Articolo Pubblicazioni

Reati informatici dopo la L. 90/2024: cosa è cambiato nel codice penale

di · Pubblicato il 14 novembre 2026

Abstract

La legge 28 giugno 2024, n. 90, in vigore dal 17 luglio 2024, ha rafforzato la cybersicurezza nazionale e ha riscritto una parte dei reati informatici. L’articolo riassume le modifiche al codice penale, con l’aumento delle pene per l’accesso abusivo e il danneggiamento, la nuova estorsione informatica e il nuovo art. 635-quater.1, le conseguenze per la responsabilità degli enti ai sensi del d.lgs. 231/2001 e le novità sulle indagini.

Vincenzo Calabrò | Reati informatici dopo la L. 90/2024: cosa è cambiato nel codice penale
 

Una legge con due anime

La legge 90 del 2024 contiene due gruppi di norme. Il primo riguarda la resilienza delle pubbliche amministrazioni e di altri soggetti, con obblighi di notifica degli incidenti all’ACN, la nomina di un referente per la cybersicurezza e regole sugli appalti. Il secondo modifica il codice penale, il codice di procedura penale e il d.lgs. 231/2001, ed è quello di cui si parla qui.

Accesso abusivo e intercettazioni

Le pene per l’accesso abusivo a un sistema informatico, previsto dall’art. 615-ter, sono aumentate, soprattutto nelle ipotesi aggravate, come il fatto commesso da un pubblico ufficiale o con violenza, o quello che riguarda sistemi di interesse militare, di ordine pubblico, sanitari o di protezione civile. Sono state inasprite anche le pene per la detenzione e diffusione abusiva di codici di accesso, all’art. 615-quater, e per le intercettazioni e falsificazioni di comunicazioni informatiche, agli artt. 617-quater e seguenti.

La nuova estorsione informatica

Il nuovo terzo comma dell’art. 629 punisce chi, mediante condotte di accesso abusivo, danneggiamento o interruzione di sistemi informatici, o con la minaccia di compierle, costringe qualcuno a fare o omettere qualcosa procurandosi un ingiusto profitto. È la fattispecie pensata per il ransomware, punita con la reclusione da sei a dodici anni e la multa, con pene più alte nelle ipotesi aggravate. In precedenza questi fatti si inquadravano nell’estorsione comune o nel danneggiamento, con incertezze applicative.

Danneggiamento e strumenti di attacco

I reati di danneggiamento di informazioni, dati e programmi e di sistemi informatici, agli artt. 635-bis e seguenti, hanno pene più alte e nuove aggravanti. L’art. 615-quinquies, sulla diffusione di programmi diretti a danneggiare sistemi, è stato abrogato e sostituito dal nuovo art. 635-quater.1, che punisce chi si procura, produce, diffonde o installa apparecchiature, dispositivi o programmi con lo scopo di danneggiare o interrompere un sistema. Sono previste riduzioni di pena per chi si adopera per evitare conseguenze ulteriori o aiuta concretamente a raccogliere prove e a individuare i responsabili.

Responsabilità degli enti

L’art. 24-bis del d.lgs. 231/2001, che collega i reati informatici alla responsabilità delle società, è stato rafforzato. La sanzione pecuniaria per i reati del primo comma sale da 100-500 a 200-700 quote, l’estorsione informatica è punita con 300-800 quote e, in caso di condanna, con sanzioni interdittive per almeno due anni. Per le imprese questo significa aggiornare il modello organizzativo, la mappatura dei rischi e i protocolli che riguardano l’uso dei sistemi, compresa la gestione di un eventuale riscatto, che può configurare responsabilità anche per chi lo paga attraverso intermediari.

Le indagini

Le indagini per i reati informatici più gravi sono affidate alle procure distrettuali, con il coordinamento della Procura nazionale antimafia e antiterrorismo, e la durata massima delle indagini preliminari arriva a due anni. Per questi reati si applicano anche regole più ampie in materia di intercettazioni. Per chi lavora nella digital forensics il risultato pratico è un numero maggiore di procedimenti complessi, con acquisizioni su sistemi aziendali e cloud e tempi lunghi, in cui la qualità della catena di custodia fa la differenza.

Pagare il riscatto

La legge non punisce di per sé il pagamento di un riscatto da parte della vittima. Il pagamento resta però un terreno delicato. Può violare le misure restrittive internazionali se il destinatario è un soggetto sanzionato, può configurare responsabilità per gli amministratori se non è deciso e motivato in modo corretto, e nelle società pubbliche o partecipate solleva questioni contabili. I pagamenti fatti attraverso intermediari, con fatture dalla causale generica, espongono a rischi ulteriori. Prima di qualunque decisione serve il parere di legali e consulenti, insieme alla denuncia e al coordinamento con le forze di polizia.

Che cosa cambia per le aziende

  • aggiornare il modello organizzativo ai sensi del d.lgs. 231/2001, con la mappatura dei nuovi reati e delle aree sensibili;
  • rafforzare i protocolli sugli accessi ai sistemi e sull’uso degli strumenti di amministrazione, perché l’accesso abusivo commesso da un dipendente può coinvolgere l’ente;
  • definire una procedura scritta per la gestione delle estorsioni informatiche, con chi decide e con quali passaggi;
  • documentare le misure di sicurezza adottate, che contano anche per dimostrare la diligenza dell’ente;
  • formare il personale sui comportamenti che possono integrare reati informatici, compreso l’uso improprio di credenziali altrui.

Che cosa cambia per le perizie

L’aumento delle pene e l’affidamento alle procure distrettuali portano più casi complessi, spesso con acquisizioni su infrastrutture aziendali e servizi cloud. La distinzione fra accesso abusivo, danneggiamento ed estorsione dipende da fatti tecnici, come gli strumenti usati, i dati raggiunti e l’effetto sui sistemi, e la ricostruzione forense diventa decisiva per la qualificazione del reato e per la responsabilità dell’ente. Anche le riduzioni di pena per chi collabora dipendono da evidenze tecniche sul contributo dato al contenimento o all’individuazione dei responsabili.
La legge ha introdotto anche una disciplina per la sicurezza dei contratti pubblici di beni e servizi informatici impiegati in contesti connessi agli interessi nazionali strategici, con criteri di premialità per le tecnologie di provenienza europea o di paesi alleati. Per le imprese che forniscono la pubblica amministrazione questo si traduce in requisiti da documentare nelle gare.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn