Ransomware e fornitore IT: per il Tribunale di Varese metà del danno resta al cliente

Chi risponde dei danni di un attacco ransomware quando la gestione dell’infrastruttura informatica è affidata a un fornitore esterno? Il Tribunale di Varese (Sez. I civile, sentenza n. 545/2026 del settembre 2026, R.G. 24/2024) dà una risposta che interessa entrambe le parti del rapporto: il fornitore è inadempiente, ma la quota più ampia di responsabilità resta in capo al cliente, titolare del trattamento. Dei 242.000 euro richiesti, la società attaccata ne ottiene 20.000.

1. Il caso

Nel settembre 2023 una società manifatturiera subisce un attacco ransomware: dati cifrati, operatività bloccata, perdita definitiva del CRM e di parte dei file del gestionale, che non erano mai stati inclusi nel perimetro dei backup. La società agisce contro il fornitore che dal 2017 gestiva la sua infrastruttura, contestandogli un firewall non aggiornato, un server pubblicato con la sola protezione IPS, backup incompleti, una rete non segmentata e una risposta all’incidente lenta e inadeguata. Chiede la risoluzione del contratto e un risarcimento di 242.310 euro tra fermo aziendale, costo del personale impegnato nel ripristino, spese tecniche e legali e danno all’immagine.

La difesa del fornitore è lineare: nessun outsourcing globale, solo un’assistenza a chiamata su un server e 17 postazioni, a fronte di un canone annuo di 1.500 euro.

2. L’amministratore di sistema “di fatto”

Il punto decisivo è la qualificazione del ruolo del fornitore. Il rapporto poggiava su una serie di contratti separati (rete wi-fi e firewall, assistenza tecnica, nuovo server, posta Exchange, servizio Nextcloud), redatti in modo generico e privi di qualsiasi clausola su backup, perdita di dati e sicurezza. Mancava, soprattutto, una designazione formale del fornitore come amministratore di sistema ai sensi del Provvedimento del Garante privacy del 2008.

Il Tribunale supera il dato formale. Chi gestisce sistemi e reti con accessi privilegiati opera, anche senza nomina, come amministratore di sistema “di fatto”. Il CTU descrive un modello a tre pilastri: la società come titolare del trattamento; il fornitore, con funzioni e accessi equivalenti a quelli di un amministratore di sistema esterno pur senza incarico; altri soggetti terzi dotati di credenziali amministrative equiparabili.

Ne discende che anche un contratto di assistenza che non prevede attività di consulenza va valutato come supporto sistemistico, e che la condotta del fornitore si misura con la diligenza qualificata dell’art. 1176, comma 2, c.c., cioè sulle conoscenze tecniche e sulle best practice esigibili da un operatore professionale del settore. L’inadempimento è accertato e il contratto risolto ai sensi degli artt. 1453 e 1455 c.c.

3. Il concorso di colpa del titolare

La responsabilità del fornitore, però, non è esclusiva. Il punto di ingresso dell’attacco non è stato identificato con certezza e il CTU riconduce l’evento a una corresponsabilità che nasce da tre fattori: assenza di una governance IT unitaria, mancanza di un adeguato tracciamento degli accessi, operatività contemporanea di più soggetti con privilegi amministrativi.

Il Tribunale applica l’art. 1227 c.c. e recepisce il riparto indicato dal consulente: 50% alla società attaccata, 30% al fornitore, 20% agli altri soggetti con accesso privilegiato. Il messaggio è netto: il titolare del trattamento può affidare all’esterno la gestione dei sistemi, ma non i doveri di vigilanza e l’adozione delle misure organizzative e di sicurezza richieste dal GDPR.

4. Il danno: esistente, ma non provato nel quantum

Il pregiudizio è accertato, la sua misura no. Il Tribunale passa in rassegna le singole voci:

• Fermo aziendale: serviva l’analisi degli ordini non eseguiti, recuperati o disdetti; i dati di fatturato forniti erano persino contraddittori.
• Personale: le buste paga non distinguono le ore dedicate al ripristino. Il costo dei dipendenti è un costo ordinario; diventa danno solo se si provano straordinari, assunzioni temporanee o attività produttive effettivamente sottratte.
• Spese tecniche e legali: sono riconducibili all’evento solo alcune consulenze specialistiche; il passaggio a nuovi fornitori è una scelta imprenditoriale.
• Danno all’immagine: non è in re ipsa. Le email dei clienti preoccupati per i propri dati non dimostrano una perdita di reputazione o di opportunità commerciali.

Le prove testimoniali non sono state ammesse perché, al più, avrebbero confermato l’an, non il quantum. Il Tribunale liquida quindi il danno in via equitativa ex art. 1226 c.c. in 20.000 euro, tenendo conto dei costi di ripristino indicati dal CTU, del grado di responsabilità del fornitore e del concorso della società. Come ulteriore parametro richiama la proposta conciliativa ex art. 185-bis c.p.c. di pari importo, accettata da fornitore e assicuratore e rifiutata dall’attrice. Spese di lite compensate, CTU divisa a metà.

5. La polizza che non copre

Il fornitore aveva chiamato in garanzia il proprio assicuratore. La polizza, però, copriva la responsabilità civile per l’attività di elettronica e di installazione presso terzi. Le condotte contestate riguardano la gestione della sicurezza, dei backup e della risposta all’incidente, non installazioni di hardware o software: manleva rigettata e spese del terzo chiamato a carico del fornitore.

6. Cosa fare

Per i clienti

• Perimetro chiaro. Stabilire per iscritto chi gestisce backup, patching, firewall, monitoraggio e incident response.
• Amministratori di sistema. Designarli formalmente, censire chi dispone di credenziali privilegiate e garantire log degli accessi immodificabili.
• Governance unitaria. Individuare un referente interno che coordini i diversi fornitori e verifichi periodicamente il loro operato.
• Prova del danno. Documentare l’impatto in tempo reale: ordini persi, ore dedicate al ripristino, straordinari, costi esterni.

Per i fornitori

• Contratto aderente al servizio reale. Se si gestisce l’infrastruttura, si risponde come amministratore di sistema, qualunque sia il nome del contratto.
• Backup e responsabilità. Concordare il perimetro dei dati salvati, prevedere test di ripristino e clausole di limitazione di responsabilità entro i limiti dell’art. 1229 c.c.
• Copertura assicurativa. Verificare che la polizza copra l’attività sistemistica e il rischio cyber, non solo l’installazione.
• Incident response. Condividere con il cliente una procedura scritta di gestione dell’incidente, con ruoli e tempi definiti.

La sentenza conferma che, nella sicurezza informatica, la responsabilità segue il controllo effettivo dei sistemi e non l’etichetta dei contratti. E dimostra che una pretesa da oltre 240.000 euro, senza un assetto contrattuale chiaro e senza una prova rigorosa del danno, si riduce a meno di un decimo.