Attacchi cyber-physical e tutela nella grande distribuzione alimentare

Il recente attacco informatico che avrebbe compromesso i sistemi di refrigerazione di circa quaranta supermercati in almeno sette Stati membri dell’Unione europea, tra cui l’Italia, provocando danni economici stimati in diversi milioni di euro, offre lo spunto per una riflessione sull’evoluzione delle minacce informatiche e sulle relative implicazioni giuridiche, organizzative e assicurative.

1. Una nuova dimensione del rischio

La vicenda evidenzia il progressivo superamento della tradizionale distinzione tra danno informatico e danno materiale. Per lungo tempo, infatti, il cybercrime e la sicurezza informatica sono stati associati prevalentemente a fenomeni confinati nella dimensione immateriale (esfiltrazione di segreti industriali, violazione di banche dati contenenti informazioni personali, frode informatica o indisponibilità dei sistemi informativi).

L’attacco ai sistemi di refrigerazione della grande distribuzione alimentare, invece, rientra nella categoria dei cd. incidenti cyber-physical, nei quali la compromissione di reti, software e sistemi di controllo produce effetti immediati su impianti, beni e processi fisici. Il bersaglio non è più soltanto il patrimonio informativo dell’impresa ma, anche, la capacità di quest’ultima di mantenere operativi i propri processi essenziali e, nel caso della grande distribuzione alimentare, di garantire la continuità della catena del freddo e l’apertura dei punti vendita.

Nel settore della grande distribuzione alimentare, sistemi di refrigerazione, climatizzazione, telemetria e manutenzione da remoto sono spesso interconnessi con la rete aziendale e gestiti, almeno in parte, da fornitori esterni. Una vulnerabilità nel software di controllo, in un dispositivo di rete o in un accesso remoto può quindi propagarsi a numerosi punti vendita, trasformando un singolo fornitore tecnologico in un potenziale single point of failure idoneo a compromettere il funzionamento dell’intero sistema.

Anche il danno assume una natura composita. Esso può comprendere il valore delle merci non più commercializzabili, le spese di verifica, segregazione e smaltimento dei beni, i costi di ripristino degli apparati, le spese di incident response e digital forensics, nonché la perdita di margine derivante dalla sospensione o dalla riduzione dell’attività commerciale.

2. La sicurezza della filiera e gli obblighi NIS2

Il primo presidio contro il rischio cyber-physical consiste nell’adozione di un sistema strutturato di valutazione e monitoraggio dei fornitori. Nella grande distribuzione, infatti, la superficie di attacco non coincide con i soli sistemi direttamente gestiti dall’impresa, ma comprende anche infrastrutture, software, servizi cloud, apparati OT e accessi remoti messi a disposizione da manutentori, integratori e altri partner tecnologici.

È quindi necessario procedere a una mappatura dei fornitori rilevanti, individuando i servizi prestati, i sistemi interessati, le connessioni con le reti IT e OT e le modalità di accesso remoto. I fornitori dovrebbero essere classificati in funzione della criticità della prestazione, del livello di accesso ai sistemi e dell’impatto che un’eventuale interruzione del servizio potrebbe determinare sull’attività aziendale.

In questo contesto, assume particolare rilievo il decreto legislativo 4 settembre 2024, n. 138, con cui l’Italia ha recepito la direttiva (UE) 2022/2555, cosiddetta NIS2. La disciplina ricomprende, a determinate condizioni, le imprese operanti nel settore della produzione, trasformazione e distribuzione di alimenti. L’assoggettamento alla normativa deve tuttavia essere verificato caso per caso, considerando i requisiti dimensionali e gli ulteriori presupposti previsti dalla legge.

Per i soggetti che la normativa qualifica come essenziali e importanti, la NIS2 introduce obblighi di gestione del rischio informatico che non possono essere assolti mediante il semplice acquisto di strumenti tecnologici o l’esternalizzazione delle attività di sicurezza. L’impresa deve, infatti, adottare un sistema effettivo di governance, definendo responsabilità, procedure, criteri di valutazione del rischio e flussi informativi verso gli organi di amministrazione e direzione.

L’approccio richiesto è multi-rischio e comprende non soltanto le minacce informatiche, ma anche i rischi fisici, ambientali, organizzativi e umani che possono compromettere la disponibilità o la continuità dei sistemi.

Sul piano operativo, l’assolvimento degli obblighi NIS2 richiede, tra l’altro di: (a) mappare le interconnessioni tra reti IT,  OT, dispositivi IoT e piattaforme di gestione centralizzata; (b) identificare e controllare gli accessi remoti di manutentori e fornitori; (c) classificare i fornitori in base alla criticità del servizio prestato e ai privilegi di accesso ai sistemi; (d) verificare la gestione delle vulnerabilità e l’installazione degli aggiornamenti e delle patch; (e) assicurare un’adeguata segmentazione delle reti amministrative e operative; (f) testare periodicamente i sistemi di backup, ripristino e continuità operativa; e (g) disciplinare contrattualmente gli obblighi di cooperazione e di comunicazione in caso di incidente.

In questa prospettiva, la determinazione ACN del 14 aprile 2025, n. 164179, attribuisce specifico rilievo all’inventario dei fornitori e alla loro prioritizzazione in funzione della criticità, nonché alla valutazione dei rischi della catena di approvvigionamento.

La gestione della supply chain non rappresenta, dunque, soltanto una buona prassi organizzativa, ma per le imprese soggette alla NIS2, costituisce parte integrante degli obblighi di sicurezza. Mentre per le imprese non direttamente assoggettate alla disciplina, l’adozione di analoghe misure può rappresentare un importante strumento di prevenzione del rischio operativo e di dimostrazione della diligenza organizzativa.

3. La risposta contrattuale nella catena dei fornitori e il riparto del rischio

La gestione del rischio cyber-physical non può esaurirsi nella selezione e nel monitoraggio dei fornitori. Essa deve tradursi anche in una redazione contrattuale analitica, capace di definire preventivamente prestazioni, obblighi di sicurezza e responsabilità lungo la filiera tecnologica.

Non sono sufficienti clausole generiche che impongano al fornitore un’indistinta obbligazione di sicurezza informatica. Occorre, piuttosto, individuare con precisione i sistemi interessati, le reti accessibili, i dati trattati, le attività di manutenzione e teleassistenza e gli eventuali subfornitori coinvolti.

Queste informazioni dovrebbero essere riportate nel contratto o in appositi allegati tecnici vincolanti, così da delimitare concretamente il perimetro delle prestazioni e delle responsabilità assunte.

Particolare attenzione deve essere dedicata alla gestione delle vulnerabilità e degli incidenti. Il fornitore dovrebbe essere tenuto a comunicare tempestivamente le vulnerabilità rilevanti, proporre misure correttive, rispettare termini definiti per l’installazione degli aggiornamenti di sicurezza e segnalare eventuali incompatibilità tecniche.

Un ulteriore profilo riguarda il ricorso a subfornitori e subappaltatori. È opportuno prevedere obblighi di comunicazione preventiva, identificazione dei soggetti coinvolti e indicazione dei servizi affidati e dei relativi livelli di accesso. Il contratto dovrebbe, inoltre, imporre il rispetto di standard di sicurezza equivalenti a quelli previsti per il fornitore principale, mantenendo in capo a quest’ultimo adeguati obblighi di coordinamento e controllo.

Soltanto dopo avere definito prestazioni, standard e responsabilità operative è possibile disciplinare efficacemente il profilo economico. Le clausole di responsabilità dovrebbero distinguere, tra l’altro, tra indisponibilità del servizio, violazione degli obblighi di sicurezza, ritardo nella segnalazione degli incidenti, perdita o alterazione dei dati e condotte dei subfornitori. Eventuali penali e limitazioni di responsabilità dovrebbero essere coerenti con la criticità del servizio e con il danno potenzialmente derivante dalla sua interruzione, evitando che i limiti contrattuali risultino tali da svuotare di contenuto gli obblighi assunti.

L’obiettivo, in definitiva, non è trasferire integralmente il rischio al fornitore mediante una clausola generale, ma attribuire obblighi specifici e verificabili al soggetto che dispone delle competenze e dei mezzi necessari per gestirli. Un contratto efficace deve consentire di individuare, per ciascuna fase del rapporto, l’attività dovuta, il soggetto responsabile, lo standard applicabile, i tempi di adempimento e le conseguenze dell’eventuale inadempimento.

4. Il rischio cyber-physical e la risposta assicurativa

Gli incidenti cyber-physical pongono anche rilevanti questioni di coordinamento tra diverse forme di copertura assicurativa. Il rischio in esame si colloca, infatti, al confine tra la polizza Cyber, la polizza Property e la garanzia per Business Interruption.

La polizza Cyber può coprire, in funzione delle condizioni contrattuali, i costi di incident response, digital forensics, consulenza tecnica e legale, contenimento dell’attacco e ripristino dei sistemi, oltre alle eventuali perdite derivanti dall’interruzione dell’attività. È quindi essenziale verificare che la definizione di “sistema informatico” inclusa nella polizza comprenda anche le infrastrutture OT, i dispositivi IoT, i PLC, gli apparati di controllo utilizzati, nel caso di specie, per la gestione della catena del freddo.

La polizza Property può invece operare per i danni materiali agli impianti frigoriferi, ai server, ai dispositivi di rete e ai quadri di controllo. Non è tuttavia scontato che siano coperti anche i costi di ricostruzione del software, la reinstallazione delle configurazioni, la perdita di dati o le conseguenze economiche dell’indisponibilità dei sistemi. Tali voci devono essere espressamente previste oppure ricondotte a una diversa garanzia.

La garanzia per Business Interruption deve essere esaminata con particolare attenzione al periodo di indennizzo, alla franchigia temporale e ai criteri di determinazione del margine lordo perduto. La quantificazione del pregiudizio dovrebbe considerare anche i costi variabili non sostenuti, le vendite eventualmente recuperate nei giorni successivi e i maggiori costi affrontati per mantenere parzialmente operativa la rete commerciale.

Per gli operatori della grande distribuzione assume inoltre particolare importanza la copertura per il deterioramento delle merci deperibili. Le condizioni di polizza dovrebbero chiarire espressamente se l’indennizzo opera anche quando la perdita della temperatura sia conseguenza di un attacco informatico, disciplinando i criteri di valorizzazione delle merci e il rimborso delle spese di verifica, segregazione e smaltimento.

In ragione di quanto sopra, una tutela assicurativa adeguata non consiste normalmente nel ricorso a una singola polizza standardizzata, ma nella costruzione di un programma assicurativo modulare comprendente:

• una garanzia Cyber per i costi di risposta, contenimento e ripristino;
• una garanzia Property per i danni materiali agli impianti e agli apparati;
• una garanzia specifica per il deterioramento delle merci refrigerate;
• una garanzia Business Interruption per il margine perduto e i maggiori costi di esercizio;
• una garanzia di responsabilità civile verso terzi; e
• eventuali estensioni relative ai fornitori critici, ai servizi cloud e alla compromissione della supply chain.

In alcuni casi può essere utile valutare anche il ricorso a coperture parametriche nelle quali l’indennizzo è collegato al verificarsi di indicatori oggettivi predeterminati quali, ad esempio, la durata dell’indisponibilità dei sistemi o il superamento di determinate soglie di temperatura. La dottrina ha, infatti, individuato nelle polizze parametriche uno strumento potenzialmente utilizzabile anche per la copertura del lucro cessante conseguente a interruzioni dell’attività provocate da un guasto informatico derivante da un cyber-attack. Anche in tal caso, però, l’efficacia dello strumento dipende dalla corretta individuazione degli indici parametrici e dalla loro effettiva correlazione con il danno.

5. Conclusioni

L’attacco ai sistemi di refrigerazione dimostra che la cybersecurity non riguarda più soltanto la protezione dei dati e delle infrastrutture informatiche. Quando i sistemi digitali governano impianti e processi fisici, una vulnerabilità informatica può tradursi nel deterioramento delle merci, nella chiusura dei punti vendita e nell’interruzione della distribuzione, con conseguenze economiche che si propagano lungo l’intera filiera.

La risposta richiede un approccio integrato.

Sul piano regolatorio, occorre verificare l’applicabilità della NIS2 e, ove pertinente, assicurare una concreta gestione del rischio informatico e dei fornitori.

Sul piano contrattuale, è necessario definire con precisione gli obblighi dell’intera catena dei fornitori, con particolare riguardo agli accessi remoti, agli aggiornamenti, alla gestione delle vulnerabilità, alla segmentazione delle reti, ai backup e alla continuità operativa.

Sul piano assicurativo, infine, occorre coordinare le coperture Cyber, Property, deterioramento delle merci e Business Interruption, verificando preventivamente eventuali sovrapposizioni ed esclusioni.

La lezione principale è, quindi, che la sicurezza della catena del freddo non può essere valutata separatamente dalla sicurezza della catena digitale. La protezione dell’impresa dipende dalla capacità di governare congiuntamente infrastrutture tecnologiche, rapporti con i fornitori, obblighi normativi e strumenti di protezione assicurativa.