Dai risultati della ricerca del Dr. iur. Dr. rer. pol. Fabian Teichmann.

La trasformazione digitale ha cambiato radicalmente l'economia e, con essa, il profilo di rischio di ogni impresa. Gli attacchi ransomware paralizzano le cliniche, i deepfake spingono i dipartimenti finanziari a effettuare trasferimenti milionari e i cyberattacchi possono portare intere aziende alla bancarotta. Quello che sembra uno scenario futuro distopico è ormai da tempo una amara realtà per gli imprenditori.

Il Dr. Fabian Teichmann, avvocato ed esperto di informatica forense con sede in Svizzera, ha svolto negli ultimi anni un importante lavoro di ricerca: più di cento articoli scientifici, diverse monografie e numerosi contributi in importanti riviste specializzate delineano un quadro preciso ed basato sull'evidenza della situazione delle minacce, offrendo agli imprenditori risposte concrete su cosa fare a livello legale, organizzativo e tecnico. Questo articolo riassume i risultati centrali di questo corpo di ricerca.

1. La nuova qualità della minaccia: il ransomware come rischio aziendale

Oggi il ransomware non è più un problema tecnico marginale, bensì un modello di business organizzato di reti criminali. Teichmann descrive questo sviluppo con precisione in diversi contributi: gruppi di cybercriminali altamente professionali lavorano con divisione del lavoro e organizzazione industriale. I cosiddetti Initial Access Brokers ottengono inizialmente l'accesso alle reti, vendono questo accesso nel Darknet e solo in seguito un operatore di ransomware crittografa i dati. Sempre più spesso si tratta di Double Extortion: gli autori esfiltrano dati riservati prima della crittografia e minacciano inoltre di pubblicarli (Teichmann, Ransomware-Erpressung: Umgang, Rechtsfragen und Cyberversicherung, ZBJV 2025, pagg. 553–578).

Particolarmente preoccupante: nessuna azienda è "troppo piccola" o settorialmente "poco interessante" per gli estorsori di ransomware. La scelta delle vittime è spesso opportunistica; gli aggressori scansionano su vasta scala alla ricerca di sistemi vulnerabili. Gli autori professionali calcolano l'importo del riscatto in modo che sia appena al di sotto dei costi previsti per il ripristino dei dati, il che aumenta l'incentivo a pagare (Teichmann, ZBJV 2025, pagg. 553–578).

La dimensione del danno è enorme. Teichmann documenta l'attacco a Change Healthcare del 2024, in cui sono stati sottratti 6 terabyte di dati sensibili dei pazienti e gli effetti hanno interessato circa 100 milioni di persone (Teichmann, Ransomware-Bedrohung im Gesundheitswesen, Compliance Berater 2025, pagg. 227–233). In Europa, un attacco a un fornitore di servizi diagnostici di Londra nel 2023 ha dimostrato che migliaia di interventi chirurgici hanno dovuto essere annullati e i pazienti d'emergenza hanno dovuto essere reindirizzati, una prova lampante del fatto che gli attacchi ransomware possono minacciare direttamente la vita umana (Teichmann, Compliance Berater 2025, pagg. 227–233).

Anche le medie imprese sono ormai colpite. Teichmann analizza il caso Fasana (2025), in cui un cyberattacco ha portato direttamente all'insolvenza di un'azienda, come un campanello d'allarme esemplare per le medie imprese (Teichmann, Cyberangriff als Insolvenzauslöser: Der Fall Fasana als Weckruf, ZRI 2026, pagg. 6–13; id., Vom Cyberangriff in die Insolvenz – Der Fall Fasana (2025) und Lehren für den Mittelstand, InTeR 2025, pagg. 167–171).

2. Quando l'Intelligenza Artificiale diventa un'arma: deepfake e CEO Fraud

Oltre al ransomware, la ricerca di Teichmann identifica una seconda dimensione di minaccia ancora più preoccupante: l'uso dell'intelligenza artificiale generativa per truffe.

All'inizio del 2024, un'impiegata del settore finanziario a Hong Kong ha trasferito 25 milioni di dollari a truffatori dopo aver ricevuto istruzioni in una videoconferenza da presunti superiori. Quello che non sospettava: né il CFO né i colleghi erano realmente collegati; i criminali avevano simulato il loro aspetto e la loro voce tramite deepfake (Teichmann, KI-gestützte Betrugsmaschen – Deepfakes als neue Herausforderung für Fraud Detection, Jusletter, 30 giugno 2025).

Questi incidenti non sono casi isolati. Teichmann fa riferimento a previsioni secondo cui le perdite per frode dovute all'IA generativa solo negli Stati Uniti potrebbero crescere da 12,3 miliardi a 40 miliardi di dollari entro il 2027, con un tasso di crescita annuale superiore al 30 percento. Gli incidenti di deepfake nel settore fintech sono aumentati del 700 percento nel 2023 (Teichmann, Jusletter, 30 giugno 2025).

L'insidia: i deepfake non devono essere perfetti per ingannare efficacemente. Psicologicamente, la tendenza umana a fidarsi di ciò che vede o sente funge da amplificatore. Anche se sono presenti sottili incongruenze, il contesto e la naturale predisposizione alla fiducia possono coprire i dubbi residui (Teichmann, Jusletter, 30 giugno 2025). Ciò ha conseguenze pratiche dirette: il solito principio "nel dubbio, richiama il superiore" perde efficacia se anche l'identificazione telefonica tramite clonazione vocale è superabile.

In un altro contributo sperimentale, Teichmann esamina direttamente l'uso dell'IA generativa nel contesto della CEO Fraud (Teichmann, CEO Fraud im Kontext (generativer) künstlicher Intelligenz – Eine experimentelle Untersuchung, ZWH 2024, pagg. 1–8). Il risultato: i classici meccanismi di controllo come il principio del doppio controllo falliscono quando l'autenticità visiva e acustica della persona ingannatrice viene simulata perfettamente.

3. La dimensione legale: quali sono le responsabilità dei dirigenti oggi

Un tema centrale nella ricerca di Teichmann è la responsabilità personale dei leader aziendali in caso di incidenti informatici. Questo non è un problema accademico, ha una rilevanza pratica diretta per ogni amministratore delegato e membro del consiglio di amministrazione.

La direttiva NIS 2 e le sue conseguenze per la direzione aziendale

La direttiva UE NIS 2 (UE 2022/2555), recepita in Germania attraverso la legge di attuazione NIS 2 (NIS2UmsuCG), richiede alla direzione aziendale non solo di garantire adeguate misure tecniche, ma anche di partecipare attivamente ai corsi di formazione. Teichmann analizza questo obbligo in dettaglio in diversi contributi: i dirigenti devono conoscere e gestire attivamente i rischi di cybersicurezza; l'ignoranza non protegge dalla responsabilità (Teichmann, NIS2-Schulungspflicht der Geschäftsleitung, Computer und Recht 2025, pagg. 718–725; id., Strafbare Non-Compliance: Persönliche Haftung von Geschäftsleitern und Organen bei Verstößen gegen die NIS2-Richtlinie, CyberStR 2026, pagg. 65–73).

Particolarmente di vasta portata: per i soggetti essenziali, le violazioni degli obblighi NIS 2 possono essere punite con sanzioni pecuniarie fino a 10 milioni di euro o al 2 percento del fatturato annuo globale. Alcune leggi di recepimento nazionali consentono inoltre di sospendere temporaneamente la direzione aziendale dalle proprie funzioni (Teichmann, Auswirkungen der EU-NIS-2-Richtlinie auf Unternehmen, ZWH 2026, pagg. 6–11).

Crisi cibernetica e insolvenza: un collegamento sottovalutato

Teichmann svela un collegamento di rischio ancora poco considerato nella pratica: il legame tra attacco informatico e obbligo di insolvenza. Se un attacco ransomware causa o minaccia l'insolvenza di un'azienda, scattano gli obblighi previsti dal diritto fallimentare della sezione 15a InsO. Gli amministratori incapaci di agire o esitanti rischiano non solo la responsabilità civile, ma anche conseguenze penali (Teichmann, Cyberbedingte Insolvenzreife und § 15a InsO: Zur straf- und haftungsrechtlichen Verantwortlichkeit der Geschäftsführung, ZInsO 2025, pagg. 2193–2207; id., Cyberkrise und Insolvenzverschleppung – Strafrechtliche Risiken bei verspäteter Reaktion auf Ransomware-Angriffe, ZRI 2025, pagg. 877–884).

L'approccio preventivo del regime NIS 2 mira proprio a questo: obbliga le aziende a identificare e gestire i rischi cibernetici prima che diventino una minaccia per l'esistenza stessa (Teichmann, Cyberrisiken und Insolvenzgefahr: Präventive Schutzpflichten des NIS2-Regimes, InsA 2026, pagg. 3–10).

Responsabilità D&O: quando il cybercrimine colpisce personalmente i membri del consiglio

Teichmann analizza l'aumento dei rischi di responsabilità D&O (Directors & Officers) come conseguenza interdisciplinare di cybercrimine, regolamentazione e IA. I membri del consiglio e gli amministratori delegati che trascurano gli obblighi elementari di sicurezza informatica rispondono sempre più a livello personale, sia verso l'azienda che verso terzi (Teichmann, Steigende D&O-Haftungsrisiken durch Cyberkriminalität, Regulierung und KI, Compliance Berater 2026, pagg. 117–122).

4. Il Cyber Resilience Act: la cybersicurezza diventa un obbligo per il prodotto

Uno degli sviluppi più significativi nel diritto europeo è il Cyber Resilience Act (CRA), approvato nell'ottobre 2024 e vincolante per i nuovi prodotti a partire dall'11 dicembre 2027. Teichmann ha analizzato a fondo questo atto giuridico.

Il CRA segna un cambio di paradigma: la cybersicurezza viene elevata a caratteristica vincolante del prodotto, analogamente alla sicurezza elettrica (Teichmann, Cybersicherheit als Produkteigenschaft – Der Cyber Resilience Act der Europäischen Union, NJW 2025, pagg. 2577–2582). Cosa significa questo per le aziende?

I produttori di prodotti connessi – che si tratti di dispositivi tecnologici Smart Home, sistemi di controllo industriale o software – in futuro dovranno:

• Ridurre al minimo le vulnerabilità di sicurezza al momento del lancio sul mercato (nessuna vulnerabilità nota non corretta al momento della consegna)

• Implementare impostazioni predefinite sicure (nessuna password predefinita)

• Fornire aggiornamenti di sicurezza per almeno cinque anni

• Creare una Software Bill of Materials (SBOM), ovvero un elenco di tutti i componenti software utilizzati

• Segnalare gli incidenti di sicurezza entro 24 ore

(Teichmann, NJW 2025, pagg. 2577–2582; id., Der EU Cyber Resilience Act – Anforderungen aus strafrechtlicher, Compliance-, produktsicherheitsrechtlicher und Governance-Perspektive, RIW 2025, pagg. 777–785)

Anche le aziende che utilizzano prodotti connessi devono capirne le implicazioni. L'obbligo di diligenza nella catena di fornitura significa: chi integra componenti di terze parti non sicuri è corresponsabile. Teichmann sottolinea che anche i componenti apparentemente semplici non devono essere trascurati, poiché gli aggressori spesso sfruttano catene di vulnerabilità ed entrano in sistemi di grandi dimensioni attraverso piccoli punti di accesso (Teichmann, The EU Cyber Resilience Act: Hybrid governance, compliance, and cybersecurity regulation in the digital ecosystem, Computer Law & Security Review 2025, pag. 106209).

5. Infrastrutture critiche: quando il cyberattacco diventa un pericolo pubblico

La ricerca di Teichmann si dedica intensamente alla particolare necessità di protezione delle infrastrutture critiche (ospedali, fornitori di energia, comuni, istituti finanziari) e alle conseguenze legali per i loro gestori.

Settore sanitario

Gli attacchi ransomware agli ospedali non sono solo economicamente devastanti, ma possono minacciare direttamente la vita delle persone. Nel 2020, l'Ospedale Universitario di Düsseldorf ha dovuto sospendere temporaneamente le cure d'emergenza in seguito a un attacco ransomware; la procura ha esaminato l'avvio di un procedimento per omicidio colposo (Teichmann, Ransomware-Angriffe auf Krankenhäuser – Strafrechtliche, Medizinrechtliche und Datenschutzrechtliche Herausforderungen, Zeitschrift für Lebensrecht 2025, pagg. 349–366).

Teichmann analizza inoltre gli obblighi penali legati alla sicurezza IT negli ospedali secondo la legge sulla sicurezza IT 2.0, la legge quadro KRITIS e la sezione 391 del SGB V (Teichmann, IT-Sicherheit im Krankenhaus – Neue Pflichten durch IT-SiG 2.0, KRITIS-Dachgesetz und § 391 SGB V, MedR 2025, pagg. 959–968). Il messaggio centrale: la sicurezza informatica è di competenza della dirigenza; i vertici ospedalieri non possono nascondersi dietro la complessità tecnica.

Energia e Comuni

Anche gli impianti di energia rinnovabile sono sempre più presi di mira. Teichmann esamina i rischi informatici specifici per i parchi eolici, gli impianti solari e altre infrastrutture, sviluppando opzioni di regolamentazione (Teichmann, Cyberangriffe auf Erneuerbare-Energien-Anlagen – Risikoanalyse und Regulierungsoptionen, REE 2025, pagg. 143–150). Per le aziende municipalizzate e i fornitori di energia comunali, analizza gli effetti della direttiva NIS 2, anche per le piccole e medie imprese, molte delle quali non hanno ancora implementato misure di protezione sufficienti (Teichmann, NIS-2 und die Anwendung auf kleine und mittlere Stadtwerke, EnWZ 2025, pagg. 400–407).

Le amministrazioni comunali affrontano sfide particolari: infrastrutture informatiche eterogenee, sistemi obsoleti, cronica carenza di personale qualificato. Teichmann evidenzia come i rischi informatici vi vengano spesso percepiti come problemi isolati, sebbene le carenze strutturali di governance rappresentino la vera vulnerabilità (Teichmann, Cyberangriffe auf kommunale IT-Infrastrukturen, CyberStR 2025, pagg. 23–32; id., Cybersicherheit in Kommunen – Regelungsdefizite und Reformbedarf, ZRP 2025, pagg. 184–187).

Settore finanziario

Nel settore finanziario, Teichmann analizza il Digital Operational Resilience Act (DORA), che da gennaio 2025 impone standard di sicurezza informatica uniformi a livello europeo per gli istituti finanziari. DORA va oltre i classici requisiti di cybersicurezza: richiede la gestione del rischio TIC, test di resilienza, il controllo di terze parti e una chiara responsabilità di governance fino al livello del consiglio di amministrazione (Teichmann, Digital Operational Resilience Act (DORA) – EU-weit einheitliche IT-Sicherheitsregeln für Finanzinstitute, BB 2025, pagg. 2760–2770; id., DORA – Teil 3: Governance-Verantwortung und Compliance-Risiken, ZRFC 2025, pagg. 279–283).

6. Whistleblowing, compliance e cultura aziendale

La ricerca di Teichmann sulla compliance e sul whistleblowing offre agli imprenditori un orientamento importante per la strutturazione dei propri processi interni.

La legge sulla protezione degli informatori (HinSchG), entrata in vigore nel 2023, pone le aziende di fronte a nuove sfide organizzative e legali. Teichmann analizza non solo gli obblighi di protezione degli informatori, ma anche i potenziali abusi: l'intelligenza artificiale generativa potrebbe essere utilizzata per produrre segnalazioni fittizie su larga scala e sovraccaricare i sistemi di compliance (Teichmann, Das Hinweisgeberschutzgesetz im Kontext generativer künstlicher Intelligenz, NZWiSt 2023, pagg. 289–296).

Significativa è anche la sua analisi dell'inversione dell'onere della prova prevista dalla sezione 36 HinSchG: nelle controversie sulla protezione contro il licenziamento, il datore di lavoro deve dimostrare che il licenziamento non era correlato a una segnalazione. Ciò ha notevoli conseguenze pratiche per le decisioni sul personale successive a segnalazioni interne (Teichmann, Beweislastumkehr des § 36 HinSchG im Kündigungsschutzverfahren und ihr Konflikt mit Verschwiegenheitspflichten, ZIP 2025, pagg. 2477–2482).

Sul tema degli incentivi alla compliance (come possono le aziende promuovere culture interne di compliance?), Teichmann ha presentato una ricerca completa che dimostra che gli incentivi finanziari da soli non sono sufficienti: la realtà sociale e psicologica del contesto aziendale influenza in modo decisivo la percezione delle regole di compliance (Teichmann & Wittmann, Psychology and White Collar Crime – Compliance Recommendations Based on the Social and Psychological Reality Dictating Perception, Journal of Financial Crime 2024, pagg. 408–415).

7. Raccomandazioni d'azione concrete per gli imprenditori

Sulla base della sintesi dei lavori di ricerca di Teichmann, si possono trarre le seguenti conclusioni rilevanti dal punto di vista pratico per gli imprenditori:

Necessità di agire immediata

Rendere la cybersicurezza una priorità assoluta per i vertici. La direttiva NIS 2 richiede che la direzione aziendale sia attivamente coinvolta nei temi della cybersicurezza, inclusa la formazione personale. Questa non è una raccomandazione, bensì un obbligo legale con conseguenze di responsabilità (Teichmann, Cybersicherheit als Führungsaufgabe: Die BSI-Handreichung zur NIS-2-Schulungspflicht, BB 2026, pagg. 74–77).

Implementare piani di risposta agli incidenti. Un attacco ransomware non è una questione di "se", ma di "quando". Le aziende che non dispongono di piani di emergenza si troveranno, in caso di necessità, costrette a prendere decisioni improvvisate sotto massima pressione, con i relativi rischi di responsabilità (Teichmann & Boticiu, The Importance of Cybersecurity Incident Response Plans for Law Firms, Jusletter, 3 aprile 2023).

Conoscere e rispettare gli obblighi di notifica. Secondo la NIS 2, si applica un obbligo di notifica entro 24 ore alle autorità competenti in caso di incidenti informatici significativi. Le segnalazioni tardive possono comportare sanzioni pecuniarie considerevoli (Teichmann, Die neue 24-Stunden-Meldepflicht für Cyberangriffe nach ISG, Jusletter, 29 settembre 2025).

Misure a medio termine

Verificare la sicurezza della catena di fornitura. I cyberattacchi avvengono sempre più spesso tramite fornitori terzi e partner commerciali. Le aziende rispondono non solo delle proprie carenze di sicurezza IT, ma anche delle vulnerabilità dei componenti esterni integrati (Teichmann, IT-Sicherheit in der Lieferkette, Der Betriebswirt 2024, pagg. 251–265).

Stabilire una prevenzione contro i deepfake. Le classiche procedure di autenticazione non sono più sufficienti. Le aziende hanno bisogno di misure tecniche e organizzative efficaci anche in scenari di deepfake convincenti, come parole d'ordine stabilite per richieste di trasferimento bancario insolite o il principio del doppio controllo con richiamata autonoma a numeri conosciuti (Teichmann, Deepfake-Imitation und Betrug durch KI-generierte Medien, Kriminalistik 2026, pagg. 194–200).

Esaminare criticamente l'assicurazione informatica. Un'assicurazione cyber può essere utile, ma solo se le condizioni di copertura si adattano ai rischi reali e soprattutto se le violazioni sanzionatorie non comportano la mancata corresponsione dell'indennizzo (Teichmann, ZBJV 2025, pagg. 553–578).

Prospettiva strategica

Anticipare gli sviluppi normativi. Il Cyber Resilience Act entrerà in vigore nel 2027; chi inizia già ora a implementare i requisiti eviterà conflitti di risorse all'ultimo minuto (Teichmann, The cyber resilience act as a new paradigm for product security: a compliance roadmap, International Cybersecurity Law Review 2025, pagg. 1–17).

Vedere la compliance come un vantaggio competitivo. Le aziende che dimostrano di rispettare elevati standard di cybersicurezza godono di vantaggi nell'acquisizione di clienti, nell'ambito assicurativo e negli appalti pubblici. La compliance non è una semplice questione di costi, bensì una risorsa strategica (Teichmann & Wittmann, Compliance Cultures and the Role of Financial Incentives, Journal of Financial Crime 2024, pagg. 226–232).

Conclusione: la cybersicurezza è una responsabilità dei vertici - scientificamente provato

I lavori di ricerca del Dr. Fabian Teichmann delineano un quadro coerente: la minaccia del cybercrimine non è un pericolo astratto per altri, ma un rischio concreto e crescente per ogni azienda. Allo stesso tempo, il legislatore ha risposto con la direttiva NIS 2, DORA, il Cyber Resilience Act e le leggi di recepimento nazionali, che chiamano i dirigenti aziendali a rispondere personalmente.

Ciò che rende la ricerca di Teichmann particolarmente preziosa è il collegamento tra l'analisi giuridico-tecnica e la realtà empirica di casi di attacco reali. Truffe tramite deepfake dal valore di 25 milioni di dollari, fallimenti dovuti a ransomware, ospedali privi di pronto soccorso: non si tratta di scenari futuri, ma di un presente documentato.

Per gli imprenditori questo significa: chi conosce gli obblighi normativi, comprende la situazione delle minacce e agisce preventivamente può non solo ridurre al minimo i rischi di responsabilità, ma può anche trasformare la cybersicurezza in un vero vantaggio competitivo. La base scientifica per farlo è già disponibile.

Tutti i riferimenti bibliografici in questo articolo si basano su contributi scientifici pubblicati dal Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliografia completa è documentata nell'elenco delle pubblicazioni aggiornato a maggio 2026.