Attacchi hacker, ora i supermercati colpiti rischiano anche multe salate

Le multe ai supermercati hackerati potrebbero diventare il nuovo capitolo di una vicenda che ha già provocato danni economici e preoccupazioni in diversi Paesi europei. Dopo le incursioni informatiche contro gli impianti di refrigerazione, il Governo italiano ha alzato il livello di attenzione. Ma ora emerge una questione ancora più scomoda: un’azienda colpita dai criminali informatici può essere sanzionata anche per non essersi protetta adeguatamente? La risposta dipende dagli obblighi applicabili, dalle misure adottate e dalle eventuali violazioni accertate. Il quadro normativo europeo prevede multe milionarie, ma non punisce automaticamente chi subisce un attacco.

La vicenda segna un passaggio importante. Finora l’attenzione si era concentrata soprattutto sulle merci deteriorate, sui sistemi violati e sulle possibili responsabilità degli hacker. Adesso entra in scena un secondo conto, potenzialmente molto più salato: quello della mancata prevenzione. Ed è un problema che riguarda anche soggetti diversi dai supermercati, dai produttori alimentari alle società incaricate della manutenzione tecnologica.

Palazzo Chigi interviene, ma l’Italia non è in emergenza

Il vertice del 3 novembre a Palazzo Chigi, al quale hanno partecipato il sottosegretario Alfredo Mantovano, il ministro Francesco Lollobrigida e i vertici della cybersicurezza e dell’intelligence, ha restituito una fotografia meno drammatica di quella circolata nelle prime ore dell’allarme.

Secondo le verifiche comunicate dal Governo, gli attacchi informatici hanno interessato un numero limitato di attività commerciali italiane rispetto alle migliaia presenti sul territorio nazionale. Inoltre, non sono emersi casi di rischio sanitario per i cittadini riconducibili allo scongelamento degli alimenti.

Il dato rassicurante, tuttavia, convive con un’altra constatazione. Negli esercizi coinvolti sono state riscontrate prevalentemente tecnologie di sicurezza obsolete, interfacce raggiungibili direttamente attraverso Internet e carenze nei sistemi di autenticazione. La maggior parte della distribuzione nazionale risulterebbe invece dotata di protezioni aggiornate.

La differenza è fondamentale: il problema non sarebbe una vulnerabilità indistinta dell’intero sistema commerciale, ma la presenza di punti deboli che possono trasformare una normale operazione di manutenzione digitale in un’occasione di sabotaggio.

Per comprendere come si siano verificati gli incidenti e quali conseguenze abbiano prodotto nei supermercati italiani ed europei, è possibile consultare la nostra precedente ricostruzione degli attacchi hacker ai supermercati e alla catena del freddo. Il nuovo interrogativo riguarda invece quello che potrebbe accadere dopo gli accertamenti.

Multe ai supermercati hackerati: cosa prevede davvero la legge

Essere vittima di un attacco informatico non costituisce, di per sé, un illecito amministrativo. È un principio da tenere presente mentre prende forma il dibattito sulle eventuali sanzioni.

Un’impresa può subire un’intrusione nonostante abbia adottato misure ragionevoli e conformi agli obblighi di legge. Nessun sistema informatico garantisce una protezione assoluta. Diverso è il caso di un’organizzazione che abbia trascurato prescrizioni applicabili, ignorato carenze conosciute o mantenuto configurazioni insicure senza predisporre contromisure adeguate.

Qui entra in gioco la direttiva europea NIS2, recepita in Italia con il decreto legislativo 138 del 2024. La normativa impone ai soggetti che rientrano nel suo campo di applicazione di gestire i rischi informatici, proteggere i sistemi, organizzare la risposta agli incidenti e rispettare specifici obblighi di comunicazione.

Non si tratta semplicemente di acquistare un antivirus o incaricare un tecnico di cambiare periodicamente le password. La sicurezza deve diventare parte dell’organizzazione aziendale, con responsabilità definite, procedure verificabili e strumenti proporzionati ai rischi.

La sanzione, dunque, non deriva dal fatto che un hacker sia riuscito a entrare, ma dall’eventuale inosservanza degli obblighi previsti. E prima di parlare di multe occorre stabilire quali imprese siano effettivamente assoggettate alla disciplina.

Sanzioni NIS2: fino a 7 milioni per i soggetti importanti

Le cifre contenute nella normativa sono sufficienti a richiamare l’attenzione di qualsiasi consiglio di amministrazione.

L’articolo 38 del decreto legislativo 138/2024 prevede, per determinate violazioni commesse dai soggetti importanti, sanzioni amministrative che possono arrivare a 7 milioni di euro oppure all’1,4% del fatturato annuo mondiale, quando questa percentuale determina un importo superiore.

Per i soggetti essenziali il massimo sale a 10 milioni di euro oppure al 2% del fatturato mondiale, se più elevato. Si tratta di limiti riferiti alle violazioni individuate dalla legge, non di una tariffa applicabile a ogni incidente informatico.

C’è inoltre un dettaglio decisivo. Nell’ambito alimentare, la NIS2 comprende determinate imprese impegnate nella distribuzione all’ingrosso e nella produzione o trasformazione industriale, in presenza delle condizioni richieste. Queste attività rientrano tra gli altri settori critici e sono generalmente classificate come soggetti importanti, salvo differenti qualificazioni previste dalla normativa.

Non tutti i supermercati, quindi, rischiano automaticamente una sanzione NIS2. Un singolo punto vendita al dettaglio non entra necessariamente nel perimetro della direttiva soltanto perché utilizza frigoriferi collegati a Internet.

Bisogna considerare la natura dell’impresa, le attività effettivamente svolte, le dimensioni, l’eventuale iscrizione nell’elenco nazionale NIS e gli specifici obblighi applicabili. Senza queste verifiche, attribuire a un esercizio commerciale il rischio di una multa milionaria sarebbe una conclusione arbitraria.

Il dettaglio che cambia tutto: le scadenze di ottobre 2026

La coincidenza temporale merita attenzione. Per numerose organizzazioni italiane inserite nell’elenco NIS nel 2025, l’ottobre 2026 ha segnato il termine per adottare le misure di sicurezza di base richieste dall’Agenzia per la cybersicurezza nazionale.

La scadenza non era necessariamente identica per tutte le imprese: il termine ordinario era di diciotto mesi dalla comunicazione individuale di inserimento nell’elenco. Per i soggetti entrati per la prima volta nel 2026, invece, le disposizioni attuative prevedono il 31 luglio 2027.

Gli attacchi ai supermercati sono arrivati proprio mentre una parte significativa del sistema produttivo avrebbe già dovuto completare questo percorso di adeguamento.

È importante non confondere i due piani. La vicinanza delle date non dimostra che le imprese colpite fossero inadempienti. Per stabilirlo servirebbero controlli sulle singole organizzazioni e sulle misure effettivamente richieste.

Tuttavia, l’episodio offre alle autorità un’occasione concreta per valutare quanto le prescrizioni sulla sicurezza siano state tradotte in comportamenti operativi. Perché una procedura approvata sulla carta può essere perfettamente inutile se, nella pratica, una centralina continua a essere accessibile dall’esterno con protezioni insufficienti.

Il punto debole potrebbe essere il fornitore, non il supermercato

La vicenda presenta un aspetto che merita probabilmente più attenzione delle temperature raggiunte dai congelatori: chi controlla davvero i sistemi digitali utilizzati nei punti vendita?

Una catena commerciale può acquistare apparecchiature da un produttore, affidare la manutenzione a una seconda società e utilizzare una piattaforma di gestione sviluppata da un terzo operatore. In mezzo ci sono connessioni remote, credenziali tecniche, autorizzazioni e servizi condivisi.

Il collegamento con l’esterno ha una funzione legittima. Permette di rilevare guasti, intervenire rapidamente e verificare il funzionamento degli impianti durante le ore di chiusura. Ma introduce anche una dipendenza: se viene compromesso un accesso utilizzato dal manutentore, il problema può propagarsi agli apparecchi che quel soggetto è autorizzato a gestire.

Un episodio tedesco segnalato dopo la nuova ondata di intrusioni ha alimentato proprio questa ipotesi. In un supermercato gestito da un’organizzazione benefica, i sospetti si sono concentrati sull’azienda incaricata del controllo remoto della refrigerazione. Si tratta di una ricostruzione relativa a quel caso, non della prova che tutti gli attacchi europei abbiano seguito la medesima strada.

La distinzione è importante anche sul piano giuridico. Se un servizio affidato all’esterno viene compromesso, occorre ricostruire quali obblighi spettassero al cliente, quali al fornitore e quali misure fossero state concordate.

L’esternalizzazione della manutenzione non elimina automaticamente le responsabilità dell’impresa che utilizza il sistema. Allo stesso tempo, un eventuale inadempimento del fornitore deve essere dimostrato sulla base dei contratti e delle circostanze concrete.

Quando il contratto di manutenzione diventa una questione di sicurezza nazionale

Questa frammentazione delle responsabilità rappresenta una delle difficoltà più rilevanti della digitalizzazione industriale.

In un’organizzazione tradizionale era relativamente semplice individuare chi dovesse intervenire su un frigorifero guasto. Quando il problema riguarda un software, un collegamento remoto o un accesso condiviso tra diversi clienti, l’individuazione delle responsabilità diventa più complessa.

La NIS2 dedica attenzione proprio alla sicurezza della catena di approvvigionamento, imponendo ai soggetti interessati di considerare anche i rischi derivanti dai rapporti con fornitori e prestatori di servizi.

La domanda che un’impresa dovrebbe porsi non riguarda soltanto la solidità della propria rete aziendale. Occorre sapere quante aziende esterne possono entrare nei suoi sistemi, con quali autorizzazioni e attraverso quali controlli.

È una questione che supera largamente i confini della grande distribuzione. Lo stesso meccanismo riguarda impianti di climatizzazione, magazzini automatizzati, sistemi di gestione degli edifici, macchinari industriali e apparecchiature connesse presenti in numerosi settori economici.

Un accesso remoto compromesso può diventare un problema collettivo quando viene utilizzato per amministrare strutture appartenenti a imprese diverse.

Chi paga i danni? Le responsabilità economiche restano aperte

Le eventuali sanzioni amministrative rappresentano soltanto una parte del problema. Gli attacchi hanno prodotto perdite di merci, interventi straordinari, verifiche tecniche e interruzioni dell’attività commerciale.

Una volta identificata la causa di ciascun incidente, potrebbero emergere controversie tra proprietari degli esercizi, gestori degli impianti, manutentori e produttori delle tecnologie interessate.

Il risarcimento non è però automatico. Per ottenere un ristoro occorre individuare il soggetto eventualmente responsabile, dimostrare il danno e verificare il collegamento tra la condotta contestata e le perdite subite. Anche l’eventuale copertura assicurativa dipende dalle condizioni delle polizze sottoscritte.

Antonio Portaccio, presidente di Italgrob, la federazione dei distributori Ho.Re.Ca. associata a Confindustria, ha sollecitato un intervento strutturale che comprenda sostegno all’ammodernamento tecnologico, protocolli condivisi e strumenti economici di supporto per gli operatori danneggiati.

La richiesta mette in evidenza un problema concreto. Una grande catena può disporre di personale specializzato e investimenti dedicati alla cybersicurezza. Per un esercizio indipendente, sostituire centraline obsolete, rivedere gli accessi e aggiornare le infrastrutture può rappresentare un impegno finanziario molto più gravoso.

Le differenze di capacità economica non cancellano gli obblighi applicabili, ma incidono sulla possibilità di affrontare rapidamente i costi della prevenzione.

La pista russa o iraniana e il rischio di trasformare le ipotesi in certezze

Resta aperto il capitolo investigativo. Secondo le ricostruzioni giornalistiche del 4 novembre, gli accertamenti starebbero esaminando anche un’utenza riconducibile all’India, mentre tra le ipotesi considerate figurano possibili collegamenti con ambienti russi o iraniani.

Per il momento, però, non risulta un’attribuzione ufficiale e verificata degli attacchi a uno Stato o a una specifica organizzazione.

La provenienza geografica di un collegamento informatico non coincide necessariamente con quella dell’autore. I criminali possono utilizzare server intermedi, infrastrutture compromesse e servizi localizzati in Paesi completamente estranei all’operazione.

L’ipotesi della guerra ibrida resta dunque un possibile elemento di analisi, non una conclusione definitiva. I precedenti documentati di attacchi rivendicati da gruppi filorussi dimostrano che il settore è già entrato nell’interesse di ambienti ostili, ma non consentono di identificare automaticamente i responsabili degli ultimi episodi.

Il coinvolgimento dell’intelligence e l’attenzione del Copasir mostrano comunque che le autorità considerano questa tipologia di minaccia rilevante anche per la sicurezza nazionale.

Le imprese chiedono protezione, i consumatori pretendono garanzie

Nel frattempo, le principali organizzazioni del settore cercano di evitare un clima di allarmismo generalizzato.

Il presidente di Federdistribuzione, Carlo Alberto Buttarelli, ha dichiarato il 3 novembre che nelle reti delle imprese associate di medie e grandi dimensioni non risultavano criticità, sottolineando gli investimenti già effettuati per rafforzare le infrastrutture digitali.

Parallelamente, Consumerismo No Profit ha chiesto un rafforzamento delle verifiche informatiche sugli impianti di refrigerazione, accompagnato da sistemi di monitoraggio delle temperature indipendenti dalle piattaforme digitali utilizzate per la gestione ordinaria.

Le due posizioni non sono necessariamente in contraddizione. Si può riconoscere che la maggior parte delle attività sia sufficientemente protetta e, nello stesso tempo, considerare inaccettabile che apparecchiature utilizzate per conservare alimenti rimangano esposte a intrusioni evitabili.

Un’impresa alimentare deve infatti garantire la sicurezza dei prodotti indipendentemente dalla causa di un eventuale guasto. Il fatto che un frigorifero sia stato sabotato non rende automaticamente commercializzabile la merce conservata in condizioni non idonee.

Questo principio resta valido anche quando l’origine dell’incidente è un’aggressione informatica esterna.

Il vero problema è che nessuno vuole pagare prima

Gli attacchi ai supermercati hanno riportato alla luce una contraddizione economica piuttosto comune. Digitalizzare conviene perché riduce i tempi di intervento, facilita il controllo delle apparecchiature e permette una gestione più efficiente delle attività. Proteggere tutto ciò costa, e il beneficio di un investimento nella prevenzione spesso diventa evidente soltanto quando si verifica un incidente.

Finché gli impianti funzionano, una centralina da aggiornare può sembrare una spesa rinviabile. Dopo un’intrusione, la stessa decisione può trasformarsi in una perdita di merci, in una controversia contrattuale o, per i soggetti sottoposti a specifici obblighi, in un possibile accertamento amministrativo.

Ma sarebbe troppo semplice ridurre la vicenda a una contrapposizione tra aziende diligenti e imprese negligenti. Il settore dipende da tecnologie realizzate in anni differenti, manutenzioni affidate a operatori esterni e catene commerciali che non sempre hanno un’organizzazione uniforme.

Per questo servono controlli proporzionati, investimenti sostenibili e responsabilità chiaramente attribuite. La prevenzione non può essere lasciata esclusivamente all’iniziativa del singolo punto vendita, soprattutto quando una vulnerabilità può coinvolgere contemporaneamente più strutture.

La questione delle multe ai supermercati hackerati, alla fine, racconta un problema più grande: chi deve sostenere il costo della sicurezza di un’economia che ha affidato a Internet una parte crescente delle proprie funzioni materiali?

Il Governo può intensificare i controlli e le aziende possono aggiornare i sistemi. Rimane però una scelta di fondo, tutt’altro che tecnologica: considerare la cybersicurezza una spesa da ridurre oppure una condizione necessaria per continuare a operare.

Gli hacker hanno dimostrato che è possibile danneggiare la distribuzione alimentare senza entrare in un magazzino. Adesso tocca alle imprese e alle istituzioni dimostrare che proteggere un’infrastruttura essenziale non significa soltanto intervenire dopo che qualcuno ne ha individuato le debolezze.

Domande frequenti sulle multe ai supermercati hackerati

Un supermercato può essere multato se subisce un attacco hacker?

Non automaticamente. Le sanzioni possono essere applicate quando vengono accertate specifiche violazioni di obblighi di sicurezza previsti dalla normativa applicabile. Subire un attacco informatico, da solo, non dimostra un’inadempienza.

Quanto possono arrivare a costare le sanzioni NIS2?

Per determinate violazioni, i soggetti importanti possono essere sanzionati fino a 7 milioni di euro o all’1,4% del fatturato mondiale, se superiore. Per i soggetti essenziali il limite può raggiungere 10 milioni o il 2% del fatturato, secondo i criteri previsti dalla legge.

La normativa NIS2 si applica a tutti i supermercati?

No. Il campo di applicazione dipende dalla tipologia di attività, dalle dimensioni dell’organizzazione, dalle eventuali condizioni specifiche previste dalla normativa e dalla sua qualificazione come soggetto NIS. La semplice vendita al dettaglio di alimenti non determina automaticamente l’assoggettamento alla disciplina.