Sulla base della ricerca del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

È il 19 maggio 2025, mattina presto. Presso la cartiera Fasana GmbH a Euskirchen, nella Renania Settentrionale-Vestfalia, improvvisamente tutte le stampanti di rete stampano contemporaneamente lo stesso documento: una richiesta di riscatto. Tutti i sistemi IT sono criptati. Nessun computer funziona, nessuna macchina con controllo digitale risponde, la produzione è ferma. Nel giro di due settimane si registrano perdite di fatturato per circa due milioni di euro. Lo stipendio di maggio dei 240 dipendenti non può essere pagato puntualmente. Il 1° giugno 2025 – a meno di due settimane dall'attacco – la direzione presenta istanza di insolvenza.

Il caso Fasana non è un'eccezione isolata. È un assaggio di ciò che Teichmann descrive in diverse pubblicazioni scientifiche come una delle questioni giuridiche più urgenti del nostro tempo: cosa succede al management se un attacco ransomware spinge l'azienda all'insolvenza – e quanto velocemente la vittima di un reato si trasforma in un imputato nel diritto penale?

Il caso Fasana: un'azienda tradizionale che non ha avuto scampo

Teichmann analizza il caso Fasana come un punto di svolta nella percezione dei rischi informatici nel diritto societario. Fasana, un'azienda con oltre 100 anni di storia nel settore cartario, era stata rilevata da un nuovo investitore solo poche settimane prima dell'attacco e non disponeva di riserve finanziarie sufficienti per assorbire un simile shock (Teichmann, Cyberangriff als Insolvenzauslöser: Der Fall Fasana als Weckruf, ZRI 2026, pagg. 6–13).

La portata dei danni è stata enorme. Il curatore fallimentare provvisorio ha riferito che l'azienda, dopo l'attacco, non era più in grado di stampare nemmeno una bolla di consegna. Circa 190 computer e laptop sono stati bonificati a livello forense e reinstallati da zero. Tre settimane dopo l'attacco, l'infrastruttura IT non era ancora del tutto ripristinata; in alcuni reparti, tutti i dipendenti lavoravano su un unico computer, mentre negli altri casi si è dovuti ricorrere a carta e penna (Teichmann, ZRI 2026, pagg. 6–13).

Il caso Fasana non è isolato. Il produttore di biciclette Prophete ha dovuto dichiarare insolvenza alla fine del 2022 dopo che un attacco informatico ha fatto precipitare la sua situazione già tesa. Il produttore tedesco di macchine di precisione Schumag, con sede ad Aquisgrana, ha seguito la stessa sorte nell'autunno del 2024. L'elenco si allunga sempre di più (Teichmann, Vom Cyberangriff in die Insolvenz – Der Fall Fasana und Lehren für den Mittelstand, InTeR 2025, pagg. 167–171).

Il legame sottovalutato: ransomware e diritto fallimentare

Ciò che molti amministratori delegati non sanno: un attacco ransomware non è un semplice problema informatico. Può far scattare, nel giro di pochissimi giorni, obblighi legati alla legge fallimentare – con conseguenze penali in caso di mancato rispetto di tali doveri.

Se un attacco informatico paralizza la produzione, i costi fissi continuano a decorrere: affitti, stipendi, debiti verso i fornitori. In assenza di fatturato, la liquidità crolla rapidamente. Non appena un'azienda non è più in grado di soddisfare almeno il 90% delle proprie obbligazioni scadute entro tre settimane, subentra lo stato di insolvenza ai sensi del § 17 InsO (Legge fallimentare tedesca). In quel preciso momento scatta uno dei doveri più severi del diritto societario tedesco: l'obbligo di presentare istanza di insolvenza ai sensi del § 15a InsO (Teichmann, Cyberbedingte Insolvenzreife und § 15a InsO: Zur straf- und haftungsrechtlichen Verantwortlichkeit der Geschäftsführung, ZInsO 2025, pagg. 2193–2207).

§ 15a InsO: la scadenza che non ammette eccezioni

Il § 15a InsO è intransigente. In caso di insolvenza, l'istanza deve essere presentata senza colpevole ritardo e al più tardi entro tre settimane. In caso di sovraindebitamento, il termine è di sei settimane. Tali scadenze possono essere sfruttate interamente solo se vi è una reale prospettiva di risanamento duraturo. Se risulta evidente fin da subito che non vi è via d'uscita, occorre agire immediatamente.

Un attacco informatico come causa di insolvenza non cambia assolutamente nulla rispetto a questo obbligo. La legge non distingue tra un'insolvenza causata da errori di gestione e una provocata da un attacco criminale. L'obbligo di deposito si ricollega unicamente al verificarsi oggettivo dello stato di insolvenza o di sovraindebitamento, a prescindere da chi ne sia il responsabile (Teichmann, Cyberkrise und Insolvenzverschleppung, ZRI 2025, pagg. 877–884).

In parole povere: una direzione aziendale che, a seguito di un attacco ransomware, spera nel rapido ripristino dei sistemi IT e pertanto attende a presentare l'istanza di insolvenza, corre un rischio penale significativo.

La sanzione per aver atteso troppo a lungo

Le conseguenze penali di un ritardo nella dichiarazione di insolvenza (Insolvenzverschleppung) sono gravissime. Chi agisce con dolo ritardando la richiesta rischia una pena detentiva fino a tre anni o una sanzione pecuniaria. Chi agisce per colpa – ovvero avrebbe dovuto riconoscere lo stato di insolvenza ma non lo ha fatto – rischia comunque una pena detentiva fino a un anno o una sanzione pecuniaria (Teichmann, ZInsO 2025, pagg. 2193–2207).

L'aspetto cruciale è che si tratta di un reato omissivo: l'illecito risiede già nella mancata azione entro i termini previsti, e non in un intervento attivo. L'obbligo grava su tutti i membri degli organi di gestione, ossia su tutti gli amministratori di una GmbH o su tutti i membri del consiglio di amministrazione di una AG, compresi coloro che esercitano di fatto la direzione aziendale pur senza una nomina formale.

Il divieto di pagamento: un'ulteriore trappola dopo l'insorgere dello stato di insolvenza

Oltre all'obbligo di deposito, il § 15b InsO impone un severo divieto di effettuare pagamenti a partire dal momento in cui si manifesta lo stato di insolvenza. Da quel momento in poi, la direzione non può più disporre pagamenti attingendo dal patrimonio aziendale, a meno che non siano assolutamente indispensabili per evitare danni ancora maggiori.

Cosa significa questo nella pratica: chi, dopo l'insorgere dello stato di insolvenza, effettua comunque pagamenti di riscatto agli estorsori del ransomware, paga fatture di fornitori o versa stipendi, rischia di incorrere, oltre che nel reato di ritardo nella dichiarazione di insolvenza, anche in reati come il fallimento fraudolento o la preferenza tra creditori. Le buone intenzioni non offrono alcuna tutela in sede penale (Teichmann, ZInsO 2025, pagg. 2193–2207).

Il problema centrale: la conoscenza dello stato di insolvenza in caso di blocco dei sistemi IT

Una sfida specifica è rappresentata dal seguente quesito: un amministratore può discolparsi sostenendo che, a causa del blocco dei sistemi IT, non poteva sapere che si fosse verificato lo stato di insolvenza?

La risposta fornita dal diritto è disarmante nella sua chiarezza: no, non proprio. Sebbene la giurisprudenza riconosca che un attacco ransomware ostacoli notevolmente la rilevazione dei dati aziendali – con sistemi contabili crittografati e panoramiche di liquidità inaccessibili –, la direzione ha l'obbligo di ottenere una panoramica della situazione con altri mezzi: calcoli manuali della liquidità, esame degli estratti conto bancari, stima dei costi correnti, verifica delle partite aperte dai backup (Teichmann, ZRI 2025, pagg. 877–884).

Se il blocco dell'IT interrompe qualsiasi fatturato e i costi fissi non possono più essere coperti, la direzione non può semplicemente sperare in una rapida soluzione tecnica senza valutare, parallelamente, lo stato di insolvenza. I tribunali penali giudicano la questione ex post, sulla base della situazione finanziaria oggettiva. La buona intenzione di salvare l'attività non protegge dalle indagini se dagli atti emerge che l'azienda era già insolvente da tempo (Teichmann, ZRI 2025, pagg. 877–884).

Possibilità di esonero dalla responsabilità: come tutelare la dirigenza

Teichmann esamina anche quali strade per esonerarsi dalla responsabilità siano percorribili per i dirigenti durante una crisi informatica.

La tutela più efficace è offerta dal ricorso tempestivo a una consulenza professionale esterna. Chi si rivolge immediatamente dopo l'attacco a un legale specializzato in diritto fallimentare, che analizzi e documenti la situazione, agisce nel pieno rispetto dei propri doveri. Se questo consulente, dopo un attento esame, giunge alla conclusione che non si è ancora verificato lo stato di insolvenza e che un risanamento è realistico, l'amministratore può fare affidamento su tale perizia – a condizione che i fatti essenziali siano stati comunicati in modo completo e veritiero.

Un secondo strumento di difesa è rappresentato dalla documentazione. Chi registra dettagliatamente tutti i passaggi della gestione della crisi – quali misure sono state adottate e quando, quali informazioni erano disponibili e in quale momento, quali decisioni sono state prese e per quali motivi – crea una solida base per dimostrare, in caso di contestazioni, di aver agito senza negligenza (Teichmann, ZRI 2025, pagg. 877–884).

Ciò che invece non protegge è la mera speranza in un ripristino dell'IT. Chi, dopo un attacco informatico, si limita ad attendere senza verificare sistematicamente lo stato di insolvenza sta agendo con negligenza.

Obblighi di tutela preventiva: la direttiva NIS 2 come sistema di allerta rapida

Teichmann evidenzia come i rischi informatici nel diritto societario non diventino rilevanti solo dopo che l'attacco si è già verificato. La direttiva NIS 2 persegue una logica preventiva: impone alle aziende di individuare e gestire sistematicamente i rischi informatici prima che mettano a repentaglio la sopravvivenza stessa dell'impresa (Teichmann, Cyberrisiken und Insolvenzgefahr: Präventive Schutzpflichten des NIS2-Regimes, InsA 2026, pagg. 3–10).

Ciò significa che chi prende sul serio i requisiti della direttiva NIS 2 – analisi dei rischi, piani di risposta agli incidenti, backup offline, segmentazione della rete, formazione periodica – non protegge solo l'azienda da un attacco, ma tutela anche la propria persona dalla responsabilità penale. Al contrario, chi taglia sistematicamente i budget per la sicurezza informatica, lascia irrisolte criticità note e non predispone piani di emergenza, rischia, in caso di emergenza, di essere accusato di aver concorso a causare l'insolvenza a causa di una grave negligenza nell'adempimento dei propri doveri organizzativi.

La dimensione societaria: la responsabilità degli organi sociali indipendentemente dall'insolvenza

Oltre al diritto penale fallimentare, esiste un'ulteriore dimensione di responsabilità: la responsabilità interna civilistica dei membri degli organi sociali nei confronti della propria società.

Il § 43 GmbHG e il § 93 AktG obbligano gli amministratori e i membri del consiglio di gestione ad agire con la diligenza del buon padre di famiglia. Al giorno d'oggi, ciò include anche un'adeguata gestione della sicurezza informatica. Chi ha agito con colpa grave dimostrabile – ad esempio non predisponendo backup nonostante gli avvertimenti, non installando aggiornamenti di sicurezza necessari o ignorando gli standard di protezione disponibili – risponde personalmente nei confronti della società per il danno cagionato (Teichmann, Steigende D&O-Haftungsrisiken durch Cyberkriminalität, Regulierung und KI, Compliance Berater 2026, pagg. 117–122).

Questa azione risarcitoria può essere esercitata anche dal curatore fallimentare in un secondo momento, a tutela degli interessi dei creditori. Un amministratore la cui azienda sia fallita a seguito di un attacco informatico rischia quindi non solo un procedimento penale, ma anche di essere chiamato a rispondere civilmente con il proprio patrimonio personale per il danno arrecato.

Cosa dovrebbero fare concretamente oggi gli amministratori e i membri del CdA

Dalla ricerca di Teichmann emergono chiare raccomandazioni d'azione.

In primo luogo: prepararsi per le emergenze prima che si verifichino. Un piano di emergenza che stabilisca quale persona debba verificare lo stato di insolvenza a partire da quale momento, e quale legale debba essere attivato immediatamente, deve far parte oggi dell'assetto organizzativo di ogni azienda. Questo piano deve esistere in forma scritta ed essere noto, non solo custodito nella mente dei singoli.

In secondo luogo: in caso di emergenza, agire tempestivamente e su più fronti paralleli. La gestione della crisi IT e la verifica del potenziale stato di insolvenza devono essere affrontate contemporaneamente, non in sequenza. Mentre il team IT lavora al ripristino dei sistemi, la dirigenza deve analizzare parallelamente la situazione finanziaria e coinvolgere un avvocato specializzato in diritto fallimentare. Ogni giorno che passa senza che la questione del fallimento sia stata valutata aumenta il rischio penale.

In terzo luogo: documentare tutto. Quali misure sono state adottate e quando? Quali informazioni erano disponibili e in quale momento? Quali decisioni sono state prese e per quali ragioni? In caso di contenzioso, questa documentazione rappresenta la principale linea di difesa per esonerarsi da responsabilità.

In quarto luogo: investire in via preventiva nella sicurezza informatica. Chi dispone di backup offline immediatamente operativi dopo un attacco ransomware si trova in una situazione totalmente diversa rispetto a un'azienda che perde la totalità dei propri dati. Chi segmenta i sistemi limita il danno. Questi investimenti proteggono l'azienda e, in caso di emergenza, tutelano anche la persona del dirigente (Teichmann, Cyberrisiken und Insolvenzgefahr, InsA 2026, pagg. 3–10).

Conclusione: essere una vittima non protegge dalla sanzione

Il caso Fasana dimostra in modo amaro come oggi in Germania un'azienda possa essere spinta all'insolvenza nel giro di due settimane pur partendo da una situazione di profitto – a causa di un unico atto criminale che la direzione non ha né voluto né causato.

Tuttavia, la legge non ammette eccezioni per le vittime. L'istanza di insolvenza deve essere presentata tempestivamente, indipendentemente dal motivo che ha generato lo stato di insolvenza. Chi attende troppo a lungo sperando nel ripristino dell'IT rischia di andare incontro a un'azione penale personale.

L'unica risposta efficace è la prevenzione: una preparazione tecnica, organizzativa e legale che deve essere attuata molto prima che venga stampata la prima lettera di ricatto.

Tutti i riferimenti bibliografici si basano su pubblicazioni scientifiche del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliografia completa è documentata nell'elenco delle pubblicazioni (aggiornato a maggio 2026).