Data breach, il doppio binario ACN-Garante che espone le imprese

Quando un attacco colpisce un’impresa che eroga servizi essenziali e che, come quasi tutte, tratta dati personali, il diritto apre due procedimenti paralleli. L’articolo 25 del decreto legislativo 138/2024 impone di notificare l’incidente significativo all’Agenzia per la Cybersicurezza Nazionale, tramite il CSIRT Italia. L’articolo 33 del GDPR impone, se l’evento comporta una violazione di dati personali, di notificarla al Garante. Due binari, due autorità, due discipline distinte che un solo attacco attiva insieme.

Il tema della sovrapposizione fra NIS2 e GDPR è ormai noto, e la raccomandazione ricorrente — dotarsi di una procedura integrata di gestione degli incidenti — è largamente acquisita. Meno esplorato è ciò che accade a valle di quella procedura: il valore probatorio dei documenti che essa produce nelle prime ore, quando la qualificazione giuridica dell’evento è obbligata a precederne la ricostruzione tecnica.

La pre-notifica a 24 ore: dire prima di sapere

La tempistica verso l’ACN è scandita in tre fasi: una pre-notifica entro 24 ore dall’evidenza dell’incidente, una notifica più circostanziata entro 72 ore, una relazione finale entro un mese. La prima soglia è quella critica. A 24 ore dall’evidenza, un’organizzazione raramente conosce con certezza il vettore d’ingresso, i sistemi raggiunti, se e quali dati siano stati esfiltrati o soltanto esposti. Deve però già dichiarare qualcosa: se l’incidente sia significativo e se possa derivarne un reato o un impatto transfrontaliero.

È qui che il binario cyber e il binario privacy entrano in tensione. Sul versante GDPR la notifica al Garante è dovuta entro 72 ore dalla conoscenza della violazione, e presuppone una qualificazione diversa: non «l’incidente è significativo?», ma «c’è una violazione di dati personali che comporta un rischio per i diritti e le libertà delle persone?». Due domande sullo stesso evento, con criteri che non coincidono, a cui l’organizzazione deve rispondere quasi simultaneamente e prima che l’analisi forense possa dirle cosa sia davvero accaduto. La disciplina cyber premia la tempestività; quella privacy premia l’accuratezza della valutazione: la fretta imposta dall’una si scarica sulla precisione richiesta dall’altra.

Il documento che resta

La pre-notifica non è provvisoria. Insieme alla notifica a 72 ore e all’eventuale notifica al Garante, entra a far parte del fascicolo dell’evento, e diventa uno dei primi atti su cui un’autorità, in un secondo momento, ricostruirà la condotta dell’organizzazione. Il rischio non è astratto: nasce dalle discrepanze. Se la notifica all’ACN e quella al Garante — spesso redatte da funzioni diverse, in momenti diversi, sotto la stessa pressione — descrivono l’evento in modo non coerente sulla tempistica, sull’entità dei dati coinvolti o sul momento della scoperta, quella incoerenza diventa materiale a carico dell’organizzazione.

Conviene essere precisi sulla natura di questa «prova a carico», per non evocare scenari sbagliati. Il procedimento eventuale davanti al Garante è amministrativo, non penale: riguarda la valutazione della condotta del titolare ai fini dell’irrogazione delle sanzioni previste dall’articolo 83 del GDPR e dal Codice privacy. In quella sede il Garante valuta anche la qualità e la tempestività della notifica, e ha già sanzionato notifiche giudicate incomplete o generiche. Un documento redatto in fretta e mai più corretto, o contraddetto da un altro trasmesso a un’autorità diversa, pesa in quella valutazione. La notifica a 24 ore, insomma, non è soltanto un adempimento: è una dichiarazione che resta agli atti.

Che non si tratti di un rischio teorico lo dicono due fatti concreti. Il primo è un precedente: con il provvedimento del 4 luglio 2024, il Garante ha ingiunto a Postel il pagamento di 900mila euro dopo un attacco ransomware, contestando fra l’altro di aver trasmesso una notifica della violazione incompleta rispetto a quanto richiesto. La notifica, in altre parole, non è stata soltanto il modo con cui l’azienda ha assolto un obbligo: è diventata uno degli elementi su cui l’Autorità ha costruito la contestazione. Il secondo fatto guarda avanti: con la deliberazione n. 797 del 30 dicembre 2025, il Garante ha programmato per il primo semestre 2026 almeno quaranta accertamenti ispettivi, e tra le aree indicate figurano espressamente gli approfondimenti tecnici sui data breach già notificati, con riguardo ai casi più estesi in ambito pubblico e privato. L’Autorità, cioè, ha messo nero su bianco che tornerà a rileggere le notifiche ricevute.

Il canale che l’azienda non controlla

A rendere il fascicolo ancora più esposto interviene un meccanismo che l’organizzazione non governa. L’articolo 14 del decreto disciplina la cooperazione fra ACN e Garante: al comma 1 fissa il principio della collaborazione reciproca; al comma 2, lettera b, prevede che quando l’autorità competente NIS, nell’esercizio delle funzioni di vigilanza o di esecuzione, rilevi che una violazione degli obblighi di sicurezza da parte di un soggetto essenziale o importante possa comportare una violazione di dati personali notificabile ai sensi dell’articolo 33 del GDPR, ne informi senza indebito ritardo il Garante. A ciò si affianca l’articolo 38, comma 6, che impegna le due autorità allo scambio delle informazioni rilevanti.

La conseguenza è precisa, e poco considerata: la dimensione privacy di un incidente può raggiungere il Garante non perché l’azienda l’abbia notificata, ma perché l’ACN l’ha rilevata nel corso di una verifica. Un’organizzazione che, valutato l’evento, avesse concluso in buona fede di non essere tenuta alla notifica al Garante può vedere quella decisione rimessa in discussione da un’altra autorità. E poiché la fase di vigilanza e di esecuzione dell’ACN entra nel vivo dalla fine del 2026, il binario ACN e il binario Garante — che sembravano paralleli — hanno di fatto uno scambio.

Cosa significa prepararsi davvero

Se il rischio è probatorio, la preparazione è documentale prima che tecnica. La prima mossa non è scegliere uno strumento di notifica, ma fissare in anticipo i criteri di qualificazione: chi decide, sulla base di quali soglie, se un evento è significativo ai fini NIS2 e se comporta una violazione di dati personali, e come si annota quella decisione. La qualificazione presa sotto pressione va resa tracciabile mentre la si prende, non ricostruita a posteriori.

La seconda mossa è la coerenza fra i due binari. La notifica all’ACN e quella al Garante devono poggiare sugli stessi fatti, sulla stessa cronologia, sullo stesso perimetro di dati, perché la loro divergenza è il primo appiglio di un’eventuale contestazione. Il che richiede che non siano redatte in silos da funzioni che non si parlano, ma passino per un unico punto di controllo dei fatti asseriti.

La terza mossa riguarda proprio la decisione di non notificare al Garante. Poiché l’articolo 14 consente all’ACN di sollevare la questione anche a distanza di tempo, quella scelta non può restare implicita: va motivata e documentata quando viene presa, così da essere difendibile se una verifica la rimette in discussione. Una decisione argomentata per iscritto, sulla base delle informazioni allora disponibili, è una posizione; la stessa decisione non documentata, contestata due anni dopo, è un’omissione.

Il doppio binario, in definitiva, non chiede alle imprese di imparare due procedure. Chiede di accettare che ogni incidente rilevante produce, fin dalle prime ore, atti che parlano a più di un’autorità e che restano. La notifica a 24 ore non è la prima mossa di una gestione tecnica: è il primo atto di un fascicolo che qualcun altro, più tardi, potrà leggere a ritroso.