Il terzo settore subisce un'escalation di attacchi, ma l'assenza di incident reporting rende il problema invisibile — anche per chi ne dipende
Un settore sotto attacco, senza contabilità
I numeri più recenti raccontano una storia che nessuno sta leggendo. Gli attacchi email avanzati contro le organizzazioni nonprofit sono cresciuti del 35% in un anno. Il phishing è salito del 50%. Il terzo settore risulta oggi tra i comparti più bersagliati nell'intero ecosistema digitale. Eppure quasi nessuno di questi incidenti viene tracciato, segnalato o contabilizzato in modo strutturato. Non esistono obblighi settoriali di incident reporting. Le violazioni, quando emergono, vengono registrate come danni collaterali di attacchi a terze parti, non come breach dirette. Il risultato è un paradosso statistico: il rischio cresce, ma resta invisibile ai decisori. Nessuno, né i regolatori, né i board, né i partner, dispone oggi di un quadro reale della superficie d'attacco del terzo settore. E ciò che non si misura, come ogni dirigente sa, non entra nelle decisioni di governance.
La supply chain della fiducia ha un anello scoperto
Ridurre la questione a un problema interno delle nonprofit è un errore di inquadramento. Queste organizzazioni gestiscono dati ad altissima sensibilità: anagrafiche di donatori, informazioni su beneficiari vulnerabili, dati sanitari e sociali. Molte operano come fornitori o partner diretti di enti pubblici e aziende private. Un incidente non segnalato in una nonprofit non resta confinato dentro i suoi sistemi. Si propaga lungo la supply chain della fiducia, raggiungendo organizzazioni che non hanno mai valutato quell'esposizione. Per chi gestisce il rischio di terza parte in un'azienda o in un ente pubblico, questo significa avere nella propria mappa fornitori un punto cieco strutturale: entità che trattano dati critici, che subiscono attacchi crescenti e che non hanno processi di segnalazione. L'impatto non è teorico. È un'esposizione di accountability che attraversa i confini organizzativi senza che nessuno la stia governando.
Il circolo vizioso che nessuno interrompe
La frizione è strutturale, non contingente. Le nonprofit vengono trattate come organizzazioni "non-business", ma gestiscono rischi di livello enterprise. Operano con risorse di sicurezza cronicamente insufficienti, senza obblighi settoriali di reporting e senza la pressione di mercato che spinge le aziende a investire in difesa. Il meccanismo che ne deriva è un loop di governance che si autoalimenta: meno il settore è monitorato, più diventa attraente per gli attaccanti. Più attacchi vanno a segno senza essere documentati, meno dati esistono per giustificare investimenti in protezione. Meno investimenti significano difese più deboli, e il ciclo ricomincia. Non è una questione di colpa individuale. È un fallimento sistemico: un intero comparto con obblighi reali e dati sensibili che opera in una zona grigia di governance, dove l'assenza di metriche impedisce qualsiasi decisione informata. Qualcuno, lungo la catena, dovrà decidere di rompere questo ciclo. La domanda è chi, e con quale mandato.
Il GDPR non prevede eccezioni settoriali
Sul piano normativo, il quadro è più chiaro di quanto molte nonprofit sembrino riconoscere. Il GDPR si applica senza sconti al terzo settore. Ogni ente che tratta dati personali è titolare del trattamento ai sensi degli articoli 4 e 24 del Regolamento. L'obbligo di notifica al Garante entro 72 ore in caso di data breach, previsto dall'articolo 33, non conosce deroghe per dimensione, natura giuridica o finalità sociale dell'organizzazione. In Italia, la rilevanza è amplificata dalla scala del fenomeno: oltre 360.000 enti registrati al RUNTS trattano massivamente dati di categorie particolari ai sensi dell'articolo 9, dati sanitari, dati relativi a minori, a persone in condizioni di vulnerabilità. La NIS2 potrebbe toccare indirettamente le nonprofit che operano come fornitori di soggetti essenziali o importanti, ma l'appiglio diretto e inequivocabile resta il GDPR. E il GDPR non chiede buone intenzioni: chiede processi, documentazione, notifiche tempestive. Chiede, in sintesi, governance.
La domanda che manca nella vostra mappa del rischio
C'è una verifica che la maggior parte delle organizzazioni non ha mai condotto. Nella mappa del rischio di terza parte, quella che presentate al board, quella su cui basate le decisioni di partnership e di compliance, avete mai censito le nonprofit con cui condividete dati? Avete verificato se dispongono di un processo di incident response? Se hanno anche solo un obbligo interno di segnalazione delle violazioni? Se la risposta è no, non state guardando un punto cieco marginale. State ignorando un'intera categoria di partner che tratta dati critici, subisce attacchi in crescita esponenziale e opera senza le infrastrutture minime di accountability che richiedereste a qualsiasi altro fornitore. Il problema non è la debolezza delle nonprofit. Il problema è l'invisibilità di un rischio che attraversa i vostri confini organizzativi senza lasciare traccia nei vostri registri.
Il rischio che non appare nei report non è un rischio gestito. È un rischio che qualcun altro sta accumulando per voi, in silenzio, lungo una catena di fiducia che nessuno ha ancora deciso di verificare.