La cybersecurity non è un costo informatico

La cybersecurity non è un costo informatico: è il perimetro dell’impresa «adeguata»

Dall’articolo 2086 del codice civile alla direttiva NIS2, fino all’ingresso del rischio cibernetico nella valutazione del merito creditizio: perché il presidio della sicurezza informatica è un dovere degli organi di amministrazione e controllo  e una leva di valore per l’impresa

Abstract. L’articolo esamina la collocazione del rischio cibernetico all’interno degli assetti organizzativi, amministrativi e contabili adeguati richiesti dall’art. 2086 c.c., ricostruendo la filiera delle responsabilità che coinvolge organi delegati, consiglio di amministrazione e collegio sindacale (artt. 2381, 2403 e 2407 c.c.; art. 25-octies del Codice della crisi) e il raccordo con il quadro europeo (direttiva NIS2, AI Act, sistema 231). Alla luce delle più recenti evidenze empiriche della Banca d’Italia sull’integrazione del rischio cyber nella valutazione del merito creditizio, si sostiene che la sicurezza informatica non è un adempimento tecnologico, ma una componente strutturale del governo dell’impresa, con effetti diretti su continuità operativa, costo del credito e valore aziendale.

Un divario da colmare

Se ne parla molto sui giornali, molto meno nei consigli di amministrazione delle piccole e medie imprese. La cybersecurity è diventata un tema di tendenza nel dibattito professionale — documenti del Consiglio nazionale dei dottori commercialisti, direttiva NIS2, AI Act, estensione del catalogo dei reati presupposto ai sensi del d.lgs. 231/2001 — ma tra la produzione normativa e dottrinale e la realtà organizzativa della micro, piccola e media impresa italiana esiste ancora un divario profondo. Un divario fatto di investimenti rinviati, di deleghe implicite al «tecnico informatico di fiducia» e, soprattutto, di una cultura della pianificazione che fatica ad affermarsi.

Questo contributo si rivolge agli imprenditori, certamente, ma anche — e per le ragioni che si diranno, a maggior titolo — gli amministratori, esecutivi e non, e i componenti degli organi di controllo, in particolare quando professionisti. Perché la posta in gioco è la capacità dell’impresa di funzionare, competere e valere nei prossimi dieci anni. La demarcazione tra perimetro fisico e spazio digitale è ormai superata: nell’architettura aziendale moderna essi costituiscono un’unica superficie operativa e di rischio.

L’obbligo esiste già: l’articolo 2086 e gli adeguati assetti

Partiamo dal dato normativo, perché è meno negoziabile di quanto molti credano. L’articolo 2086 del codice civile, nella formulazione introdotta dal Codice della crisi d’impresa e dell’insolvenza, impone all’imprenditore che operi in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche in funzione della rilevazione tempestiva della crisi e della perdita della continuità aziendale.

La parola chiave è «adeguato». E qui sta il punto che troppi sottovalutano: nel 2026, un assetto organizzativo che non presidia il rischio informatico non è adeguato. Non può esserlo, per una ragione semplice: i processi amministrativi, contabili e gestionali dell’impresa sono ormai processi digitali. La fatturazione è elettronica, la contabilità risiede su sistemi cloud o su gestionali connessi, i pagamenti transitano su canali di home banking, le comunicazioni con clienti, fornitori e banche viaggiano su canali digitali, i dati produttivi e commerciali sono custoditi su server o piattaforme. Se questa infrastruttura è vulnerabile, è vulnerabile l’intero assetto — organizzativo, amministrativo e contabile — che l’articolo 2086 impone di rendere adeguato.

La conseguenza pratica è che il rischio cibernetico non è più un rischio «tecnico» delegabile alla funzione IT, ma un rischio d’impresa che ricade sulla responsabilità degli organi sociali. Lo conferma la traiettoria normativa più recente: la direttiva NIS2 (dir. UE 2022/2555, recepita con il d.lgs. 138/2024) attribuisce espressamente agli organi di amministrazione e direttivi l’approvazione e la sorveglianza delle misure di gestione del rischio informatico, imponendo loro persino obblighi di formazione; il sistema 231 include da tempo i reati informatici tra i reati presupposto e si prepara a estendersi agli illeciti commessi mediante sistemi di intelligenza artificiale; il regolamento europeo sull’intelligenza artificiale aggiunge obblighi di governance sui sistemi automatizzati; e per il settore finanziario il regolamento DORA ha già reso la resilienza operativa digitale materia di vertice. Il messaggio del legislatore, italiano ed europeo, è univoco: la sicurezza informatica è materia di governo dell’impresa, non di manutenzione dei computer.

La filiera delle responsabilità: amministratori e sindaci, non solo l’imprenditore

L’articolo 2086 individua nell’imprenditore il destinatario dell’obbligo, ma nelle società la sua attuazione si distribuisce lungo la filiera disegnata dall’articolo 2381 del codice civile: gli organi delegati curano che l’assetto organizzativo, amministrativo e contabile sia adeguato alla natura e alle dimensioni dell’impresa; il consiglio di amministrazione, sulla base delle informazioni ricevute, ne valuta l’adeguatezza. Nessun consigliere, neppure il non esecutivo, può dunque considerarsi estraneo alla materia: il dovere di agire in modo informato copre anche il presidio del rischio informatico, se questo — come si è argomentato — è ormai parte integrante dell’assetto. Un consiglio che non chiede mai conto della postura di sicurezza dell’impresa, che non riceve reportistica sul tema, che non delibera sugli investimenti necessari, sta omettendo una valutazione che la legge gli assegna.

Ancora più delicata è la posizione del collegio sindacale. L’articolo 2403 del codice civile gli affida espressamente la vigilanza sull’adeguatezza dell’assetto organizzativo, amministrativo e contabile adottato dalla società e sul suo concreto funzionamento: un collegio che nel 2026 non si interroga sul presidio del rischio cibernetico lascia scoperta una porzione ormai centrale del proprio perimetro di vigilanza. Con due aggravanti per il sindaco professionista: la responsabilità concorrente ex articolo 2407 per i fatti degli amministratori che non si sarebbero verificati se avesse vigilato in conformità agli obblighi della carica, e il dovere di segnalazione tempestiva previsto dall’articolo 25-octies del Codice della crisi, che si salda perfettamente al tema della continuità aziendale: un attacco che paralizza l’operatività per settimane è esattamente il tipo di evento che gli assetti dovrebbero intercettare e sul cui presidio l’organo di controllo dovrebbe aver acquisito evidenze. Per il dottore commercialista che siede in un collegio sindacale, la domanda da portare alla prossima riunione non è se l’impresa abbia comprato un antivirus, ma se esista — documentata e funzionante — un’organizzazione del rischio informatico coerente con la natura e le dimensioni dell’attività.

Dall’obbligo all’organizzazione: che cosa significa in concreto

Molti imprenditori, di fronte a questo quadro, reagiscono con una domanda comprensibile: «che cosa devo comprare?». È la domanda sbagliata. La cybersecurity, intesa come componente degli adeguati assetti, non è un prodotto ma un modo di organizzarsi. Significa sapere quali dati l’impresa possiede, dove risiedono, chi vi accede e con quali autorizzazioni. Significa disporre di procedure per la gestione degli accessi, per il salvataggio e il ripristino dei dati, per la risposta a un incidente. Significa formare le persone, perché la grande maggioranza degli attacchi non sfrutta falle tecnologiche ma comportamenti umani: un’email di phishing ben costruita, una password condivisa, un bonifico disposto sulla base di istruzioni contraffatte. Significa, infine, presidiare la catena di fornitura tecnologica — i fornitori di software, i consulenti esterni, i servizi cloud — che è oggi uno dei principali punti d’ingresso degli attacchi.

Tutto questo ha un impatto organizzativo che va progettato, non subito. L’impresa che affronta il tema in modo strutturato scopre rapidamente che la mappatura dei rischi informatici la costringe a fare qualcosa di più ampio e di più utile: mappare i propri processi. Chi fa che cosa, con quali strumenti, con quali dati, con quali controlli. È esattamente l’esercizio che l’articolo 2086 richiede. In questo senso, l’adeguamento cyber è un’occasione per mettere ordine nella gestione.

E ha un impatto sulla sostenibilità dell’impresa nel senso più concreto del termine: la continuità operativa. Un attacco ransomware che blocca per due settimane il gestionale di una PMI manifatturiera è un problema non solo informatico: è un problema di fatturato, di consegne mancate, di penali contrattuali, di reputazione verso clienti e banche. Nei casi più gravi, è un fattore di crisi d’impresa — proprio quella crisi che gli assetti adeguati dovrebbero consentire di prevenire e rilevare tempestivamente. Il cerchio normativo si chiude qui: un’impresa esposta al rischio cibernetico senza presidi è un’impresa il cui assetto non consente di intercettare una  minaccia statisticamente probabile alla propria continuità.

La conferma empirica: il rischio cyber entra nel merito creditizio

In un recente studio pubblicato nella collana «Mercati, infrastrutture, sistemi di pagamento» (n. 75, gennaio 2026), la Banca d’Italia ha costruito un indice di vulnerabilità al rischio cibernetico per le imprese non finanziarie italiane, applicando modelli linguistici e tecniche di intelligenza artificiale a bilanci, notizie di stampa e fonti specializzate. I dati che ne emergono sono eloquenti: nel campione di circa quattromila imprese valutate ai fini del merito creditizio, gli attacchi rilevati passano da 14 nel 2019 a 232 nel 2023 — in quell’anno, in media, un attacco ogni due giorni. Il settore più colpito è la manifattura, con oltre quattrocento incidenti documentati e il tasso di crescita più elevato, seguita dai servizi professionali, scientifici e tecnici e dal commercio: esattamente il tessuto produttivo del Paese. Il ransomware è la minaccia dominante proprio nei comparti in cui l’interruzione operativa si traduce immediatamente in perdita economica.

Due risultati dello studio meritano particolare attenzione. Il primo è comportamentale: le imprese arricchiscono l’informativa sulla sicurezza informatica nei propri bilanci soltanto dopo aver subito un attacco, quando le misure difensive adottate a posteriori richiedono tempo per produrre effetti e non compensano il danno già realizzato. Il secondo è prospettico, e riguarda direttamente il costo del denaro: la Banca d’Italia dichiara che l’indice è destinato a confluire nella stima della probabilità di default all’interno del proprio sistema di valutazione del merito creditizio (ICAS), quello attraverso cui i prestiti alle imprese diventano stanziabili come garanzia nelle operazioni dell’Eurosistema. In prospettiva, dunque, un’impresa cyber-vulnerabile avrà una probabilità di default «aggiustata» peggiore, con effetti sul costo e sull’accesso al credito.

La banca centrale estrae il profilo cyber delle imprese leggendo, con strumenti di analisi semantica, ciò che le imprese stesse scrivono — o non scrivono — nei propri documenti ufficiali. Anche la disclosure, in altri termini, è diventata parte dell’assetto adeguato.

Il cambio di prospettiva: da costo a infrastruttura

Fin qui gli obblighi e le loro conseguenze. Ma se il discorso si fermasse agli obblighi, avremmo perso l’occasione più importante. La ragione vera per cui l’imprenditore dovrebbe investire in questa direzione non è la conformità: è che l’infrastruttura digitale sicura è la precondizione di tutto ciò che verrà dopo.

Un’impresa che oggi costruisce un’infrastruttura di comunicazione e di gestione dell’informazione ordinata e sicura sta, nello stesso movimento, costruendo la piattaforma su cui domani potrà innestare strumenti di intelligenza artificiale per la gestione amministrativa, l’analisi predittiva dei flussi di cassa, l’automazione dei processi documentali, il controllo di gestione evoluto. Un’impresa che rinvia, invece, accumula un debito tecnico e organizzativo che renderà ogni innovazione futura più costosa, più lenta e più rischiosa.

C’è poi un aspetto ulteriore, che il recento documento del Consiglio nazionale dei dottori commercialisti sulla cyber security coglie con lucidità: l’intelligenza artificiale non è solo un’opportunità da abilitare, è essa stessa una fonte di rischio da governare. La sicurezza non riguarda più soltanto il dato, ma la sua elaborazione: chi garantisce che il sistema che tratta le informazioni contabili non le manipoli o non produca risultati inattendibili? Come si assicura la tracciabilità delle decisioni assunte con il supporto di sistemi automatizzati? Sono domande che entrano direttamente nel perimetro degli assetti amministrativi e contabili.

Il patrimonio digitale come valore d’impresa

Il patrimonio informativo dell’impresa — i dati sui clienti, il know-how digitalizzato, i processi codificati, i sistemi funzionanti — rappresenta una quota crescente del valore aziendale complessivo, destinata a superare in molti settori il peso degli asset materiali. Ma questo patrimonio vale solo se è protetto, governato e dimostrabile.

Chi ha esperienza di operazioni straordinarie lo sa: nelle due diligence che precedono un’acquisizione o l’ingresso di un investitore, la verifica dell’assetto digitale e della postura di sicurezza informatica è ormai una sezione autonoma dell’analisi, accanto a quella fiscale, legale e giuslavoristica. Un’impresa che non sa documentare come protegge i propri dati, che ha subito incidenti non gestiti, che dipende da sistemi obsoleti o da fornitori non presidiati, subisce sconti di valutazione e richieste di garanzie più onerose.

Implicazioni operative per imprese e professionisti

La sintesi è una questione di postura culturale prima che di budget. L’articolo 2086 chiede all’impresa di essere adeguata nei propri assetti, e l’adeguatezza non è uno stato che si raggiunge una volta per tutte: è una capacità di lettura continua dei rischi e di adattamento dell’organizzazione. Il rischio informatico, per sua natura in evoluzione costante, è il banco di prova perfetto di questa capacità.

Le implicazioni pratiche discendono dalla filiera delle responsabilità ricostruita in queste pagine. Per l’imprenditore e per gli organi delegati, il rischio cibernetico va censito nella mappa dei rischi aziendali e tradotto in un’organizzazione documentata: inventario dei dati e degli accessi, procedure di salvataggio e ripristino, piano di risposta agli incidenti, formazione del personale, presidio dei fornitori tecnologici. Per il consiglio di amministrazione, il tema va portato stabilmente in agenda, con flussi informativi periodici. Per il collegio sindacale, la vigilanza ex articolo 2403 deve estendersi al concreto funzionamento dei presidi informatici, nella consapevolezza che l’omissione espone il professionista alla responsabilità concorrente e che la continuità aziendale passa ormai anche di qui. Per tutti, vale l’avvertimento che viene dai dati della Banca d’Italia: chi si organizza dopo l’incidente paga il danno, sconta tempi lunghi di recupero e trova il proprio profilo di rischio già prezzato da chi eroga credito.

L’imprenditore che affronta il tema come un fastidio normativo comprerà qualche software, firmerà qualche procedura e resterà esposto. Quello che lo affronta come un passo evolutivo — la costruzione di un’infrastruttura digitale sicura su cui far crescere dati, intelligenza artificiale e valore — avrà trasformato un obbligo in un vantaggio competitivo. La differenza tra i due non la farà la tecnologia. La farà la pianificazione.