Le pubbliche amministrazioni sono soggette a obblighi stringenti in materia di sicurezza informatica, che assumono rilievo ancora maggiore in presenza di utilizzo di dispositivi elettronici personali da parte dei dipendenti. Il quadro normativo si articola su più livelli e prevede responsabilità precise per i dirigenti che non adempiono.

La normativa di riferimento

Il Codice dell’amministrazione digitale (art. 12) prevede che le pubbliche amministrazioni adottino ogni misura atta a garantire la sicurezza e la protezione delle informazioni e dei dati, tenendo conto delle migliori pratiche e degli standard nazionali, europei e internazionali. In caso di uso di dispositivi elettronici personali, l’amministrazione deve adottare ogni misura atta a garantire la sicurezza e la protezione delle informazioni e dei dati (art. 12, comma 3-bis). Il D.Lgs. n. 138/2024 (art. 24) impone ai soggetti essenziali e importanti l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza dei sistemi informativi.

Le misure obbligatorie

• Adozione di misure tecniche e organizzative adeguate, tenendo conto delle migliori pratiche e degli standard nazionali, europei e internazionali
• Informazione e formazione dei lavoratori sull’uso sicuro dei dispositivi, anche attraverso la diffusione di apposite linee guida
• Limitazione e controllo degli accessi, con sistemi di autenticazione forte e meccanismi di autorizzazione basati sul ruolo
• Tracciamento e audit delle operazioni, con conservazione dei file di log per un periodo adeguato
• Custodia e controllo dei documenti informatici con modalità che riducano al minimo i rischi di distruzione, perdita o accesso non autorizzato
• Piani di emergenza e continuità operativa, predisposti nel rispetto delle linee guida AgID
• Diversificazione e aggiornamento tempestivo dei prodotti di sicurezza informatica in presenza di rischi specifici

La responsabilità per mancata formazione

La Corte dei Conti ha chiarito in più occasioni che la mancata dimostrazione, da parte dell’amministrazione, di aver fornito un’adeguata informazione e formazione ai dipendenti sull’uso sicuro dei dispositivi elettronici personali comporta rilevanti implicazioni in termini di responsabilità. L’amministrazione non può imputare al dipendente la colpa grave per i danni derivanti da un uso improprio dei dispositivi in assenza di tale adempimento, e può essere chiamata a rispondere in proprio per i danni subiti dall’ente o da terzi (Corte dei Conti, Sez. II Centrale di Appello, n. 398/2023; Corte dei Conti Emilia Romagna n. 95/2022).

La mancata informazione e formazione incide negativamente sulla valutazione della performance dei dirigenti responsabili (art. 12 CAD; art. 31 D.L. n. 76/2020) e può esporre l’ente a sanzioni da parte degli organi di controllo. Per converso, la tolleranza amministrativa e la carenza di sistemi di sicurezza informatica adeguati attenuano la responsabilità del dipendente: il caso del medico che aveva infettato il sistema informatico aziendale accedendo alla propria posta personale è stato risolto in appello a favore del dipendente proprio perché l’amministrazione aveva implicitamente tollerato l’uso occasionale (Corte dei Conti n. 398/2023).