislative Decree no. 138 of 4 September 2024 (transposition of the NIS2 Directive), in particular the provisions on management bodies and incident notification.

Notice to the reader

This article is for information only. It concerns Italian criminal law and the rules applicable in Italy, and does not constitute legal advice, a professional opinion or a technical incident-management protocol, nor advice on the law of any other jurisdiction. Every case has its own characteristics and must be carefully analysed on the basis of the facts, the evidence and the applicable law.

Scenarios, diagrams and checklists do not establish offences, liability or the adequacy of systems. Legal classification, prosecutability, time limits and protective steps require an individual assessment. None of the measures described guarantees identification of the perpetrators, recovery of data or compensation.

Incident management must coordinate technical, legal and organisational skills, while respecting data protection, confidentiality and other relevant constraints. Institutional reports describe observed phenomena and do not replace the assessment of the individual incident.