Responsabilità delle aziende negli incidenti informatici
1. Responsabilità civile (BGB, diritto della responsabilità extracontrattuale, obblighi contrattuali)
Le aziende possono essere responsabili se:
- a causa di misure di sicurezza informatica carenti viene inoltrato software dannoso;
- violano il dovere di diligenza abituale (ad es. nessun firewall, nessuna patch, nessun antivirus);
- un partner contrattuale subisce un danno (ad es. tramite e-mail infette o forniture di software contaminate).
Uno studio legale invia inconsapevolmente un trojan a un cliente.
Il cliente subisce una perdita di dati.
Lo studio è responsabile se non ha adottato le misure di protezione comuni (ad es. mancata formazione dei dipendenti, software obsoleto).
2. Responsabilità della direzione / del consiglio di amministrazione
Ai sensi del § 43 GmbHG o del § 93 AktG, amministratori e membri del consiglio di amministrazione devono agire con "la diligenza di un commerciante ordinato".
- Il livello dirigenziale deve garantire misure di sicurezza informatica adeguate (ad es. ISO 27001, BSI-Grundschutz).
- È possibile una responsabilità personale se, per colpa grave o dolo, non sono state adottate misure di protezione.
- In caso di danni: responsabilità interna nei confronti dell'azienda o responsabilità esterna nei confronti di terzi.
3. Responsabilità nei confronti di clienti / partner contrattuali
- Chi inoltra malware ai clienti può violare obblighi contrattuali accessori (§280 BGB).
- Può essere interpretato come prestazione difettosa o violazione di un obbligo.
- Sono possibili richieste di risarcimento danni (ad es. interruzione dell'attività, perdita di dati, costi di ripristino informatico).
4. Responsabilità di diritto pubblico (ad es. DSGVO)
- Obbligo di notifica all'autorità di controllo entro 72 ore (Art. 33 DSGVO, GDPR).
- Possibili sanzioni (fino a 20 mln. € o il 4 % del fatturato annuo, Art. 83 DSGVO).
- Responsabilità nei confronti degli interessati per danni immateriali (Art. 82 DSGVO).
5. Rischi penali
- In caso di colpa grave può essere inflitta una sanzione all'azienda (sanzione all'ente) ai sensi dell'OWiG.
- Nei casi gravi, ad es. in caso di inosservanza intenzionale della sicurezza informatica, sono ipotizzabili indagini nei confronti degli amministratori.
6. Obblighi per le aziende (obblighi di prevenzione)
Di regola un'azienda deve:
- utilizzare antivirus e firewall
- eseguire regolarmente aggiornamenti di sicurezza
- organizzare formazioni dei dipendenti sulla sicurezza informatica
- utilizzare controlli degli accessi e gestione dei permessi
- eseguire backup
- disporre di un piano di emergenza (incident response)
Le aziende che non adempiono a questi obblighi agiscono con negligenza e possono essere ritenute responsabili.
questo testo è stato letto su pagine online e ne è stato creato un riassunto con l'IA (Copilot/ChatGPT)