Le novità in tema di compliance aziendale: la Cybersecurity

Le recenti novità in tema di compliance o conformità aziendale per il 2025 riflettono il mutevole panorama normativo, con particolare attenzione alla sicurezza informatica, alla sostenibilità, alla lotta alla corruzione, all'antiriciclaggio e alle tecnologie emergenti. Una recente ricerca, la PwC Global Compliance Survey 2025, condotta su 1.802 responsabili di funzioni di controllo interno in 63 Paesi per indagare le tendenze in materia di compliance e di come le aziende gestiscono i rischi legati alla conformità normativa, ha evidenziato come la cybersecurity, unitamente alla protezione dei dati e della privacy, sia percepita come una priorità assoluta dalle aziende.
La cybersecurity, della quale ci è fornita la definizione in ambito nazionale dall’art.1 del Decreto Legge n.82 del 14 giugno 2021, “come l'insieme delle attività…. necessarie per proteggere dalle minacce informatiche reti, sistemi informativi, servizi informatici e comunicazioni elettroniche, assicurandone la disponibilità, la confidenzialità e l'integrità e garantendone la resilienza, anche ai fini della tutela della sicurezza nazionale e dell'interesse nazionale nello spazio cibernetico”, è diventata una grande necessità per ogni azienda, indipendentemente dalle sue dimensioni. Gli attacchi informatici possono causare danni economici sostanziali, perdita di dati sensibili, rischio di reputazione di un'azienda e acquisizione aziendale. Investire nella sicurezza informatica significa evitare tutto questo.
In tema di cybersicurezza e dei suoi riverberi sulla compliance non si può prescindere dall’esame della recente Legge 90/2024 (Disposizioni in materia di sicurezza cibernetica e di prevenzione e contrasto dei reati informatici), la quale, pur concentrandosi principalmente su organismi di diritto pubblico e soggetti privati che svolgono servizi pubblici essenziali o operano come società in house, tuttavia contiene norme che incidono ed interessano anche le aziende private non ricomprese tra quelle elencate all’art.1, comma 1 della legge.
In tal senso, di particolare interesse risulta essere il Capo II recante "disposizioni per la prevenzione e il contrasto dei reati informatici nonché in materia di coordinamento degli interventi in caso di attacchi a sistemi informatici o telematici e di sicurezza delle banche di dati in uso presso gli uffici giudiziari. In particolare, l’attenzione deve concentrarsi prioritariamente sull’art.16, il quale contiene le modifiche al codice penale volte a potenziare le disposizioni relative alla prevenzione e alla lotta contro i crimini informatici. La norma ha previsto nuove fattispecie di reati informatici e nuove circostanze aggravanti rispetto ai tipi di reati informatici già previsti. L’art.20 ha, invece, proceduto alla modifica dell’art.24-bis del D.lgs. 231/2001 prevedendosi al primo comma un inasprimento delle pene, al secondo comma si sono sostituiti i riferimenti all’art 615 quinquies con quelli all’art 635 quater “Danneggiamento di sistemi informatici o telematici” e, da ultimo, si è introdotto un nuovo comma 1-bis che, per la nuova fattispecie di reato prevista all’articolo 629, terzo comma c.p. (estorsione), prevede la pena pecuniaria da trecento a ottocento quote e l’applicazione delle sanzioni interdittive di cui all’articolo 9, comma 2, per una durata non inferiore a due anni.

Criticità relative all’applicabilità alle aziende private della L.90/2024 e implicazioni per la compliance aziendale

Per il settore privato, la legge 90/2024 rafforza la necessità di un approccio proattivo alla compliance in materia di cybersicurezza. I principali interventi ai quali le aziende sono chiamate consistono:
•   Aggiornamento del Modello 231: redigere protocolli specifici per la prevenzione dei crimini informatici, prevedere linee guida di accesso ai sistemi, monitoraggio delle vulnerabilità e formazione del personale. La necessità di adeguamento da parte delle aziende dei propri Modelli di Organizzazione e Gestione (MOG), comporta oneri supplementari con costi anche considerevoli per consulenza legale, formazione e implementazione di sistemi di sicurezza. Questo potrebbe risultare particolarmente gravoso per le PMI;
•    Investimenti in cybersicurezza: inserire tecnologie di difesa adeguate (firewall, cifratura, sistemi di individuazione delle intrusioni) per ridurre il rischio di incidenti IT che potrebbero implicare responsabilità;
•    Gestione della filiera: verificare che i fornitori e i partner rispettino standard di cybersicurezza adeguati, soprattutto se l’azienda opera con soggetti obbligati dall’articolo 1 della L.90/2024;
•    Formazione continua: sensibilizzare dipendenti e collaboratori sui rischi informatici e sulle nuove fattispecie penali introdotte dalla legge.
L’ampia riforma dei reati informatici e gli adempimenti cui sono tenute in tema di cybersicurezza impongono alle imprese di svolgere un ruolo attivo nella protezione dei propri sistemi informativi al fine di limitare al minimo il rischio di attacchi informatici, garantire la continuità dell’attività aziendale.
Per rispondere alle sfide molte aziende stanno investendo in tecnologia. Le imprese hanno ben chiaro che una compliance altamente integrata, coordinata ed efficace determina una maggiore qualità dei processi decisionali, una maggiore trasparenza e visibilità delle questioni che riguardano la compliance stessa e una maggiore consapevolezza e cultura della compliance da parte di dirigenti e dipendenti.
Un ruolo chiave in ambito di conformità potrebbe essere svolto dall’uso dell'intelligenza artificiale, la quale però rappresenta anche una fonte di grande preoccupazione per le aziende specificatamente riguardo il suo eventuale uso improprio, la perdita di controllo, l'affidabilità dei dati forniti, la riservatezza dei dati e la governance dell'IA. Per affrontare queste nuove sfide, le aziende italiane si stanno impegnando a sviluppare competenze strategiche mirando ad espandere le aree della gestione del rischio, il settore legale e l'audit.