# Responsabilità della direzione in caso di vulnerabilità IT

> La responsabilità dell'amministratore per le falle di sicurezza IT spiegata in generale: doveri di diligenza, NIS2 e come documentare le decisioni in modo corretto.

Fonte: https://phpsos.de/it/compliance/geschaeftsfuehrer-haftung/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** la sicurezza IT rientra tra i compiti della direzione. Si discute di una responsabilità dell'amministratore per le vulnerabilità IT soprattutto quando rischi noti non sono stati trattati in modo adeguato, le competenze non sono state regolate o le decisioni non sono state prese in modo tracciabile. In situazioni come PHP2Shell aiuta una decisione chiara e documentata, basata sui fatti disponibili. Questa pagina è un'informazione generale e non costituisce consulenza legale.

> **Importante:**
> Nessuna consulenza legale: le questioni di responsabilità dipendono molto dal caso concreto, dalla forma giuridica e dalle disposizioni contrattuali. Faccia valutare le domande concrete da un avvocato specializzato in diritto societario.

## Responsabilità dell'amministratore e sicurezza IT: il quadro generale

Per gli amministratori di una GmbH (società tedesca a responsabilità limitata) il § 43 GmbHG (legge tedesca sulle GmbH) richiede la diligenza di un ordinario uomo d'affari. Per i membri del consiglio di amministrazione di una società per azioni, il § 93 AktG (legge tedesca sulle società per azioni) contiene una regola analoga; il § 91, comma 2 AktG richiede inoltre misure idonee a riconoscere tempestivamente sviluppi che mettano a rischio la continuità aziendale. Da questi doveri generali la discussione specialistica ricava che anche i rischi IT devono essere governati in modo adeguato.

Per le decisioni imprenditoriali esiste un margine di valutazione. Chi decide sulla base di informazioni adeguate e nell'interesse della società agisce di norma con la dovuta diligenza secondo la cosiddetta Business Judgment Rule, anche se la decisione si rivela poi sfavorevole. Ne deriva un insegnamento pratico: spesso conta meno il risultato che la domanda se la decisione sia stata presa in modo informato e tracciabile.

## Che cosa aggiunge NIS2

Per le aziende che rientrano in NIS2 la responsabilità della direzione è regolata espressamente. La direzione deve approvare le misure di gestione del rischio, vigilare sulla loro attuazione e farsi formare in cybersicurezza. In Germania il recepimento avviene tramite il NIS2UmsuCG (la legge tedesca di recepimento di NIS2). Se la Sua azienda sia interessata e quali obblighi valgano nel dettaglio lo ricava dalle indicazioni del BSI (l'Ufficio federale tedesco per la sicurezza informatica). Un quadro generale lo offre [NIS2 e sicurezza dei web server](https://phpsos.de/it/compliance/nis2/).

Si aggiungono gli obblighi in materia di protezione dei dati. Secondo il GDPR un'azienda deve adottare misure tecniche e organizzative adeguate e, ai sensi dell'art. 33, valutare, documentare ed eventualmente notificare le violazioni della protezione dei dati personali.

## Che cosa richiede alla direzione una situazione come PHP2Shell

PHP2Shell comprende due vulnerabilità critiche in PHP stesso (CVE-2026-109618 e CVE-2026-109619, ciascuna CVSS v4.0 9.2). Il BSI ha dichiarato il livello di allerta 3 (arancione) e raccomanda un aggiornamento immediato e, se non è possibile, di scollegare temporaneamente dalla rete i web server. Per la direzione ne deriva una tipica ponderazione: fatturato e raggiungibilità contro un rischio elevato e di dominio pubblico.

Nessuno pretende che gli amministratori aggiornino personalmente i server. Si può però attendere che prendano atto della situazione, chiariscano le competenze, si facciano riferire e prendano una decisione. Domande che la direzione dovrebbe porsi:

- Quali dei nostri sistemi usano PHP e chi ne è responsabile, internamente o presso il fornitore di servizi?
- Gli aggiornamenti sono installati e i processi riavviati, e ne esiste una prova?
- In caso contrario: perché no, quali misure transitorie sono in corso e mettiamo il sistema offline?
- Ci sono indizi di un'intrusione e chi valuta i possibili obblighi di notifica?

## Documentare le decisioni

Annoti brevemente per iscritto quadro della situazione, opzioni, decisione e motivazione, con data e ora. Un simile verbale non deve essere lungo. Mostra in seguito che la direzione era informata e ha ponderato. Ciò vale espressamente anche per la decisione di continuare a far funzionare per un tempo limitato un sistema nonostante il rischio.

| Contenuto | Esempio |
|---|---|
| Quadro della situazione | BSI livello di allerta 3, patch disponibili dal 21/10/2026 |
| Sistemi interessati | Shop, portale clienti, installazione wiki interna |
| Opzioni | aggiornare subito, misure transitorie, mettere offline |
| Decisione | Shop aggiornato, wiki offline fino all'aggiornamento |
| Motivazione e responsabili | Prova da parte del fornitore di servizi, controllo da parte della direzione IT |

Una patch non rimuove il malware già introdotto. Anche la decisione se cercare tracce va inserita nel verbale.

## Organizzarsi in modo duraturo invece di improvvisare nel caso concreto

La migliore prevenzione è un'organizzazione chiara: un responsabile designato per la sicurezza delle informazioni, una procedura per gli aggiornamenti di sicurezza, rapporti regolari alla direzione, un [piano di emergenza IT](https://phpsos.de/it/compliance/notfallplan-erstellen/) testato e una verifica indipendente a intervalli adeguati. Come cornice metodologica è adatto l'IT-Grundschutz del BSI.

Rientra nell'organizzazione anche impostare i rapporti in modo che la direzione li comprenda. Spesso basta un rapporto breve e regolare con poche indicazioni: quanti sistemi sono aggiornati, dove ci sono eccezioni e perché, quali incidenti o quasi-incidenti ci sono stati, quali decisioni sono in sospeso. Chi riceve simili rapporti, pone domande e mette a verbale i risultati può dimostrare in seguito che la vigilanza c'è stata davvero. Ciò vale indipendentemente dal fatto che la tecnica sia interna o presso un fornitore di servizi.

## Come aiuta concretamente PHP SOS?

- Predisponiamo per la direzione un quadro comprensibile dei Suoi web server, con opzioni chiare.
- Attuiamo l'opzione scelta e forniamo una prova tecnica scritta.
- Con un [audit di sicurezza o un penetration test](https://phpsos.de/it/leistungen/sicherheitsaudit-penetrationstest/) creiamo una base indipendente per le Sue decisioni.
- Con un [contratto di manutenzione della sicurezza](https://phpsos.de/it/leistungen/security-wartungsvertrag/) regoliamo in modo duraturo aggiornamenti e rapporti.


## Domande frequenti

**Un amministratore risponde personalmente di un attacco hacker?**  
Un attacco da solo non fonda una responsabilità personale. Si discute di responsabilità soprattutto quando sono stati violati doveri di diligenza, ad esempio se rischi noti sono stati ignorati o le competenze non sono state regolate. Se nel caso concreto sia così lo valuta soltanto una consulenza legale.

**Posso delegare del tutto la sicurezza IT al reparto IT o a un fornitore di servizi?**  
I compiti si possono delegare, ma la responsabilità per la scelta, la dotazione e la vigilanza resta alla direzione. Si faccia riferire regolarmente e annoti quali decisioni sono state prese su quale base.

**Che cosa cambia NIS2 nella responsabilità della direzione?**  
NIS2 richiede alla direzione delle aziende interessate di approvare le misure di gestione del rischio, di vigilare sulla loro attuazione e di partecipare a formazioni. I dettagli derivano dalla legge tedesca di recepimento e dalle indicazioni del BSI.

**Aiuta una polizza D&O?**  
Una assicurazione di responsabilità degli amministratori può coprire determinati rischi di responsabilità della direzione, ma le condizioni differiscono molto. Chiarisca la portata con il Suo broker o assicuratore.

## Fonti

- [BSI](https://www.bsi.bund.de/)
- [IT-Grundschutz del BSI](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [Art. 33 GDPR](https://dsgvo-gesetz.de/art-33-dsgvo/)