Sulla base della ricerca del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Quando un comune viene paralizzato, se ne accorgono tutti: i portali per i cittadini smettono di funzionare, non si possono rilasciare certificati anagrafici, i servizi sociali subiscono ritardi e, nel peggiore dei casi, l'approvvigionamento idrico o la distribuzione di energia si bloccano. Le amministrazioni comunali e le aziende municipalizzate sono tra i bersagli più vulnerabili nel cyberspazio tedesco – e al contempo tra i meno protetti. Teichmann ha analizzato le cause strutturali di questa vulnerabilità e le conseguenze della direttiva NIS-2 in diversi articoli (Teichmann, Cyberangriffe auf kommunale IT-Infrastrukturen, CyberStR 2025, pagg. 23–32; id., NIS-2 und die Anwendung auf kleine und mittlere Stadtwerke, EnWZ 2025, pagg. 400–407).

Perché i comuni sono particolarmente a rischio

Teichmann identifica diversi fattori strutturali che rendono i comuni bersagli attraenti e facilmente attaccabili.

Il primo problema è l'eterogeneità del panorama IT. Mentre i piccoli comuni spesso esternalizzano la propria IT a centri elaborazione dati comunali condivisi, le città più grandi gestiscono infrastrutture proprie – e in molti casi esiste una complessa gestione mista. Questa eterogeneità stratificata nel tempo porta a livelli di sicurezza molto diversi e a una moltitudine di interfacce difficili da monitorare (Teichmann, CyberStR 2025, pagg. 23–32).

Il secondo problema sono i sistemi legacy. Molti comuni lavorano con procedure specialistiche obsolete, per le quali non sono più disponibili aggiornamenti di sicurezza o il cui aggiornamento viene omesso per motivi di budget. Questi vecchi sistemi rappresentano una via d'accesso preferenziale per gli aggressori.

Il terzo e forse più grave problema sono le carenze di governance. I rischi informatici vengono spesso percepiti nei comuni come problemi singoli e isolati, e le responsabilità rimangono diffuse. Il governo federale non si sente direttamente responsabile, i Länder rinviano all'autonomia comunale e molti comuni non dispongono semplicemente di risorse umane e finanziarie sufficienti per affrontare la cybersicurezza in modo proattivo (Teichmann, CyberStR 2025, pagg. 23–32).

Il quadro giuridico frammentato

Un problema centrale è la situazione giuridica confusa. La responsabilità della cybersicurezza comunale si colloca in un'area di tensione tra direttive UE, diritto federale e diritto statale – un intreccio federale in cui mancano responsabilità chiare e standard minimi uniformi. È degno di nota il fatto che il Consiglio per la pianificazione IT abbia deciso di escludere i comuni da molti obblighi della direttiva NIS-2 – un sintomo della confusione federale che Teichmann valuta criticamente. Il risultato è un mosaico di norme diverse in cui nessun ente garantisce in modo globale un livello di protezione uniforme (Teichmann, Cybersicherheit in Kommunen – Regelungsdefizite und Reformbedarf, ZRP 2025, pagg. 184–187).

Aziende municipalizzate: tra servizi di interesse generale e NIS-2

Mentre l'amministrazione comunale di base rimane esclusa dalla direttiva NIS-2 in molti Länder, la situazione si presenta diversamente per le aziende municipalizzate. Come gestori di infrastrutture energetiche, idriche e talvolta di trasporto, esse forniscono servizi critici di interesse generale – e rientrano quindi frequentemente nell'ambito di applicazione della direttiva NIS-2 (Teichmann, EnWZ 2025, pagg. 400–407).

Particolarmente complessa è l'auto-classificazione: le aziende multiservizio che offrono contemporaneamente elettricità, gas, acqua e forse anche trasporti o telecomunicazioni devono verificare attentamente quali delle loro attività rientrino in quale categoria. E possono essere inclusi anche soggetti minori ma funzionalmente critici: una piccola municipalizzata che fornisce energia a un'intera regione può svolgere un ruolo chiave, nonostante il ridotto numero di dipendenti, e la sua interruzione avrebbe un impatto significativo (Teichmann, EnWZ 2025, pagg. 400–407).

Il problema delle risorse

Teichmann affronta un problema che nella pratica viene spesso trascurato: i requisiti della direttiva NIS-2 possono semplicemente sopraffare i piccoli operatori comunali. Un'azienda municipalizzata con poche decine di dipendenti raramente dispone di un proprio reparto di sicurezza informatica o di un CISO. La sua proposta di soluzione è pragmatica: modelli di cooperazione. Le piccole municipalizzate possono associarsi, incaricare fornitori di servizi di sicurezza IT condivisi o fare affidamento sulle risorse dei centri elaborazione dati comunali. Un aspetto importante: chi esternalizza la sicurezza IT rimane responsabile del relativo livello e deve verificare di conseguenza i fornitori di servizi (Teichmann, EnWZ 2025, pagg. 400–407).

Cosa dovrebbero fare ora i comuni e le aziende municipalizzate

Le aziende municipalizzate devono verificare se e in quale categoria rientrano ai sensi della direttiva NIS-2. La cybersicurezza deve ricevere una responsabilità chiara – come compito di leadership con responsabilità definite. I piccoli operatori dovrebbero sfruttare cooperazioni e fornitori di servizi condivisi. Le misure di protezione fondamentali – segmentazione della rete, backup, autenticazione a più fattori, gestione delle patch, formazione dei dipendenti – sono realizzabili anche con risorse limitate. Inoltre, piani di emergenza per un funzionamento minimo senza IT sono indispensabili nei servizi di interesse generale (Teichmann, EnWZ 2025, pagg. 400–407; id., CyberStR 2025, pagg. 23–32).

Conclusione: I servizi di interesse generale hanno bisogno di cyber-resilienza

I comuni e le aziende municipalizzate si trovano di fronte a una doppia sfida: sono particolarmente vulnerabili e, allo stesso tempo, particolarmente meritevoli di protezione, perché il loro blocco compromette i servizi di base per i cittadini. Ciò che serve è un cambiamento strutturale della cultura della cybersicurezza nei servizi comunali di interesse generale – e questo inizia con il considerare la sicurezza informatica come un compito fondamentale della responsabilità pubblica.

Tutti i riferimenti bibliografici si riferiscono a contributi scientifici pubblicati dal Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliografia completa è documentata nell'elenco delle pubblicazioni (aggiornato a maggio 2026).