Un professionista della sicurezza informatica ha esposto di proposito un sistema su internet, senza dati reali, per vedere chi sarebbe arrivato. Si chiama honeypot, cioè una trappola digitale: un sistema esca costruito per osservare gli attaccanti. I primi tentativi di accesso sono comparsi in poche ore. Gli attacchi informatici ai sistemi esposti sono la condizione normale di qualunque sistema raggiungibile dall’esterno e la legge parte da questa premessa. Nulla di strano e anzi molto reale.

In breve

Un sistema esposto su internet subisce tentativi di accesso automatici di continuo. La legge non ti chiede di impedirli tutti: ti chiede misure adeguate al rischio (art. 32 GDPR), la capacità di accorgerti di un accesso riuscito e, se rientri nella NIS2, di notificarlo. Non ti consente invece di reagire entrando nel sistema dell’attaccante.

Quanto tempo passa prima che un sistema esposto venga attaccato?

Poche ore. Secondo i dati pubblicati dall’autore dell’esperimento, in poco meno di un mese il sistema ha registrato 55.940 connessioni e 55.544 tentativi di login, quasi 2.000 al giorno. Il 99% delle connessioni veniva da programmi automatici (bot), che provano sempre le stesse coppie: utente “root”, password come “admin” o “123456”.

Un attaccante ha fatto qualcosa di più. Ha installato una chiave di accesso di riserva e ha reso il file immodificabile con il comando chattr +ai, così da rientrare anche se la password fosse stata cambiata. Un altro ha cercato i file di registro, ha capito di essere in una trappola e ha chiuso la connessione.

Il sistema dell’esperimento era finto. Il tuo no: lì un accesso riuscito è un incidente vero, con conseguenze giuridiche.

Che cosa ti chiede il GDPR se il sistema tratta dati personali?

L’art. 32, par. 1, GDPR impone al titolare e al responsabile del trattamento misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dell’arte e dei costi. Tra le misure indica la capacità di assicurare riservatezza, integrità e disponibilità dei sistemi (lett. b) e una procedura per verificarne regolarmente l’efficacia (lett. d). Dal 2018 la normativa privacy, infatti, è cambiata.

È un obbligo di mezzi, non di risultato. Nel provvedimento del 20 ottobre 2022 sul gruppo Campari (doc. web n. 9828092) il Garante ha ritenuto che un attacco riuscito non provi da solo l’inadeguatezza delle misure. Ha valutato la diligenza prima dell’attacco e la reazione dopo.

Sulle credenziali deboli il Garante è concreto. Con l’ordinanza ingiunzione dell’11 febbraio 2021 a Roma Servizi per la Mobilità (doc. web n. 9562831), per un servizio esposto su rete pubblica, ha ordinato:

• password di almeno otto caratteri, con controllo automatico che impedisca quelle deboli;
• cambio obbligatorio al primo utilizzo;
• difesa contro gli attacchi a tentativi ripetuti (brute force), anche limitando i tentativi di accesso falliti.

Anche la conservazione delle password è regolata. Le Linee guida ACN-Garante sulla conservazione delle password, approvate con provvedimento n. 594 del 7 dicembre 2023, escludono le password in chiaro e indicano algoritmi di hashing adeguati.

La sanzione per la violazione degli artt. 32 e 33 arriva fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (art. 83, par. 4, lett. a). Per la violazione del principio di integrità e riservatezza (art. 5, par. 1, lett. f) arriva fino a 20 milioni o al 4% (art. 83, par. 5, lett. a).

Un tentativo di accesso respinto è un data breach?

No. L’art. 4, n. 12, GDPR definisce la violazione dei dati personali come una violazione di sicurezza che comporta distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati. Un tentativo respinto non comporta nulla di tutto questo.

Diverso è il caso della password indovinata o della chiave di accesso installata da un estraneo. Lì c’è un accesso non autorizzato. Il titolare deve notificare al Garante entro 72 ore da quando ne viene a conoscenza, salvo che sia improbabile un rischio per le persone (art. 33, par. 1). Deve inoltre documentare ogni violazione, anche quella non notificata (art. 33, par. 5). Se il fornitore IT gestisce il sistema, deve avvisarti senza ingiustificato ritardo (art. 33, par. 2).

Se nessuno legge i registri degli accessi, nessuno “viene a conoscenza” di nulla e il termine non decorre mai, non è una difesa, è nascondere lo sporco sotto il tappeto. Nel provvedimento del 4 agosto 2025 (doc. web n. 10193088) il Garante ricorda le Linee guida EDPB 9/2022, punto 41: la capacità di individuare, gestire e segnalare tempestivamente una violazione fa parte delle misure di sicurezza.

La NIS2 riguarda la tua azienda?

Dipende dal settore e dalla dimensione. Il D.Lgs. 138/2024, che ha recepito la direttiva NIS2, si applica ai soggetti dei settori degli allegati I e II che superano i massimali delle piccole imprese, quindi alle medie e grandi (art. 3, comma 2). Alcuni soggetti rientrano a prescindere dalla dimensione (art. 3, commi 5 e seguenti), comprese le imprese collegate che forniscono servizi informatici a un soggetto essenziale o importante (art. 3, comma 10, lett. d).

Per chi rientra, gli obblighi sono precisi:

• l’art. 24, comma 2, impone misure che comprendono gestione degli incidenti, valutazione dell’efficacia delle misure e, ove opportuno, autenticazione a più fattori;
• l’art. 25 impone la notifica al CSIRT Italia degli incidenti significativi: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese;
• l’art. 23 attribuisce agli organi di amministrazione l’approvazione delle misure e la responsabilità delle violazioni.

Le sanzioni arrivano a 10 milioni o al 2% del fatturato per i soggetti essenziali, a 7 milioni o all’1,4% per gli importanti (art. 38, comma 9). Dopo una diffida inevasa, gli amministratori possono essere colpiti dall’incapacità di svolgere funzioni dirigenziali (art. 38, comma 6).

Per i soggetti inseriti nell’elenco NIS nel 2025, il termine di diciotto mesi per le misure di base (art. 42, comma 1, lett. c) è scaduto a ottobre 2026.

Se non rientri nella NIS2, resta l’art. 2086, comma 2, del codice civile: chi gestisce un’impresa in forma societaria deve istituire un assetto organizzativo adeguato alla natura e alle dimensioni dell’impresa. La norma non nomina la cybersicurezza. A mio avviso, però, un amministratore che non sa cosa accade sui sistemi esposti della società fatica a dimostrare l’adeguatezza di quell’assetto.

Si può reagire all’attacco?

No. Entrare nel sistema dell’attaccante, per bloccarlo o cancellare i suoi dati, è accesso abusivo a sistema informatico: l’art. 615-ter c.p. punisce con la reclusione fino a tre anni chi si introduce abusivamente in un sistema protetto da misure di sicurezza, qualunque sia il motivo.

Il rischio ricade anche sull’azienda. L’art. 24-bis, comma 1, D.Lgs. 231/2001 richiama l’art. 615-ter tra i reati che generano la responsabilità dell’ente, con sanzione pecuniaria da duecento a settecento quote e sanzioni interdittive in caso di condanna. Il Modello 231 dovrebbe quindi vietare espressamente al personale IT le iniziative di “difesa attiva” contro sistemi altrui.

Se vuoi osservare gli attaccanti, un honeypot passivo, isolato dalla rete produttiva, è l’alternativa lecita. Gli indirizzi IP che registra sono però dati personali: la Corte di giustizia UE, sentenza del 19 ottobre 2016, causa C-582/14 (Breyer), ha stabilito che l’indirizzo IP dinamico lo è per il gestore del sito quando questi dispone di mezzi legali per farlo identificare. Servono quindi una base giuridica, in genere il legittimo interesse alla sicurezza della rete (art. 6, par. 1, lett. f, GDPR), un’informativa e tempi di conservazione limitati.

Cosa fare in concreto?

1. Fai l’elenco dei sistemi raggiungibili da internet: accessi remoti, pannelli di amministrazione, VPN. Quello che non è in elenco non è protetto.
2. Elimina l’accesso amministrativo con sola password: usa chiavi o autenticazione a più fattori.
3. Imposta il blocco dopo un numero limitato di tentativi falliti e il controllo sulla qualità delle password.
4. Conserva i registri degli accessi e affida a una persona il compito di leggerli. Un registro che nessuno legge non ti difende.
5. Scrivi la procedura: chi decide se un evento è un data breach, chi notifica entro 72 ore (24 ore per la pre-notifica NIS2), dove si annota nel registro delle violazioni.
6. Nel contratto con il fornitore IT indica chi monitora i sistemi, chi ti avvisa e in quanto tempo.
7. Vieta a dipendenti e consulenti ogni reazione che comporti l’accesso a sistemi altrui.

Il punto

L’attacco automatico a un sistema esposto non è un evento da evitare, è diventato frequente su internet e va gestito. La responsabilità dell’azienda nasce altrove: dalle porte lasciate aperte quando si potevano chiudere, dai registri mai letti, dalla mancata decisione preventiva su chi agisce quando un accesso riesce. Il Garante e l’ACN, infatti, non chiedono l’invulnerabilità. Ti chiedono di dimostrare che sapevi cosa avevi esposto e che qualcuno stava guardando.

Per verificare se i sistemi esposti della tua azienda, le procedure di notifica e i contratti con i fornitori IT reggono un controllo del Garante o dell’ACN, scrivici: francesco.minazzi@studioindustria.eu.

Domande frequenti

Un tentativo di accesso fallito va notificato al Garante?
No. Senza accesso ai dati non c’è violazione ai sensi dell’art. 4, n. 12, GDPR. Conviene comunque conservare i registri: servono a riconoscere il tentativo che riesce. Se l’accesso avviene, vanno valutati l’art. 33 GDPR e, per i soggetti NIS2, l’art. 25 D.Lgs. 138/2024.

Una PMI è soggetta alla NIS2?
Non automaticamente. La NIS2 si applica ai settori degli allegati I e II sopra le soglie delle piccole imprese, più alcune categorie a prescindere dalla dimensione (art. 3 D.Lgs. 138/2024). Una PMI che fornisce servizi informatici a un soggetto essenziale o importante può essere coinvolta, anche solo per i requisiti imposti dal cliente.

Posso installare un honeypot in azienda?
Sì, se è passivo e separato dalla rete produttiva. I registri contengono indirizzi IP, che sono dati personali: servono una base giuridica, in genere il legittimo interesse alla sicurezza della rete (art. 6, par. 1, lett. f, e considerando 49 GDPR), un’informativa e una conservazione limitata nel tempo.

Cosa rischia l’azienda se un accesso riuscito porta alla perdita di dati?
Sanzioni GDPR fino a 10 milioni di euro o al 2% del fatturato per la violazione degli artt. 32 e 33, fino a 20 milioni o al 4% per quella dell’art. 5. Si aggiungono, per chi rientra nella NIS2, le sanzioni dell’art. 38 D.Lgs. 138/2024 e il risarcimento ai danneggiati (art. 82 GDPR).

Per approfondire il GDPR e l’AI Act, il mio libro è disponibile su Amazon.

Aggiornato al 2 novembre 2026.

Immagine realizzata con l’AI.