Cybersecurity e Sicurezza sul Lavoro

Cybersecurity come rischio per la salute dei lavoratori

La crescente digitalizzazione del lavoro ha introdotto una categoria di rischi occupazionali non convenzionali: quelli derivanti da eventi informatici avversi. Un'azienda colpita da un attacco ransomware, da una violazione di dati o da un incidente di phishing non subisce soltanto danni economici e reputazionali — coinvolge i propri lavoratori in una situazione di crisi acuta con significative ripercussioni psicologiche.

Stress da data breach: il lavoratore come vittima dell'incidente

Quando si verifica una violazione di dati personali, i lavoratori si trovano in una posizione duale: sono al tempo stesso potenziali vittime della violazione (i loro dati personali possono essere compromessi) e attori coinvolti nella gestione della crisi. Gli studi di psicologia occupazionale documentano che gli episodi di data breach determinano nei lavoratori coinvolti: aumento dei livelli di cortisolo e marcatori biologici da stress, disturbi del sonno, senso di colpa e vergogna (in particolare nei lavoratori che hanno inavvertitamente facilitato l'attacco tramite phishing), e deterioramento del clima organizzativo.

Burnout IT: il lavoratore tecnico come soggetto esposto

I professionisti IT — in particolare coloro che operano in ambito security (analisti SOC, incident responder, penetration tester) — sono esposti a un profilo di rischio psicosociale specifico e spesso sottovalutato. L'esposizione cronica a incidenti informatici, la reperibilità h24, le notifiche di sicurezza continue (alert fatigue) e la pressione da responsabilità elevata concorrono a determinare tassi di burnout significativi nel settore. Ricerche di settore (ENISA, ISC²) indicano che il burnout è tra i principali fattori di turn-over nei team di sicurezza informatica.

Phishing stress: la colpevolizzazione del lavoratore

Le campagne di phishing simulato — sempre più diffuse come strumento di formazione e testing — possono generare effetti indesiderati sulla salute dei lavoratori. La cosiddetta "phishing stress response" si manifesta come uno stato di ipervigilanza verso le comunicazioni digitali, ansia anticipatoria e riduzione della produttività. Quando la cultura organizzativa enfatizza la colpevolizzazione del singolo lavoratore che "abbocca" al phishing — anziché adottare un approccio sistemico alla sicurezza — si creano condizioni favorevoli allo sviluppo di disturbi ansiosi.

Obbligo DVR per il rischio cyber-stress: art. 28 D.Lgs. 81/08

Il Documento di Valutazione dei Rischi (DVR) deve comprendere la valutazione di tutti i rischi per la sicurezza e la salutedei lavoratori, inclusi quelli da stress lavoro-correlato, ai sensi dell'art. 28, comma 1, del D.Lgs. 9 aprile 2008, n. 81. Il rischio psicosociale da cyberincidenti — nella sua componente acuta (gestione della crisi) e cronica (esposizione continua a minacce informatiche) — rientra a pieno titolo in questa categoria.

Perché il cyber-stress è un rischio da DVR

La giurisprudenza e la dottrina in materia di salute e sicurezza sul lavoro hanno progressivamente ampliato il perimetro dei rischi psicosociali valutabili nel DVR. Il rischio da stress lavoro-correlato è esplicitamente menzionato all'art. 28, co. 1, del D.Lgs. 81/08, e le linee guida della Commissione Consultiva Permanente del 2010 ne definiscono il percorso metodologico di valutazione. Quando l'attività lavorativa espone il lavoratore a incidenti informatici — per effetto della sua mansione (es. addetto all'IT security, gestore di sistemi critici) o per effetto dell'ambiente organizzativo (azienda frequentemente sotto attacco) — il rischio da cyberincidente diventa un fattore di stress lavoro-correlato che deve essere identificato, valutato e gestito.

Come inserire il cyber-stress nel DVR: indicazioni operative

L'inserimento del rischio cyber-stress nel DVR segue il percorso metodologico a due fasi dell'INAIL:

• Fase preliminare (indicatori oggettivi): raccolta di dati su assenteismo, turn-over, segnalazioni sanitarie correlate a periodi di incidente informatico, numero di incidenti cyber negli ultimi 12 mesi, frequenza degli alert di sicurezza gestiti dai team IT.
• Fase approfondita (se necessaria): somministrazione di strumenti validati (questionario INAIL, Maslach Burnout Inventory per i team security) con il supporto di un esperto di psicologia del lavoro o del medico competente.
• Piano di miglioramento: misure correttive documentate nel DVR (rotazione dei turni nei SOC, debrief post-incidente, supporto psicologico, revisione dei carichi di reperibilità).

Tabella indicativa. Elaborazione su linee guida INAIL e ENISA.

Formazione lavoratori sulla sicurezza informatica come obbligo integrato

La formazione dei lavoratori sulla sicurezza informatica è oggi un obbligo che deriva da due fonti normative distinte ma convergenti: il D.Lgs. 81/08 e la Direttiva NIS2 (D.Lgs. 138/2024). La loro integrazione è necessaria per evitare duplicazioni e per garantire una copertura completa degli obblighi.

Obbligo di formazione ex D.Lgs. 81/08 (artt. 36–37)

Il datore di lavoro è tenuto a formare i lavoratori sui rischi specifici connessi alle loro mansioni (art. 37, co. 1, lett. b). Quando la mansione implica l'utilizzo di sistemi informatici connessi in rete — condizione ormai generalizzata — i rischi da minacce informatiche (phishing, malware, ransomware) sono rischi specifici della mansione che devono essere oggetto di formazione. Non è sufficiente la formazione generale sui rischi fisici: il piano formativo deve includere moduli sulla sicurezza informatica di base calibrati sul livello di esposizione della mansione.

Obbligo di formazione ex D.Lgs. 138/2024 (NIS2)

Per i soggetti essenziali e importanti ai sensi del D.Lgs. 138/2024 (recepimento Direttiva NIS2), l'art. 23 impone agli organi di amministrazione e agli organi direttivi di seguire una formazione in materia di sicurezza informatica e di garantire che anche i loro dipendenti seguano una formazione analoga. La formazione NIS2 ha focus tecnico-organizzativo sulla gestione del rischio informatico, ma si sovrappone inevitabilmente alla formazione sui rischi psicosociali da incidenti cyber richiesta dal D.Lgs. 81/08.

Piano formativo integrato: raccomandazioni operative

• Modulo base (tutti i lavoratori): riconoscimento phishing, gestione delle credenziali, uso sicuro dei dispositivi aziendali, segnalazione degli incidenti. Durata indicativa: 2–4 ore. Da integrare nel piano formativo annuale D.Lgs. 81/08.
• Modulo avanzato (lavoratori IT/security): risposta agli incidenti, gestione del burnout IT, procedure di escalation, supporto psicologico post-incidente. Durata indicativa: 8–16 ore.
• Modulo dirigenziale (NIS2): framework di gestione del rischio informatico, obblighi di notifica incidenti, responsabilità degli organi di gestione. Da integrare con i requisiti NIS2 art. 23.
• Aggiornamento periodico: almeno annuale, con refresh sui nuovi vettori di attacco e sulle modifiche normative (NIS2, GDPR, D.Lgs. 81/08).

Lavoro agile e cybersecurity: rischi specifici per i telelavoratori

Il lavoro agile (smart working) ha cambiato radicalmente il perimetro della sicurezza informatica aziendale, portando le minacce informatiche direttamente nell'ambiente domestico del lavoratore. Questa trasformazione ha implicazioni dirette per la salute e la sicurezza dei telelavoratori che il D.Lgs. 81/08 e la L. 81/2017 impongono di considerare.

Isolamento e cyber-stress nel lavoro da remoto

Il lavoratore in smart working che subisce un incidente informatico — o che deve gestirne le conseguenze da casa — si trova in una condizione di isolamento che amplifica i fattori di stress rispetto al contesto aziendale. L'assenza del supporto immediato dei colleghi, la difficoltà di distinguere tra orario di lavoro e tempo libero, e la percezione di responsabilità individuale più acuta rispetto al lavoro in presenza concorrono a determinare un profilo di rischio psicosociale specifico per i telelavoratori.

Reperibilità h24 e diritto alla disconnessione

I lavoratori IT in smart working sono frequentemente soggetti a reperibilità informale h24 per la gestione degli alert di sicurezza. Questo regime, se non adeguatamente regolato, viola il diritto alla disconnessione (L. 81/2017, art. 19, co. 1) e costituisce un fattore di rischio da stress lavoro-correlato rilevante ai fini del DVR. Il datore di lavoro deve definire per iscritto nell'accordo di smart working le fasce di reperibilità, i tempi di risposta attesi e le procedure di escalation, evitando l'aspettativa implicita di disponibilità continua.

Esposizione a incidenti informatici fuori orario

La L. 81/2017 e il D.Lgs. 81/08 richiedono che il datore di lavoro valuti i rischi anche nell'ambiente in cui si svolge il lavoro agile. Gli attacchi informatici non rispettano orari lavorativi: un ransomware che colpisce i sistemi aziendali alle 2:00 di notte costringe il lavoratore in reperibilità a intervenire al di fuori del normale orario, con conseguenze sul riposo, sul recupero fisico e sulla salute psicologica. Questi episodi, se sistematici, devono essere documentati nel DVR come fattori di rischio da gestire.

Il ruolo del datore di lavoro nell'adozione di misure organizzative anti-burnout IT

Il datore di lavoro ha un obbligo generale di adottare le misure necessarie a tutelare l'integrità fisica e la personalità morale dei lavoratori (art. 2087 c.c.), specificato per i rischi psicosociali dall'art. 28 del D.Lgs. 81/08. Nel contesto della cybersecurity, questo si traduce in misure organizzative concrete per prevenire il burnout nei team IT e ridurre l'impatto psicologico degli incidenti informatici su tutti i lavoratori.

Misure organizzative per i team IT/security

• Rotazione dei turni nei SOC/NOC:limitare l'esposizione continuativa agli alert di sicurezza tramite rotazione programmata delle postazioni ad alto carico cognitivo e sensoriale.
• Alert fatigue management: adozione di sistemi SIEM con triage automatizzato che riducano il numero di falsi positivi gestiti manualmente, limitando il carico cognitivo degli analisti.
• Debriefing post-incidente:procedure strutturate di revisione degli incidenti che separino l'analisi tecnica dall'attribuzione di colpa, e che includano un momento di supporto psicologico per i team coinvolti.
• Cultura blame-free: promozione di una cultura organizzativa che distingua tra errori umani inevitabili (il lavoratore che apre un allegato di phishing sofisticato) e negligenza grave, evitando stigmatizzazioni che amplificano il danno psicologico.
• Limitazione della reperibilità: definizione contrattuale delle fasce di reperibilità, con compensazione adeguata e garanzia di periodi minimi di riposo ininterrotto, in conformità al D.Lgs. 66/2003 (organizzazione orario di lavoro).
• Supporto psicologico: accesso a servizi di supporto psicologico riservato per i lavoratori IT esposti a incidenti gravi, come misura di welfare aziendale integrata nel piano di gestione del rischio psicosociale.

GDPR e D.Lgs. 81/08: l'intersezione

Il Regolamento UE 2016/679 (GDPR) e il D.Lgs. 81/08 si intersecano in molteplici punti che il responsabile della sicurezza sul lavoro deve conoscere, poiché una violazione del GDPR può avere conseguenze dirette sulla sicurezza e la salute dei lavoratori.

Data breach e impatti sui lavoratori

Un data breach che coinvolga dati personali dei lavoratori — buste paga, dati sanitari, comunicazioni private, geolocalizzazione — costituisce simultaneamente una violazione degli obblighi GDPR (art. 33–34: notifica al Garante e agli interessati) e un potenziale fattore di rischio per la salute dei lavoratori stessi. Il lavoratore che apprende che i propri dati sanitari sono stati compromessi subisce un danno psicologico rilevante che il datore di lavoro è tenuto a gestire anche sotto il profilo della salute e sicurezza.

Privacy dei lavoratori e sistemi di monitoraggio

I sistemi di sicurezza informatica (DLP, SIEM, monitoraggio email e navigazione) raccolgono dati sui comportamenti digitali dei lavoratori. Il loro utilizzo deve rispettare il bilanciamento tra esigenze di sicurezza informatica e diritto alla privacy del lavoratore (art. 4 L. 300/1970 — Statuto dei Lavoratori, come modificato dal D.Lgs. 151/2015), con accordo sindacale o autorizzazione dell'Ispettorato del Lavoro per il controllo a distanza. Il Garante per la protezione dei dati personali ha emesso specifici provvedimenti sul tema.

Registro dei trattamenti e DVR: un coordinamento necessario

Il Registro delle Attività di Trattamento (art. 30 GDPR) e il DVR sono documenti distinti ma che devono essere coordinati. I trattamenti di dati personali relativi alla salute dei lavoratori (sorveglianza sanitaria, infortuni, malattie professionali) devono essere correttamente documentati nel Registro e protetti con misure di sicurezza adeguate. Una violazione della sicurezza di questi dati configura contestualmente una violazione GDPR e una violazione degli obblighi di riservatezza dei dati sanitari dei lavoratori previsti dal D.Lgs. 81/08.

Tabella indicativa. Non costituisce parere legale.

Impatti sulla salute mentale dei lavoratori IT: SOC e NOC

I team di Security Operations Center (SOC) e Network Operations Center (NOC) rappresentano la prima linea di risposta agli incidenti informatici e sono esposti a un profilo di rischio per la salute mentale particolarmente critico. La letteratura scientifica e i rapporti di settore documentano tassi di burnout, turnover e disagio psicologico significativamente superiori alla media del settore IT.

Fattori di rischio specifici

I principali fattori di rischio per la salute mentale nei team SOC/NOC includono:

• Alert fatigue: esposizione a migliaia di alert di sicurezza quotidiani, con elevata percentuale di falsi positivi. La necessità di mantenere attenzione sostenuta su segnalazioni spesso irrilevanti produce esaurimento cognitivo cronico.
• Turni notturni e irregolari: la continuità operativa h24 dei SOC richiede turnazione notturna con effetti documentati sul ritmo circadiano, sulla qualità del sonno e sulla salute cardiovascolare (Titolo VIII bis D.Lgs. 81/08, lavoro notturno).
• Responsabilità elevata e conseguenze severe:gli errori dei team SOC possono avere conseguenze economiche e legali gravi per l'organizzazione. Questa percezione di responsabilità amplifica la risposta da stress.
• Esposizione a contenuti disturbanti: gli analisti SOC che gestiscono casi di cyber-crime, frodi o abusi su minori (CSAM) sono esposti a contenuti traumatici con rischio documentato di trauma vicario e PTSD.
• Isolamento professionale: la natura riservata del lavoro di sicurezza informatica — che impone vincoli di riservatezza — limita le possibilità di condivisione del carico emotivo e di supporto tra pari.

Indicatori di deterioramento della salute nei team IT

Il medico competente e l'RSPP dovrebbero monitorare i seguenti indicatori di deterioramento della salute nei team IT/security:

• Aumento dell'assenteismo, in particolare per disturbi psicosomatici
• Tasso di turn-over superiore alla media aziendale o di settore (indicativamente >20–25% annuo nei team SOC rappresenta un segnale critico)
• Richieste frequenti di cambio mansione o di uscita dal team security
• Deterioramento della qualità del lavoro in periodi successivi a incidenti gravi
• Segnalazioni informali di difficoltà nel riposo e nel recupero

Approfondisci

• Smart working e sicurezza

  Obblighi del datore di lavoro e del lavoratore agile: DVR, accordo, infortuni in itinere.

• Stress lavoro-correlato

  Valutazione e gestione del rischio psicosociale: metodo INAIL, DVR, misure correttive.

• Sicurezza nel settore IT e Tech

  Infortuni e rischi professionali specifici dei lavoratori del settore informatico.

• Osservatorio sicurezza

  Panoramica completa dei dati infortunistici e delle analisi tematiche.

Fonti normative