In breve: la sicurezza IT rientra tra i compiti della direzione. Si discute di una responsabilità dell'amministratore per le vulnerabilità IT soprattutto quando rischi noti non sono stati trattati in modo adeguato, le competenze non sono state regolate o le decisioni non sono state prese in modo tracciabile. In situazioni come PHP2Shell aiuta una decisione chiara e documentata, basata sui fatti disponibili. Questa pagina è un'informazione generale e non costituisce consulenza legale.
Nessuna consulenza legale: le questioni di responsabilità dipendono molto dal caso concreto, dalla forma giuridica e dalle disposizioni contrattuali. Faccia valutare le domande concrete da un avvocato specializzato in diritto societario.
Responsabilità dell'amministratore e sicurezza IT: il quadro generale
Per gli amministratori di una GmbH (società tedesca a responsabilità limitata) il § 43 GmbHG (legge tedesca sulle GmbH) richiede la diligenza di un ordinario uomo d'affari. Per i membri del consiglio di amministrazione di una società per azioni, il § 93 AktG (legge tedesca sulle società per azioni) contiene una regola analoga; il § 91, comma 2 AktG richiede inoltre misure idonee a riconoscere tempestivamente sviluppi che mettano a rischio la continuità aziendale. Da questi doveri generali la discussione specialistica ricava che anche i rischi IT devono essere governati in modo adeguato.
Per le decisioni imprenditoriali esiste un margine di valutazione. Chi decide sulla base di informazioni adeguate e nell'interesse della società agisce di norma con la dovuta diligenza secondo la cosiddetta Business Judgment Rule, anche se la decisione si rivela poi sfavorevole. Ne deriva un insegnamento pratico: spesso conta meno il risultato che la domanda se la decisione sia stata presa in modo informato e tracciabile.
Che cosa aggiunge NIS2
Per le aziende che rientrano in NIS2 la responsabilità della direzione è regolata espressamente. La direzione deve approvare le misure di gestione del rischio, vigilare sulla loro attuazione e farsi formare in cybersicurezza. In Germania il recepimento avviene tramite il NIS2UmsuCG (la legge tedesca di recepimento di NIS2). Se la Sua azienda sia interessata e quali obblighi valgano nel dettaglio lo ricava dalle indicazioni del BSI (l'Ufficio federale tedesco per la sicurezza informatica). Un quadro generale lo offre NIS2 e sicurezza dei web server.
Si aggiungono gli obblighi in materia di protezione dei dati. Secondo il GDPR un'azienda deve adottare misure tecniche e organizzative adeguate e, ai sensi dell'art. 33, valutare, documentare ed eventualmente notificare le violazioni della protezione dei dati personali.
Che cosa richiede alla direzione una situazione come PHP2Shell
PHP2Shell comprende due vulnerabilità critiche in PHP stesso (CVE-2026-109618 e CVE-2026-109619, ciascuna CVSS v4.0 9.2). Il BSI ha dichiarato il livello di allerta 3 (arancione) e raccomanda un aggiornamento immediato e, se non è possibile, di scollegare temporaneamente dalla rete i web server. Per la direzione ne deriva una tipica ponderazione: fatturato e raggiungibilità contro un rischio elevato e di dominio pubblico.
Nessuno pretende che gli amministratori aggiornino personalmente i server. Si può però attendere che prendano atto della situazione, chiariscano le competenze, si facciano riferire e prendano una decisione. Domande che la direzione dovrebbe porsi:
- Quali dei nostri sistemi usano PHP e chi ne è responsabile, internamente o presso il fornitore di servizi?
- Gli aggiornamenti sono installati e i processi riavviati, e ne esiste una prova?
- In caso contrario: perché no, quali misure transitorie sono in corso e mettiamo il sistema offline?
- Ci sono indizi di un'intrusione e chi valuta i possibili obblighi di notifica?
Documentare le decisioni
Annoti brevemente per iscritto quadro della situazione, opzioni, decisione e motivazione, con data e ora. Un simile verbale non deve essere lungo. Mostra in seguito che la direzione era informata e ha ponderato. Ciò vale espressamente anche per la decisione di continuare a far funzionare per un tempo limitato un sistema nonostante il rischio.
| Contenuto | Esempio |
|---|---|
| Quadro della situazione | BSI livello di allerta 3, patch disponibili dal 21/10/2026 |
| Sistemi interessati | Shop, portale clienti, installazione wiki interna |
| Opzioni | aggiornare subito, misure transitorie, mettere offline |
| Decisione | Shop aggiornato, wiki offline fino all'aggiornamento |
| Motivazione e responsabili | Prova da parte del fornitore di servizi, controllo da parte della direzione IT |
Una patch non rimuove il malware già introdotto. Anche la decisione se cercare tracce va inserita nel verbale.
Organizzarsi in modo duraturo invece di improvvisare nel caso concreto
La migliore prevenzione è un'organizzazione chiara: un responsabile designato per la sicurezza delle informazioni, una procedura per gli aggiornamenti di sicurezza, rapporti regolari alla direzione, un piano di emergenza IT testato e una verifica indipendente a intervalli adeguati. Come cornice metodologica è adatto l'IT-Grundschutz del BSI.
Rientra nell'organizzazione anche impostare i rapporti in modo che la direzione li comprenda. Spesso basta un rapporto breve e regolare con poche indicazioni: quanti sistemi sono aggiornati, dove ci sono eccezioni e perché, quali incidenti o quasi-incidenti ci sono stati, quali decisioni sono in sospeso. Chi riceve simili rapporti, pone domande e mette a verbale i risultati può dimostrare in seguito che la vigilanza c'è stata davvero. Ciò vale indipendentemente dal fatto che la tecnica sia interna o presso un fornitore di servizi.
Come aiuta concretamente PHP SOS?
- Predisponiamo per la direzione un quadro comprensibile dei Suoi web server, con opzioni chiare.
- Attuiamo l'opzione scelta e forniamo una prova tecnica scritta.
- Con un audit di sicurezza o un penetration test creiamo una base indipendente per le Sue decisioni.
- Con un contratto di manutenzione della sicurezza regoliamo in modo duraturo aggiornamenti e rapporti.
Domande frequenti
Un amministratore risponde personalmente di un attacco hacker?
Un attacco da solo non fonda una responsabilità personale. Si discute di responsabilità soprattutto quando sono stati violati doveri di diligenza, ad esempio se rischi noti sono stati ignorati o le competenze non sono state regolate. Se nel caso concreto sia così lo valuta soltanto una consulenza legale.
Posso delegare del tutto la sicurezza IT al reparto IT o a un fornitore di servizi?
I compiti si possono delegare, ma la responsabilità per la scelta, la dotazione e la vigilanza resta alla direzione. Si faccia riferire regolarmente e annoti quali decisioni sono state prese su quale base.
Che cosa cambia NIS2 nella responsabilità della direzione?
NIS2 richiede alla direzione delle aziende interessate di approvare le misure di gestione del rischio, di vigilare sulla loro attuazione e di partecipare a formazioni. I dettagli derivano dalla legge tedesca di recepimento e dalle indicazioni del BSI.
Aiuta una polizza D&O?
Una assicurazione di responsabilità degli amministratori può coprire determinati rischi di responsabilità della direzione, ma le condizioni differiscono molto. Chiarisca la portata con il Suo broker o assicuratore.