Se un pirata informatico sferra un attacco, la responsabilità ricade sul capo? Responsabilità personale dei membri del consiglio di amministrazione in caso di incidenti informatici in Svizzera.

NOTIZIE DELL'11 AGOSTO 2026

Gli attacchi informatici fanno ormai parte dei rischi quotidiani delle aziende svizzere. Ciò che molti membri dei consigli di amministrazione tendono a sottovalutare è che non solo l’azienda è responsabile delle conseguenze, ma, in determinate circostanze, anche la direzione può essere chiamata a rispondere personalmente con il proprio patrimonio privato. Cosa dice al riguardo il Codice delle obbligazioni svizzero e perché un caso federale dimostra che la questione non è più solo teoria.

Cosa si intende per responsabilità del consiglio di amministrazione nel contesto informatico?

Per responsabilità ai sensi del diritto societario si intende la responsabilità personale dei membri del consiglio di amministrazione per i danni derivanti da una violazione colposa dei propri obblighi. Nel contesto informatico, se il consiglio di amministrazione trascura i propri obblighi di vigilanza e gestione in materia di sicurezza informatica e la società subisce di conseguenza un danno, ad esempio a causa di un’interruzione dell’attività, di un riscatto o di un’azione legale intentata da terzi danneggiati, i membri del consiglio di amministrazione possono essere chiamati a risponderne personalmente.

Non è necessaria una specifica «clausola sulla sicurezza informatica» nella legge. La responsabilità si basa sugli obblighi generali di diligenza e vigilanza del consiglio di amministrazione, esistenti da decenni, che oggi vengono applicati in modo coerente anche ai rischi digitali.

Perché il tema sta diventando sempre più importante per i membri dei consigli di amministrazione: la questione della responsabilità informatica non è più da tempo un tema riservato alle sole banche o alle infrastrutture critiche. Anche i membri dei consigli di amministrazione delle PMI si trovano sempre più spesso a dover far fronte a determinate aspettative, ad esempio a causa di

• il numero in costante aumento di incidenti informatici segnalati alla Confederazione
• gli obblighi fondamentali del consiglio di amministrazione, inaspriti dal 2023 nella revisione del diritto delle società per azioni
• i requisiti più severi della legge sulla protezione dei dati, in vigore dal settembre 2023
• l’obbligo di segnalazione degli attacchi informatici alle infrastrutture critiche, in vigore dall’aprile 2025
• le crescenti aspettative contrattuali di clienti e partner in materia di sicurezza informatica dimostrabile

Proprio perché gli attacchi informatici rappresentano oggi il rischio operativo numero uno, i tribunali, le autorità di vigilanza e i partner commerciali si aspettano sempre più spesso risposte chiare su chi, all’interno del consiglio di amministrazione, fosse responsabile di cosa. Una buona strategia informatica non sostituisce certo un’assicurazione, ma nemmeno una buona assicurazione sostituisce l’obbligo di diligenza.

Ciò che la legge richiede effettivamente: tre articoli del Codice delle obbligazioni costituiscono il fondamento della responsabilità

• Art. 716a cpv. 1 n. 1 CO (Direzione generale): Il Consiglio di amministrazione deve definire gli obiettivi strategici e l’organizzazione della società. La sicurezza informatica deve necessariamente rientrare in questa strategia complessiva e non può essere ostacolata o ignorata.

• Art. 716a cpv. 1 n. 5 CO (Vigilanza generale): anche se l’attuazione operativa viene delegata al reparto IT o a un fornitore di servizi esterno, il consiglio di amministrazione rimane responsabile della vigilanza e deve essere in grado di dimostrare di aver esercitato tale controllo.
• Art. 754 CO (Responsabilità): se il consiglio di amministrazione viola tali obblighi per negligenza e ne deriva un danno finanziario, ne risponde con il proprio patrimonio privato.

L'esternalizzazione della sicurezza informatica a un MSP o a un reparto interno garantisce una maggiore sicurezza, ma non esonera automaticamente il consiglio di amministrazione dalle proprie responsabilità.

Cosa può aiutare?

• Una strategia informatica documentata e regolarmente inserita nell'ordine del giorno a livello di Consiglio di Amministrazione
• Contratti chiari e scritti con i fornitori di servizi IT, che includano le responsabilità e i processi di risposta agli incidenti
• Controlli verificabili anziché fiducia cieca nel reparto IT

Cosa non basta.

• Un semplice «Ne abbiamo parlato» detto a voce, senza alcun verbale
• La semplice supposizione che un attacco informatico costituisca automaticamente un caso di forza maggiore
• Un'assicurazione contro i rischi informatici senza una gestione del rischio alla base

La diligenza non sostituisce la tecnologia, e la tecnologia non sostituisce la diligenza. Entrambe devono integrarsi, essere documentate e verificate regolarmente.

Il caso Xplain del 2023. Nessuna sentenza, ma un campanello d’allarme. Ad oggi non esiste ancora una sentenza che abbia condannato personalmente un membro di un consiglio di amministrazione svizzero a pagare per carenze nella sicurezza informatica. Il caso Xplain dimostra tuttavia in modo impressionante con quanta rapidità le autorità intervengano quando vengono violati gli obblighi di diligenza in materia di sicurezza dei dati. Nel 2023 l’azienda informatica bernese Xplain, fornitrice di software per le autorità federali, è stata vittima di un attacco ransomware. Sono stati rubati circa 900 gigabyte di dati, tra cui informazioni altamente sensibili della Confederazione. L’Incaricato federale della protezione dei dati e della trasparenza ha constatato, in tre rapporti d’indagine, che sia la Confederazione che Xplain avevano violato i propri obblighi di diligenza e, cosa particolarmente grave, Xplain non era mai stata sottoposta a una verifica di sicurezza in 15 anni di collaborazione.

Finora non è stata intentata alcuna azione civile per responsabilità contro il Consiglio di amministrazione. Tuttavia, proprio i criteri applicati in questo caso dall’Incaricato della protezione dei dati costituirebbero il punto di partenza per un’azione di questo tipo. Il caso evidenzia chiaramente che non è necessaria una sentenza affinché una gestione carente della sicurezza informatica diventi evidente e si trasformi in un problema.

Domande importanti che ogni consiglio di amministrazione dovrebbe porsi prima che il prossimo incidente informatico metta in luce dove si trovano le lacune: vale la pena soffermarsi su alcune questioni fondamentali. La sicurezza informatica figura regolarmente e in modo documentato nell’ordine del giorno del consiglio di amministrazione? Esiste un piano di emergenza aggiornato e collaudato che funzioni anche offline? Le responsabilità nei confronti dei fornitori esterni di servizi IT sono chiaramente disciplinate contrattualmente? E in caso di emergenza, la società è in grado di dimostrare in modo completo quali misure ha adottato? Chi oggi non è in grado di rispondere chiaramente a queste domande, dovrebbe iniziare a farlo al più tardi adesso.

Raccomandazioni per un approccio strutturato: una gestione efficace del rischio di responsabilità non inizia dalla tecnologia, ma dalla governance. Tra le altre, si sono dimostrate efficaci le seguenti misure.

1. Inserire i rischi informatici come punto fisso all’ordine del giorno di ogni riunione del consiglio di amministrazione
2. Ricorrere in modo mirato a competenze esterne, ad esempio tramite un comitato consultivo o un MSP esperto
3. Verificare i contratti con i fornitori di servizi IT per quanto riguarda i limiti di responsabilità e gli obblighi di risposta agli incidenti
4. Registrare in modo completo le decisioni e le valutazioni dei rischi del consiglio di amministrazione
5. Testare e aggiornare regolarmente i piani di emergenza

In questo modo, la sicurezza informatica passa dall’essere una questione di informatica a diventare parte integrante della gestione aziendale.

Conclusione

In Svizzera, la base giuridica relativa alla responsabilità personale del consiglio di amministrazione in caso di incidenti informatici non è una novità, ma lo è invece la sua applicazione coerente ai rischi digitali. Anche se nessuna sentenza giudiziaria ha ancora condannato un membro del consiglio di amministrazione a pagare un risarcimento per questo motivo, il caso Xplain dimostra quanto le autorità prestino ormai attenzione a questi aspetti. Chi, in qualità di membro del consiglio di amministrazione, adotta oggi misure preventive, protegge non solo la propria azienda, ma anche se stesso.

Volete sapere qual è lo stato della governance della sicurezza informatica nella vostra azienda e dove esistono ancora delle lacune dal punto di vista del Consiglio di Amministrazione? Noi di IT-S saremo lieti di aiutarvi a definire la vostra strategia informatica e i vostri piani di emergenza in modo tale che, in caso di emergenza, siate al sicuro non solo dal punto di vista tecnico, ma anche giuridico.

Non aspettate che i rischi informatici diventino un tema all’ordine del giorno del consiglio di amministrazione solo in caso di emergenza. Verificate subito la vostra strategia informatica, le responsabilità e i piani di emergenza. Saremo lieti di assistervi in questo processo.