Sulla base della ricerca del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

È l'incubo di ogni dirigenza aziendale: lunedì mattina, ore 7:30. Su tutti gli schermi compare un messaggio che avverte che tutti i dati sono stati crittografati. Per riavere i propri file, viene richiesto di trasferire una somma a sette cifre in Bitcoin entro 72 ore. Cosa fare adesso?

È proprio in questo istante che per molte aziende iniziano le ore più costose della loro storia – e al contempo una serie di questioni legali a cui quasi nessuno ha pensato in precedenza. È consentito pagare? Bisogna informare le autorità? La cyber-assicurazione protegge? E cosa succede se semplicemente non si paga?

Teichmann ha analizzato sistematicamente queste questioni in diversi contributi scientifici – da una prospettiva di diritto penale, di conformità (compliance) e di diritto assicurativo. I risultati sono rilevanti per ogni imprenditore, non solo per gli studi legali.

Cos'è davvero il ransomware oggi

Il ransomware non è più da tempo un fenomeno tecnologico marginale. Dietro ad esso si nasconde un'economia sommersa organizzata e basata sulla divisione del lavoro, con un fatturato miliardario, tollerata o addirittura incoraggiata dallo Stato in alcuni paesi (Teichmann, Ransomware-Erpressung: Umgang, Rechtsfragen und Cyberversicherung, ZBJV 2025, pagg. 553–578).

Il modello di business funziona su base industriale. I cosiddetti Initial Access Brokers ottengono inizialmente l'accesso alle reti aziendali tramite phishing o sfruttando vulnerabilità di sicurezza note. Rivendono poi questo accesso nel darknet a gruppi di ransomware specializzati, che eseguono la crittografia vera e propria e organizzano l'estorsione. Sempre più spesso si verifica la cosiddetta Double Extortion (doppia estorsione): prima della crittografia, i dati aziendali sensibili vengono esfiltrati e i criminali minacciano di pubblicarli – anche se la vittima paga e riottiene i propri dati (Teichmann, ZBJV 2025, pagg. 553–578).

Un risultato importante della ricerca di Teichmann: nessuna azienda è troppo piccola o troppo poco interessante per gli aggressori ransomware. La scelta delle vittime è solitamente opportunistica – chi ha una vulnerabilità di sicurezza viene colpito. I gruppi criminali professionisti calcolano la richiesta di riscatto in modo che sia appena al di sotto dei costi previsti per un ripristino autonomo dei dati, al fine di massimizzare l'incentivo a pagare (Teichmann, ZBJV 2025, pagg. 553–578).

La dimensione del danno è enorme. Nel 2024, Teichmann ha documentato l'attacco a Change Healthcare, in cui sono stati sottratti sei terabyte di dati sensibili dei pazienti, con un impatto su circa 100 milioni di persone (Teichmann, Ransomware-Bedrohung im Gesundheitswesen, Compliance Berater 2025, pagg. 227–233). In Germania, un attacco ransomware all'azienda Fasana nel 2025 ha portato direttamente all'insolvenza – un campanello d'allarme che Teichmann valuta come esemplare per le medie imprese (Teichmann, Cyberangriff als Insolvenzauslöser: Der Fall Fasana als Weckruf, ZRI 2026, pagg. 6–13).

La domanda cruciale: è vietato pagare il riscatto?

La risposta sorprende molti: in Germania, Austria e Svizzera il pagamento del riscatto agli estorsori di ransomware non è di principio punibile per legge. Non esiste un divieto legale esplicito. Dal punto di vista formale, la decisione rientra nella responsabilità imprenditoriale della vittima.

Tuttavia, ciò non significa affatto l'assenza di rischi legali. In diversi articoli, Teichmann evidenzia in quali circostanze il pagamento di un riscatto può comunque assumere rilevanza penale (Teichmann, ZBJV 2025, pagg. 553–578).

Il primo fattore di rischio è il sostegno a organizzazioni criminali. Se gli aggressori sono membri di un'organizzazione criminale in senso penale – il che può essere il caso per i grandi gruppi di ransomware organizzati professionalmente – il pagamento del riscatto può essere valutato come un sostegno finanziario a tale organizzazione. È sufficiente il dolo eventuale: chi prevede che il denaro andrà a vantaggio di una struttura criminale, accettando tale rischio, si espone alla punibilità. Al contempo, in uno scenario di emergenza di questo tipo, si potrebbe regolarmente invocare una causa di giustificazione legata allo stato di necessità – l'azienda agisce sotto una pressione considerevole per evitare un danno peggiore (Teichmann, ZBJV 2025, pagg. 553–578).

Il secondo fattore di rischio è il finanziamento del terrorismo. Qualora venisse dimostrato che gli aggressori appartengono a un'organizzazione terroristica – cosa che nella pratica è raramente accertabile in modo univoco – un pagamento configurerebbe il reato di finanziamento del terrorismo. In questo caso, il pagamento sarebbe chiaramente illecito.

Il terzo fattore di rischio, e quello più frequentemente sottovalutato nella pratica, riguarda le sanzioni internazionali. Molti grandi gruppi di ransomware figurano sulle liste delle sanzioni degli Stati Uniti, dell'UE o di altri paesi – in particolare i gruppi che si presume abbiano legami con la Corea del Nord o la Russia. L'Office of Foreign Assets Control (OFAC) degli Stati Uniti ha chiarito che i pagamenti a destinatari sanzionati possono essere puniti a livello civile, anche se l'azienda pagante non era a conoscenza del fatto che stesse servendo una parte sanzionata (Teichmann, ZBJV 2025, pagg. 553–578). Per le aziende con attività internazionali o con legami con gli Stati Uniti, questa è una trappola di conformità (compliance) significativa: si può incorrere in gravi problemi legali pur senza aver avuto cattive intenzioni.

Perché le autorità e gli esperti sconsigliano comunque di pagare

Anche se pagare non è vietato di per sé, le autorità di perseguimento penale e gli esperti di sicurezza informatica in tutto il mondo sconsigliano uniformemente di farlo – e per ottime ragioni.

Il pagamento non garantisce che i dati vengano effettivamente decrittografati. Dopo aver ricevuto il denaro, i criminali possono avanzare nuove richieste o vendere i dati rubati nel darknet, indipendentemente dal pagamento avvenuto. Ogni pagamento andato a buon fine finanzia la successiva ondata di attacchi e qualifica l'azienda pagante come un debitore affidabile – aumentando la probabilità di subire ulteriori attacchi. Inoltre: un'azienda nota per pagare appare come un obiettivo redditizio (Teichmann, ZBJV 2025, pagg. 553–578).

La decisione se pagare o meno dovrebbe quindi dipendere da diverse domande concrete: esistono backup funzionanti e salvati offline con cui ripristinare i dati senza pagare? Quanto sono sensibili le informazioni esfiltrate – una loro pubblicazione rischia di causare danni irreparabili a clienti, mandanti o partner commerciali? E la somma richiesta è proporzionata al danno complessivo temuto? Questa valutazione deve essere effettuata in caso di emergenza sotto una notevole pressione temporale – motivo per cui è opportuno averla già simulata in via teorica in anticipo.

Obblighi di notifica: chi deve notificare cosa, e quando?

Un errore comune: molte aziende pensano di poter gestire internamente un incidente da ransomware e semplicemente pagare, senza dover informare nessuno. Questo scenario è sempre meno possibile.

In base al Regolamento generale sulla protezione dei dati dell'UE (GDPR) e alla legge tedesca sulla protezione dei dati, in caso di violazione dei dati personali – e un attacco ransomware in cui sono coinvolti dati personali lo è quasi sempre – sussiste l'obbligo di notifica all'autorità di controllo competente per la protezione dei dati entro 72 ore. Se si può dimostrare che anche le persone interessate sono esposte a un rischio elevato, anch'esse devono essere informate.

Ai sensi della direttiva NIS 2, recepita in Germania dal NIS2UmsuCG, per le aziende interessate si applica un obbligo di notifica ancora più severo di 24 ore nei confronti del BSI in caso di incidenti di sicurezza significativi (Teichmann, Die neue 24-Stunden-Meldepflicht für Cyberangriffe nach ISG, Jusletter, 29 settembre 2025). Chi notifica in ritardo o non notifica affatto rischia pesanti sanzioni pecuniarie.

Inoltre, le autorità in Germania, Austria e Svizzera consigliano di sporgere denuncia penale tempestivamente. Ciò offre vantaggi pratici: le autorità investigative possono fornire supporto tecnico, tracciare i canali di comunicazione dei criminali e, nel migliore dei casi, mettere a disposizione strumenti di decrittografia. Una denuncia penale non rende la vittima perseguibile – e aumenta la possibilità di assicurare i colpevoli alla giustizia (Teichmann, ZBJV 2025, pagg. 553–578).

Il legame con l'insolvenza: un rischio sottovalutato

Teichmann evidenzia un nesso che è ancora poco noto nella pratica aziendale: un attacco ransomware può far scattare l'obbligo di insolvenza. Se un attacco provoca o rischia di provocare l'insolvenza, si applica l'articolo 15a della legge tedesca sull'insolvenza (InsO) – l'obbligo di presentare tempestivamente istanza di fallimento. Chi esita o ritarda rischia non solo la responsabilità civile, ma anche conseguenze penali per bancarotta semplice o fraudolenta dovuta a ritardo nel fallimento (Teichmann, Cyberbedingte Insolvenzeife und § 15a InsO, ZInsO 2025, pagg. 2193–2207; id., Cyberkrise und Insolvenzverschleppung, ZRI 2025, pagg. 877–884).

Il regime NIS 2 punta proprio sulla prevenzione: obbliga le aziende a prendere sul serio i rischi informatici e a gestirli prima che minaccino la sopravvivenza aziendale. Chi agisce in tal senso si protegge non solo dall'attacco stesso, ma anche dalle conseguenze legali successive (Teichmann, Cyberrisiken und Insolvenzgefahr: Präventive Schutzpflichten des NIS2-Regimes, InsA 2026, pagg. 3–10).

Cosa copre una cyber-assicurazione – e cosa no

Molte aziende confidano nel fatto che, in caso di emergenza, una cyber-assicurazione risolva tutti i problemi. Si tratta di un grave errore.

Le buone cyber-assicurazioni coprono effettivamente un ampio spettro di elementi: costi per la perizia informatica (IT forensics) e specialisti esterni di gestione delle crisi, perdite da interruzione dell'attività, richieste di risarcimento avanzate da terzi danneggiati e – in molti casi – anche il rimborso del riscatto pagato. Alcuni assicuratori mettono persino subito a disposizione un crisis manager in caso di sinistro.

Ma le insidie si nascondono nei dettagli. Quasi tutte le polizze cyber contengono clausole di esclusione per i pagamenti effettuati a destinatari sanzionati – il che significa: se emerge che il gruppo ransomware figurava su una lista di sanzioni, l'assicurazione non risarcirà. Dopo gli attacchi NotPetya del 2017, alcuni assicuratori hanno rifiutato la copertura sostenendo che si trattasse di un attacco sponsorizzato da uno Stato, che rientrava quindi nella clausola di esclusione per atti di guerra. E quasi tutte le polizze richiedono che l'assicuratore venga consultato prima di procedere al pagamento del riscatto – chi paga di propria iniziativa senza coinvolgere l'assicurazione rischia di perdere il diritto all'indennizzo (Teichmann, ZBJV 2025, pagg. 553–578).

La cyber-assicurazione è uno strumento utile se inserita in un concetto globale. Tuttavia, non sostituisce né le misure di protezione tecnica né una pianificazione strutturata della gestione delle crisi. Chi confida esclusivamente nell'assicurazione agisce con negligenza.

Cosa fare concretamente in caso di emergenza

La ricerca di Teichmann suggerisce che la gestione di un attacco ransomware nella pratica è caratterizzata da un problema centrale: le decisioni devono essere prese sotto la massima pressione temporale, senza informazioni sufficienti sui colpevoli, sull'entità del danno e sulle conseguenze legali delle varie opzioni d'azione.

Ecco perché la preparazione è fondamentale. Le aziende che dispongono di un piano di emergenza – chi è responsabile, chi viene informato e quando, quali specialisti esterni vengono coinvolti, dove si trovano i backup offline – agiscono in modo strutturato anziché caotico in caso di necessità. Le aziende senza un piano si trovano a improvvisare in preda al panico, prendendo spesso decisioni di cui in seguito si pentiranno (Teichmann & Boticiu, The Importance of Cybersecurity Incident Response Plans for Law Firms, Jusletter, 3 aprile 2023).

In caso di emergenza acuta: scollegare immediatamente i sistemi interessati dalla rete per evitare un'ulteriore propagazione. Mettere in sicurezza i backup e isolarli dai sistemi di produzione. Salvare i file di log prima di bonificare i sistemi – sono fondamentali per la successiva analisi forense. Informare l'assicurazione. Sporgere denuncia penale. Consultare un avvocato prima ancora di prendere in considerazione un eventuale pagamento. E: tenere d'occhio gli obblighi di notifica. L'autorità garante per la protezione dei dati e il BSI hanno scadenze precise.

La domanda sul pagamento del riscatto dovrebbe essere l'ultima da porsi, non la prima. E non si dovrebbe mai rispondere a questo interrogativo senza un supporto professionale.

Sviluppi internazionali: quale direzione stiamo prendendo

A livello internazionale, Teichmann osserva una direzione chiara: gli Stati stanno inasprendo progressivamente gli obblighi per le aziende e, al tempo stesso, stanno discutendo di regolamentare in modo più restrittivo o addirittura di vietare i pagamenti dei riscatti (Teichmann, International legal response to ransomware: toward a ban on payments?, International Cybersecurity Law Review 2026, pagg. 1–28).

Negli Stati Uniti, l'Office of Foreign Assets Control (OFAC) ha chiarito che i pagamenti a gruppi sanzionati comportano conseguenze civili – e il Dipartimento di Giustizia ha istituito una specifica Ransomware Task Force. Parallelamente, vi sono iniziative politiche volte a vietare in via generale il pagamento di riscatti alle infrastrutture critiche.

Nell'UE, il GDPR e la direttiva NIS 2 stabiliscono obblighi chiari in materia di prevenzione, notifica e risposta – prevedendo sanzioni pecuniarie severe in caso di violazione. La direzione è inequivocabile: chi non si prepara paga due volte – la prima agli estorsori, la seconda al legislatore.

Conclusione: la preparazione è l'unica difesa efficace

Il ransomware è una minaccia che può colpire chiunque – e sta diventando sempre più professionale, non dilettantistica. La situazione legale è complessa: pagare non è vietato, ma comporta rischi considerevoli. Non pagare è la strategia ufficialmente raccomandata – ma risulta attuabile nella pratica solo se l'azienda è preparata.

La ricerca di Teichmann dimostra che la svolta decisiva non si compie al momento dell'attacco, ma nei mesi e negli anni precedenti. Backup funzionanti, piani di emergenza chiari, personale addestrato, obblighi di notifica noti e una cyber-assicurazione verificata – questi sono i tasselli che, in caso di emergenza, fanno la differenza tra una crisi controllabile e una catastrofe che minaccia la sopravvivenza stessa dell'azienda.

Tutti i riferimenti bibliografici si riferiscono a pubblicazioni scientifiche del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliografia completa è documentata nell'elenco delle pubblicazioni (aggiornato a maggio 2026).