La compromissione dei sistemi di controllo della catena del freddo: il bollettino dell’ACN e gli obblighi di NIS2, GDPR e sicurezza alimentare per la grande distribuzione

Abstract

Con il bollettino BL01/261013/CSIRT-ITA l’Agenzia per la Cybersicurezza Nazionale ha richiamato l’attenzione degli operatori della grande distribuzione organizzata, della logistica alimentare, della refrigerazione industriale e dei servizi di manutenzione connessi su una campagna di compromissione di sistemi di controllo degli impianti frigoriferi, sviluppatasi a seguito di un incidente che — secondo quanto riportato dalla fonte — ha colpito numerose catene di supermercati francesi attraverso lo sfruttamento di installazioni obsolete, interfacce di amministrazione esposte su Internet e carenze nei meccanismi di autenticazione, con attivazione remota dei cicli di sbrinamento e interruzione della catena del freddo. L’avviso è tecnico, ma le sue implicazioni sono squisitamente giuridiche: la filiera alimentare rientra nell’ambito soggettivo della direttiva (UE) 2022/2555 e del decreto legislativo 138/2024, le misure raccomandate coincidono in larga parte con il contenuto minimo degli obblighi di gestione del rischio, e l’incidente OT intercetta obblighi di notifica plurimi oltre che profili di responsabilità contrattuale verso manutentori e fornitori. Si sostiene qui che il bollettino vada letto come parametro di diligenza tecnica rilevante anche in sede di accertamento.

Premessa

In premessa va detto che il documento da cui prende le mosse questa analisi non è un atto normativo né un provvedimento sanzionatorio, bensì un bollettino di sicurezza diramato dal CSIRT Italia, struttura incardinata presso l’Agenzia per la Cybersicurezza Nazionale ai sensi dell’articolo 8 del decreto legislativo 138/2024 e, prima ancora, della disciplina istitutiva dell’Agenzia stessa. Trattasi, per l’appunto, di un avviso di carattere prevenzionale, rivolto a una platea definita per settore merceologico e per funzione tecnica: organizzazioni operanti nella grande distribuzione organizzata, nella logistica alimentare, nella refrigerazione industriale e nei servizi di manutenzione connessi.

La scelta di dedicare a un bollettino tecnico un approfondimento giuridico non è peregrina. Da tempo l’esperienza applicativa dei sistemi di gestione della sicurezza delle informazioni mostra che gli avvisi delle autorità nazionali competenti, pur formalmente non vincolanti, assumono rilievo su tre piani distinti. Sul piano della conformità regolamentare, essi specificano il contenuto di obblighi normativi formulati in termini generali — si pensi al riferimento alle “misure tecniche, operative e organizzative adeguate e proporzionate” dell’articolo 21 della direttiva (UE) 2022/2555. Sul piano probatorio, documentano la conoscibilità di una minaccia a una certa data, incidendo sulla valutazione della diligenza esigibile dall’operatore. Sul piano organizzativo, infine, offrono al responsabile della protezione dei dati e alle funzioni di controllo interno un parametro oggettivo per impostare attività di verifica che altrimenti resterebbero affidate alla sola percezione del rischio.

Il perimetro dell’analisi che segue è dunque il seguente. Si esaminerà anzitutto il contenuto del bollettino, nella parte in cui descrive la catena di compromissione e le misure raccomandate. Si ricostruirà poi il quadro normativo applicabile agli operatori destinatari, che è stratificato e pluri-settoriale: disciplina europea e nazionale sulla cybersicurezza, disciplina sulla resilienza dei soggetti critici, disciplina sull’igiene e la sicurezza alimentare, disciplina sulla protezione dei dati personali. Si analizzeranno quindi i profili critici — in particolare il regime di responsabilità nei rapporti con i manutentori e la frammentazione degli obblighi di notifica — e si proporranno indicazioni operative. Resta fuori dal perimetro ogni valutazione sull’attribuzione dell’attacco e ogni analisi di dettaglio sulle specifiche tecnologie di refrigerazione, che esulano dalla competenza dello scrivente.

Il contenuto del bollettino: che cosa segnala l’ACN e a chi

Il bollettino, classificato con criticità “Alto” secondo la scala adottata dall’Agenzia e pubblicato con data 13 ottobre 2026 secondo quanto riportato dalla fonte, muove dalla descrizione di un incidente avvenuto in Francia ai danni di numerose catene di supermercati. La dinamica, come riferita nel documento, è lineare e, va detto, non sofisticata: lo sfruttamento di “installazioni obsolete, interfacce di amministrazione esposte direttamente su Internet e carenze nei meccanismi di autenticazione” ha consentito agli attaccanti “l’attivazione remota dei cicli di sbrinamento e la modifica dei parametri operativi degli impianti, causando l’interruzione della catena del freddo e ingenti danni economici”.

Giova soffermarsi sulla natura dell’evento, perché condiziona l’intera qualificazione giuridica. Non si è in presenza, almeno per quanto emerge dalla fonte, di una esfiltrazione di dati né di una cifratura ransomware dei sistemi gestionali. Si è in presenza di una manipolazione di parametri di processo fisico: la temperatura di esercizio, la durata e la frequenza dei cicli di sbrinamento, le soglie di allarme e i destinatari delle notifiche. In sostanza, l’attaccante non ha preso i dati: ha preso il controllo di un processo industriale, con effetti materiali sulla merce conservata e, potenzialmente, sulla salubrità degli alimenti.

In termini più pragmatici, l’evento appartiene a quella categoria di incidenti in cui il bene giuridico immediatamente aggredito non è la riservatezza dell’informazione ma l’integrità e la disponibilità di un servizio essenziale, e in cui la conseguenza ultima può essere un rischio per la salute pubblica. È una categoria che il legislatore europeo ha espressamente inteso coprire con la direttiva (UE) 2022/2555, la quale all’articolo 6, punto 6, definisce l’incidente come un evento che compromette “la disponibilità, l’autenticità, l’integrità o la riservatezza di dati conservati, trasmessi o elaborati o dei servizi che le reti e i sistemi informativi offrono o rendono accessibili”.

Il bollettino articola poi una tassonomia didattica degli ambienti coinvolti, distinguendo sistemi IT, sistemi OT e sistemi SCADA. La distinzione, che potrebbe apparire ovvia a un tecnico, è invece preziosa per il giurista d’impresa, perché individua con precisione i punti in cui obblighi diversi si incrociano. I sistemi IT — postazioni, server, servizi di identità, applicativi gestionali e logistici — sono quelli tradizionalmente presidiati dalle politiche di sicurezza aziendali e dalle misure ex articolo 32 del Regolamento (UE) 2016/679. I sistemi OT sono “hardware e software che monitorano o controllano processi fisici”: nella filiera del freddo, controllori della refrigerazione, sensori, attuatori, regolatori di compressori e cicli di sbrinamento. I sistemi SCADA, sottoinsieme dell’OT, svolgono funzioni di supervisione e controllo distribuite su più impianti e su più siti, e proprio per questo rappresentano un punto di concentrazione del rischio: la compromissione di una piattaforma centralizzata, avverte il documento, “può quindi produrre effetti su più apparecchiature o siti”.

Un passaggio merita particolare attenzione, perché smentisce un equivoco diffuso anche in ambito legale: “La sola presenza di una pagina di autenticazione o di un certificato HTTPS non garantisce la sicurezza del sistema esposto. HTTPS protegge le comunicazioni, ma non impedisce lo sfruttamento di vulnerabilità applicative o l’utilizzo di credenziali compromesse.” Appare chiaro allo scrivente che questa precisazione abbia un valore che trascende l’ambito tecnico: nelle valutazioni d’impatto e nelle analisi dei rischi redatte in ambito aziendale ricorre con frequenza l’affermazione secondo cui un servizio è “protetto” perché raggiungibile in HTTPS e presidiato da autenticazione. Il bollettino chiarisce che si tratta di una misura di protezione del canale, non di una misura di controllo dell’accesso, e che la cifratura del trasporto nulla dice sull’adeguatezza complessiva del presidio. Chi redige documentazione di conformità farebbe bene a espungere simili scorciatoie argomentative.

Il documento prosegue articolando sei aree di azione immediata — identificazione dei sistemi e delle esposizioni, segregazione delle reti e protezione delle funzioni amministrative, governo degli accessi remoti e delle VPN, verifica degli account e delle autenticazioni, verifica dei parametri e ricerca di compromissioni, aggiornamento e dismissione dei dispositivi fuori supporto — a cui si aggiunge un insieme di misure di rafforzamento della postura di medio periodo. Si tornerà più avanti sul contenuto, perché quelle aree corrispondono quasi puntualmente al catalogo dell’articolo 21, paragrafo 2, della direttiva NIS2.

Va infine segnalato un avvertimento conclusivo che, a parere di chi scrive, è il più rilevante in chiave di compliance: “Le finestre temporali indicate costituiscono obiettivi operativi raccomandati per le attività di verifica e mitigazione e non sostituiscono gli obblighi di notifica applicabili.” L’Agenzia, in altri termini, distingue nettamente il piano della raccomandazione tecnica da quello degli obblighi giuridici, e ricorda che i secondi restano intatti e autonomi.

Il quadro normativo di riferimento

La disciplina europea sulla cybersicurezza

Il riferimento primario è la direttiva (UE) 2022/2555, cosiddetta NIS2. Per quanto di stretto interesse in questa sede, rileva anzitutto l’ambito soggettivo. L’allegato II della direttiva, dedicato agli “altri settori critici”, include la produzione, trasformazione e distribuzione di alimenti, individuando come soggetti le imprese alimentari quali definite dalla normativa europea in materia, che si dedicano alla distribuzione all’ingrosso e alla produzione e trasformazione industriale. L’allegato I, dal canto suo, include il settore dei trasporti e quello della fornitura e distribuzione di acqua potabile, mentre la logistica può rilevare a seconda della specifica attività svolta.

Ne consegue che una catena della grande distribuzione di dimensioni medio-grandi, un operatore di logistica a temperatura controllata o un produttore alimentare industriale rientrano con ogni probabilità, al superamento delle soglie dimensionali dell’articolo 2 in combinato con la raccomandazione sulla definizione di microimpresa e piccola e media impresa, nella categoria dei soggetti importanti. Diverso il discorso per i manutentori e per i fornitori di piattaforme SCADA: costoro potrebbero rientrare autonomamente nel perimetro in quanto fornitori di servizi gestiti o di servizi di sicurezza gestiti, categorie espressamente contemplate dall’allegato I, oppure restarne fuori e rilevare unicamente quale anello della catena di fornitura del soggetto obbligato.

Quanto al contenuto degli obblighi, l’articolo 21, paragrafo 1, della direttiva impone ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informatici e di rete utilizzati nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l’impatto degli incidenti per i destinatari dei servizi e per altri servizi. Il paragrafo 2 elenca il contenuto minimo di tali misure, che comprende le politiche di analisi dei rischi e di sicurezza dei sistemi informatici, la gestione degli incidenti, la continuità operativa e la gestione delle crisi, la sicurezza della catena di approvvigionamento, la sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi — ivi compresa la gestione e la divulgazione delle vulnerabilità —, le strategie e procedure per valutare l’efficacia delle misure, l’igiene informatica di base e la formazione, le politiche in materia di crittografia, la sicurezza delle risorse umane e il controllo degli accessi, nonché l’uso di soluzioni di autenticazione a più fattori o di autenticazione continua.

Si osservi la corrispondenza quasi letterale con le raccomandazioni del bollettino: il censimento degli asset risponde alla politica di analisi dei rischi; la segregazione delle reti e il controllo delle interfacce amministrative rispondono alla sicurezza dei sistemi; la rotazione delle credenziali e l’imposizione dell’autenticazione a più fattori sugli accessi remoti rispondono espressamente alla lettera j); il governo degli accessi dei manutentori risponde alla sicurezza della catena di approvvigionamento; la dismissione dei dispositivi fuori supporto risponde alla sicurezza nella manutenzione dei sistemi; l’esercitazione di risposta agli incidenti risponde alla gestione della crisi. Si ritiene che tale corrispondenza non sia casuale e che il bollettino, pur non qualificandosi formalmente come atto di indirizzo, operi di fatto come specificazione settoriale del catalogo dell’articolo 21.

Rileva inoltre l’articolo 23 della direttiva, che disciplina gli obblighi di segnalazione secondo il noto schema a tre tempi: una pre-notifica senza indebito ritardo e comunque entro ventiquattro ore dalla conoscenza di un incidente significativo; una notifica dell’incidente entro settantadue ore, con valutazione iniziale di gravità e impatto e con gli indicatori di compromissione ove disponibili; una relazione finale entro un mese, contenente la descrizione dettagliata dell’incidente, il tipo di minaccia o la causa principale, le misure di attenuazione applicate e in corso, e l’eventuale impatto transfrontaliero. Un incidente è significativo, ai sensi del paragrafo 3, quando ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato, ovvero quando si ripercuote o è in grado di ripercuotersi su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.

Non va trascurata, accanto alla NIS2, la direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici, che affronta il versante fisico della medesima questione e che include anch’essa il settore alimentare tra quelli rilevanti. Nella prospettiva di un operatore della distribuzione alimentare, la compromissione dei controllori di refrigerazione è precisamente il punto in cui il rischio cibernetico e il rischio fisico-operativo si saldano, con conseguente necessità di coordinare le valutazioni svolte ai sensi delle due discipline anziché mantenerle su binari separati.

Sul piano della sicurezza dei prodotti, è opportuno menzionare il regolamento (UE) 2024/2847, cosiddetto Cyber Resilience Act, che introduce requisiti essenziali di cybersicurezza per i prodotti con elementi digitali immessi sul mercato dell’Unione, imponendo tra l’altro la fornitura di aggiornamenti di sicurezza per un periodo di supporto definito e il divieto di configurazioni predefinite insicure. Si tratta di disciplina a efficacia prevalentemente prospettica, dato il regime transitorio e la progressiva applicazione delle sue disposizioni, ma che incide direttamente sul problema posto dal bollettino: i controllori di refrigerazione, i gateway OT e le interfacce uomo-macchina sono prodotti con elementi digitali, e la loro immissione sul mercato con credenziali predefinite o senza un orizzonte di supporto dichiarato diverrà progressivamente non conforme. Chi scrive ritiene che le funzioni di acquisto delle imprese della filiera debbano iniziare sin d’ora a riflettere tali requisiti nei capitolati tecnici, anziché attendere la piena applicabilità del regolamento.

Il recepimento nazionale

In Italia la direttiva NIS2 è stata recepita con il decreto legislativo 138/2024, che ha abrogato e sostituito la precedente disciplina di recepimento della prima direttiva NIS. Il decreto ricalca l’impianto europeo, individuando nell’Agenzia per la Cybersicurezza Nazionale l’autorità nazionale competente e il punto di contatto unico, e nel CSIRT Italia la struttura deputata alla ricezione delle notifiche e all’emanazione di avvisi e bollettini.

L’architettura degli obblighi è scandita nel tempo. I soggetti rientranti nell’ambito di applicazione sono tenuti anzitutto alla registrazione sulla piattaforma digitale dell’Agenzia, con aggiornamento annuale delle informazioni e comunicazione delle variazioni rilevanti; sulla base di tali registrazioni l’Agenzia redige e aggiorna l’elenco dei soggetti essenziali e importanti e ne dà comunicazione agli interessati. Seguono, secondo la gradualità prevista dal decreto e dalle determinazioni attuative dell’Agenzia, gli obblighi di notifica degli incidenti significativi e, con termine successivo, gli obblighi relativi alle misure di gestione del rischio.

Per quanto di interesse in questa sede, rilevano in particolare le disposizioni del decreto dedicate agli obblighi in materia di misure di gestione dei rischi per la sicurezza informatica e agli obblighi di notifica di incidente, che riproducono il catalogo dell’articolo 21 e lo schema temporale dell’articolo 23 della direttiva. Rileva altresì la disciplina degli organi di amministrazione e direzione, che il decreto — in coerenza con l’articolo 20 della direttiva — chiama ad approvare le modalità di implementazione delle misure, a sovrintendere alla loro attuazione e a rispondere delle violazioni, con previsione di obblighi formativi specifici. Si tratta di un profilo che, nell’esperienza di chi osserva le prassi di governance, resta spesso sottovalutato: la responsabilizzazione dell’organo amministrativo non è una clausola di stile, ma il fondamento su cui si innesta l’apparato sanzionatorio e, verosimilmente, la futura elaborazione in tema di responsabilità degli amministratori per carenze organizzative.

Va menzionata inoltre la legge 90/2024, recante disposizioni in materia di rafforzamento della cybersicurezza nazionale, che ha tra l’altro inciso sugli obblighi di segnalazione e notifica degli incidenti per i soggetti pubblici, sulle funzioni dell’Agenzia e sul regime dei contratti pubblici relativi a beni e servizi informatici impiegati in contesti connessi alla tutela degli interessi nazionali strategici. Per un operatore privato della grande distribuzione la legge rileva soprattutto in via indiretta, ove figuri quale fornitore di amministrazioni pubbliche.

Non si ha evidenza, allo stato e per quanto risulta dalla fonte qui esaminata, dell’esistenza di una disciplina tecnica settoriale specificamente dedicata agli impianti di refrigerazione dal punto di vista della sicurezza informatica. Il bollettino colma dunque, in via di raccomandazione, uno spazio che la regolazione non presidia con norme di dettaglio.

La disciplina sulla sicurezza alimentare

Il profilo che distingue questo incidente da un ordinario attacco informatico è la sua immediata interferenza con la disciplina alimentare. Il regolamento (CE) 178/2002, che stabilisce i principi e i requisiti generali della legislazione alimentare, pone all’articolo 14 il principio per cui non possono essere immessi sul mercato alimenti a rischio, ossia dannosi per la salute o inadatti al consumo umano; all’articolo 17 attribuisce agli operatori del settore alimentare la responsabilità primaria di garantire il rispetto dei requisiti della legislazione alimentare nelle imprese da essi controllate; all’articolo 18 impone la tracciabilità in tutte le fasi della produzione, trasformazione e distribuzione; all’articolo 19 disciplina gli obblighi di ritiro e richiamo, imponendo all’operatore che ritenga o abbia motivo di ritenere che un alimento non sia conforme ai requisiti di sicurezza di avviarne immediatamente le procedure di ritiro e di informarne le autorità competenti.

Il regolamento (CE) 852/2004 sull’igiene dei prodotti alimentari, dal canto suo, impone agli operatori di predisporre, attuare e mantenere procedure permanenti basate sui principi del sistema HACCP, tra i quali figurano l’individuazione dei punti critici di controllo, la fissazione dei limiti critici, la definizione di procedure di sorveglianza e l’adozione di azioni correttive quando la sorveglianza indica che un punto critico non è sotto controllo. Il controllo della temperatura lungo la catena del freddo è, in gran parte dei piani HACCP, un punto critico di controllo per eccellenza.

Qui si apre un nodo che appare allo scrivente di particolare interesse. Se un attaccante modifica da remoto i parametri di temperatura e, contestualmente, altera i dati visualizzati o disabilita gli allarmi — ipotesi espressamente contemplata dal bollettino, che avverte come “l’alterazione dei dati visualizzati o la disabilitazione degli allarmi possono inoltre ritardare l’individuazione delle anomalie” — ne consegue che la sorveglianza HACCP viene privata della sua affidabilità. Il sistema di autocontrollo continua a produrre registrazioni, ma tali registrazioni non riflettono più la realtà del processo. In termini più concreti: l’operatore dispone formalmente di un piano HACCP correttamente applicato e di registrazioni conformi, ma sostanzialmente non ha più il controllo del punto critico.

Il bollettino coglie con precisione il punto quando afferma che “in presenza di anomalie termiche, la valutazione delle merci interessate deve essere affidata ai responsabili competenti secondo le procedure di sicurezza alimentare: il ripristino della temperatura non dimostra, da solo, il mantenimento delle condizioni di conservazione”. Si ritiene che tale affermazione, pur formulata in chiave operativa, abbia un preciso rilievo giuridico: la rimozione della causa informatica non estingue l’obbligo di valutazione del prodotto ai sensi degli articoli 14 e 19 del regolamento (CE) 178/2002, e la decisione sul destino delle merci resta in capo alla funzione di sicurezza alimentare, non alla funzione di sicurezza informatica. Il che implica, sul piano organizzativo, che le procedure di gestione degli incidenti cibernetici debbano prevedere l’attivazione obbligatoria del responsabile della qualità e della sicurezza alimentare al verificarsi di anomalie sui sistemi di refrigerazione, e non soltanto a valle di una rilevazione termica diretta.

Sul versante sanzionatorio interno, il decreto legislativo 193/2007 disciplina le sanzioni per le violazioni delle disposizioni in materia di igiene degli alimenti, con riferimento anche alle carenze nelle procedure di autocontrollo. Non si ha evidenza di applicazioni giurisprudenziali riferite specificamente a manipolazioni informatiche dei sistemi di controllo della temperatura; si ritiene tuttavia che la questione sia destinata a porsi, e che la difesa fondata sull’imprevedibilità dell’evento criminoso risulterà tanto più fragile quanto più l’operatore avrà trascurato avvisi come quello in commento.

La protezione dei dati personali in un incidente OT

Potrebbe sostenersi che un attacco ai controllori di refrigerazione non tocchi la materia della protezione dei dati personali. L’osservazione, a parere di chi scrive, è corretta solo in prima approssimazione e merita di essere articolata.

Anzitutto, la catena di compromissione descritta dal bollettino attraversa quasi sempre il dominio IT. Il documento ricorda espressamente che “in presenza di collegamenti non adeguatamente segregati, un sistema IT compromesso può inoltre costituire un punto di accesso agli ambienti di controllo degli impianti”. Il percorso inverso è altrettanto plausibile: un gateway OT esposto può costituire il punto di ingresso verso la rete aziendale, dove risiedono i dati dei dipendenti, dei clienti titolari di carte fedeltà, dei fornitori. In tal caso l’incidente OT diviene anche una violazione di dati personali ai sensi dell’articolo 4, punto 12, del Regolamento (UE) 2016/679, con conseguente attivazione degli obblighi degli articoli 33 e 34.

In secondo luogo, gli stessi ambienti OT trattano dati personali in misura non trascurabile. Gli account individuali dei tecnici e dei manutentori, i registri di accesso alle VPN, i log delle modifiche ai parametri con indicazione dell’utente e dell’orario, i recapiti dei destinatari degli allarmi costituiscono dati personali. Il bollettino, raccomandando di “utilizzare account individuali e privilegi limitati alle attività necessarie” e di registrare le attività dei fornitori, prescrive di fatto un trattamento di dati personali riferiti a lavoratori propri e altrui.

Ciò conduce al terzo profilo, che è quello più delicato nella prassi italiana. La registrazione analitica delle attività svolte dai manutentori e dagli operatori sugli impianti, se riferita a lavoratori subordinati del titolare, ricade nell’ambito dell’articolo 4 della legge 300/1970, come novellato: gli strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, previo accordo collettivo o autorizzazione dell’Ispettorato del lavoro, salva l’esenzione prevista dal comma 2 per gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e per gli strumenti di registrazione degli accessi e delle presenze. Il comma 3 subordina comunque l’utilizzabilità delle informazioni raccolte, a tutti i fini connessi al rapporto di lavoro, alla adeguata informazione del lavoratore sulle modalità d’uso degli strumenti e di effettuazione dei controlli e al rispetto della disciplina di protezione dei dati.

Il Garante per la protezione dei dati personali ha affrontato ripetutamente la questione della conservazione dei log e del controllo a distanza, affermando che la raccolta sistematica e prolungata di dati riferibili all’attività dei lavoratori, anche se funzionale a finalità di sicurezza informatica, deve rispondere ai principi di necessità, proporzionalità e limitazione della conservazione di cui all’articolo 5 del Regolamento (UE) 2016/679. La raccomandazione del bollettino di analizzare i log “estendendo la ricerca agli ultimi 90 giorni ove conservati” va dunque letta congiuntamente alla necessità di una policy di conservazione che quel periodo giustifichi ex ante, in una logica di accountability. Si ritiene che un termine di novanta giorni per i log di accesso e di modifica dei parametri su sistemi di controllo industriale sia agevolmente difendibile sul piano della proporzionalità, purché documentato nel registro dei trattamenti e nella politica di retention, con limitazione dell’accesso ai log al personale autorizzato e con esclusione del loro impiego per finalità disciplinari al di fuori delle condizioni dell’articolo 4 dello Statuto.

Infine, va considerato il profilo dell’articolo 32 del Regolamento, che impone al titolare e al responsabile di mettere in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, tenendo conto tra l’altro della capacità di assicurare “su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento” e della “capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico”. Nella misura in cui gli ambienti OT e IT non siano segregati, la carenza di segregazione è essa stessa una possibile inadeguatezza delle misure ai sensi dell’articolo 32, autonomamente sanzionabile a prescindere dal verificarsi di una violazione di dati.

Quanto al ruolo dei manutentori e dei fornitori di piattaforme di telecontrollo, essi trattano frequentemente dati personali per conto del titolare, con conseguente necessità di un atto giuridico ai sensi dell’articolo 28 del Regolamento. Nell’esperienza applicativa, questo è un punto di frequente debolezza documentale: i contratti di manutenzione degli impianti tecnologici sono gestiti da funzioni tecniche o di facility management e non sempre transitano dal vaglio della funzione privacy, con il risultato che l’accesso remoto del manutentore ai sistemi aziendali resta privo di un inquadramento formale. Si suggerisce di considerare tale verifica parte integrante delle attività raccomandate dal bollettino in materia di “controllo dei fornitori”.

La convergenza IT/OT come problema giuridico prima che tecnico

L’analisi sin qui svolta consente di formulare una tesi: la vicenda descritta dal bollettino non è primariamente il risultato di una sofisticazione dell’attaccante, bensì di una discrasia organizzativa interna alle imprese della filiera.

Gli impianti di refrigerazione, come gli impianti di climatizzazione e i sistemi di gestione degli edifici, sono storicamente collocati, nell’organigramma aziendale, sotto la responsabilità delle funzioni tecniche o immobiliari, e non sotto quella della funzione dei sistemi informativi. Quando tali impianti erano privi di connettività, la ripartizione aveva una sua coerenza. Da quando i controllori sono dotati di interfacce web, di connessioni cellulari autonome e di piattaforme di supervisione accessibili da remoto, la ripartizione tradizionale genera una zona grigia: la funzione tecnica non dispone delle competenze di sicurezza informatica, la funzione informatica non ha visibilità né titolarità sugli asset, e il responsabile della protezione dei dati non riceve informazioni perché l’impianto non è percepito come un sistema di trattamento.

Il bollettino coglie questa discrasia in più punti. Quando raccomanda di individuare le esposizioni “verificando firewall, NAT, inoltro delle porte ed eventuali collegamenti autonomi, inclusi router cellulari e connessioni predisposte dai manutentori”, descrive esattamente lo scenario in cui un apparato è connesso a Internet senza che la funzione informatica ne sia a conoscenza. Quando, tra le misure di rafforzamento, raccomanda di “includere refrigerazione, climatizzazione (HVAC) e sistemi di gestione degli edifici nei programmi aziendali di inventario, gestione delle vulnerabilità, aggiornamento e controllo delle modifiche”, prescrive precisamente il superamento della separazione organizzativa.

Dal punto di vista giuridico, la conseguenza è duplice. In primo luogo, l’ambito di applicazione dell’articolo 21 della direttiva (UE) 2022/2555 e dell’articolo 32 del Regolamento (UE) 2016/679 non conosce la distinzione tra impianti e sistemi informativi: ciò che rileva è che si tratti di sistemi informatici e di rete utilizzati nelle attività del soggetto o nella fornitura dei suoi servizi. Un controllore di refrigerazione dotato di interfaccia IP e raggiungibile da remoto è, senza alcun dubbio interpretativo, un sistema informatico e di rete. In secondo luogo, l’eventuale accertamento di una violazione non potrà essere utilmente contrastato invocando la ripartizione interna delle competenze: l’obbligo grava sul soggetto, e la sua articolazione organizzativa è questione interna che non incide sull’imputazione.

Un ulteriore aspetto merita menzione. Il bollettino richiama la prudenza nell’esecuzione di verifiche attive sugli ambienti OT, raccomandando di privilegiare “l’esame delle configurazioni, degli inventari e del traffico già disponibile” e precisando che “eventuali scansioni attive sui dispositivi OT devono essere preventivamente valutate e concordate con i responsabili degli impianti”. L’avvertenza è tecnicamente fondata — molti controllori industriali reagiscono in modo imprevedibile a scansioni di rete non calibrate — ma ha un risvolto giuridico non secondario: l’attività di verifica della sicurezza, se condotta senza coordinamento, può essa stessa provocare l’interruzione del processo di refrigerazione, con danni analoghi a quelli dell’attacco. Si suggerisce pertanto che i contratti aventi a oggetto attività di vulnerability assessment e penetration testing su ambienti industriali contengano clausole specifiche sul perimetro, sulle tecniche ammesse, sulle finestre di esecuzione e sulla ripartizione del rischio operativo, con previsione di presenza del responsabile d’impianto durante le attività a maggiore invasività.

La catena di fornitura: teleassistenza, agenti software e responsabilità

Tra le misure di rafforzamento, il bollettino dedica particolare attenzione al “controllo dei fornitori”, raccomandando di riesaminare tutti i collegamenti di teleassistenza, “compresi agenti software e connessioni avviate dall’interno verso servizi esterni, individuando responsabilità, autorizzazioni e modalità di revoca”.

Il riferimento alle connessioni avviate dall’interno merita un chiarimento, perché descrive una configurazione assai diffusa e spesso ignorata dalle valutazioni del rischio. Molti sistemi di telecontrollo non vengono raggiunti dall’esterno: è l’apparato installato presso il punto vendita a stabilire autonomamente una connessione verso una piattaforma cloud del produttore, mantenendo aperto un canale persistente attraverso il quale il manutentore può poi operare. In termini più concreti, il firewall perimetrale non vede un accesso in ingresso e dunque non lo blocca, ma il risultato è il medesimo: un soggetto esterno dispone di un canale di controllo verso l’impianto. Da qui la raccomandazione, contenuta nel bollettino, di “limitare anche le comunicazioni in uscita dagli ambienti OT e dai sistemi di gestione, verificando che siano necessarie e autorizzate”.

Sul piano contrattuale, questa configurazione pone questioni che si ritiene debbano essere affrontate con maggiore sistematicità di quanto comunemente avvenga. Occorre anzitutto chiarire chi sia il titolare delle credenziali di accesso e chi risponda della loro gestione: nella prassi è frequente che l’accesso avvenga con credenziali del produttore condivise tra più tecnici, in contrasto con la raccomandazione di utilizzare account individuali. Occorre poi definire il regime di responsabilità in caso di compromissione del canale del fornitore, considerando che il soggetto obbligato ai sensi della disciplina NIS2 resta l’operatore della filiera alimentare, il quale potrà eventualmente rivalersi ma non potrà opporre all’autorità la responsabilità del terzo. Occorre infine disciplinare il diritto di audit, le modalità di revoca immediata delle abilitazioni e gli obblighi informativi del fornitore in caso di incidente che lo riguardi.

La direttiva (UE) 2022/2555 fornisce il fondamento normativo di tali previsioni laddove, all’articolo 21, paragrafo 3, dispone che i soggetti tengano conto delle vulnerabilità specifiche di ciascun fornitore diretto e della qualità complessiva dei prodotti e delle pratiche di cybersicurezza dei loro fornitori, comprese le procedure di sviluppo sicuro. Il Regolamento (UE) 2016/679, dal canto suo, impone all’articolo 28, paragrafo 1, di ricorrere unicamente a responsabili che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. La convergenza delle due discipline conduce a un medesimo esito pratico: la selezione e il monitoraggio del manutentore sono adempimenti giuridici, non meri atti di gestione tecnica.

Va aggiunto, per completezza, che l’articolo 25 del Regolamento (UE) 2016/679 — protezione dei dati fin dalla progettazione e per impostazione predefinita — trova applicazione ogniqualvolta la piattaforma di supervisione tratti dati personali, imponendo che le impostazioni predefinite non comportino, senza intervento dell’interessato, l’accessibilità dei dati a un numero indefinito di persone. Una piattaforma cloud di telecontrollo che renda per impostazione predefinita i log di accesso visibili all’intera organizzazione del fornitore non risponderebbe a tale requisito.

Gli obblighi di notifica: una pluralità di canali e di termini

Uno dei profili di maggiore complessità operativa concerne la gestione delle comunicazioni esterne a seguito di un incidente del tipo descritto. Appare allo scrivente che il principale rischio, per un operatore della filiera alimentare, non sia l’omessa notifica in sé, bensì la gestione disordinata di obblighi plurimi, con termini diversi, destinatari diversi e presupposti diversi.

Il primo canale è quello della disciplina NIS2. In presenza di un incidente significativo ai sensi dell’articolo 23 della direttiva e delle corrispondenti disposizioni del decreto legislativo 138/2024, il soggetto essenziale o importante deve effettuare la pre-notifica al CSIRT Italia entro ventiquattro ore dalla conoscenza dell’incidente, la notifica entro settantadue ore e la relazione finale entro un mese. La qualificazione dell’incidente come significativo, nel caso di una manipolazione dei parametri di refrigerazione, richiede una valutazione che tenga conto della perturbazione operativa — chiusura di punti vendita, indisponibilità di reparti, distruzione di merce — e delle perdite economiche. Si ritiene che la soglia sia ragionevolmente superata in presenza di interruzione della catena del freddo su più siti.

Il secondo canale è quello della disciplina sulla protezione dei dati. Ove l’incidente comporti anche una violazione di dati personali, il titolare deve notificare al Garante entro settantadue ore ai sensi dell’articolo 33 del Regolamento (UE) 2016/679, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche, e deve comunicare la violazione agli interessati ai sensi dell’articolo 34 quando il rischio sia elevato. Le Linee guida 9/2022 del Comitato europeo per la protezione dei dati sulla notifica delle violazioni di dati personali, che hanno aggiornato le precedenti linee guida del Gruppo di lavoro articolo 29, forniscono i criteri per la valutazione e ribadiscono che il termine decorre dal momento in cui il titolare acquisisce un ragionevole grado di certezza circa il verificarsi di un incidente di sicurezza che abbia interessato dati personali.

Il terzo canale è quello della sicurezza alimentare. Ove la valutazione condotta dai responsabili competenti conduca a ritenere che alimenti non conformi ai requisiti di sicurezza siano stati immessi sul mercato, scattano gli obblighi di ritiro e richiamo e di informazione alle autorità competenti ai sensi dell’articolo 19 del regolamento (CE) 178/2002, con tempistiche che la norma qualifica come immediate.

A questi si aggiungono, a seconda dei casi, gli obblighi informativi verso l’assicuratore, quelli verso i clienti professionali discendenti da previsioni contrattuali, e — per i soggetti quotati — le valutazioni in ordine alla rilevanza dell’informazione ai fini della disciplina sugli abusi di mercato.

La molteplicità dei canali rende necessaria una procedura interna che, a monte, individui con chiarezza chi effettua la qualificazione dell’incidente sotto ciascun profilo. Si ritiene che l’errore più ricorrente consista nell’affidare l’intera valutazione alla funzione di sicurezza informatica: quest’ultima è in grado di qualificare l’evento sul piano tecnico, ma non dispone degli elementi per valutare la significatività ai fini NIS2 — che richiede stime economiche e operative — né la rilevanza ai fini alimentari, né il rischio per i diritti e le libertà degli interessati. La procedura deve dunque prevedere una valutazione congiunta, con tempi compatibili con il termine più breve, che è quello delle ventiquattro ore della pre-notifica.

Profili critici

Un primo profilo critico attiene alla natura giuridica del bollettino e agli effetti della sua inosservanza. Trattasi, come detto, di una raccomandazione priva di efficacia precettiva autonoma: l’Agenzia non commina sanzioni per il mancato adeguamento al contenuto di un bollettino. Nondimeno, si ritiene che l’inosservanza possa assumere rilievo in via indiretta e per più vie. In sede di vigilanza NIS2, l’autorità che accerti l’esposizione su Internet di un’interfaccia amministrativa di controllo potrà valorizzare la pubblicazione del bollettino per escludere che la carenza fosse incolpevole. In sede di contenzioso civile, il bollettino potrà essere invocato a sostegno della prevedibilità dell’evento. In sede di accertamento da parte dell’autorità di protezione dei dati, potrà rilevare ai fini del giudizio di adeguatezza delle misure ex articolo 32 e, in caso di sanzione, ai fini della graduazione secondo i criteri dell’articolo 83, paragrafo 2, del Regolamento, tra cui figurano il grado di responsabilità del titolare tenuto conto delle misure tecniche e organizzative adottate e la natura dolosa o colposa della violazione.

Un secondo profilo critico concerne la tempistica degli adeguamenti rispetto ai vincoli di continuità operativa. Il bollettino è consapevole della tensione e la gestisce con equilibrio, raccomandando di rimuovere le esposizioni “senza interrompere indiscriminatamente il funzionamento degli impianti” e ammettendo misure compensative temporanee ove la rimozione non sia immediatamente attuabile. Ciò introduce però un margine di discrezionalità la cui gestione documentale è delicata: l’operatore che scelga di mantenere temporaneamente un’esposizione, restringendola a indirizzi fidati, deve poter dimostrare le ragioni della scelta, la valutazione del rischio residuo e il piano di rientro con responsabilità e scadenze. In assenza di tale documentazione, la misura compensativa si traduce, a posteriori, in una mera inerzia.

Un terzo profilo riguarda i dispositivi fuori supporto. Il bollettino afferma con nettezza che “l’isolamento costituisce una misura temporanea e non ripristina il supporto del produttore né elimina le vulnerabilità presenti”. Si tratta, a parere di chi scrive, dell’affermazione più impegnativa dell’intero documento sul piano economico, perché implica la pianificazione di sostituzioni hardware su parchi installati che, nella grande distribuzione, possono contare migliaia di controllori distribuiti su centinaia di punti vendita. La questione che si pone è se l’operatore possa legittimamente differire la sostituzione invocando la proporzionalità delle misure, che l’articolo 21, paragrafo 1, della direttiva àncora ai costi di attuazione oltre che allo stato dell’arte e all’entità dell’esposizione al rischio. Si ritiene che il criterio di proporzionalità consenta di graduare i tempi, ma non di rinunciare all’obiettivo, e che la mancata adozione di un piano formalizzato con responsabilità e scadenze — espressamente raccomandato dal bollettino — costituisca di per sé una carenza organizzativa difficilmente giustificabile.

Un quarto profilo, di natura sistematica, attiene al coordinamento tra discipline. L’ordinamento presenta oggi, per il medesimo operatore, obblighi di gestione del rischio informatico derivanti dalla disciplina NIS2, obblighi di resilienza derivanti dalla disciplina sui soggetti critici, obblighi di autocontrollo derivanti dalla disciplina alimentare e obblighi di sicurezza derivanti dalla disciplina sulla protezione dei dati. Ciascuna disciplina richiede una valutazione del rischio, un sistema di procedure e una documentazione. Non si ha evidenza di strumenti normativi di raccordo che consentano di soddisfare con un unico adempimento obblighi formalmente distinti. La conseguenza, nella prassi, è la proliferazione di documenti che descrivono i medesimi processi da prospettive diverse, con rischio di incoerenze interne che un accertamento ispettivo può facilmente rilevare. Si suggerisce, come si dirà, un approccio di integrazione documentale che mantenga l’autonomia formale degli adempimenti ma ne unifichi la base informativa.

Un quinto e ultimo profilo riguarda l’impiego di strumenti di rilevazione delle anomalie basati su tecniche di apprendimento automatico, che il bollettino non menziona espressamente ma che costituiscono una risposta frequente all’esigenza di monitoraggio degli ambienti OT. Al riguardo va osservato che il regolamento (UE) 2024/1689 sull’intelligenza artificiale dedica attenzione ai sistemi destinati a essere utilizzati come componenti di sicurezza nella gestione e nel funzionamento delle infrastrutture critiche, qualificandoli come sistemi ad alto rischio secondo l’allegato III. Si ritiene che un sistema impiegato esclusivamente per rilevare anomalie di traffico su una rete OT aziendale non rientri, in via ordinaria, in tale categoria; la valutazione deve però essere condotta caso per caso, e diviene più delicata ove il sistema assuma funzioni di intervento automatico sui parametri di processo. Si suggerisce di documentare tale valutazione preventiva anziché darne per scontato l’esito.

Adempimenti operativi per DPO, funzioni di compliance e imprese

Sul piano operativo, l’attività che logicamente precede ogni altra è il censimento degli asset connessi, che deve estendersi oltre il perimetro tradizionale dei sistemi informativi fino a comprendere controllori di refrigerazione, interfacce uomo-macchina, gateway, piattaforme di telecontrollo e servizi di teleassistenza, con indicazione — come raccomanda il bollettino — di ubicazione, responsabile, produttore, modello, versione e stato di supporto. Si suggerisce che tale censimento non resti confinato in un inventario tecnico, ma confluisca anche nel registro delle attività di trattamento di cui all’articolo 30 del Regolamento (UE) 2016/679 per la parte in cui tali sistemi trattano dati personali di tecnici, manutentori e operatori, e nella documentazione di analisi del rischio predisposta ai fini della disciplina NIS2. L’unificazione della base informativa, pur nella distinzione formale dei documenti, riduce sensibilmente il rischio di incoerenze.

Strettamente connessa è la ricognizione delle esposizioni verso Internet, che il responsabile della protezione dei dati non può condurre direttamente ma della quale può e deve sollecitare l’esecuzione e acquisire gli esiti. L’elemento che si ritiene più spesso trascurato è l’esistenza di connettività autonoma degli impianti: router cellulari installati dal manutentore, schede SIM integrate nei controllori, collegamenti predisposti in sede di installazione e mai censiti. La ricognizione deve essere condotta anche sul versante contrattuale, interrogando i fornitori circa le modalità con cui erogano la teleassistenza, e il relativo riscontro va conservato quale elemento di accountability.

Segue, in ordine di priorità, la verifica della segregazione tra ambienti, che deve accertare non la mera esistenza di una separazione logica ma l’effettiva applicazione di regole di filtraggio tra i segmenti. Il bollettino è esplicito sul punto: “La sola suddivisione in VLAN non sostituisce il filtraggio tra i segmenti.” Si suggerisce che la funzione di controllo interno richieda evidenza documentale delle regole applicate e della loro revisione periodica, e che tale evidenza sia conservata quale elemento dimostrativo dell’adeguatezza delle misure ai sensi dell’articolo 32 del Regolamento e dell’articolo 21 della direttiva.

Sul versante degli accessi, l’adempimento centrale è la revisione delle utenze privilegiate e di manutenzione, con disabilitazione di quelle inutilizzate o non più autorizzate, sostituzione delle credenziali predefinite e deboli, e imposizione dell’autenticazione a più fattori sugli accessi remoti. Ove il dispositivo non supporti tale autenticazione, il bollettino indica la soluzione: applicarla sul sistema che ne media l’accesso. Dal punto di vista della protezione dei dati, l’adozione di account individuali in sostituzione di credenziali condivise comporta un trattamento di dati personali riferiti ai tecnici, che richiede una informativa ai sensi degli articoli 13 e 14 del Regolamento rivolta anche al personale dei fornitori, oltre al coordinamento con la disciplina dell’articolo 4 della legge 300/1970 ove si tratti di lavoratori subordinati del titolare.

Il governo contrattuale dei fornitori di manutenzione e telecontrollo costituisce l’adempimento di maggiore impatto strutturale. Si suggerisce di procedere a una ricognizione dei contratti in essere verificando la presenza di clausole su perimetro e modalità dell’accesso remoto, titolarità e gestione delle credenziali, obblighi di comunicazione degli incidenti che coinvolgano il fornitore, diritto di audit, modalità di revoca immediata delle abilitazioni al termine dell’intervento e regime di responsabilità. Ove il fornitore tratti dati personali per conto del titolare, la presenza di un atto di nomina a responsabile del trattamento ai sensi dell’articolo 28 del Regolamento è condizione di liceità del trattamento e la sua assenza costituisce violazione autonomamente sanzionabile, a prescindere dal verificarsi di qualsiasi incidente.

Quanto alla gestione documentale del rischio, si suggerisce l’aggiornamento della valutazione dei rischi ai fini della disciplina NIS2 per includere lo scenario di manipolazione dei parametri di processo con alterazione dei dati visualizzati e disabilitazione degli allarmi, e la valutazione — da condurre caso per caso — circa la necessità di una valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 del Regolamento, che si rende necessaria ove il monitoraggio degli ambienti OT comporti una sorveglianza sistematica dell’attività dei tecnici su larga scala o ove la compromissione possa determinare rischi elevati per i diritti e le libertà delle persone fisiche. Si ritiene che, nella generalità dei casi riferiti al solo controllo degli impianti, la soglia dell’articolo 35 non sia superata; la valutazione negativa deve però essere documentata e non semplicemente omessa.

Sul piano procedurale, l’adempimento che appare più urgente è l’integrazione della procedura di gestione degli incidenti, affinché contempli esplicitamente lo scenario OT e preveda l’attivazione contestuale di tre funzioni: la sicurezza informatica per il contenimento tecnico, il responsabile degli impianti per la salvaguardia della continuità della refrigerazione, il responsabile della qualità e della sicurezza alimentare per la valutazione delle merci. La procedura deve inoltre disciplinare la valutazione congiunta ai fini delle notifiche, assegnando a ciascuna funzione il compito di qualificare l’evento sotto il profilo di propria competenza entro un termine compatibile con le ventiquattro ore della pre-notifica al CSIRT Italia, e prevedendo che la decisione finale sulla notifica sia assunta da un organo collegiale predefinito e verbalizzata, anche quando l’esito sia negativo. Si osservi che la decisione di non notificare, se motivata e documentata, è difendibile; la decisione di non notificare non documentata, invece, è indistinguibile dall’omissione.

Strettamente connessa è la preservazione degli elementi utili all’analisi, che il bollettino raccomanda di assicurare “prima di operazioni che possano cancellarli, compatibilmente con la messa in sicurezza degli impianti”. La procedura deve indicare quali evidenze preservare — log dei controllori, configurazioni, log di VPN, firewall e sistemi di identità — e chi ne risponda, considerando che la ricostruzione dell’accaduto è presupposto sia della relazione finale ai fini NIS2 sia della valutazione del rischio ai fini della disciplina sulla protezione dei dati.

Va poi affrontata la politica di conservazione dei log, che deve essere definita ex ante e coerente con l’orizzonte di novanta giorni suggerito dal bollettino per le attività di ricerca retrospettiva. Si suggerisce di documentare la scelta del termine nel registro dei trattamenti e nelle politiche interne, di limitare l’accesso ai log al personale autorizzato, di prevedere la sincronizzazione temporale dei sistemi — senza la quale la correlazione tra eventi di controllori, VPN e firewall è priva di affidabilità probatoria — e di escludere l’utilizzo dei log per finalità disciplinari al di fuori delle condizioni dell’articolo 4 dello Statuto dei lavoratori.

Sul versante della resilienza, occorre verificare la disponibilità e la protezione dei backup delle configurazioni dei controllori e delle piattaforme di supervisione, con prova periodica del ripristino in condizioni compatibili con la continuità operativa, e predisporre procedure di emergenza manuali per la conservazione delle merci, individuando il personale autorizzato ad attivarle. Si tratta di un adempimento che risponde contemporaneamente all’articolo 21, paragrafo 2, lettera c), della direttiva, in tema di continuità operativa, e all’articolo 32, paragrafo 1, lettera c), del Regolamento, in tema di capacità di ripristino.

Infine, la formazione e l’informazione degli organi direttivi costituiscono adempimento espressamente previsto dalla disciplina NIS2 e, al tempo stesso, condizione pratica perché le decisioni di investimento sulla sostituzione dei dispositivi fuori supporto siano assunte in tempi utili. Si suggerisce che il responsabile della protezione dei dati e la funzione di sicurezza informatica portino congiuntamente all’attenzione dell’organo amministrativo il bollettino e gli esiti delle verifiche condotte, con verbalizzazione dell’informativa resa e delle determinazioni assunte, poiché la tracciabilità del passaggio informativo è il presupposto su cui si misura, a posteriori, la diligenza dell’organo.

Conclusioni

L’avviso dell’Agenzia per la Cybersicurezza Nazionale sulla compromissione dei sistemi di controllo della catena del freddo presenta un interesse che eccede il suo contenuto tecnico, e ciò per una ragione che si è cercato di argomentare: esso individua, in un settore tradizionalmente estraneo al dibattito sulla cybersicurezza, un punto di convergenza tra discipline che l’ordinamento mantiene formalmente distinte e che l’impresa è tenuta a far convivere nella medesima organizzazione.

Restano aperte alcune questioni che meritano attenzione nel periodo a venire. La prima concerne l’elaborazione, da parte delle autorità competenti, di criteri settoriali per la qualificazione dell’incidente significativo in ambito alimentare: la perturbazione di un processo di refrigerazione su un numero limitato di punti vendita può produrre perdite economiche considerevoli senza incidere sulla continuità del servizio in senso proprio, e la soglia applicabile non appare, allo stato, univocamente determinabile. Non si ha evidenza di orientamenti pubblicati che affrontino specificamente tale ipotesi.

La seconda questione riguarda il raccordo tra la notifica dell’incidente al CSIRT Italia e gli obblighi di informazione alle autorità sanitarie competenti ai sensi della disciplina alimentare. Le due comunicazioni rispondono a presupposti diversi e si rivolgono ad amministrazioni diverse, ma riguardano il medesimo evento e possono dare luogo a valutazioni divergenti. Appare allo scrivente che un coordinamento, anche solo a livello di prassi interpretativa, gioverebbe agli operatori più di quanto non faccia l’attuale giustapposizione.

La terza questione attiene agli effetti del regolamento (UE) 2024/2847 sul parco installato. La disciplina sui prodotti con elementi digitali opera sull’immissione sul mercato e non sulla sostituzione di quanto già installato; resta dunque da chiarire con quale gradualità il mercato della componentistica per la refrigerazione industriale si allineerà ai nuovi requisiti e, soprattutto, se i periodi di supporto che i fabbricanti dichiareranno risulteranno compatibili con i cicli di vita ventennali tipici degli impianti frigoriferi. Si ritiene che il disallineamento tra ciclo di vita dell’impianto e ciclo di supporto del componente digitale costituisca il problema strutturale di fondo, rispetto al quale le misure di isolamento rappresentano una risposta necessariamente provvisoria.

La quarta e ultima questione è di carattere organizzativo e, per ciò stesso, di maggiore impatto pratico. Finché gli impianti tecnologici resteranno estranei ai programmi aziendali di inventario, gestione delle vulnerabilità e controllo delle modifiche, la raccomandazione dell’Agenzia di includervi refrigerazione, climatizzazione e sistemi di gestione degli edifici resterà, nella maggior parte dei casi, una dichiarazione di intenti. Il percorso di adeguamento alla disciplina NIS2 offre l’occasione, e per certi versi impone la necessità, di ricomporre quella frattura organizzativa; se l’occasione sarà colta dipenderà in misura non trascurabile dalla capacità delle funzioni di compliance e del responsabile della protezione dei dati di rappresentare agli organi direttivi che un controllore di refrigerazione raggiungibile da Internet non è un problema di manutenzione, ma un sistema informativo privo di presidio.

Riferimenti normativi

• Regolamento (CE) 178/2002
• Regolamento (CE) 852/2004
• Regolamento (UE) 2016/679 (GDPR)
• Direttiva (UE) 2022/2555 (NIS2)
• Direttiva (UE) 2022/2557 (CER)
• Regolamento (UE) 2024/1689 (AI Act)
• Regolamento (UE) 2024/2847 (Cyber Resilience Act)
• Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori)
• Decreto legislativo 6 novembre 2007, n. 193
• Decreto legislativo 4 settembre 2024, n. 138
• Legge 28 giugno 2024, n. 90
• Bollettino BL01/261013/CSIRT-ITA dell’Agenzia per la Cybersicurezza Nazionale
• Linee guida 9/2022 del Comitato europeo per la protezione dei dati sulla notifica delle violazioni di dati personali