Articolo Pubblicazioni

Reati informatici e D.Lgs. 231/2001: l’art. 24-bis e il modello organizzativo

di · Pubblicato il 21 aprile 2008 - Aggiornato il 14 novembre 2026 · Tratto da «La Riduzione del Rischio - D.Lgs. 231/2001»

Abstract

L’articolo riprende il seminario «La Riduzione del Rischio - D.Lgs. 231/2001» del 21 aprile 2008, tenuto poche settimane dopo l’introduzione dei reati informatici fra i reati presupposto della responsabilità degli enti. Spiega che cosa prevede l’art. 24-bis e come si riduce il rischio di questi reati agendo su vulnerabilità e minacce, con i protocolli previsti dal modello di organizzazione e gestione, l’Organismo di Vigilanza, i flussi informativi e un sistema disciplinare costruito anche sull’uso delle informazioni.

Vincenzo Calabrò | Reati informatici e D.Lgs. 231/2001: l’art. 24-bis e il modello organizzativo
 

I reati informatici entrano nella 231

Il D.Lgs. 231/2001 rende responsabili gli enti per alcuni reati commessi nel loro interesse o a loro vantaggio da chi li amministra o da chi lavora per loro. La legge 48/2008, che ha ratificato la Convenzione di Budapest sulla criminalità informatica, ha aggiunto l’art. 24-bis, che porta fra i reati presupposto i delitti informatici e il trattamento illecito di dati. Vi rientrano, fra gli altri:
  • l’accesso abusivo a un sistema informatico o telematico;
  • la detenzione e la diffusione abusiva di codici di accesso e di programmi diretti a danneggiare sistemi;
  • l’intercettazione, l’impedimento o l’interruzione illecita di comunicazioni informatiche;
  • il danneggiamento di informazioni, dati, programmi e sistemi, anche di pubblica utilità;
  • la falsità nei documenti informatici;
  • la frode informatica del soggetto che presta servizi di certificazione di firma elettronica.
Negli anni l’elenco è stato ampliato e le sanzioni sono state inasprite, da ultimo con la legge 90/2024 sulla cybersicurezza. Per l’ente la conseguenza pratica è rimasta la stessa del 2008. Chi gestisce sistemi informativi deve dimostrare di avere adottato un modello capace di prevenire questi reati.

Gli elementi del rischio

Il seminario partiva dalla riduzione del rischio, una volta completata l’analisi. Il rischio ha tre componenti:
  • la vulnerabilità, cioè la debolezza del bene da proteggere e dell’ambiente in cui è gestito;
  • la minaccia, cioè la probabilità che il rischio si manifesti;
  • il danno, cioè l’impatto sul bene e sui soggetti legati al bene.
Sul danno la reazione classica è il trasferimento del rischio, per esempio con una polizza assicurativa. Nella 231 questa strada non conta, perché gli articoli 6 e 7 chiedono un sistema di prevenzione tale che il reato si possa commettere soltanto eludendo fraudolentemente il modello. La minaccia dipende dalla storia dell’ente, da quella di enti simili e dal territorio. L’attenzione va quindi concentrata sulla vulnerabilità, a partire dalla componente umana e dalle informazioni, che in un reato informatico possono essere il bene offeso, lo strumento e lo scopo.

Le zone buie e le misure di sicurezza

Il primo passo è individuare le zone buie dell’ente, cioè le aree a rischio non coperte da norme tecniche già applicate. Lì servono misure di sicurezza specifiche. Se l’ente non ha un sistema di gestione della sicurezza delle informazioni, le misure di riferimento sono quelle della ISO/IEC 27001, coordinate con le decisioni strategiche, organizzative e gestionali dei livelli superiori.

I protocolli 231

L’art. 6, comma 2, lettera b) chiede di prevedere specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire. I protocolli sono insiemi di attività e risorse che scendono dal livello strategico a quello operativo. Il seminario suggeriva di sceglierli sulla base di esperienza, standard e buone pratiche condivise, e di descriverli in schede che indichino:
  • il sistema dell’ente su cui il protocollo agisce;
  • le azioni da compiere e chi ne è responsabile;
  • gli output documentali;
  • le norme e gli standard di riferimento;
  • il rischio o i rischi che il protocollo riduce.
Mettendo i protocolli accanto ai rischi si ottiene lo stato ideale dell’ente. La distanza fra lo stato attuale, misurato sui protocolli effettivamente adottati, e lo stato ideale indica in modo realistico il livello di rischio residuo. Il seminario usava un paragone medico. Se i rischi sono malattie da prevenire, i protocolli sono farmaci, alcuni mirati e altri ad ampio spettro.

La vigilanza

Per l’art. 6, comma 1, lettera b) l’ente non risponde se prova di avere affidato a un organismo dotato di autonomi poteri di iniziativa e di controllo il compito di vigilare sul funzionamento e sull’osservanza del modello e di curarne l’aggiornamento. Di solito è l’Organismo di Vigilanza, mentre negli enti piccoli può essere lo stesso organo dirigente. La vigilanza deve essere autonoma, indipendente, competente e obiettiva, e chi la svolge non dovrebbe avere compiti di gestione, per evitare che il controllore controlli sé stesso.
Decisivi sono i flussi informativi da e verso l’Organismo, previsti dall’art. 6, comma 2, lettera d). Le informazioni devono essere sufficienti e non eccessive, perché troppe informazioni paralizzano la vigilanza, e devono essere integre, disponibili, autentiche e riservate. Il piano di comunicazione va accompagnato da formazione per chi lavora nell’ente e per fornitori, clienti e altri interlocutori.

Il sistema disciplinare

Gli articoli 6 e 7 chiedono un sistema disciplinare idoneo a sanzionare il mancato rispetto del modello. Per i reati informatici questo significa due cose. Le informazioni raccolte dai controlli devono avere qualità sufficiente per reggere in giudizio. I comportamenti scorretti nell’uso delle informazioni vanno previsti in modo espresso, perché non si può contestare ciò che non è stato richiesto.
Il seminario segnalava tre lacune frequenti. Per i dipendenti molti enti rinviano al contratto collettivo, spesso vago sui sistemi informativi. Per i dirigenti e i vertici le regole sono ancora più carenti. Per collaboratori, lavoratori autonomi e partner mancano spesso clausole contrattuali sul corretto trattamento delle informazioni.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn