[Sicurezza Informatica]  [Automazione]  [Responsabilità Organizzativa]

Affidarsi a un collega che ‘ricorda’ di revocare le credenziali non è una procedura: è un rischio. La giurisprudenza è sempre più esplicita nel sanzionare la revoca manuale come misura insufficiente, in particolare nei contesti in cui il rischio è elevato e il turnover è frequente.

1. Il problema strutturale dei controlli manuali

Le procedure di revoca delle credenziali basate su controlli manuali, non automatizzati, presentano un difetto intrinseco: dipendono dall’attenzione, dalla memoria e dalla disponibilità di persone fisiche in un momento (la cessazione del rapporto o il cambio di mansioni) che è tipicamente caotico, carico di adempimenti concorrenti, e spesso privo di presidi organizzativi adeguati. Il rischio di errore non è un’eccezione: è una costante strutturale di questi sistemi.

La normativa e la giurisprudenza hanno preso atto di questa realtà. Le procedure manuali non sono illegittime in assoluto, ma devono essere accompagnate da presidi compensativi (monitoraggio, audit, alert automatici) che ne riducano il margine di errore a livelli accettabili. In assenza di tali presidi, le procedure manuali sono considerate inadeguate agli standard richiesti.

2. Il quadro normativo: tempestività come sinonimo di automazione

La normativa non prescrive espressamente l’automazione, ma richiede la ‘tempestività immediata’ della revoca. Questo standard, nella pratica, è difficilmente raggiungibile con procedure puramente manuali. Il D.M. 12 luglio 2023, n. 114 (sistema SITAM) dispone che le credenziali non utilizzate da almeno dodici mesi siano disabilitate automaticamente, e che in caso di cessazione del rapporto venga data immediata comunicazione all’ufficio competente perché provveda alla disabilitazione. La Cassazione penale (n. 40295/2024) ha valorizzato l’adozione di sistemi automatici come elemento positivo nella valutazione dell’adeguatezza delle misure di sicurezza.

3. Le conseguenze legali della revoca manuale inadeguata

Il TAR L’Aquila (n. 288/2025) ha affermato che l’abilitazione ai servizi telematici è strettamente personale e il suo trasferimento a terzi costituisce una grave irregolarità che giustifica la revoca delle abilitazioni stesse. Questa pronuncia, riferita all’accesso ai servizi dell’Agenzia delle Entrate, esprime un principio di portata generale: la mancata custodia delle credenziali, resa possibile da procedure di gestione inadeguate, produce effetti giuridici diretti sia per il dipendente che per il datore di lavoro.

Sul piano civilistico, il Tribunale di Frosinone (n. 426/2023) e il Tribunale di Latina (n. 1051/2023) hanno affermato la responsabilità del datore di lavoro per danni da accesso abusivo resi possibili dalla mancata tempestiva revoca delle credenziali. In entrambi i casi, la carenza organizzativa (l’assenza di procedure automatizzate o di presidi compensativi adeguati) è stata il fulcro della valutazione di responsabilità.

4. Il rischio penale: omessa vigilanza e concorso colposo

La Cassazione penale (sez. V, n. 27900/2023 e n. 40295/2024) ha chiarito che il titolare del sistema informatico ha l’onere di adottare tutte le misure idonee a prevenire accessi non autorizzati. Questo onere non si esaurisce nell’adozione formale di misure: include la loro effettiva implementazione e il monitoraggio della loro efficacia. Il datore di lavoro che affida la revoca delle credenziali a un processo manuale privo di verifiche (e che per questa ragione non rileva tempestivamente che un ex dipendente sta ancora accedendo ai sistemi) può essere chiamato a rispondere in concorso, almeno sotto il profilo della colpa, per i reati informatici commessi dall’ex dipendente.

5. Misure compensative per i sistemi con revoca manuale

Per i datori di lavoro che non possono implementare immediatamente sistemi di revoca automatizzata, la giurisprudenza e la prassi del Garante suggeriscono l’adozione di misure compensative che riducano il rischio residuo:

• Disattivazione automatica delle credenziali inutilizzate da oltre sei mesi (misura minima, non sostituibile con procedure manuali);
• Checklist documentata di offboarding informatico, con firma del responsabile IT e timestamp di ogni revoca;
• Alert automatici in caso di accesso con credenziali di personale in stato ‘cessato’ nel sistema HR;
• Audit trimestrale (non solo annuale) in presenza di alto turnover, con report documentato;
• Doppia firma per le revoche: il responsabile HR e il responsabile IT devono entrambi certificare la disattivazione;
• Notifica automatica al DPO per ogni disattivazione tardiva (oltre 24 ore dalla cessazione).

6. Il benchmark internazionale: ISO 27001 e NIS2

Il D. Lgs. 138/2024, attuativo della Direttiva NIS2, impone ai soggetti rientranti nel suo ambito applicativo l’adozione di politiche di controllo dell’accesso, gestione delle identità e soluzioni di autenticazione a più fattori o continua. Questi standard, elaborati nell’ambito della normativa sulla cybersicurezza, stanno progressivamente influenzando la valutazione giudiziale dell’adeguatezza delle misure anche per i soggetti non formalmente destinatari della NIS2. Il giudice che valuta la diligenza di un datore di lavoro nel 2025 non può ignorare che i sistemi automatizzati di gestione delle identità digitali (IAM — Identity and Access Management) sono tecnologia corrente, non avanzata, e che il loro costo è accessibile anche per le medie imprese.