Accesso Abusivo a Sistema Informatico: Responsabilità Penali e Tutele per le Imprese nel 2026
Il tema dell'accesso abusivo a sistema informatico è diventato uno dei nodi giuridici più critici per le imprese italiane. Con la digitalizzazione accelerata di processi, archivi e comunicazioni aziendali, il perimetro di rischio si è enormemente allargato: attacchi hacker, dipendenti infedeli, spionaggio industriale e accessi non autorizzati a banche dati riservate rappresentano oggi minacce concrete e quotidiane. Comprendere il quadro normativo, le responsabilità penali e gli strumenti di difesa è un passaggio obbligato per ogni imprenditore e per ogni avvocato che assiste realtà aziendali.
Il reato di accesso abusivo a sistema informatico: l'art. 615-ter c.p.
Il riferimento normativo fondamentale è l'articolo 615-ter del Codice penale, introdotto dalla Legge 547/1993 e successivamente modificato. La norma punisce chiunque si introduca abusivamente in un sistema informatico o telematico protetto da misure di sicurezza, oppure vi si mantenga contro la volontà espressa o tacita di chi ha diritto di escluderlo.
La pena base è la reclusione fino a tre anni. Si tratta di un reato di pericolo, nel senso che non è necessario che dall'accesso derivi un danno concreto: è sufficiente la violazione del perimetro informatico altrui.
Le circostanze aggravanti
Il legislatore ha previsto un significativo inasprimento delle sanzioni al ricorrere di determinate condizioni:
La reclusione sale da uno a cinque anni quando il fatto è commesso da un pubblico ufficiale o da un incaricato di pubblico servizio con abuso dei poteri o violazione dei doveri, quando è commesso con violenza sulle cose o alle persone, quando il sistema è utilizzato dallo Stato o da altro ente pubblico, o ancora quando il fatto è commesso da chi esercita abusivamente la professione di investigatore privato.
La pena è ulteriormente aumentata, con reclusione da tre a otto anni, quando dal fatto deriva la distruzione o il danneggiamento del sistema, l'interruzione totale o parziale del suo funzionamento, ovvero la distruzione o il danneggiamento dei dati, delle informazioni o dei programmi in esso contenuti.
Questa scala sanzionatoria rispecchia la volontà del legislatore di graduare la risposta penale in funzione della gravità delle conseguenze e della qualità del soggetto agente.
Chi può essere soggetto attivo del reato
Una delle questioni più rilevanti nella pratica aziendale riguarda il dipendente o il collaboratore che accede a sistemi aziendali eccedendo le proprie credenziali o la propria autorizzazione. La giurisprudenza della Corte di Cassazione ha elaborato nel tempo una distinzione fondamentale:
Non commette il reato chi accede al sistema con le proprie credenziali, nei limiti delle mansioni attribuite. Commette invece il reato chi, pur disponendo di credenziali valide, accede a sezioni del sistema per le quali non ha titolo, oppure chi utilizza le credenziali altrui. La Suprema Corte, a Sezioni Unite (sentenza n. 41210/2017), ha chiarito che il reato sussiste quando l'accesso avviene per finalità diverse da quelle per cui l'autorizzazione è stata concessa, anche se le credenziali tecniche sono formalmente valide.
Questo principio ha importanti ricadute sul piano aziendale: un dipendente che scarichi l'intero database clienti prima di dimettersi, utilizzando le proprie credenziali di accesso, può incorrere nel reato di cui all'art. 615-ter c.p.
La responsabilità degli enti ex D.Lgs. 231/2001
Il reato di accesso abusivo a sistema informatico rientra nel catalogo dei reati presupposto della responsabilità amministrativa degli enti prevista dal D.Lgs. 231/2001. In particolare, il Decreto Legislativo 231 include tra i reati informatici rilevanti proprio le fattispecie di cui agli artt. 615-ter, 615-quater e 615-quinquies c.p.
Questo significa che, se un soggetto apicale o un dipendente commette un accesso abusivo nell'interesse o a vantaggio dell'ente, la società stessa può essere chiamata a rispondere con sanzioni pecuniarie e, nei casi più gravi, con misure interdittive che incidono sull'attività d'impresa.
La predisposizione di un Modello Organizzativo 231 aggiornato, con specifici protocolli in materia di sicurezza informatica, accesso ai sistemi e gestione delle credenziali, è dunque uno strumento imprescindibile di prevenzione e di difesa per le imprese.
Accesso abusivo e reati connessi: il quadro penalistico completo
Il reato di cui all'art. 615-ter raramente si presenta in forma isolata. Nella prassi giudiziaria, l'accesso abusivo si accompagna frequentemente ad altre fattispecie penali:
Intercettazione illecita di comunicazioni informatiche (art. 617-quater c.p.)
Punisce chi intercetta, impedisce o interrompe comunicazioni relative a un sistema informatico o telematico o tra più sistemi. Le sanzioni vanno dalla reclusione da sei mesi a quattro anni, con aggravanti specifiche.
Detenzione e diffusione abusiva di codici di accesso (art. 615-quater c.p.)
Riguarda chi procura, riproduce, diffonde, comunica o consegna abusivamente codici, parole chiave o altri mezzi idonei all'accesso a un sistema informatico. Questa norma colpisce, ad esempio, chi vende o cede credenziali di accesso a soggetti non autorizzati.
Danneggiamento di sistemi informatici (artt. 635-bis e 635-ter c.p.)
Punisce la distruzione, il deterioramento, la cancellazione, l'alterazione o la soppressione di informazioni, dati o programmi informatici. È una delle conseguenze più frequenti degli attacchi ransomware, che cifrano i dati aziendali rendendoli inaccessibili.
Frode informatica (art. 640-ter c.p.)
Si realizza quando, attraverso l'alterazione del funzionamento di un sistema o l'intervento sui dati, si procura a sé o ad altri un ingiusto profitto con altrui danno. È la fattispecie tipicamente contestata nei casi di phishing, man-in-the-middle e dirottamento di pagamenti.
Le tutele per le imprese vittime: cosa fare in pratica
Quando un'impresa subisce un accesso abusivo ai propri sistemi, il corretto percorso legale e procedurale è fondamentale per preservare le prove e attivare tutti gli strumenti di tutela disponibili.
Il primo passo: la preservazione delle prove digitali
Prima di qualsiasi intervento tecnico sui sistemi compromessi, è essenziale procedere alla acquisizione forense dei log, dei file di sistema e di ogni altro dato che documenti l'intrusione. Questa attività deve essere condotta seguendo protocolli di informatica forense che garantiscano l'integrità e la catena di custodia delle prove digitali, rendendole utilizzabili in giudizio.
La querela e la denuncia-querela
Il reato di accesso abusivo ex art. 615-ter c.p. è procedibile d'ufficio nella sua forma aggravata, mentre nella forma base è procedibile a querela della persona offesa. L'impresa vittima ha quindi sei mesi di tempo dalla conoscenza del fatto per presentare querela, termine che non va mai trascurato.
La querela deve essere dettagliata: descrivere accuratamente il fatto, allegare la documentazione tecnica raccolta, indicare i danni subiti e individuare, ove possibile, i soggetti responsabili.
Il sequestro probatorio e preventivo
Parallelamente alla querela, l'impresa può sollecitare il pubblico ministero a richiedere il sequestro probatorio dei sistemi dell'autore dell'accesso abusivo, così da acquisire ulteriori elementi di prova. Nei casi in cui vi sia il rischio di dispersione delle prove o di reiterazione del reato, è possibile richiedere anche misure cautelari reali.
La tutela civile: il risarcimento del danno
Accanto all'azione penale, l'impresa lesa può esercitare l'azione civile per il risarcimento del danno, che comprende il danno patrimoniale (perdita di dati, costi di ripristino, mancato guadagno) e, ove ne ricorrano i presupposti, il danno non patrimoniale. Il danneggiato può costituirsi parte civile nel processo penale oppure promuovere un autonomo giudizio civile.
Cybersicurezza preventiva: gli obblighi imposti dalla Direttiva NIS2
Nel 2026, il quadro degli obblighi preventivi per le imprese in materia di cybersicurezza è notevolmente più denso rispetto al passato. La Direttiva NIS2, recepita nell'ordinamento italiano, impone a soggetti essenziali e importanti l'adozione di misure tecniche, operative e organizzative adeguate a gestire i rischi per la sicurezza dei sistemi informativi. Il mancato adempimento espone l'impresa a sanzioni amministrative significative, oltre a incrementare la propria responsabilità in caso di incidente.
La sinergia tra gli obblighi NIS2 e la tutela penale offerta dall'art. 615-ter c.p. delinea un sistema di protezione multilivello che richiede un approccio integrato: misure tecniche di prevenzione, procedure organizzative interne, contratti adeguati con i fornitori di servizi IT e una politica di gestione degli accessi strutturata.
Come IUS AI può supportare avvocati e imprese
Affrontare un procedimento per accesso abusivo a sistema informatico, sia come vittima che come difensore, richiede una preparazione documentale accurata e una conoscenza aggiornata della giurisprudenza in materia.
IUS AI mette a disposizione di avvocati e studi legali uno strumento avanzato di ricerca su oltre 100.000 sentenze, che consente di individuare rapidamente i precedenti giurisprudenziali rilevanti sul reato di cui all'art. 615-ter c.p., sulle aggravanti contestate e sulla responsabilità degli enti. Questo permette di costruire difese più solide e di valutare con maggiore precisione le prospettive di un procedimento.
Inoltre, la funzione di generazione di contratti e atti legali tramite intelligenza artificiale consente di redigere in tempi rapidi policy aziendali sull'accesso ai sistemi informatici, accordi di riservatezza per dipendenti e collaboratori, e clausole contrattuali specificamente dedicate alla protezione delle infrastrutture digitali.
Puoi iniziare a esplorare queste funzionalità registrandoti gratuitamente su IUS AI.
FAQ: domande frequenti sull'accesso abusivo a sistema informatico
Un dipendente che accede alla posta elettronica del collega commette reato?
Sì, se l'accesso avviene senza il consenso del titolare dell'account e il sistema è protetto da misure di sicurezza, anche minime come una password. La giurisprudenza di legittimità è consolidata nel ritenere integrato il reato anche quando le misure di protezione non siano sofisticate.
Il datore di lavoro può controllare il computer aziendale del dipendente?
Il controllo del datore di lavoro sui dispositivi aziendali è regolato dall'art. 4 dello Statuto dei Lavoratori e dal GDPR. I controlli devono essere preventivamente autorizzati e non possono essere diretti a verificare l'attività lavorativa in modo occulto. Il superamento di questi limiti può integrare, a seconda dei casi, un illecito disciplinare o addirittura penale.
L'azienda è obbligata a denunciare un accesso abusivo?
Non esiste in linea generale un obbligo di denuncia per le persone giuridiche private. Tuttavia, per i soggetti inclusi nell'ambito di applicazione della Direttiva NIS2 e del Regolamento DORA (per il settore finanziario), vi sono specifici obblighi di notifica degli incidenti significativi alle autorità competenti, indipendentemente dal profilo penale.
Cosa si intende per misure di sicurezza rilevanti ai fini dell'art. 615-ter?
La giurisprudenza ha adottato un'interpretazione estensiva: qualsiasi meccanismo che esprima la volontà del titolare di limitare l'accesso al sistema è sufficiente. Non è necessario che si tratti di sistemi di protezione tecnologicamente avanzati: una semplice password è considerata misura di sicurezza idonea.
Un attacco ransomware può configurare più reati contemporaneamente?
Certamente. Un attacco ransomware tipico integra almeno le seguenti fattispecie: accesso abusivo al sistema (art. 615-ter), danneggiamento di sistemi informatici (art. 635-bis o 635-ter), e spesso anche estorsione (art. 629 c.p.) per la richiesta del riscatto. La pluralità di reati ha rilevanti conseguenze sul piano della procedibilità e delle sanzioni applicabili.
Conclusioni
L'accesso abusivo a sistema informatico è una fattispecie penale in continua evoluzione, che la giurisprudenza interpreta con crescente attenzione alla realtà tecnologica delle imprese moderne. Per le aziende, la prevenzione passa attraverso politiche di accesso strutturate, contratti adeguati con dipendenti e fornitori, e un Modello 231 che includa protocolli specifici per il rischio informatico.
Per gli avvocati, la padronanza di questo settore normativo richiede un aggiornamento costante e strumenti di ricerca giurisprudenziale efficienti. IUS AI è pensato esattamente per questa esigenza: unire la potenza dell'intelligenza artificiale alla profondità del diritto italiano.
Scopri come IUS AI può supportare il tuo studio legale o la tua azienda: registrati ora su IUS AI e accedi a tutte le funzionalità della piattaforma.