Nella notte tra l'11 e il 12 ottobre 2026, un attacco informatico ha colpito i sistemi di refrigerazione di centinaia di supermercati in Francia, mettendo in ginocchio la catena del freddo e sollevando interrogativi pesanti sulla sicurezza delle infrastrutture commerciali. L'episodio, analizzato dagli avvocati Giuseppe Croari e Emma Roberti, non è solo un caso di cronaca: diventa un banco di prova per capire come le imprese debbano gestire i rischi informatici alla luce delle normative europee.
Dati violati e obblighi di notifica
Il primo fronte è quello del GDPR. Se dall'attacco sono emersi accessi non autorizzati a dati personali di clienti o dipendenti, scatta l'obbligo di notifica al Garante entro 72 ore. Le aziende coinvolte devono dimostrare di aver adottato misure di sicurezza adeguate: la mancata protezione può tradursi in sanzioni fino a 20 milioni di euro o al 4% del fatturato globale. Non basta subire l'attacco: conta la capacità di reazione e di documentazione.
NIS2: la nuova frontiera della responsabilità
Il secondo fronte è la direttiva NIS2, che amplia gli obblighi di cybersicurezza anche a settori come la distribuzione alimentare. Le imprese devono implementare misure di gestione del rischio, segnalare gli incidenti e garantire la continuità operativa. La responsabilità ricade direttamente sui vertici aziendali, chiamati a supervisionare e a rispondere personalmente in caso di negligenza. L'attacco francese dimostra quanto sia urgente un approccio strutturato: la sicurezza informatica non è più un costo accessorio, ma un pilastro della governance aziendale.
