Cybersecurity per Studi di Ingegneria: Proteggere Progetti e Proprietà Intellettuale

Uno studio di ingegneria ha un problema di sicurezza informatica diverso da quello di uno studio commercialista o di uno studio legale. Non è una sfumatura: è proprio un altro rischio, con un'altra norma di riferimento e conseguenze di natura completamente differente.

Quando un commercialista subisce un accesso abusivo, il danno primario è la violazione di dati personali e fiscali dei clienti, con esposizione GDPR e sanzioni del Garante. Quando succede a uno studio legale, entra in gioco il segreto professionale e il rapporto fiduciario con l'assistito. Quando succede a uno studio di ingegneria, il danno principale ha spesso un'altra forma: il know-how progettuale finisce a un concorrente.

Disegni esecutivi, calcoli strutturali, particolari costruttivi sviluppati in anni di lavoro, capitolati tecnici, specifiche di prodotto, soluzioni progettuali non ancora brevettate. È materiale che ha un valore economico preciso proprio perché non è pubblico. E il quadro giuridico che lo protegge — a differenza del GDPR — non si limita a chiederti di essere sicuro: subordina la protezione stessa all'esistenza di misure di sicurezza adeguate.

Questo cambia radicalmente il modo in cui va impostata la spesa in cybersecurity per uno studio tecnico. Non è un costo di conformità. È la condizione perché il tuo patrimonio progettuale sia difendibile in giudizio.

Il punto che quasi nessuno spiega: senza misure, il segreto non esiste

Il riferimento normativo è il Codice della Proprietà Industriale, D.Lgs. 10 febbraio 2005 n. 30, nella versione modificata dal D.Lgs. 11 maggio 2018 n. 63, che ha recepito la direttiva UE 2016/943 sui segreti commerciali.

L'articolo 98 definisce cosa può essere protetto come segreto commerciale: informazioni aziendali ed esperienze tecnico-industriali, comprese quelle commerciali, soggette al legittimo controllo del detentore. Ma la tutela scatta solo se ricorrono tre condizioni cumulative:

1. le informazioni sono segrete, nel senso che non sono generalmente note o facilmente accessibili agli esperti del settore, né nel loro insieme né nella precisa configurazione e combinazione dei loro elementi;
2. hanno valore economico in quanto segrete;
3. sono sottoposte a "misure da ritenersi ragionevolmente adeguate a mantenerle segrete".

Il terzo requisito è quello che riguarda direttamente questo articolo. Non è una raccomandazione: è un elemento costitutivo della fattispecie. Se il tuo archivio progetti sta su un NAS raggiungibile da Internet con una password condivisa da sei anni, e un ex collaboratore copia tutto e apre uno studio concorrente a due chilometri, il primo argomento della sua difesa sarà che quelle informazioni non erano protette da misure ragionevolmente adeguate — e quindi non erano segreti commerciali ai sensi dell'art. 98.

Questa è la ragione ingegneristica per cui la sicurezza in uno studio tecnico va trattata come un requisito di progetto, non come una voce di costo opzionale. È lo stesso principio che guida tutto il lavoro su questo sito: misuri, ottimizzi, ripeti — ma prima devi avere qualcosa di misurabile.

L'articolo 99 CPI completa il quadro: il legittimo detentore ha il diritto di vietare ai terzi, salvo proprio consenso, di acquisire, rivelare o utilizzare in modo abusivo quei segreti, salvo che siano stati conseguiti in modo indipendente. I commi da 1-bis a 1-quater, aggiunti nel 2018, estendono il divieto anche a chi sapeva — o avrebbe dovuto sapere — che le informazioni provenivano da una condotta illecita a monte. Il termine di prescrizione dei diritti e delle azioni è di cinque anni.

Se le informazioni non soddisfano i requisiti dell'art. 98 (tipicamente perché mancavano le misure di segretezza), resta la strada della concorrenza sleale ex art. 2598 n. 3 del Codice Civile, ma con un onere probatorio diverso e più impegnativo.

C'è anche un profilo penale, e ha un'aggravante informatica

L'art. 623 del Codice Penale, sostituito dall'art. 9 comma 2 del D.Lgs. 63/2018 e oggi rubricato "Rivelazione di segreti scientifici o commerciali", punisce con la reclusione fino a due anni chi, venuto a conoscenza di segreti commerciali per ragioni del proprio stato, ufficio, professione o arte, li rivela o li impiega a proprio o altrui profitto. La stessa pena si applica a chi ha acquisito i segreti in modo abusivo e poi li rivela o li impiega.

Il terzo comma contiene la parte che interessa direttamente questo articolo: se il fatto relativo ai segreti commerciali è commesso tramite qualsiasi strumento informatico la pena è aumentata. Il reato è punibile a querela della persona offesa.

Una precisazione importante, e verificata: la Cassazione penale, con la sentenza n. 16975/2020, ha chiarito che la nozione di "segreti commerciali" rilevante ai fini dell'art. 623 c.p. non è assimilabile a quella dell'art. 98 CPI, perché quest'ultima richiede anche il requisito delle misure di protezione ragionevolmente adeguate, mentre la tutela penale ha un perimetro più ampio.

Tradotto per uno studio tecnico: la mancanza di misure di sicurezza non ti chiude necessariamente la porta penale, ma ti indebolisce in modo serio sul piano civile e cautelare — che è poi il terreno su cui si giocano davvero l'inibitoria, il sequestro e il risarcimento.

La mappa del rischio reale in uno studio di ingegneria

Il perimetro di uno studio tecnico non coincide con le sue mura. È questo il punto di partenza di qualunque analisi seria.

Il cantiere. Il direttore lavori accede alla documentazione dal telefono o da un portatile, spesso su rete mobile o — peggio — sul Wi-Fi dell'impresa esecutrice o di un bar. Sono connessioni non controllate su cui transita documentazione tecnica riservata.

I collaboratori esterni. Geometri, termotecnici, strutturisti, consulenti acustici, impiantisti. Devono accedere alla documentazione del progetto su cui lavorano. Nella pratica quotidiana, il modo più veloce per farlo funzionare è dargli le credenziali del NAS o una cartella condivisa sul cloud dello studio. Il risultato è che un consulente ingaggiato per una singola pratica acustica ha visibilità potenziale sull'intero archivio.

Le imprese e i fornitori. Ricevono esecutivi, computi, specifiche. Spesso via email o piattaforme di trasferimento file pubbliche, senza scadenza, senza tracciamento, senza revoca.

Gli ex collaboratori. È lo scenario che si materializza più spesso e quello su cui la logica dell'art. 98 morde di più. Un collaboratore che lascia lo studio e le cui credenziali non vengono revocate mantiene tecnicamente un accesso legittimo. Se poi utilizza quelle informazioni, la discussione su quanto quell'acquisizione sia stata "abusiva" diventa complicata proprio perché lo studio non aveva chiuso la porta.

I dispositivi personali. Il portatile di casa usato per finire un esecutivo la domenica sera, la chiavetta USB per portare i file in cantiere, il telefono personale con la posta dello studio configurata.

Nessuno di questi rischi si risolve comprando un antivirus. Si risolvono impostando un'architettura di accesso: chi può vedere cosa, da dove, con quale identità verificata, per quanto tempo.

Il problema dell'accesso segmentato per i collaboratori esterni

Questo è il tema centrale, ed è lo stesso che ho analizzato in dettaglio nell'articolo su NordLayer per gli studi commercialisti, dove ho descritto l'architettura tecnica passo per passo. Non la ripeto qui: il concetto vale identico, cambia solo cosa si protegge.

Il principio è quello del minimo privilegio applicato alla rete, non solo ai file. Non basta impostare i permessi delle cartelle sul NAS, perché il NAS è la risorsa che vuoi rendere raggiungibile solo da chi è autorizzato e solo attraverso un canale controllato.

La struttura che funziona per uno studio tecnico è questa:

• il server o NAS dello studio non accetta connessioni dirette da Internet;
• accetta connessioni solo da un indirizzo IP fisso e noto, che è quello del gateway aziendale dedicato;
• ogni persona — dipendente, socio, collaboratore esterno — si autentica con un'identità propria per attraversare quel gateway;
• i gruppi vengono segmentati, così che il consulente acustico raggiunga solo le risorse del progetto su cui lavora;
• quando un rapporto di collaborazione finisce, si disattiva un'identità e l'accesso si chiude, senza toccare la configurazione del NAS né cambiare password condivise a tutto lo studio.

Quest'ultimo punto è quello che risolve concretamente il problema degli ex collaboratori. La revoca diventa un'operazione di trenta secondi su una console, non un progetto.

I file pesanti: il buco più grande e il meno discusso

C'è un problema specifico degli studi tecnici che non esiste per commercialisti e avvocati: il peso dei file.

Un modello BIM federato, un pacchetto di esecutivi in DWG, un render in alta risoluzione, una nuvola di punti da rilievo laser scanner. Sono decine, a volte centinaia di megabyte, spesso gigabyte. La posta elettronica non li regge. E allora si finisce sistematicamente su WeTransfer, su link di condivisione pubblici generati al volo, su Drive personali, su chiavette che girano tra studio e cantiere.

Ho già toccato questo tema dal lato organizzativo nell'articolo su Monday.com per gli studi di ingegneria, dove il problema era la tracciabilità delle revisioni. Qui il problema è un altro, ed è più grave: un link di condivisione pubblico è, per definizione, l'opposto di una misura ragionevolmente adeguata a mantenere segreta un'informazione.

Chiunque abbia quel link accede. Il link resta valido dopo che il progetto è chiuso. Viene inoltrato dall'impresa al subappaltatore, e dal subappaltatore a chissà chi. Non c'è alcuna traccia di chi ha scaricato cosa e quando. Se domani devi dimostrare in giudizio che quel particolare costruttivo era protetto, quel link è la prova contraria.

La correzione non richiede di rivoluzionare i flussi di lavoro:

1. Trasferimenti verso l'esterno: usa link con scadenza, protetti da password trasmessa su canale separato, e con registro degli accessi. Molte piattaforme di storage aziendale lo permettono già; è una questione di configurarle, non di comprarle.
2. Accesso di collaboratori ricorrenti: non trasferire i file. Dai accesso alla risorsa attraverso il gateway controllato descritto sopra. Il file resta in un posto solo.
3. Nomenclatura e classificazione: marca esplicitamente la documentazione riservata. Una dicitura di riservatezza sui documenti e una policy scritta contribuiscono a dimostrare l'intenzione di mantenere il segreto, che è parte di ciò che si valuta ai fini dell'art. 98.

I quattro livelli di spesa, in ordine di priorità

Impostati come un progetto: prima le fondamenta, poi il resto.

Livello 1 — Identità e credenziali

È il livello più economico e quello con il rapporto costo/beneficio più alto. La password condivisa del NAS scritta su un post-it è il singolo punto di fallimento più comune negli studi tecnici italiani.

Un password manager aziendale elimina le credenziali condivise, permette di assegnare accessi per gruppo e di revocarli, e rende possibile capire chi ha accesso a cosa. NordPass Business costa 3,99 €/utente/mese in abbonamento annuale IVA esclusa, cioè 4,87 €/utente/mese IVA inclusa. In formula biennale scende a 3,59 €/utente/mese IVA esclusa.

Per uno studio da 5 persone significa circa 24 € al mese IVA inclusa. È meno di quanto lo studio spende in cancelleria.

Se vuoi il confronto con l'alternativa più solida sul mercato, l'ho fatto in NordPass vs 1Password per PMI italiane, e ho analizzato la gestione dei team in NordPass per team italiani.

Livello 2 — Accesso remoto controllato e segmentato

È il livello che risolve il problema strutturale: cantiere, collaboratori esterni, dispositivi fuori sede.

NordLayer, listino verificato:

Minimo 5 utenti su tutti i piani standard. Il server con IP dedicato — che è l'elemento che rende possibile l'architettura descritta sopra — è un componente aggiuntivo: +40 $/mese in formula annuale, +50 $/mese in formula mensile.

La fatturazione avviene in dollari, con IVA italiana applicata automaticamente in fattura.

Esempio concreto, studio da 5 persone su piano Core con IP dedicato:
5 × 11 $ + 40 $ = 95 $/mese IVA esclusa, che a cambio indicativo corrisponde a circa 107-110 €/mese IVA inclusa.

Poco più di 20 € a persona al mese per chiudere il perimetro. Confrontalo con il valore di una singola commessa e con il costo di un contenzioso sulla sottrazione di know-how.

Cosa include esattamente ciascun piano, dalla tabella funzionalità ufficiale: il Cloud Firewall (FWaaS) — il componente che permette regole di traffico avanzate oltre il semplice allowlisting IP — non è incluso automaticamente nel piano Core: richiede un contatto commerciale dedicato ("talk to sales"). È incluso di serie solo dal piano Premium in su. Se il tuo studio ha bisogno solo di IP dedicato e allowlisting di base — la configurazione descritta sopra, sufficiente per la maggior parte degli studi di ingegneria — il Core resta la scelta corretta. Se invece serve segmentare il traffico con regole più granulari (ad esempio bloccare categorie di destinazioni per singolo gruppo di utenti), la soglia reale è il Premium, non il Core.

Cosa NordLayer non fa, per onestà: non è un antivirus, non è un backup, non protegge da un collaboratore autorizzato che decide di copiare i file a cui ha legittimamente accesso. Controlla il canale e l'identità, non l'intenzione.

Livello 3 — Protezione degli endpoint

Portatili in cantiere, workstation CAD, dispositivi mobili. Serve una protezione endpoint gestita centralmente, non l'antivirus gratuito installato uno per uno. Ho analizzato l'opzione più adatta al contesto italiano in Kaspersky per PMI italiane.

Livello 4 — Backup verificato

Non l'ho messo per ultimo perché conta meno, ma perché senza i primi tre il backup protegge solo dalla perdita accidentale, non dalla sottrazione. Regola minima: tre copie, due supporti diversi, una fuori sede, e — questo è il punto che salta sempre — un test di ripristino effettivo almeno una volta all'anno. Un backup mai testato è un'ipotesi, non una misura.

L'esposizione NIS2 indiretta: riguarda anche studi piccoli

Uno studio di ingegneria con cinque persone non rientra direttamente nel perimetro NIS2. Ma può esserne toccato per via contrattuale, e questo sta già succedendo.

Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, all'art. 24 comma 2 lettera d) include tra le misure obbligatorie di gestione del rischio la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi ai rapporti tra ciascun soggetto e i suoi fornitori diretti o prestatori di servizi.

La conseguenza pratica è meccanica: se il tuo studio progetta per un gestore di rete energetica, per un operatore di trasporto, per una utility idrica o per un'azienda manifatturiera rientrante negli allegati, quel cliente è tenuto a valutare la tua sicurezza come suo fornitore. Arriveranno questionari, clausole contrattuali, richieste di evidenze. Uno studio che non sa rispondere si autoesclude da quelle commesse.

È il motivo per cui, per uno studio tecnico che lavora su infrastrutture o industria, la spesa in sicurezza sta diventando un requisito di accesso al mercato prima ancora che una misura difensiva. Il quadro completo degli obblighi è nella pillar page NIS2 per PMI italiane.

Sul fronte dati personali, gli obblighi GDPR restano ovviamente validi anche per uno studio tecnico — anagrafiche clienti, dati dei lavoratori in cantiere, documentazione sanitaria per la sicurezza. Li ho trattati in dettaglio in GDPR: le misure tecniche di sicurezza. La differenza rispetto agli altri verticali è che per lo studio di ingegneria il GDPR è il pavimento, non il soffitto: sopra c'è la tutela del patrimonio progettuale, che nessuna norma sulla privacy copre.

Cosa fare nei prossimi trenta giorni

Una sequenza operativa, in ordine:

1. Inventario degli accessi. Elenca ogni persona che oggi ha una credenziale per raggiungere l'archivio progetti. Includi ex collaboratori. Il numero, quasi sempre, è più alto del previsto.
2. Revoca immediata di tutto ciò che non è più attivo.
3. Elimina le credenziali condivise. Un'identità per persona, gestita in un password manager aziendale.
4. Chiudi l'esposizione diretta a Internet di NAS e server. Se oggi c'è una porta aperta con port forwarding, è la priorità assoluta.
5. Segmenta l'accesso dei collaboratori esterni per progetto.
6. Sostituisci i link pubblici con condivisioni a scadenza, protette e tracciate.
7. Metti per iscritto una policy di riservatezza e inseriscila nelle lettere d'incarico ai collaboratori. Serve a dimostrare l'intenzione, che è parte del requisito dell'art. 98.
8. Testa un ripristino da backup. Una volta. Davvero.

I primi sette punti costano poche ore di lavoro e circa 130-150 € al mese per uno studio da cinque persone. L'ottavo costa mezza giornata e vale quanto tutto il resto messo insieme.

📌 Cybersecurity per la tua professione

Serie di guide verticali sulla sicurezza informatica per gli studi professionali italiani:

• NordLayer per studi commercialisti: prezzi e architettura
• Cybersecurity per studi legali: proteggere il segreto professionale
• NIS2 per PMI italiane: obblighi 2026
• GDPR: le misure tecniche di sicurezza per le PMI
• NordPass vs 1Password per PMI italiane
• NordPass per team italiani
• Kaspersky per PMI italiane
• Monday.com per studi di ingegneria

Domande frequenti

Se un ex collaboratore porta via i disegni di un progetto, posso agire legalmente?

Dipende in modo determinante da come erano protetti. L'art. 98 CPI tutela come segreto commerciale solo le informazioni sottoposte a misure ragionevolmente adeguate a mantenerle segrete. Se il collaboratore aveva credenziali attive e nessuna restrizione, la difesa sosterrà che quelle informazioni non erano segrete ai sensi di legge. Resta il profilo penale dell'art. 623 c.p., il cui perimetro è più ampio secondo Cass. pen. 16975/2020, e resta la strada della concorrenza sleale ex art. 2598 n. 3 c.c. Ma la posizione processuale è molto più solida se puoi documentare accessi nominali, segmentazione e revoca. Per una valutazione sul tuo caso specifico serve un avvocato specializzato in proprietà industriale: questo articolo non è consulenza legale.

I disegni CAD di un progetto sono protetti dal diritto d'autore o dalla proprietà industriale?

Possono esserlo da entrambi, su piani diversi. Il progetto architettonico e il disegno tecnico possono godere di tutela autoriale come opere dell'ingegno; il contenuto tecnico riservato — soluzioni costruttive, dimensionamenti, know-how di processo — può essere tutelato come segreto commerciale ex artt. 98-99 CPI, ma solo con le misure di segretezza. Le due tutele non si escludono. Dal punto di vista pratico, però, il diritto d'autore non ti aiuta se un concorrente non copia il disegno ma ne assorbe la soluzione tecnica: lì serve il segreto.

Uno studio di ingegneria con meno di dieci persone deve rispettare la NIS2?

Quasi certamente non in via diretta: il D.Lgs. 138/2024 si applica a soggetti che rientrano nelle tipologie degli allegati e che superano i massimali dimensionali. Ma l'art. 24 comma 2 lettera d) impone ai soggetti obbligati di gestire la sicurezza della catena di approvvigionamento, inclusi i rapporti con i fornitori diretti. Se sei fornitore di un soggetto NIS, gli obblighi ti arrivano per via contrattuale sotto forma di requisiti, questionari e clausole. È esposizione indiretta, ma vincolante nei fatti.

Posso continuare a usare WeTransfer o link pubblici per mandare file CAD e BIM?

Per materiale non riservato, non è un problema. Per documentazione tecnica che consideri patrimonio dello studio, è la scelta peggiore possibile proprio sul piano probatorio: un link pubblico senza scadenza né tracciamento è difficile da presentare come misura ragionevolmente adeguata. L'alternativa non è rinunciare alla condivisione, è usare link a scadenza, protetti da password inviata su canale separato, con registro dei download. Per i collaboratori ricorrenti, meglio ancora: non trasferire il file, dai accesso alla risorsa.

Serve una VPN aziendale se lo studio lavora già solo su cloud?

Se tutto — archivio, modelli, documenti — vive su piattaforme cloud con autenticazione a più fattori, controllo accessi per gruppo e log, il beneficio marginale di un accesso di rete controllato si riduce. Ma pochissimi studi tecnici italiani sono davvero in questa condizione: quasi tutti hanno ancora un NAS con l'archivio storico, una licenza floating, un server di calcolo o una workstation in sede raggiunta da remoto. Finché esiste una risorsa on-premise raggiungibile da fuori, il gateway con IP dedicato serve. Il criterio è semplice: fai l'inventario di cosa deve essere raggiunto da remoto e dove sta fisicamente.

Quanto costa realisticamente mettere in sicurezza uno studio tecnico da cinque persone?

Con i listini verificati in questo articolo: circa 24 €/mese IVA inclusa per il password manager, più circa 107-110 €/mese IVA inclusa per l'accesso remoto controllato con IP dedicato su piano Core. Siamo intorno ai 130-135 €/mese, a cui si aggiungono protezione endpoint e backup, la cui spesa dipende dal numero di dispositivi e dal volume dati. Ordine di grandezza complessivo: 150-200 €/mese per uno studio da cinque persone. Sotto i 2.500 € all'anno per rendere difendibile il patrimonio progettuale dello studio.

Nota di trasparenza: Questo articolo rappresenta un'opera dell'ingegno dell'autore, pubblicata nell'esercizio di attività di divulgazione tecnico-scientifica e tutelata ai sensi della Legge 22 aprile 1941, n. 633 sul diritto d'autore. Il blog non è monetizzato: non contiene link di affiliazione, banner pubblicitari né collaborazioni commerciali.

Admeto Verde — Ingegnere Industriale esperto in tecnologie e processi industriali, docente di ruolo in discipline tecniche, autore di guide pratiche su tecnologia e intelligenza artificiale per la scuola e le PMI italiane su NextGenTool.it.