Le segreterie chiudono, i tecnici vanno in ferie, i registri restano online. È in questa finestra che gli attacchi informatici alla pubblica amministrazione italiana hanno colpito con più frequenza nel 2025, e la scuola non è esente.
I numeri del 2025 che il dirigente deve conoscere
Il Rapporto Clusit 2026 sulla sicurezza ICT in Italia conta 507 incidenti gravi rilevati in Italia nel 2025, con una crescita del 42% rispetto ai 357 dell'anno precedente. Il balzo più violento riguarda il comparto pubblico e militare, salito del 290% e ormai responsabile del 28,4% degli attacchi mappati sul territorio nazionale.
Sul fronte privacy, la pagina scuola del Garante per la protezione dei dati personali ricorda che gli istituti sono titolari del trattamento a tutti gli effetti. Nella Relazione annuale 2025 l'Autorità dichiara 2.415 data breach notificati (+10% sull'anno prima), di cui 514 nel settore pubblico. Le sanzioni pecuniarie a scuole sono state 13, accompagnate da 6 ammonimenti: cifre piccole rispetto ai 37 milioni riscossi complessivamente, ma sufficienti a far entrare la scuola nel piano ispezioni del primo semestre 2026, che punta esplicitamente sull'uso dell'intelligenza artificiale in classe.
Perché ad agosto il rischio si concentra
La responsabilità del dirigente scolastico come titolare non va in ferie. L'articolo 33 del Regolamento UE 2016/679 impone la notifica di ogni violazione di dati personali entro 72 ore dalla conoscenza dell'evento, festivi compresi. Un ransomware che cifra il registro elettronico il 12 agosto non concede tempo aggiuntivo perché la segreteria è chiusa.
Il problema è che ad agosto convergono quattro fattori che gli attaccanti conoscono bene: aggiornamenti software rimandati a settembre, personale ATA ridotto al minimo, DSGA e amministratori di sistema in congedo, credenziali di ex docenti trasferiti spesso non ancora revocate. Il CERT-AGID nel proprio report annuale sulle campagne malevole del 2025 ha isolato 90 famiglie di malware in circolazione, con FormBook, Remcos e AgentTesla in testa e 328 campagne di phishing che sfruttano il marchio PagoPA, uno strumento che le segreterie usano quotidianamente.
La direttiva NIS2, recepita con il decreto legislativo 138 del 2024, ha esentato gli istituti del primo e secondo ciclo dalla registrazione obbligatoria sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale. Ma l'esenzione riguarda solo un adempimento formale: gli obblighi sostanziali di sicurezza previsti dal GDPR e dalle Misure minime AGID restano interamente in capo alla scuola.
Cosa deve garantire il DS prima della chiusura
Prima di lasciare l'ufficio il dirigente ha alcune verifiche non delegabili. La prima è la catena di reperibilità: chi risponde al telefono se il DPO riceve una segnalazione di breach il 15 agosto? La seconda è la revoca puntuale di tutte le credenziali di personale in uscita, docenti trasferiti compresi. La terza sono i backup offline verificati con un ripristino di prova, non solo con l'esito verde del software. Una quarta è il registro dei trattamenti aggiornato con gli strumenti realmente usati nell'anno appena chiuso: piattaforme di videoconferenza, app per i colloqui, gestionali delle rette. Molti dei 514 breach del settore pubblico partono da fornitori dimenticati in fondo a un contratto.
Sul piano organizzativo serve una disposizione scritta al DSGA che congeli gli accessi ai sistemi amministrativi durante la chiusura, indichi il canale di contatto per gli utenti esterni e stabilisca chi ha delega ad autorizzare interventi tecnici in emergenza. Le risorse del Piano Scuola 4.0 finanziato dal PNRR possono coprire una parte dell'infrastruttura tecnica, ma la governance del rischio resta di competenza del dirigente.
Il 15 settembre le prime segnalazioni al Garante partiranno comunque, come ogni anno. La differenza tra una scuola che gestisce l'incidente in 72 ore e una che scopre il breach dopo tre settimane si costruisce nelle due settimane prima di Ferragosto, non a emergenza già in corso.
Domande frequenti
Perché il rischio di attacchi informatici a scuola aumenta ad agosto?
Ad agosto il rischio aumenta perché le segreterie sono chiuse, il personale tecnico è in ferie, gli aggiornamenti software vengono rimandati e le credenziali di ex docenti spesso non sono revocate. Gli attaccanti approfittano di questa finestra di vulnerabilità per colpire più facilmente le scuole.
Quali sono gli obblighi principali del dirigente scolastico in materia di privacy e cybersecurity durante la chiusura estiva?
Il dirigente scolastico deve assicurare la reperibilità per la gestione di eventuali data breach, revocare tempestivamente le credenziali del personale in uscita, verificare i backup offline con prove di ripristino e aggiornare il registro dei trattamenti. Inoltre, deve disporre la sospensione degli accessi ai sistemi amministrativi e definire procedure di emergenza.
Cosa prevede il GDPR in caso di violazione dei dati personali durante il periodo di chiusura scolastica?
Il GDPR impone al dirigente scolastico di notificare qualsiasi violazione dei dati personali entro 72 ore dalla conoscenza dell'evento, senza eccezioni per ferie o giorni festivi. Il mancato rispetto di questo termine può comportare sanzioni da parte del Garante.
Le scuole sono esentate dagli obblighi della direttiva NIS2?
Le scuole del primo e secondo ciclo sono esentate solo dalla registrazione obbligatoria sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale. Tuttavia, restano pienamente responsabili degli obblighi sostanziali di sicurezza previsti dal GDPR e dalle Misure minime AGID.
Quali sono le principali minacce informatiche che le scuole devono affrontare secondo i dati del 2025?
Nel 2025 le scuole hanno affrontato un aumento significativo di ransomware, phishing (soprattutto legato al marchio PagoPA) e malware come FormBook, Remcos e AgentTesla. Gli attacchi informatici contro il settore pubblico sono cresciuti del 290% rispetto all'anno precedente.
Come possono le scuole ridurre il rischio di sanzioni per violazione della privacy?
Le scuole possono ridurre il rischio di sanzioni mantenendo aggiornati i registri dei trattamenti, gestendo attentamente le credenziali di accesso, eseguendo backup regolari e verificati e assicurando la reperibilità anche durante le chiusure. È importante anche monitorare i fornitori e adottare disposizioni organizzative adeguate.
