Le segreterie chiudono, i tecnici vanno in ferie, i registri restano online. È in questa finestra che gli attacchi informatici alla pubblica amministrazione italiana hanno colpito con più frequenza nel 2025, e la scuola non è esente.
I numeri del 2025 che il dirigente deve conoscere
Il Rapporto Clusit 2026 sulla sicurezza ICT in Italia conta 507 incidenti gravi rilevati in Italia nel 2025, con una crescita del 42% rispetto ai 357 dell'anno precedente. Il balzo più violento riguarda il comparto pubblico e militare, salito del 290% e ormai responsabile del 28,4% degli attacchi mappati sul territorio nazionale.
Sul fronte privacy, la pagina scuola del Garante per la protezione dei dati personali ricorda che gli istituti sono titolari del trattamento a tutti gli effetti. Nella Relazione annuale 2025 l'Autorità dichiara 2.415 data breach notificati (+10% sull'anno prima), di cui 514 nel settore pubblico. Le sanzioni pecuniarie a scuole sono state 13, accompagnate da 6 ammonimenti: cifre piccole rispetto ai 37 milioni riscossi complessivamente, ma sufficienti a far entrare la scuola nel piano ispezioni del primo semestre 2026, che punta esplicitamente sull'uso dell'intelligenza artificiale in classe.
Perché ad agosto il rischio si concentra
La responsabilità del dirigente scolastico come titolare non va in ferie. L'articolo 33 del Regolamento UE 2016/679 impone la notifica di ogni violazione di dati personali entro 72 ore dalla conoscenza dell'evento, festivi compresi. Un ransomware che cifra il registro elettronico il 12 agosto non concede tempo aggiuntivo perché la segreteria è chiusa.
Il problema è che ad agosto convergono quattro fattori che gli attaccanti conoscono bene: aggiornamenti software rimandati a settembre, personale ATA ridotto al minimo, DSGA e amministratori di sistema in congedo, credenziali di ex docenti trasferiti spesso non ancora revocate. Il CERT-AGID nel proprio report annuale sulle campagne malevole del 2025 ha isolato 90 famiglie di malware in circolazione, con FormBook, Remcos e AgentTesla in testa e 328 campagne di phishing che sfruttano il marchio PagoPA, uno strumento che le segreterie usano quotidianamente.
La direttiva NIS2, recepita con il decreto legislativo 138 del 2024, ha esentato gli istituti del primo e secondo ciclo dalla registrazione obbligatoria sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale. Ma l'esenzione riguarda solo un adempimento formale: gli obblighi sostanziali di sicurezza previsti dal GDPR e dalle Misure minime AGID restano interamente in capo alla scuola.
Cosa deve garantire il DS prima della chiusura
Prima di lasciare l'ufficio il dirigente ha alcune verifiche non delegabili. La prima è la catena di reperibilità: chi risponde al telefono se il DPO riceve una segnalazione di breach il 15 agosto? La seconda è la revoca puntuale di tutte le credenziali di personale in uscita, docenti trasferiti compresi. La terza sono i backup offline verificati con un ripristino di prova, non solo con l'esito verde del software. Una quarta è il registro dei trattamenti aggiornato con gli strumenti realmente usati nell'anno appena chiuso: piattaforme di videoconferenza, app per i colloqui, gestionali delle rette. Molti dei 514 breach del settore pubblico partono da fornitori dimenticati in fondo a un contratto.
Sul piano organizzativo serve una disposizione scritta al DSGA che congeli gli accessi ai sistemi amministrativi durante la chiusura, indichi il canale di contatto per gli utenti esterni e stabilisca chi ha delega ad autorizzare interventi tecnici in emergenza. Le risorse del Piano Scuola 4.0 finanziato dal PNRR possono coprire una parte dell'infrastruttura tecnica, ma la governance del rischio resta di competenza del dirigente.
Il 15 settembre le prime segnalazioni al Garante partiranno comunque, come ogni anno. La differenza tra una scuola che gestisce l'incidente in 72 ore e una che scopre il breach dopo tre settimane si costruisce nelle due settimane prima di Ferragosto, non a emergenza già in corso.