Indice
Testo dell'articoloVigente
Art. 635-ter c.p. – Danneggiamento di informazioni, dati e programmi informatici (pubblici o di interesse pubblico
Testo vigente – R.D. 1398/1930 (aggiornato da Normattiva)
).
Salvo che il fatto costituisca più grave reato, chiunque commette un fatto diretto a distruggere, deteriorare, cancellare, alterare o sopprimere informazioni, dati o programmi informatici di interesse militare o relativi all’ordine pubblico o alla sicurezza pubblica o alla sanità o alla protezione civile o comunque di interesse pubblico, è punito con la reclusione da due a sei anni .
La pena è della reclusione da tre a otto anni:
1) se il fatto è commesso da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, o da chi esercita, anche abusivamente, la professione di investigatore privato, o con abuso della qualità di operatore del sistema;
2) se il colpevole per commettere il fatto usa minaccia o violenza ovvero se è palesemente armato;
3) se dal fatto deriva la distruzione, il deterioramento, la cancellazione, l’alterazione o la soppressione delle informazioni ovvero la sottrazione, anche mediante riproduzione o trasmissione, o l’inaccessibilità al legittimo titolare dei dati o dei programmi informatici.
La pena è della reclusione da quattro a dodici anni quando taluna delle circostanze di cui ai numeri 1) e 2) del secondo comma concorre con taluna delle circostanze di cui al numero 3) .
In sintesi
Indice dei contenuti
Chi distrugge informazioni, dati o programmi informatici dello Stato o ente pubblico o di pubblica utilità è punito 1-4 anni reclusione. Se il danno è concreto: 3-8 anni. Pena aumentata se violenza o abuso operatore.
Ratio
L'articolo 635-ter, introdotto dalla L. 48/2008, protegge specificamente i sistemi informatici di interesse pubblico e nazionale. La norma riconosce che il danneggiamento di infrastrutture digitali critiche (sanità, giustizia, finanze, energia) ha impatto non solo sul proprietario ma sull'intera società. È reato di pericolo se diretto a danneggiare (anche se fallisce), e di danno se il danneggiamento è concretamente realizzato. La gravità riflette il rischio di paralisi delle funzioni essenziali dello Stato.
Analisi
La norma si articola in tre elementi progressivi. Il primo comma punisce l'atto diretto a danneggiare sistemi pubblici (1-4 anni), anche se non riesce. Non è necessario il successo; basta l'intento di distruggere/alterare. Il secondo comma aggrava la pena se il danneggiamento è concretamente realizzato (3-8 anni). Il terzo comma introduce ulteriori aggravanti se ricorrono violenza alla persona o abuso di qualità operatore (insider attack). La scala punitiva riflette la gravità della minaccia: danneggiare i sistemi della Pubblica Amministrazione è quasi un atto di sabotaggio contro lo Stato.
Quando si applica
Caso 1: un attivista hacker instrada un attacco DDoS contro il sito dell'Agenzia delle Entrate al fine di distruggere i database tributari, allo scopo di protestare contro il sistema fiscale. L'attacco fallisce grazie ai sistemi di backup. È reato del primo comma (1-4 anni) per tentativo. Caso 2: un ransomware colpisce un ospedale e cripta i dati dei pazienti; l'azienda ospedaliera non può operare per 72 ore. È reato del secondo comma (3-8 anni) perché il danno è concreto e realizzato su sistema di pubblica utilità. Caso 3: un ex-amministratore dell'Agenzia delle Entrate, autorizzato all'accesso, cancella intentamente records tributari su comando di un'organizzazione criminale. È reato aggravato per abuso di qualità.
Connessioni
Correlato all'articolo 635-bis (danneggiamento informatico generico) e all'articolo 635-quinquies (sistemi telematici di pubblica utilità). Riferimenti al Codice dell'Amministrazione Digitale (d.lgs. 82/2005) che definisce i sistemi informatici delle PA e gli obblighi di sicurezza. Rimandi alla legge sulla cybersecurity nazionale (L. 10/2019, d.lgs. 95/2022 su Agenzia per la Cybersicurezza). Connessioni con direttive UE su NIS2 (Network and Information Security) per protezione infrastrutture critiche. Correlato al reato di terrorismo informatico se l'atto ha finalità politiche estremiste (articoli 270 ss cp).
Pronunce della Corte Costituzionale
Corte Cost., sent. n. 222/2019
Prassi dell'Agenzia delle Entrate
Ministero della Giustizia
Casi pratici
Caso 1: Tizio e l'attacco ai sistemi tributari
, Tizio, parte di un collettivo hacker anarco-insurrezionalista, coordina un attacco DDoS massivo contro i server dell'Agenzia delle Entrate con lo scopo dichiarato di distruggere i database dello Stato e 'liberare' i cittadini dal fisco. Nonostante lo sforzo, i sistemi di ridondanza backup dell'Agenzia resistono e nessun dato è perduto. Tizio commette il reato del primo comma dell'articolo 635-ter (1-4 anni) per tentativo qualificato: l'atto è diretto a danneggiare un sistema pubblico anche se non ha successo.
Caso 2: Caio e il ransomware ospedaliero
, Caio, membro di una cellula ransomware, indirizza un malware specializzato verso l'ospedale comunale di una grande città. I dati dei pazienti, delle cartelle cliniche digitali e della farmacia ospedaliera vengono criptati. L'ospedale è costretto a trasferire i pazienti critici in strutture limitrofe e interrompe le operazioni chirurgiche pianificate per 72 ore. Caio commette il reato del secondo comma (3-8 anni) perché il danno è concreto e il sistema è di pubblica utilità. L'impatto sulla salute pubblica aggrava ulteriormente la valutazione.
Domande frequenti
Se attacco un sistema pubblico ma fallisco, comunque è reato?
Sì, il primo comma dell'articolo 635-ter punisce l'atto diretto a danneggiare, indipendentemente dal successo. Anche il tentativo fallito è reato. Se poi l'attacco riesce e causa danno concreto, la pena sale al secondo comma (3-8 anni).
Qual è la differenza tra sistema pubblico e di pubblica utilità?
Sistema pubblico: di proprietà diretta dello Stato (PA, forze armate, magistratura). Sistema di pubblica utilità: di proprietà privata ma che eroga servizi essenziali (ospedali privati convenzionati, banche, farmacie, centrali energetiche, acquedotti). Entrambi rientrano nella tutela dell'articolo 635-ter se il danno ha impatto sulla collettività.
Se scopro una vulnerabilità nel sistema di una PA e la segnalo responsabilmente, è reato?
No, se agisci in buona fede senza accesso abusivo. Se scopri una vulnerabilità e la segnali (responsible disclosure), è atto lodevole e non reato. Se invece la sfrutti per accedere o alterare dati, è reato di accesso abusivo (articolo 615-ter) e potenzialmente danneggiamento informatico.
Se sono IT della PA e per errore cancello un file critico, è il reato dell'articolo 635-ter?
No, se è errore senza dolo. L'articolo 635-ter richiede intento di danneggiare (atto diretto a distruggere). Se la cancellazione è accidentale, rimane errore di gestione ma non reato. Se è fatto deliberatamente per sabotaggio, allora è 635-ter aggravato per abuso di qualità.
Quale pena se un attacco informatico paralizza contemporaneamente sanità e finanze?
La pena è calcolata per il maggior danno realizzato. Se sia la sanità che la finanza sono paralizzate, la pena del secondo comma (3-8 anni) si applica per il reato unitario di danneggiamento di sistemi critici plurimi. La sentenza può elevare la pena nella massima frazione per la plurioffesa.
Fonti consultate: 2 fontei verificate