Una verifica della sicurezza può comportare interazioni con sistemi protetti e dati altrui. Se il tecnico viene indagato per accesso abusivo o danneggiamento informatico, il riferimento a un «penetration test» non risolve da solo la questione. Occorre ricostruire l’incarico: chi lo ha conferito, quali sistemi comprendesse, quali attività consentisse e quali operazioni siano state effettivamente compiute.
La difesa deve mettere in relazione autorizzazione e condotta. Il nome dell’attività professionale e la finalità dichiarata di migliorare la sicurezza sono elementi del contesto, ma non sostituiscono la verifica del permesso e degli altri requisiti del reato contestato.
Chi poteva autorizzare la verifica
Un primo punto riguarda il soggetto che ha conferito l’incarico. La disponibilità di un’applicazione o l’utilizzo di un servizio non implicano necessariamente il potere di autorizzare operazioni su tutta l’infrastruttura. Un’organizzazione può controllare alcuni componenti e utilizzare servizi di terzi per altri. Il documento d’incarico deve essere letto rispetto a questa distribuzione.
Per l’art. 615-ter, l’autorizzazione rileva già nella verifica dell’abusività. Su un piano distinto, l’art. 50 c.p. disciplina il consenso come causa di giustificazione per diritti dei quali il titolare può validamente disporre. Non basta un assenso proveniente da chiunque abbia un ruolo nel progetto. La difesa verifica competenze, deleghe e rapporto con il sistema interessato. Il consenso non costituisce una copertura generale per incidere anche su diritti che quel soggetto non poteva autorizzare a coinvolgere.
Sistemi inclusi e sistemi esterni
Il perimetro può essere descritto attraverso ambienti, servizi, account di prova e componenti individuati nell’incarico. La ricostruzione deve mostrare quale sistema sia stato coinvolto dall’operazione contestata e quale relazione abbia con quello autorizzato. Espressioni come «verifica dell’applicazione» richiedono chiarimenti se la condotta riguarda una risorsa distinta.
Il fatto che due servizi siano tecnicamente collegati non estende automaticamente il consenso dall’uno all’altro. La difesa confronta documentazione dell’infrastruttura, comunicazioni di incarico ed eventuali chiarimenti ricevuti. Se il perimetro è stato modificato durante il lavoro, devono essere individuati contenuto, autore e momento della modifica, senza attribuire efficacia preventiva a un documento successivo.
Le attività consentite e le condizioni operative
Un incarico può prevedere operazioni diverse, limiti sui dati da consultare, finestre temporali o condizioni per interrompere l’attività. Queste previsioni devono essere confrontate con ciò che l’accusa attribuisce al tecnico. L’autorizzazione a verificare una configurazione non va descritta come un permesso indistinto a svolgere qualsiasi operazione sul sistema.
Le istruzioni scritte sono importanti, ma la ricostruzione considera anche le comunicazioni pertinenti e il loro concreto significato. Un rapporto finale documenta ciò che il tecnico riferisce di aver svolto; non prova da solo che tutte le attività fossero state consentite. Analogamente, una violazione contrattuale richiede di essere distinta dagli elementi che fondano una responsabilità penale.
Il confronto con l’art. 615-ter
L’art. 615-ter punisce l’introduzione abusiva in un sistema protetto e la permanenza contro la volontà espressa o tacita di chi può escludere l’utilizzatore. Il permesso di effettuare una verifica può quindi essere rilevante per ricostruire l’abusività. Occorre però collegarlo proprio all’ingresso o alla permanenza contestati, non soltanto alla presenza di un rapporto professionale.
La difesa verifica anche la consapevolezza del tecnico. Restrizioni ricevute, chiarimenti richiesti e risposte documentate possono concorrere alla valutazione. L’art. 47 disciplina l’errore sul fatto; un suo eventuale richiamo richiede di individuare quale errore sia allegato e come risulti dagli atti. La semplice dichiarazione di aver agito per sicurezza non esaurisce questo punto.
Danneggiamento e modifiche dei dati
L’eventuale contestazione di danneggiamento richiede un’analisi ulteriore. L’art. 635-bis riguarda distruzione, deterioramento, cancellazione, alterazione o soppressione di informazioni, dati e programmi altrui; il testo vigente prevede una pena base da due a sei anni. L’art. 635-quater considera le condotte che distruggono, danneggiano, rendono inservibili sistemi altrui o ne ostacolano gravemente il funzionamento, con la stessa cornice base.
Vanno distinti il risultato sul sistema e l’elemento soggettivo della specifica fattispecie. Un malfunzionamento emerso durante il test non dimostra da solo la responsabilità per un delitto doloso; neppure il consenso a una verifica dimostra che qualsiasi conseguenza fosse autorizzata. Il confronto richiede dati sulle operazioni, sui limiti concordati e sulle conseguenze effettive.
Per sistemi o dati che rientrano nelle previsioni speciali degli artt. 635-ter e 635-quinquies, la disciplina comprende anche condotte dirette a determinati eventi. Il perimetro normativo va quindi individuato concretamente: un titolo professionale non consente di applicare sempre la sola figura ordinaria. La difesa deve conoscere quale disposizione e quale evento siano contestati.
Documentare l’attività senza ricostruzioni successive
Sono pertinenti l’incarico originario, le autorizzazioni integrative, i messaggi operativi e il rapporto delle attività. Possono essere confrontati i registri del sistema con quelli conservati dal tecnico e con gli interventi effettuati da altre persone. La documentazione deve permettere di separare operazioni programmate, operazioni eseguite e conseguenze osservate.
Un consulente può verificare provenienza, cronologia e significato dei dati, chiarendo i limiti della ricostruzione. Non è necessario ripetere le operazioni contestate per dimostrare che fossero possibili. La conservazione dei materiali esistenti e il confronto tecnico attraverso modalità legittime consentono di esaminare la vicenda senza introdurre ulteriori interventi sui sistemi coinvolti.
Questioni difensive da mantenere distinte
Il fascicolo può porre contemporaneamente domande sul consenso, sul superamento del perimetro, sull’attribuzione delle operazioni e sulle conseguenze. Ciascuna va collegata alla disposizione contestata. Dimostrare un incarico non identifica automaticamente l’autore di ogni evento; dimostrare un’operazione non prova da solo che fosse esterna al permesso.
La difesa può presentare una ricostruzione documentata e chiedere approfondimenti sulle lacune rilevanti. Una responsabilità contrattuale, una contestazione tecnica e una responsabilità penale seguono verifiche differenti. Il risultato del procedimento dipende dalla prova degli elementi della fattispecie, senza che la qualifica di tecnico della sicurezza costituisca una presunzione di colpevolezza o un’esenzione generale.
Per il quadro generale della materia, il sito contiene anche la guida sull’accesso abusivo a un sistema informatico.
Fonti normative e istituzionali
Codice penale, articolo 50 — testo vigente all’11 ottobre 2026; Codice penale, articolo 43 — testo vigente all’11 ottobre 2026; Codice penale, articolo 47 — testo vigente all’11 ottobre 2026; Codice penale, articolo 615-ter — testo vigente all’11 ottobre 2026; Codice penale, articolo 635-bis — testo vigente all’11 ottobre 2026; Codice penale, articolo 635-ter — testo vigente all’11 ottobre 2026; Codice penale, articolo 635-quater — testo vigente all’11 ottobre 2026; Codice penale, articolo 635-quinquies — testo vigente all’11 ottobre 2026. Fonti consultate il 10 ottobre 2026.
Il contenuto ha finalità informativa. La valutazione della singola posizione richiede l’esame degli atti e delle circostanze concrete.
Informazioni e recapiti dello Studio
Avv. Davide Tutino · Studio Legale Tutino · Foro di Catania. Per informazioni sull’assistenza difensiva nei procedimenti penali: 095 9991325, 392 3838383 · davide@tutino.sicilia.it. Sede e informazioni professionali nella pagina dello Studio a Catania.
Revisione giuridica ed editoriale: 11 ottobre 2026.
