Lunedì mattina, ore 7.40. Il responsabile della logistica accende il gestionale e trova una schermata nera con una richiesta di riscatto. I server sono cifrati, il software degli ordini non risponde, la fatturazione elettronica è ferma, il magazzino non sa più cosa spedire e a chi. Entro mezzogiorno arrivano le prime telefonate dei clienti: consegne saltate, linee di produzione ferme a valle, contratti con penali per ogni giorno di ritardo. Entro la settimana arrivano le prime PEC di diffida. Entro un mese il conto corrente comincia a soffrire: gli incassi si sono fermati perché le fatture non sono partite, mentre stipendi, fornitori, rate del mutuo, F24 e contributi corrono con il calendario di sempre.
È la sequenza tipica di una crisi d’impresa nata da un attacco informatico: un evento tecnico di poche ore si trasforma, in poche settimane, in un problema di responsabilità verso i clienti, di obblighi verso le autorità e di liquidità verso tutti i creditori. Ed è una crisi che si vince o si perde soprattutto sul tempo.
Chi sa cosa succede dopo, e quando, agisce al momento giusto invece di subire. Questo articolo ricostruisce la vicenda come una cronologia: le prime 24 ore, le 72 ore delle notifiche obbligatorie, le settimane delle contestazioni dei clienti, il mese in cui la cassa si svuota, l’ingresso nella composizione negoziata con le misure protettive, i mesi delle trattative, l’esito e il contenzioso che resta. Per ogni tappa: la norma, i termini, cosa si può fare, l’errore da evitare e i tempi reali.
Lo Studio Monardo segue questa materia perché si colloca esattamente nel punto di incontro tra crisi d’impresa e conflitto con i creditori: l’Avv. Giuseppe Angelo Monardo è Esperto Negoziatore della crisi d’impresa ai sensi del D.L. 118/2021, cioè conosce dall’interno lo strumento, la composizione negoziata, che oggi è la via principale per un’impresa sana colpita da un evento esterno improvviso; ed è Gestore della crisi da sovraindebitamento (L. 3/2012), competenza decisiva quando l’impresa colpita è piccola e non può accedere agli strumenti maggiori. Accanto a lui lavora uno staff di avvocati e commercialisti che gestisce insieme il fronte contrattuale con i clienti e quello finanziario con banche, fisco e fornitori.
📩 Se i tuoi sistemi sono bloccati e i clienti hanno già cominciato a scrivere, non aspettare il prossimo termine: contatta subito lo Studio Monardo, trovi tutti i riferimenti in fondo a questa pagina.
La mappa temporale: dall’attacco all’esito della crisi
Prima di entrare nelle singole tappe, conviene avere sotto gli occhi l’intero calendario. Le scadenze di questa vicenda sono di tre nature diverse: alcune sono fissate dalla legge in ore (le notifiche delle violazioni di dati e, per i soggetti obbligati, degli incidenti informatici); altre dipendono dai contratti (penali, termini di consegna, avvisi all’assicuratore); altre ancora sono termini processuali del Codice della crisi d’impresa e dell’insolvenza (D.Lgs. 14/2019, aggiornato dai correttivi tra cui il D.Lgs. 136/2024).
La tabella riassume le tappe sviluppate nelle sezioni che seguono. Le durate indicate come “tempi reali” sono orientative e variano da tribunale a tribunale e da caso a caso.
| Tappa | Quando | Cosa succede | Norme principali | Sezione |
|---|---|---|---|---|
| 1 | Ora 0 – 24 ore | Attacco, sistemi bloccati, primi interventi, eventuale preallerta NIS | D.Lgs. 138/2024 art. 25; art. 1913 c.c.; artt. 615-ter e 629 c.p. | Ora 0 |
| 2 | Entro 72 ore | Notifica al Garante della violazione di dati personali; notifica dell’incidente se si è soggetti NIS | Reg. UE 2016/679 artt. 33-34; D.Lgs. 138/2024 | Entro 72 ore |
| 3 | Giorni 4-30 | Diffide e richieste di danni dei clienti, penali, sospensione dei pagamenti | artt. 1218, 1229, 1256, 1382, 1460 c.c.; art. 82 GDPR | Dal giorno 4 al giorno 30 |
| 4 | Giorni 15-60 | Crisi di liquidità: incassi fermi, banche, fisco, fornitori | art. 2086 c.c.; artt. 2-3 CCII | Dal giorno 15 al giorno 60 |
| 5 | Giorni 45-75 | Istanza di composizione negoziata e misure protettive | artt. 12, 17, 18, 19 CCII | Il giorno dell’istanza |
| 6 | Mesi 2-8 | Trattative con creditori, clienti, assicurazione e fornitore IT | artt. 10, 16, 21, 22 CCII | Dal secondo all’ottavo mese |
| 7 | Mesi 6-12 | Esito: accordo, piano, ristrutturazione, concordato | artt. 23, 25-sexies, 57, 64-bis, 84 CCII | Tra il sesto e il dodicesimo mese |
| 8 | Oltre 12 mesi | Contenzioso residuo sui danni, recupero dei crediti, rivalse | art. 82 GDPR; artt. 1218, 1667 c.c.; artt. 633 ss. c.p.c. | Dopo il primo anno |
| 8-bis | Variante | Impresa minore: concordato minore, liquidazione controllata, esdebitazione | artt. 74-83, 268-283 CCII | Il binario dell’impresa minore |
Il punto che la tabella rende evidente è questo: le decisioni che contano di più si prendono nelle prime due settimane, quando l’imprenditore è occupato a far ripartire i sistemi e tende a rinviare tutto il resto. Le notifiche entro 72 ore, l’avviso all’assicuratore, la prima risposta alle diffide e la fotografia della cassa sono atti che determinano come andrà l’intera procedura.
Ora 0 – 24 ore: l’attacco, i sistemi fermi e le prime scelte che pesano
Cosa succede
L’attacco può avere forme diverse: un ransomware che cifra server e postazioni e chiede un riscatto; un’intrusione che esfiltra dati di clienti e dipendenti; un blocco del fornitore cloud o del gestionale in outsourcing che lascia l’impresa senza strumenti; una frode che devia pagamenti verso conti esteri. Il risultato pratico è sempre lo stesso: l’impresa non riesce a produrre, consegnare, fatturare o incassare come prima, e spesso non sa ancora quali dati siano stati sottratti.
In queste ore l’attenzione è tutta sulla parte tecnica. Ma già ora si attivano obblighi giuridici con termini brevissimi, e già ora si creano (o si perdono) le prove che serviranno nei mesi successivi.
La norma
Tre gruppi di regole si accendono subito.
Il primo riguarda la sicurezza informatica in senso stretto. Il D.Lgs. 138/2024, che ha recepito la direttiva europea NIS2, impone ai soggetti che rientrano nel suo perimetro (soggetti “essenziali” e “importanti”, individuati per settore e dimensione) di notificare gli incidenti significativi all’Agenzia per la cybersicurezza nazionale tramite il CSIRT Italia. L’art. 25 scandisce la notifica in fasi: una pre-notifica senza ingiustificato ritardo ed entro 24 ore da quando si è venuti a conoscenza dell’incidente, una notifica vera e propria di regola entro 72 ore, una relazione finale entro un mese. Secondo le ricostruzioni di settore, la piena operatività di questi obblighi di notifica decorre dal 1° gennaio 2026. Non tutte le piccole e medie imprese rientrano nel perimetro: va verificato caso per caso, in base al settore e alle soglie, e anche se l’impresa è registrata sulla piattaforma dell’Agenzia.
Il secondo riguarda la protezione dei dati personali: se l’attacco ha compromesso dati di clienti, dipendenti o fornitori persone fisiche, scatta la disciplina della violazione di dati personali (data breach) del Regolamento UE 2016/679, che approfondiamo nella tappa successiva.
Il terzo riguarda l’assicurazione. Molte imprese hanno una polizza cyber, oppure coperture “rischi informatici” dentro una polizza multirischio. L’art. 1913 c.c. impone all’assicurato di dare avviso del sinistro entro tre giorni da quando si è verificato o da quando ne ha avuto conoscenza, salvo diverso termine contrattuale; l’art. 1914 c.c. impone di fare quanto possibile per evitare o diminuire il danno (obbligo di salvataggio), e l’art. 1915 c.c. collega all’inadempimento doloso o colposo di questi obblighi la perdita o la riduzione dell’indennizzo. Le polizze cyber contengono spesso clausole più stringenti: obbligo di contattare per primo il numero di emergenza della compagnia, divieto di pagare riscatti senza consenso, obbligo di usare i tecnici indicati dall’assicuratore.
Infine c’è il profilo penale: l’accesso abusivo a un sistema informatico (art. 615-ter c.p.) e, quando c’è una richiesta di riscatto, la tentata estorsione (art. 629 c.p.). La denuncia alla Polizia Postale non è solo un dovere civico: è un documento che servirà con l’assicuratore, con i clienti e, se si arriverà a una procedura di crisi, con l’esperto e con il tribunale per dimostrare che la crisi nasce da un evento esterno.
I termini che si attivano
- Pre-notifica NIS: entro 24 ore, per i soggetti obbligati.
- Avviso all’assicuratore: entro tre giorni (art. 1913 c.c.), o il diverso termine della polizza, spesso più breve.
- Notifica al Garante: entro 72 ore se c’è una violazione di dati personali (vedi tappa 2).
Sono termini che corrono di ora in ora e non conoscono la sospensione feriale: quella (1-31 agosto) riguarda solo i termini processuali.
Cosa può fare l’impresa ora
La finestra difensiva delle prime 24 ore è la conservazione delle prove. Log dei sistemi, copie forensi dei dischi, messaggi degli attaccanti, comunicazioni con il fornitore IT, orari esatti di scoperta: tutto questo dimostrerà in seguito due cose fondamentali. Che le misure di sicurezza erano adeguate (o, se non lo erano, di chi era la responsabilità) e che l’inadempimento verso i clienti è dipeso da una causa esterna.
In concreto, nelle prime ore conviene:
- attivare il protocollo di risposta all’incidente e il numero di emergenza della polizza, se esiste;
- incaricare un tecnico che documenti tutto con criteri forensi prima di ripristinare;
- verificare se l’impresa è soggetto NIS e, in caso affermativo, inviare la pre-notifica;
- presentare la denuncia;
- non pagare riscatti di propria iniziativa, senza aver sentito l’assicuratore e un legale;
- individuare quali contratti con i clienti hanno consegne nei giorni successivi e quali penali prevedono.
L’errore tipico di questa fase
Formattare e ripristinare tutto il più in fretta possibile, cancellando le tracce dell’attacco. È un errore comprensibile, perché ogni ora di fermo costa. Ma senza tracce l’impresa non potrà provare all’assicuratore la dinamica del sinistro, non potrà dimostrare ai clienti che l’evento era fuori dalla sua sfera di controllo e non potrà agire contro il fornitore IT se la falla era sua. Il ripristino e la conservazione delle prove devono procedere insieme, non uno dopo l’altro.
Un secondo errore frequente: comunicare ai clienti, a caldo, frasi come “è colpa nostra, abbiamo avuto un problema di sicurezza, vi risarciremo tutto”. Sono dichiarazioni che possono essere lette come riconoscimento di responsabilità. La comunicazione ai clienti va fatta, e presto, ma con un testo meditato.
Quanto dura realmente
Il blocco operativo dopo un ransomware dura in media da qualche giorno a diverse settimane, a seconda dell’esistenza di backup integri e separati dalla rete. In questa tappa il problema non è ancora giuridico nel senso processuale; ma tutto ciò che si decide qui determina il peso delle tappe successive.
Entro 72 ore: le notifiche al Garante e agli interessati
Cosa succede
A questo punto la procedura entra in una nuova fase. Il tecnico ha capito, almeno in parte, cosa è successo: i dati dei clienti sono stati cifrati, copiati, pubblicati sul sito degli attaccanti? Se l’attacco ha toccato dati personali (anagrafiche, indirizzi, recapiti, IBAN, dati dei dipendenti), l’impresa, che di quei dati è titolare del trattamento, deve decidere se e come notificare la violazione.
La norma
L’art. 33 del Regolamento UE 2016/679 (GDPR) impone al titolare di notificare la violazione dei dati personali all’autorità di controllo, in Italia il Garante per la protezione dei dati personali, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Se la notifica arriva oltre le 72 ore va motivato il ritardo. La notifica può essere fatta per fasi, se le informazioni non sono tutte disponibili subito.
L’art. 34 aggiunge che, quando la violazione presenta un rischio elevato per i diritti e le libertà delle persone, il titolare deve comunicarla anche agli interessati, senza ingiustificato ritardo, in un linguaggio semplice.
L’art. 32 è la norma di fondo: il titolare deve adottare misure tecniche e organizzative adeguate al rischio. E l’art. 82 riconosce a chiunque subisca un danno materiale o immateriale per una violazione del Regolamento il diritto al risarcimento, prevedendo che il titolare sia esonerato solo se dimostra che l’evento dannoso non gli è in alcun modo imputabile.
Per i soggetti NIS, nello stesso arco di 72 ore va inviata anche la notifica dell’incidente significativo all’Agenzia per la cybersicurezza nazionale. Sono due canali distinti, con destinatari diversi, che vanno coordinati perché raccontino la stessa storia.
I termini che si attivano
- Notifica al Garante: 72 ore dalla conoscenza della violazione, con obbligo di motivare l’eventuale ritardo.
- Comunicazione agli interessati: senza ingiustificato ritardo, se il rischio è elevato.
- Notifica NIS: di regola entro 72 ore, con relazione finale entro un mese.
- Registro interno delle violazioni (art. 33 par. 5 GDPR): va compilato in ogni caso, anche quando si decide di non notificare.
Cosa può fare l’impresa ora
La finestra difensiva delle 72 ore serve a costruire la versione ufficiale dei fatti. La notifica al Garante e la comunicazione agli interessati diventano, di fatto, il primo documento che i clienti useranno nelle loro richieste di danni. Per questo vanno redatte con precisione: cosa è accaduto, quali categorie di dati, quali misure di sicurezza erano attive, quali misure sono state adottate dopo l’attacco per limitare le conseguenze.
Qui pesa molto la giurisprudenza della Corte di giustizia dell’Unione europea. Con la sentenza del 14 dicembre 2023, causa C-340/21 (Natsionalna agentsia za prihodite), nata proprio da un attacco informatico con pubblicazione online dei dati, la Corte ha chiarito che il giudice non può presumere che le misure di sicurezza fossero inadeguate per il solo fatto che i dati siano stati divulgati da terzi; ma ha anche chiarito che spetta al titolare dimostrare l’adeguatezza delle misure adottate, e che il timore di un possibile uso illecito dei propri dati può già costituire un danno immateriale risarcibile. È un equilibrio importante per l’impresa colpita: non si è responsabili automaticamente perché si è stati attaccati, ma si deve essere in grado di provare di aver fatto ciò che era adeguato.
Ecco perché la documentazione della tappa precedente è decisiva: le politiche di backup, gli aggiornamenti, l’autenticazione a più fattori, la formazione del personale, i contratti con il fornitore IT con le relative misure di sicurezza. Tutto questo va raccolto subito, quando è ancora facile ricostruirlo.
L’errore tipico di questa fase
Non notificare per paura di “autodenunciarsi”. È un calcolo sbagliato: la mancata notifica di una violazione che andava notificata è a sua volta una violazione autonoma, che il Garante può sanzionare e che i clienti useranno come prova di negligenza. L’errore opposto è notificare in modo impreciso, con ammissioni non necessarie o con informazioni tecniche non ancora verificate.
Quanto dura realmente
Le 72 ore sono un termine reale e stretto. L’istruttoria del Garante, se si apre, dura invece mesi. Nel frattempo la notifica produce un effetto immediato: i clienti informati della violazione cominciano a valutare le proprie azioni. Il calendario ora corre su due binari: quello tecnico del ripristino e quello delle contestazioni.
Dal giorno 4 al giorno 30: le diffide dei clienti e la richiesta di danni
Cosa succede
Arrivano le PEC. Alcuni clienti contestano i ritardi nelle consegne e applicano le penali previste dai contratti. Altri, i cui dati sono stati esposti, chiedono il risarcimento del danno da violazione della privacy. Altri ancora sospendono i pagamenti delle fatture già emesse, sostenendo di poterle compensare con i danni subiti. I clienti più strutturati, per i quali il fermo del fornitore ha causato a sua volta un fermo produttivo, quantificano danni consistenti: mancata produzione, costi di approvvigionamento alternativo, penali pagate ai propri clienti.
È il momento in cui l’attacco informatico smette di essere un problema tecnico e diventa un problema di passività potenziali: debiti non ancora accertati, ma che pesano sulla valutazione dell’impresa agli occhi delle banche e dei fornitori.
La norma
Il quadro delle responsabilità verso i clienti è diverso a seconda del tipo di danno.
Per l’inadempimento contrattuale (consegne mancate, servizi non resi) vale l’art. 1218 c.c.: il debitore che non esegue esattamente la prestazione è tenuto al risarcimento se non prova che l’inadempimento o il ritardo è stato determinato da impossibilità della prestazione derivante da causa a lui non imputabile. L’art. 1256 c.c. disciplina l’impossibilità sopravvenuta, definitiva o temporanea: se è temporanea, il debitore non risponde del ritardo finché essa perdura. La domanda chiave è dunque se un attacco informatico sia una “causa non imputabile”. La risposta non è automatica: dipende dalla prevedibilità ed evitabilità dell’evento con la diligenza richiesta (art. 1176 c. 2 c.c. per le attività professionali e imprenditoriali). Oggi un attacco informatico non è un evento imprevedibile in sé; ma un attacco sofisticato che supera misure adeguate può esserlo nelle sue conseguenze.
Contano poi le clausole del contratto: la clausola di forza maggiore (che può includere espressamente gli attacchi informatici), le clausole di limitazione della responsabilità, le penali. L’art. 1229 c.c. stabilisce che è nullo il patto che esclude o limita preventivamente la responsabilità del debitore per dolo o colpa grave; le limitazioni per colpa lieve sono invece valide. L’art. 1382 c.c. dice che la penale limita il risarcimento alla prestazione promessa, se non è convenuta la risarcibilità del danno ulteriore; l’art. 1384 c.c. consente al giudice di ridurla se manifestamente eccessiva o se l’obbligazione è stata in parte eseguita.
Per il danno da violazione dei dati personali vale l’art. 82 GDPR. La giurisprudenza della Corte di giustizia sul danno da violazione dei dati ha chiarito che la semplice violazione del Regolamento non basta: occorre un danno effettivo e un nesso causale, anche se il diritto nazionale non può imporre una soglia minima di gravità. La Cassazione italiana, con l’ordinanza n. 16402 del 10 giugno 2021, aveva affermato che il danno non patrimoniale da violazione della privacy è risarcibile se la lesione è seria, va provato anche per presunzioni e si liquida in via equitativa; e con l’ordinanza della Sez. I n. 13073 del 12 maggio 2023 ha ribadito che il danno non è “in re ipsa” ma che, quando la violazione offende concretamente la riservatezza, il titolare risponde e può liberarsi solo provando che l’evento non gli è in alcun modo imputabile, rispondendo anche dell’errore dei propri dipendenti.
Infine c’è la sospensione dei pagamenti da parte dei clienti. L’eccezione di inadempimento dell’art. 1460 c.c. consente di rifiutare la propria prestazione se l’altro contraente non adempie la sua, ma non se il rifiuto è contrario a buona fede. E la compensazione legale (artt. 1241 e 1243 c.c.) opera solo tra debiti liquidi ed esigibili: un credito risarcitorio contestato e non quantificato non è liquido, e quindi non estingue automaticamente le fatture dell’impresa.
I termini che si attivano
- I termini delle contestazioni contrattuali (denunce di vizi, reclami) sono fissati dai singoli contratti o, nella vendita, dall’art. 1495 c.c. (otto giorni dalla scoperta per la denuncia del compratore).
- La prescrizione dell’azione risarcitoria contrattuale è decennale (art. 2946 c.c.), quella extracontrattuale quinquennale (art. 2947 c.c.): i clienti hanno tempo, e questo significa che le passività potenziali restano aperte a lungo.
- I termini di pagamento delle fatture dell’impresa non si sospendono per effetto delle contestazioni: il credito resta esigibile, salvo eccezioni fondate.
Cosa può fare l’impresa ora
La finestra difensiva di queste settimane è la risposta tecnica e ordinata a ogni contestazione. Ogni diffida va classificata: danno da ritardo, danno da dati, penale contrattuale, richiesta di compensazione. Per ciascuna va verificato il contratto, la clausola di forza maggiore, la limitazione di responsabilità, la penale applicabile, e va costruita la difesa sulla non imputabilità o, in subordine, sulla limitazione del danno.
Allo stesso tempo l’impresa deve difendere i propri crediti. I clienti che sospendono i pagamenti delle fatture regolarmente eseguite prima dell’attacco non possono compensarle con danni non liquidi: per queste fatture si può valutare un sollecito formale e, se necessario, il ricorso per decreto ingiuntivo (artt. 633 ss. c.p.c.), sapendo che il cliente potrà opporsi e far valere in quella sede le proprie ragioni.
E c’è un fronte che si apre in parallelo: il fornitore IT o il provider cloud. Se l’attacco è passato da una vulnerabilità nota non corretta, da un backup non eseguito come da contratto, da un accesso remoto lasciato aperto, l’impresa può avere un’azione di rivalsa. I contratti di servizi informatici sono spesso misti: se prevalgono gli elementi dell’appalto di servizi, vanno tenuti presenti i termini dell’art. 1667 c.c. per la denuncia delle difformità e dei vizi (sessanta giorni dalla scoperta) e l’azione entro due anni dalla consegna. Meglio contestare subito per iscritto, con riserva di ogni azione.
L’errore tipico di questa fase
Trattare tutte le richieste dei clienti come debiti certi, e magari promettere pagamenti o sconti per “tenersi buono” il cliente, senza aver verificato fondamento e importi. Ogni promessa diventa un debito vero, che peserà sulla cassa proprio quando questa sta per esaurirsi. L’errore opposto è ignorare le diffide: il silenzio non ferma la prescrizione dei clienti e spesso spinge il cliente più grande verso il decreto ingiuntivo o la causa ordinaria.
Quanto dura realmente
Le contestazioni si concentrano nelle prime quattro-sei settimane. Le cause vere e proprie, se arrivano, partono di regola dopo qualche mese e durano anni in primo grado. Ma il loro peso economico si sente subito: le banche, quando leggono in bilancio o nella situazione infrannuale richieste di danni importanti, riducono gli affidamenti prima ancora che un giudice decida. E qui comincia la tappa più pericolosa.
Dal giorno 15 al giorno 60: la cassa si svuota e i creditori si muovono
Cosa succede
Siamo al giorno 15. I sistemi sono ripartiti, magari parzialmente. Ma il fermo ha lasciato un buco: settimane senza fatturazione significano settimane senza incassi, mentre i costi fissi sono rimasti. I clienti contestano e pagano in ritardo. Il ripristino informatico, la consulenza forense, il nuovo hardware sono costati cifre importanti. L’assicurazione non ha ancora liquidato, o contesta la copertura. Le banche, informate dell’incidente, chiedono la situazione aggiornata e qualcuna riduce il fido o chiede il rientro. I fornitori, che vedono pagamenti in ritardo, passano al pagamento anticipato.
Arrivano le prime scadenze non pagate: la rata del finanziamento, l’F24 del mese, i contributi, qualche fornitore strategico. In poche settimane l’impresa, che fino all’attacco era sana, si trova in una situazione di squilibrio economico-finanziario.
La norma
L’art. 2086 c. 2 c.c. impone all’imprenditore che opera in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato, anche per rilevare tempestivamente la crisi e attivarsi senza indugio per adottare uno degli strumenti previsti dall’ordinamento per superarla. L’art. 3 CCII riprende l’obbligo per l’imprenditore individuale (misure idonee) e per l’imprenditore collettivo (assetti adeguati).
L’art. 2 CCII definisce la crisi come lo stato del debitore che rende probabile l’insolvenza, e che si manifesta con l’inadeguatezza dei flussi di cassa prospettici a far fronte alle obbligazioni nei dodici mesi successivi; e l’insolvenza come lo stato che si manifesta con inadempimenti o altri fatti esteriori, i quali dimostrino che il debitore non è più in grado di soddisfare regolarmente le proprie obbligazioni.
Il dato da cogliere è che l’attacco informatico non crea di per sé l’insolvenza: crea una crisi di liquidità che, se non governata, diventa insolvenza. La differenza tra le due condizioni decide quali strumenti restano disponibili.
Sul piano dei creditori pubblici, la rateizzazione dei carichi affidati all’agente della riscossione (art. 19 D.P.R. 602/1973) e le dilazioni contributive restano strumenti utili, ma vanno verificati sui requisiti e sulle regole vigenti al momento della richiesta, che sono cambiate più volte negli ultimi anni.
I termini che si attivano
In questa fase non c’è un termine unico, ma una serie di scadenze che si accumulano:
- le rate dei finanziamenti, il cui mancato pagamento può far scattare la decadenza dal beneficio del termine secondo le clausole contrattuali;
- i versamenti fiscali e contributivi, i cui omessi pagamenti generano sanzioni e, oltre certe soglie, anche rilievo penale (omesso versamento di ritenute e IVA);
- le segnalazioni dei creditori pubblici qualificati (art. 25-novies CCII: Agenzia delle Entrate, INPS, INAIL, agente della riscossione) all’imprenditore e all’organo di controllo, quando i debiti superano le soglie previste dalla norma;
- le segnalazioni di banche e intermediari all’organo di controllo in caso di variazioni, revisioni o revoche degli affidamenti (art. 25-decies CCII).
Cosa può fare l’impresa ora
La finestra difensiva di questa tappa è la diagnosi: capire subito se la crisi è reversibile e con quale strumento. Il lavoro da fare è concreto:
- un piano di tesoreria a 13 settimane, che mostri giorno per giorno quanto entra e quanto esce;
- l’inventario delle passività potenziali generate dall’attacco (richieste dei clienti, penali, eventuali sanzioni), distinguendo quelle fondate da quelle contestabili;
- l’inventario degli attivi recuperabili: indennizzo assicurativo, rivalsa verso il fornitore IT, crediti verso clienti che hanno sospeso i pagamenti senza titolo;
- il test pratico per la verifica della ragionevole perseguibilità del risanamento, disponibile sulla piattaforma telematica nazionale prevista dall’art. 13 CCII.
Se il test indica che l’impresa, liberata dal peso del fermo e messa al riparo dalle azioni dei creditori per qualche mese, torna a generare cassa, la strada è la composizione negoziata. Se invece l’attacco ha solo accelerato una crisi già esistente, servono strumenti più incisivi.
L’errore tipico di questa fase
Usare i soldi delle imposte e dei contributi per pagare i fornitori, sperando di recuperare. È la scelta più istintiva e la più pericolosa: l’impresa accumula debiti con i creditori più “forti” (fisco e INPS, che hanno privilegio e strumenti di riscossione rapidi), e gli amministratori si espongono personalmente. Il secondo errore è aspettare la liquidazione dell’assicurazione prima di fare qualunque cosa: l’indennizzo può arrivare dopo mesi, o non arrivare per intero.
Quanto dura realmente
Questa tappa dura poche settimane. Tra il primo mancato pagamento e la prima azione esecutiva (un pignoramento presso terzi sui conti, un decreto ingiuntivo di un fornitore, un’intimazione di pagamento dell’agente della riscossione) passano spesso meno di due mesi. Il momento ideale per agire è prima della prima azione esecutiva, non dopo.
Il giorno dell’istanza: la composizione negoziata e le misure protettive
Cosa succede
Siamo, mettiamo, al giorno 50 dall’attacco. L’imprenditore, con lo studio, ha completato la diagnosi e decide di presentare l’istanza di nomina dell’esperto per la composizione negoziata della crisi. Contestualmente chiede le misure protettive, per impedire ai creditori di avviare o proseguire azioni esecutive e cautelari mentre si tratta.
La norma
La composizione negoziata è disciplinata dagli artt. 12-25-undecies CCII. Vi può accedere l’imprenditore commerciale o agricolo che si trova in condizioni di squilibrio patrimoniale o economico-finanziario che ne rendono probabile la crisi o l’insolvenza, quando risulta ragionevolmente perseguibile il risanamento dell’impresa (art. 12). È un percorso volontario e riservato, nel quale un esperto indipendente agevola le trattative tra l’imprenditore, i creditori e gli altri soggetti interessati.
L’istanza si presenta tramite la piattaforma telematica nazionale gestita dalle Camere di commercio (art. 17), con i documenti richiesti: bilanci, situazione patrimoniale e finanziaria aggiornata, elenco dei creditori con i rispettivi crediti, un progetto di piano di risanamento, le certificazioni sui debiti fiscali, contributivi e assicurativi, l’estratto della Centrale dei rischi. Una commissione nomina l’esperto, che verifica la propria indipendenza e accetta l’incarico.
Le misure protettive sono disciplinate dall’art. 18: l’imprenditore può chiederle con l’istanza di nomina o con una richiesta successiva; possono riguardare tutti i creditori oppure solo determinate iniziative, determinati creditori o categorie di creditori, e sono esclusi i crediti di lavoro. Dalla pubblicazione dell’istanza nel registro delle imprese, i creditori interessati non possono acquisire diritti di prelazione non concordati con l’imprenditore né avviare o proseguire azioni esecutive e cautelari sul suo patrimonio o sui beni e diritti con cui viene esercitata l’attività d’impresa; le prescrizioni restano sospese e le decadenze non si verificano. Fino alla conclusione delle trattative o all’archiviazione non può essere pronunciata la sentenza di apertura della liquidazione giudiziale o di accertamento dello stato di insolvenza, salvo revoca delle misure.
Il comma 5 dell’art. 18 è particolarmente utile per l’impresa colpita da un attacco: i creditori nei cui confronti operano le misure, comprese banche e intermediari finanziari, non possono, per il solo mancato pagamento di crediti anteriori alla pubblicazione dell’istanza, rifiutare l’adempimento dei contratti pendenti, provocarne la risoluzione, anticiparne la scadenza o modificarli in danno dell’imprenditore, né revocare in tutto o in parte le linee di credito. Possono però sospendere l’adempimento dei contratti pendenti dalla pubblicazione dell’istanza fino alla conferma delle misure. Il comma 5-bis, introdotto dal D.Lgs. 136/2024, riguarda le linee di credito: dopo la conferma delle misure la sospensione non può essere mantenuta, salvo quanto previsto dalla disciplina di vigilanza prudenziale.
L’art. 19 regola la conferma giudiziale: con ricorso presentato al tribunale entro il giorno successivo alla pubblicazione dell’istanza e dell’accettazione dell’esperto, l’imprenditore chiede la conferma o la modifica delle misure e, se occorre, l’adozione di provvedimenti cautelari. Il tribunale fissa l’udienza entro dieci giorni dal deposito del ricorso e, sentite le parti e l’esperto, conferma o revoca le misure, fissandone la durata in un periodo non inferiore a 30 e non superiore a 120 giorni; su richiesta delle parti e acquisito il parere dell’esperto può prorogarle, ma la durata complessiva non può superare i 240 giorni.
I termini che si attivano
- Ricorso per la conferma delle misure: entro il giorno successivo alla pubblicazione dell’istanza e dell’accettazione dell’esperto. Se il termine non è rispettato, le misure perdono efficacia.
- Udienza: entro dieci giorni dal deposito del ricorso.
- Durata delle misure: da 30 a 120 giorni, prorogabili fino a 240 giorni complessivi.
- Contro il provvedimento del tribunale è ammesso reclamo.
Cosa può fare l’impresa ora
La finestra difensiva di questa tappa è il perimetro delle misure. Non sempre conviene chiedere misure protettive contro tutti: un’impresa colpita da un attacco informatico ha spesso bisogno di proteggersi soprattutto da alcuni creditori (le banche che vogliono revocare gli affidamenti, il fornitore che ha già ottenuto un decreto ingiuntivo, l’agente della riscossione) mentre ha interesse a continuare a lavorare normalmente con i clienti e i fornitori strategici. La giurisprudenza di merito riconosce questa flessibilità: il Tribunale di Bologna, con decreto del 23 settembre 2025, ha ammesso la possibilità di limitare nel tempo gli effetti delle misure verso specifiche categorie di creditori per evitare un pregiudizio sproporzionato; il Tribunale di Milano, il 17 gennaio 2022, ha confermato misure selettive che neutralizzavano i pignoramenti sui conti correnti che impedivano l’operatività dell’impresa.
Con lo stesso ricorso si possono chiedere misure cautelari mirate. Il Tribunale di Verona, con decreto del 22 gennaio 2024, ha affermato che le banche possono revocare o sospendere gli affidamenti solo per un giustificato motivo comunicato per iscritto e che, in mancanza, il giudice può ordinare l’esecuzione dei contratti. È uno strumento importante per l’impresa che, dopo l’attacco, rischia di perdere le linee di credito proprio quando ne ha più bisogno.
In questo passaggio la competenza dell’Avv. Giuseppe Angelo Monardo come Esperto Negoziatore della crisi d’impresa (D.L. 118/2021) consente di impostare l’istanza come la leggerà l’esperto e il ricorso come lo valuterà il tribunale.
L’errore tipico di questa fase
Presentare l’istanza con un progetto di piano “di facciata”, nella speranza di ottenere qualche mese di respiro. I tribunali verificano che le trattative siano serie e il risanamento ragionevolmente perseguibile: il Tribunale di Salerno, con decreto del 13 febbraio 2023, ha negato la conferma delle misure a un’impresa con insolvenza irreversibile, piano embrionale e contatti insufficienti con i creditori. Per l’impresa colpita da un attacco, il piano deve spiegare in modo documentato perché, superato l’effetto del fermo, l’attività torna a reggersi da sola.
Quanto dura realmente
Tra il deposito dell’istanza e la nomina dell’esperto passano di regola pochi giorni o qualche settimana, secondo il carico della Camera di commercio. L’udienza di conferma si tiene, nella pratica, entro i termini di legge o poco oltre. Da questo momento in poi il calendario delle esecuzioni si ferma, ma quello delle trattative corre.
Dal secondo all’ottavo mese: le trattative con creditori, clienti, assicurazione e fornitore IT
Cosa succede
Le misure protettive sono confermate. Per qualche mese i conti non possono essere pignorati, le banche non possono revocare gli affidamenti per i soli debiti anteriori, nessun creditore può ottenere l’apertura della liquidazione giudiziale. L’impresa ha uno spazio per respirare e lo deve usare per trattare su quattro tavoli contemporaneamente: le banche, il fisco e gli enti previdenziali, i clienti che chiedono i danni, e le controparti che possono portare liquidità (assicurazione, fornitore IT responsabile, eventuali investitori).
La norma
L’art. 16 CCII impone a tutti i partecipanti di comportarsi secondo buona fede e correttezza: l’imprenditore deve rappresentare la propria situazione in modo completo e trasparente e gestire il patrimonio senza pregiudicare ingiustamente i creditori; le banche e gli intermediari devono partecipare alle trattative in modo attivo e informato, e l’accesso alla composizione negoziata non costituisce di per sé causa di sospensione o revoca degli affidamenti. Le parti hanno il dovere di collaborare lealmente con l’esperto e di rispettare la riservatezza.
L’art. 21 regola la gestione dell’impresa durante le trattative: l’imprenditore conserva la gestione ordinaria e straordinaria, ma se risulta che è insolvente e vi sono concrete prospettive di risanamento deve gestirla nel prevalente interesse dei creditori; gli atti di straordinaria amministrazione e i pagamenti non coerenti con le trattative vanno segnalati all’esperto, che può iscrivere il proprio dissenso nel registro delle imprese.
L’art. 22 consente al tribunale di autorizzare su richiesta dell’imprenditore finanziamenti prededucibili, finanziamenti dei soci prededucibili e il trasferimento dell’azienda o di rami di essa. Per un’impresa che deve rifare da capo l’infrastruttura informatica, la possibilità di ottenere nuova finanza con la prededuzione può essere la chiave per convincere una banca o un investitore.
L’art. 10 c. 2 CCII prevede che l’esperto possa invitare le parti a rideterminare secondo buona fede il contenuto dei contratti a esecuzione continuata, periodica o differita, quando la prestazione è divenuta eccessivamente onerosa o l’equilibrio del rapporto è alterato da circostanze sopravvenute. È uno strumento pensato per eventi esterni che sconvolgono i rapporti contrattuali: un attacco informatico che ha bloccato per settimane la capacità di adempiere rientra pienamente in questa logica. Va però chiarito che si tratta di un invito alla rinegoziazione: la giurisprudenza di merito tiene distinte la rinegoziazione dei contratti pendenti e le misure protettive e cautelari, come aveva già fatto il Tribunale di Ivrea nel 2022 sulla disciplina originaria del D.L. 118/2021.
Infine l’art. 17 c. 7 CCII scandisce la durata del percorso: l’incarico dell’esperto si considera concluso se, decorsi centottanta giorni dall’accettazione della nomina, le parti non hanno individuato una soluzione adeguata; può proseguire, per non oltre altri centottanta giorni, se tutte le parti lo chiedono e l’esperto acconsente, o se la prosecuzione è resa necessaria dai ricorsi al tribunale per le misure protettive e le autorizzazioni.
I termini che si attivano
- Scadenza delle misure protettive fissata dal tribunale (da 30 a 120 giorni), con eventuale proroga entro il tetto complessivo di 240 giorni: la richiesta di proroga va presentata prima che le misure scadano.
- Centottanta giorni dall’accettazione dell’esperto per individuare una soluzione, salvo prosecuzione.
- I termini contrattuali con i clienti continuano a correre: le misure protettive non sospendono le obbligazioni dell’impresa verso chi continua a ordinare.
Cosa può fare l’impresa ora
La finestra difensiva di questa tappa è trasformare le passività potenziali in numeri trattabili. Con i clienti che chiedono i danni, il tavolo della composizione negoziata consente di discutere in un contesto riservato e con un terzo indipendente: si può proporre una transazione che riconosca uno sconto sulle forniture future invece di un pagamento in denaro, oppure un risarcimento dilazionato, oppure la rinuncia alle penali in cambio della prosecuzione del rapporto. Molti clienti preferiscono un fornitore che sopravvive a un risarcimento teorico verso un fornitore fallito.
Con le banche, la combinazione dell’art. 18 c. 5 e delle misure cautelari protegge le linee di credito; ma i giudici chiedono equilibrio. Il Tribunale di Milano, con decreto del 19 giugno 2025, ha respinto la richiesta di impedire ai creditori di attivare i rimedi contrattuali per debiti correnti non pagati, richiamando il dovere di buona fede dell’imprenditore; il Tribunale di Verona, con decreto dell’11 dicembre 2025, ha respinto cautelari che incidevano sul regolamento dei contratti pendenti, come la sospensione del rimborso dei finanziamenti, salvo casi eccezionali. Al contrario il Tribunale di Vicenza, con decreto del 23 luglio 2025, ha ammesso misure cautelari atipiche di sospensione dei pagamenti e di divieto temporaneo di escussione della garanzia del Fondo di garanzia per le PMI, per assicurare liquidità al risanamento. Il messaggio è chiaro: le misure proteggono dal passato, non autorizzano a non pagare il presente.
Con il fisco e gli enti previdenziali, la composizione negoziata offre due leve. La prima sono le misure premiali dell’art. 25-bis CCII (riduzione degli interessi e delle sanzioni e possibilità di rateizzazioni più lunghe, alle condizioni previste dalla norma). La seconda, introdotta dal D.Lgs. 136/2024, è la possibilità di proporre una transazione fiscale anche all’esito della composizione negoziata, nell’ambito di un accordo di ristrutturazione (art. 23 c. 2-bis CCII), ora estesa anche ai tributi locali con il D.Lgs. 147/2026 sui tributi regionali e locali.
Con l’assicurazione e il fornitore IT, questa è la fase in cui le azioni di recupero diventano parte del piano: una diffida motivata, corredata dalla relazione forense raccolta nella prima tappa, può portare a una transazione che finanzia il risanamento.
L’errore tipico di questa fase
Usare le misure protettive come una pausa, rinviando le trattative vere. Le misure hanno una scadenza e, se l’esperto riferisce che le trattative non procedono, possono essere revocate. La Cassazione, con l’ordinanza della Sez. I n. 3634 del 12 febbraio 2025, ha chiarito che, una volta venute meno le misure, nell’istruttoria per la liquidazione giudiziale il debitore non ha un diritto pieno al rinvio della decisione, neppure se chiede tempo per accedere ad altri strumenti o per reclamare contro la revoca: deve indicare in modo specifico il pregiudizio al proprio diritto di difesa.
Quanto dura realmente
Le trattative durano di regola da quattro a otto mesi. La fase più lunga è spesso quella con i creditori pubblici e con le banche capofila dei pool. Le transazioni con i clienti, se l’impresa ha una documentazione solida sulla dinamica dell’attacco, si chiudono di solito più in fretta, perché i clienti vogliono certezza sulle forniture.
Tra il sesto e il dodicesimo mese: l’esito della composizione e gli strumenti successivi
Cosa succede
Il calendario ora corre verso la conclusione. L’esperto redige la relazione finale. A seconda di come sono andate le trattative, l’impresa chiude con un accordo, oppure deve passare a uno strumento di regolazione della crisi più strutturato, oppure, nel caso peggiore, si avvia alla liquidazione.
La norma
L’art. 23 CCII elenca gli esiti possibili. Se si individua una soluzione idonea al superamento della situazione, le parti possono:
- concludere un contratto con uno o più creditori, che produce gli effetti premiali dell’art. 25-bis se, secondo la relazione dell’esperto, è idoneo ad assicurare la continuità aziendale per almeno due anni;
- concludere una convenzione di moratoria (art. 62);
- concludere un accordo sottoscritto dall’imprenditore, dai creditori e dall’esperto, che produce gli effetti protettivi degli atti esecutivi previsti dalla legge.
In alternativa l’imprenditore può:
- predisporre un piano attestato di risanamento (art. 56);
- domandare l’omologazione di un accordo di ristrutturazione dei debiti (artt. 57, 60 e 61), anche ad efficacia estesa o agevolato, eventualmente con transazione fiscale e contributiva (art. 63);
- proporre un concordato semplificato per la cessione dei beni (art. 25-sexies), quando le trattative non hanno avuto esito positivo e l’esperto ha dichiarato che si sono svolte secondo buona fede e correttezza; la proposta va presentata entro sessanta giorni dalla comunicazione della relazione finale;
- accedere a uno degli altri strumenti di regolazione della crisi: il piano di ristrutturazione soggetto a omologazione (art. 64-bis), il concordato preventivo (artt. 84 ss.), o la liquidazione giudiziale.
I termini che si attivano
- Sessanta giorni dalla comunicazione della relazione finale per la proposta di concordato semplificato.
- Termini propri di ciascuno strumento successivo: per il concordato preventivo con domanda “con riserva” (art. 44) il tribunale assegna un termine per il deposito della proposta e del piano, con le relative proroghe nei limiti di legge.
- Nel concordato preventivo, la transazione fiscale e contributiva dell’art. 88 segue le regole di adesione e di omologazione forzosa della norma.
Cosa può fare l’impresa ora
La finestra difensiva di questa tappa è la scelta dello strumento che regge anche le passività contestate. Le richieste di danni dei clienti sono un problema particolare: sono crediti incerti nell’esistenza e nell’importo. In un accordo stragiudiziale possono essere transatte una per una; in un accordo di ristrutturazione o in un concordato vanno trattate come crediti chirografari contestati, con accantonamenti adeguati e con un piano che regga anche nello scenario in cui alcuni di essi vengano poi riconosciuti in giudizio.
Il piano deve anche dare conto delle misure di sicurezza adottate dopo l’attacco: un’impresa che propone ai creditori un piano di continuità senza aver corretto le cause dell’attacco non è credibile. Gli investimenti in sicurezza informatica diventano parte del piano, e la relazione dell’attestatore o dell’esperto ne terrà conto.
L’errore tipico di questa fase
Chiudere un accordo con le banche e il fisco lasciando fuori i clienti che chiedono i danni, nella speranza che non agiscano. Se poi uno di essi ottiene una condanna, il piano salta. Meglio prevedere la passività, anche con una stima prudente, e un fondo dedicato.
Quanto dura realmente
Un accordo stragiudiziale si chiude nei mesi della composizione negoziata. Un accordo di ristrutturazione richiede alcuni mesi in più per l’omologazione. Un concordato preventivo, dalla domanda all’omologazione, richiede nella pratica da sei mesi a oltre un anno, a seconda del tribunale.
Dopo il primo anno: il contenzioso che resta, il recupero e le rivalse
Cosa succede
Siamo a un anno dall’attacco. L’impresa ha chiuso, si spera, il fronte della crisi. Ma restano aperte alcune partite: il cliente più grande che non ha accettato la transazione e ha promosso causa; un gruppo di persone che chiede il risarcimento del danno per la diffusione dei propri dati; l’eventuale procedimento del Garante; la causa contro il fornitore IT; la controversia con l’assicurazione che ha liquidato solo in parte.
La norma
Nei giudizi risarcitori sui dati, il quadro è quello visto alla terza tappa: art. 82 GDPR, onere del titolare di provare l’adeguatezza delle misure (Corte di giustizia, causa C-340/21), necessità di un danno effettivo e non della sola violazione (giurisprudenza della Corte di giustizia sul danno da violazione dei dati), danno non in re ipsa ma risarcibile quando la lesione è concreta (Cass. 16402/2021 e Cass. 13073/2023).
Nei giudizi contrattuali, la difesa si gioca sulla non imputabilità dell’inadempimento (art. 1218 c.c.), sulle clausole di forza maggiore e di limitazione di responsabilità (con il limite dell’art. 1229 c.c.), sulla riduzione delle penali (art. 1384 c.c.) e sul concorso del creditore nel cagionare il danno o nel non evitarlo (art. 1227 c.c.), ad esempio quando il cliente non ha adottato soluzioni alternative ragionevoli durante il fermo.
Nei confronti del fornitore IT valgono le regole dell’inadempimento contrattuale e, se il contratto è riconducibile all’appalto, i termini dell’art. 1667 c.c. Nei confronti dell’assicurazione, l’azione si prescrive in due anni (art. 2952 c.c.).
Per i crediti verso i clienti morosi, il ricorso per decreto ingiuntivo resta lo strumento più rapido; il cliente che oppone di avere un controcredito risarcitorio dovrà provarlo nel giudizio di opposizione.
C’è poi un fronte interno, spesso trascurato: la posizione degli amministratori. L’obbligo di assetti adeguati dell’art. 2086 c. 2 c.c. comprende oggi, per qualunque impresa che lavori con sistemi informatici, anche l’organizzazione della sicurezza: backup separati, procedure di risposta agli incidenti, contratti chiari con i fornitori IT, formazione del personale. Se l’attacco ha trovato un’impresa priva di qualunque presidio, soci e creditori potrebbero contestare agli amministratori di non aver organizzato l’impresa in modo adeguato e, nella società a responsabilità limitata, promuovere l’azione di responsabilità prevista dall’art. 2476 c.c. Per i soggetti che rientrano nel perimetro NIS, la normativa di recepimento attribuisce inoltre agli organi di amministrazione compiti diretti di approvazione e supervisione delle misure di gestione del rischio informatico.
Anche per questo la documentazione raccolta nelle prime ore e il piano presentato in composizione negoziata hanno un valore che va oltre la singola causa: dimostrano che l’organo amministrativo, una volta colpito, ha rilevato la crisi e si è attivato senza indugio per adottare uno strumento di superamento, esattamente come chiede la legge. Un amministratore che ha notificato nei termini, avvisato l’assicuratore, risposto ai clienti e chiesto per tempo la composizione negoziata si trova in una posizione molto diversa da chi ha lasciato correre per mesi.
Resta infine l’eventuale istruttoria del Garante sulla violazione dei dati. È un procedimento autonomo rispetto alle cause civili, ma i suoi esiti possono essere utilizzati dai clienti nei giudizi risarcitori. Le memorie difensive presentate all’Autorità vanno quindi scritte con la stessa linea seguita nelle cause e nelle trattative: le stesse misure di sicurezza, la stessa ricostruzione della dinamica, la stessa valutazione del rischio. Un’incoerenza tra la versione data al Garante e quella data al giudice civile è uno degli argomenti più facili per la controparte.
I termini che si attivano
- Prescrizione biennale dei diritti verso l’assicuratore (art. 2952 c.c.).
- Termini dell’art. 1667 c.c. verso il fornitore, se si tratta di appalto: denuncia entro sessanta giorni dalla scoperta, azione entro due anni dalla consegna.
- Termini processuali ordinari, con la sospensione feriale dal 1° al 31 agosto.
Cosa può fare l’impresa ora
La finestra difensiva di questa tappa è usare il contenzioso attivo per finanziare quello passivo. Le somme recuperate dall’assicurazione e dal fornitore IT riducono l’esposizione verso i clienti; i crediti incassati con i decreti ingiuntivi alimentano il piano. Una gestione coordinata delle cause, con un’unica linea difensiva dalla prima udienza fino all’eventuale giudizio di Cassazione, evita contraddizioni tra ciò che si sostiene contro il fornitore (l’attacco era evitabile, la colpa è sua) e ciò che si sostiene verso i clienti (l’attacco era fuori dal controllo dell’impresa). Le due posizioni sono conciliabili, ma vanno costruite con attenzione: l’impresa può sostenere di aver adottato misure adeguate e di aver affidato la sicurezza a un professionista che non ha eseguito correttamente la prestazione.
L’errore tipico di questa fase
Lasciar prescrivere l’azione verso l’assicurazione mentre si attende l’esito delle trattative, oppure difendersi contro i clienti con argomenti che poi si ritorcono contro l’impresa nella causa contro il fornitore.
Quanto dura realmente
Un giudizio civile di primo grado dura nella pratica da due a quattro anni, secondo il tribunale; i procedimenti per decreto ingiuntivo non opposti si chiudono in pochi mesi.
Il binario dell’impresa minore: concordato minore, liquidazione controllata ed esdebitazione
Cosa succede
Non tutte le imprese colpite da un attacco informatico possono accedere agli strumenti visti finora con la stessa efficacia. Il piccolo studio tecnico, la ditta individuale di commercio elettronico, l’artigiano che gestiva ordini e magazzino con un unico gestionale in cloud: per loro un mese di fermo e qualche richiesta di danni possono bastare a rendere i debiti insostenibili.
La norma
L’art. 2 c. 1 lett. d) CCII definisce impresa minore quella che presenta congiuntamente: un attivo patrimoniale complessivo annuo non superiore a 300.000 euro e ricavi complessivi annui non superiori a 200.000 euro nei tre esercizi antecedenti (o dall’inizio dell’attività se di durata inferiore), e debiti anche non scaduti non superiori a 500.000 euro. L’impresa minore non è soggetta alla liquidazione giudiziale e accede alle procedure di sovraindebitamento.
Anche l’impresa minore può usare la composizione negoziata (l’art. 25-quater CCII ne disciplina le particolarità). Ma gli strumenti tipici sono altri:
- il concordato minore (artt. 74-83 CCII), che consente di proporre ai creditori un pagamento parziale e dilazionato, proseguendo l’attività. L’art. 80 c. 3 consente al giudice di omologare anche in mancanza di adesione dell’amministrazione finanziaria o degli enti previdenziali, quando l’adesione è decisiva e la proposta è più conveniente rispetto all’alternativa liquidatoria. La Cassazione, con la sentenza della Sez. I n. 14555 del maggio 2026, ha precisato che nel concordato minore la falcidia dei crediti fiscali e contributivi non richiede la transazione dell’art. 88, ma passa per il giudizio di convenienza dell’art. 80 c. 3; le prime letture della pronuncia sottolineano anche che la convenienza va verificata in concreto e non opera come un meccanismo automatico;
- la liquidazione controllata (artt. 268-277 CCII), quando non c’è prospettiva di continuità;
- l’esdebitazione (artt. 278-283 CCII), che consente alla persona fisica di liberarsi dei debiti residui, anche nella forma dell’esdebitazione del debitore incapiente (art. 283).
Il procedimento passa per l’Organismo di composizione della crisi (OCC), che assiste il debitore nella redazione della proposta e redige la relazione.
I termini che si attivano
- Nel concordato minore, i creditori esprimono il voto entro il termine fissato dal giudice nel decreto di apertura.
- Dal decreto di apertura, su richiesta del debitore, possono essere disposte misure che impediscono azioni esecutive individuali.
Cosa può fare l’impresa ora
La finestra difensiva per l’impresa minore è presentare la proposta prima che le esecuzioni le tolgano gli strumenti di lavoro. I clienti che chiedono i danni partecipano alla procedura come creditori; se i loro crediti sono contestati, il piano deve tenerne conto. Per la ditta individuale, il concordato minore e, se necessario, l’esdebitazione offrono anche una via d’uscita personale per l’imprenditore, che altrimenti risponderebbe con tutto il proprio patrimonio.
L’errore tipico di questa fase
Pensare che i debiti con il fisco e l’INPS non possano mai essere ridotti. Nel concordato minore possono esserlo, alle condizioni dell’art. 80; ma la proposta deve essere seria e documentata, e non può essere costruita solo per cancellare il debito erariale.
Quanto dura realmente
Dal deposito della domanda all’omologazione del concordato minore passano di regola alcuni mesi; il piano di pagamento può durare anni.
La stessa crisi, due calendari
Le due simulazioni che seguono sono ipotesi dimostrative, non casi reali. Stessa impresa, stesso attacco, due modi diversi di gestire il tempo.
Ipotesi di partenza. Società a responsabilità limitata che produce componenti per l’industria alimentare, 34 dipendenti, fatturato annuo di circa 6,8 milioni di euro. Debiti complessivi al giorno dell’attacco: 1.284.600 euro, tutti regolari. Polizza cyber con massimale di 400.000 euro. Lunedì 9 marzo 2026, alle 6.15, un ransomware cifra server e gestionale. Il fermo dura diciannove giorni. Dodici clienti hanno consegne programmate nel periodo; tre di essi hanno contratti con penale di 1.850 euro per giorno di ritardo. I dati anagrafici e bancari di 2.140 clienti persone fisiche (vendita al dettaglio online) risultano esfiltrati.
Calendario A: l’impresa che agisce alle finestre giuste
- 9 marzo, ore 9.00: attivazione del numero di emergenza della polizza; tecnico forense incaricato; denuncia presentata nel pomeriggio.
- 10 marzo: avviso scritto all’assicuratore, entro i tre giorni dell’art. 1913 c.c.; verifica del perimetro NIS (l’impresa non rientra).
- 11 marzo: notifica al Garante entro 72 ore, con descrizione delle misure attive (backup giornalieri, autenticazione a più fattori, aggiornamenti) e delle misure adottate.
- 12 marzo: comunicazione ai 2.140 interessati ai sensi dell’art. 34 GDPR; comunicazione ai dodici clienti con l’invocazione della clausola di forza maggiore dove presente, senza ammissioni di responsabilità.
- 18-27 marzo: risposta scritta a ciascuna delle nove diffide ricevute (richieste complessive: 486.300 euro); contestazione al fornitore IT della vulnerabilità non corretta, con riserva di azione.
- 14 aprile: piano di tesoreria a 13 settimane: fabbisogno scoperto di 312.700 euro nei tre mesi successivi.
- 20 aprile: istanza di composizione negoziata con richiesta di misure protettive limitate alle banche e all’agente della riscossione.
- 22 aprile: accettazione dell’esperto e pubblicazione nel registro delle imprese.
- 23 aprile: ricorso per la conferma delle misure, entro il giorno successivo.
- 30 aprile: udienza, entro dieci giorni dal deposito.
- 4 maggio: misure confermate per 120 giorni.
- Giugno-agosto: transazioni con sette clienti su nove (sconti su forniture future per complessivi 61.480 euro invece delle somme richieste); liquidazione dell’assicurazione per 227.900 euro; accordo con le banche su moratoria di dodici mesi.
- 15 settembre: accordo sottoscritto da imprenditore, creditori ed esperto, entro i centottanta giorni dall’accettazione.
Esito: l’impresa prosegue l’attività; restano aperte due cause di clienti per complessivi 118.200 euro, coperte da un fondo nel piano.
Calendario B: l’impresa che lascia correre
- 9-17 marzo: tutta l’attenzione al ripristino; server formattati senza copie forensi.
- 16 marzo: scadenza dell’F24 di marzo; le somme vengono usate per pagare due fornitori che minacciano di bloccare le consegne.
- 18 marzo: notifica al Garante, con nove giorni di ritardo e senza motivazione; avviso all’assicuratore nello stesso giorno, oltre il termine della polizza. L’assicuratore contesta la tardività e l’assenza di prove della dinamica: liquida, dopo mesi, solo 74.600 euro.
- Fine marzo: l’amministratore promette per telefono a tre clienti sconti e rimborsi per 58.400 euro, che diventano debiti certi.
- 24 aprile: la banca principale, informata dell’incidente e dei mancati versamenti, revoca un fido di cassa di 250.000 euro.
- 11 maggio: notifica di un pignoramento presso terzi sui conti da parte di un fornitore che ha ottenuto decreto ingiuntivo provvisoriamente esecutivo.
- 2 giugno: ricorso per l’apertura della liquidazione giudiziale da parte di un altro fornitore; solo ora l’impresa presenta l’istanza di composizione negoziata.
- Udienza di conferma: l’esperto riferisce che il piano è embrionale e che l’insolvenza appare strutturale; le misure non vengono confermate.
Esito: l’impresa, che al 9 marzo era sana, finisce in uno strumento liquidatorio o in un concordato in condizioni molto peggiori.
La differenza tra i due calendari non è la gravità dell’attacco, identica, ma i dieci giorni iniziali e le sei settimane successive.
I binari paralleli: come cambia la timeline se si attiva un rimedio
La cronologia descritta non è l’unica possibile. In diversi momenti l’impresa può attivare rimedi che cambiano il percorso.
Il binario della transazione diretta. Se l’impresa ha pochi creditori rilevanti e un fabbisogno limitato, può bastare una trattativa stragiudiziale con banche e clienti, senza composizione negoziata. La timeline si accorcia, ma manca la protezione delle misure: un solo creditore che agisce può far saltare tutto. È una strada adatta solo quando i rapporti con banche e clienti principali sono solidi.
Il binario della composizione negoziata senza misure protettive. Si può accedere alla composizione negoziata senza chiedere misure, per sfruttare l’esperto e la riservatezza: utile quando non ci sono azioni esecutive imminenti e si vuole evitare la pubblicità della richiesta di misure nel registro delle imprese.
Il binario del concordato con riserva. Se un creditore ha già presentato ricorso per la liquidazione giudiziale o le esecuzioni sono in corso, l’impresa può presentare una domanda di accesso a uno strumento di regolazione della crisi con riserva di depositare il piano (art. 44 CCII), chiedendo le misure protettive dell’art. 54. La timeline si sposta sul calendario del tribunale, con un commissario giudiziale che vigila.
Il binario del piano di ristrutturazione soggetto a omologazione. L’art. 64-bis consente all’imprenditore commerciale non minore in stato di crisi o di insolvenza di proporre un piano che distribuisce il valore in deroga alle regole ordinarie sulla graduazione, purché approvato all’unanimità delle classi. Può servire quando i clienti che chiedono i danni sono numerosi e vanno collocati in una classe autonoma.
Il binario del sovraindebitamento. Per l’impresa minore, come visto, si passa all’OCC con il concordato minore o la liquidazione controllata.
Il binario delle opposizioni. Se nel frattempo arrivano decreti ingiuntivi dei clienti o dei fornitori, cartelle o avvisi di addebito, i termini per opporsi (quaranta giorni per il decreto ingiuntivo, ai sensi dell’art. 641 c.p.c.) restano autonomi e non vanno persi, anche se è in corso una composizione negoziata.
Le 5 finestre critiche
-
Le prime 24 ore: conservare le prove dell’attacco prima di ripristinare. Senza prove della dinamica non si difende la non imputabilità verso i clienti, non si ottiene l’indennizzo e non si agisce contro il fornitore IT.
-
Le 72 ore: notificare al Garante con un testo meditato e avvisare l’assicuratore nei termini. Una notifica tardiva o imprecisa diventa l’argomento principale dei clienti; un avviso tardivo all’assicuratore può costare l’indennizzo.
-
Le prime quattro settimane: rispondere a ogni diffida senza riconoscere debiti non verificati. Ogni promessa a caldo diventa un debito certo; ogni silenzio diventa un decreto ingiuntivo.
-
Prima della prima azione esecutiva: presentare l’istanza di composizione negoziata. Le misure protettive funzionano meglio se l’impresa arriva prima che la crisi sia diventata insolvenza conclamata.
-
Il giorno successivo alla pubblicazione dell’istanza: depositare il ricorso per la conferma delle misure. È il termine più breve dell’intera procedura, e il suo mancato rispetto fa venir meno la protezione.
Le domande sul tempo
Sono passati cinque giorni dall’attacco e non ho notificato nulla al Garante: è troppo tardi?
No, la notifica va comunque fatta, motivando il ritardo come prevede l’art. 33 GDPR. Il ritardo non elimina l’obbligo; un’ulteriore attesa aggrava la posizione dell’impresa.
Un cliente mi ha già fatto un decreto ingiuntivo per i danni del fermo: posso ancora fare qualcosa?
Sì. Dalla notifica del decreto ingiuntivo decorrono quaranta giorni per l’opposizione (art. 641 c.p.c.), soggetti alla sospensione feriale dal 1° al 31 agosto. In opposizione si fa valere la non imputabilità dell’attacco e si contesta l’importo. Se il decreto è provvisoriamente esecutivo, le misure protettive della composizione negoziata possono impedire che il cliente avvii o prosegua l’esecuzione.
Quanto dura in tutto la composizione negoziata?
L’incarico dell’esperto si considera concluso dopo centottanta giorni dall’accettazione se non si trova una soluzione, con possibilità di prosecuzione per non oltre altri centottanta giorni alle condizioni dell’art. 17 c. 7 CCII. Le misure protettive non possono superare complessivamente i 240 giorni.
Ho già ricevuto un ricorso per la liquidazione giudiziale: posso ancora chiedere la composizione negoziata?
Sì, ma con più difficoltà: le misure protettive impediscono la pronuncia della sentenza di apertura, ma il tribunale verifica che la richiesta non sia un espediente dilatorio e che il risanamento sia ragionevolmente perseguibile. Se le misure vengono revocate, come ricorda la Cassazione con l’ordinanza n. 3634 del 2025, non c’è un diritto pieno al rinvio dell’istruttoria.
Per quanto tempo i clienti possono chiedermi i danni?
Per l’azione contrattuale il termine di prescrizione è di dieci anni, per quella extracontrattuale di cinque. Per questo le passività da attacco informatico vanno gestite e chiuse, non semplicemente attese.
Le pronunce che scandiscono la procedura
Le pronunce che seguono sono ordinate secondo la tappa della cronologia cui si riferiscono. I principi sono riformulati in parole nostre. Le pronunce di merito sulla composizione negoziata sono tratte dal massimario 2026 della Camera di commercio di Pistoia-Prato, che riporta tribunale e data senza numero del provvedimento.
Tappa 2 e 3: la notifica della violazione e la responsabilità verso i clienti
| Pronuncia | Principio | Perché conta in questo caso |
|---|---|---|
| Corte di giustizia UE, 14 dicembre 2023, causa C-340/21 | La sola divulgazione dei dati a opera di terzi non prova l’inadeguatezza delle misure di sicurezza; è però il titolare a dover provare che erano adeguate; il timore di un uso illecito dei dati può essere danno immateriale | È il precedente centrale per l’impresa attaccata: definisce l’onere della prova sulla sicurezza e il tipo di danno che i clienti possono far valere |
| Cass. civ., ord. n. 16402 del 10 giugno 2021 | Il danno non patrimoniale da violazione dei dati personali è risarcibile se la lesione è seria; va provato anche per presunzioni e liquidato in via equitativa | Orienta la quantificazione delle pretese dei singoli interessati |
| Cass. civ., Sez. I, ord. n. 13073 del 12 maggio 2023 | Il danno non è in re ipsa, ma se la violazione lede concretamente la riservatezza il titolare risponde e si libera solo provando la totale non imputabilità; risponde anche dell’errore dei dipendenti | Mostra perché la documentazione delle misure e della formazione del personale è decisiva |
Tappa 5: l’istanza e la conferma delle misure protettive
| Pronuncia | Principio | Perché conta in questo caso |
|---|---|---|
| Trib. Bologna, 23 settembre 2025 | Il giudice può limitare nel tempo gli effetti delle misure verso specifiche categorie di creditori per evitare pregiudizi sproporzionati | Le misure possono essere modellate sul caso, ad esempio proteggendo dalle banche senza bloccare i rapporti con i clienti |
| Trib. Milano, 17 gennaio 2022 | Sono confermabili misure selettive che neutralizzano i pignoramenti sui conti correnti che impediscono l’operatività | Utile quando dopo il fermo un fornitore ha già pignorato i conti |
| Trib. Verona, 22 gennaio 2024 | Le banche possono revocare o sospendere gli affidamenti solo per giustificato motivo comunicato per iscritto; in mancanza il giudice può ordinare l’esecuzione dei contratti | Protegge le linee di credito che l’impresa rischia di perdere dopo l’attacco |
| Trib. Salerno, 13 febbraio 2023 | Le misure non si confermano se l’insolvenza è irreversibile, il piano è embrionale e mancano contatti effettivi con i creditori | Ricorda che l’istanza deve arrivare presto e con un piano documentato |
Tappa 6: le trattative
| Pronuncia | Principio | Perché conta in questo caso |
|---|---|---|
| Trib. Milano, 19 giugno 2025 | Non si può impedire ai creditori di attivare i rimedi contrattuali per i debiti correnti non pagati; vale il dovere di buona fede dell’imprenditore | Le misure coprono i debiti anteriori, non autorizzano a non pagare le forniture correnti |
| Trib. Verona, 11 dicembre 2025 | Le cautelari che incidono sui contratti pendenti, come la sospensione del rimborso dei finanziamenti, si concedono solo in casi eccezionali | Delimita cosa si può chiedere al giudice in favore dell’impresa |
| Trib. Vicenza, 23 luglio 2025 | Sono ammissibili misure cautelari atipiche di sospensione dei pagamenti e di divieto temporaneo di escussione della garanzia pubblica per le PMI | Mostra gli spazi per proteggere la liquidità necessaria al risanamento |
| Cass. civ., Sez. I, ord. n. 3634 del 12 febbraio 2025 | Venute meno le misure, nell’istruttoria per la liquidazione giudiziale il debitore non ha diritto pieno al rinvio, salvo indicare uno specifico pregiudizio alla difesa | Le trattative vanno condotte sul serio: una volta perse le misure, il tempo non si recupera |
Il binario dell’impresa minore
| Pronuncia | Principio | Perché conta in questo caso |
|---|---|---|
| Cass. civ., Sez. I, n. 14555, maggio 2026 | Nel concordato minore la falcidia dei crediti fiscali e contributivi passa per il giudizio di convenienza dell’art. 80 c. 3 CCII, senza necessità della transazione dell’art. 88 | Apre una strada concreta per la piccola impresa colpita dall’attacco che ha accumulato debiti con il fisco e l’INPS durante il fermo |
Cosa può fare lo Studio Monardo, tappa per tappa
Lo Studio interviene alla tappa in cui l’impresa si trova. Se si è ancora nelle prime ore, il lavoro è di presidio; se la cassa è già in difficoltà, è di protezione; se le cause sono già iniziate, è di difesa e recupero. In concreto:
- Nelle prime 72 ore, rivediamo la notifica al Garante e la comunicazione agli interessati prima dell’invio, verificando che descrivano i fatti senza ammissioni non necessarie e che diano conto delle misure di sicurezza adottate.
- Controlliamo la polizza cyber e redigiamo l’avviso di sinistro nei termini dell’art. 1913 c.c. e del contratto, impostando subito la documentazione che l’assicuratore chiederà.
- Esaminiamo uno per uno i contratti con i clienti che hanno consegne o servizi coinvolti dal fermo: clausole di forza maggiore, limitazioni di responsabilità, penali, termini di contestazione.
- Rispondiamo per iscritto a ogni diffida costruendo la difesa sulla non imputabilità dell’attacco e sulla contestazione degli importi, senza riconoscere debiti non verificati.
- Contestiamo al fornitore IT o al provider cloud le eventuali carenze contrattuali, con riserva di azione e nel rispetto dei termini di denuncia applicabili.
- Ricostruiamo con i commercialisti dello staff il quadro dei debiti e il piano di tesoreria, distinguendo debiti certi, passività contestate e attivi recuperabili.
- Prepariamo l’istanza di composizione negoziata e il ricorso per la conferma delle misure protettive, scegliendo il perimetro dei creditori da coinvolgere e le eventuali misure cautelari verso banche e fornitori.
- Conduciamo le trattative con banche, agente della riscossione, enti previdenziali e clienti, proponendo transazioni compatibili con la continuità dell’impresa e, dove possibile, la transazione fiscale e contributiva.
- Se l’impresa è minore, impostiamo con l’OCC il concordato minore o, se non c’è continuità, la liquidazione controllata con la successiva esdebitazione.
- Difendiamo l’impresa nelle cause risarcitorie e nelle opposizioni, e recuperiamo i crediti verso i clienti morosi con i decreti ingiuntivi, con la stessa linea dal primo grado fino all’eventuale ricorso in Cassazione.
L’Avv. Giuseppe Angelo Monardo è avvocato cassazionista; coordinatore di uno staff multidisciplinare operante a livello nazionale in diritto bancario e tributario; Gestore della crisi da sovraindebitamento (L. 3/2012) iscritto negli elenchi del Ministero della Giustizia; professionista fiduciario di un OCC (Organismo di Composizione della Crisi); Esperto Negoziatore della crisi d’impresa ai sensi del D.L. 118/2021.
In una crisi nata da un attacco informatico pesa soprattutto la qualifica di Esperto Negoziatore della crisi d’impresa: conoscere il ruolo dell’esperto e il modo in cui i tribunali valutano le misure protettive permette di preparare un’istanza credibile e un piano che regga le verifiche. La qualifica di avvocato cassazionista garantisce invece continuità di strategia dall’analisi iniziale fino alla Cassazione: chi imposta la difesa contro i clienti è lo stesso che la porta, se serve, fino all’ultimo grado.
Lo staff multidisciplinare di avvocati e commercialisti lavora sullo stesso caso: i primi sui contratti, sulle diffide, sulle cause e sui rapporti con il tribunale; i secondi sul piano di tesoreria, sulla situazione patrimoniale, sui debiti fiscali e contributivi e sulla sostenibilità del piano.
Chiusura
Un attacco informatico dura poche ore; le sue conseguenze giuridiche possono durare anni. In mezzo c’è una sequenza di termini brevissimi e di decisioni che si prendono quando l’imprenditore è sotto pressione: notificare o no, avvisare l’assicuratore, rispondere ai clienti, chiedere le misure protettive prima che arrivi il primo pignoramento. Il tempo è la risorsa più preziosa dell’impresa in crisi e la più sprecata.
Lo Studio Monardo affronta questa materia perché unisce le due competenze che la vicenda richiede: la qualifica di Esperto Negoziatore della crisi d’impresa (D.L. 118/2021), che consente di guidare l’impresa dentro la composizione negoziata e le misure protettive, e quella di Gestore della crisi da sovraindebitamento (L. 3/2012), essenziale quando l’impresa colpita è piccola e la soluzione passa per l’OCC. Senza promettere risultati, lo Studio analizza i debiti, sceglie lo strumento, tratta con i creditori e difende l’impresa nelle cause che l’attacco ha generato.
📩 Ogni giorno conta, dalla prima notifica all’udienza sulle misure protettive: scrivi oggi allo Studio Monardo, tutti i riferimenti per contattarci sono qui sotto, in fondo all’articolo.
