Informativa di cybersecurity SEC 8-K Item 1.05: che cos'è e che cosa devono comunicare le aziende

Le società quotate affrontano una nuova realtà: comunicare agli azionisti i gravi incidenti di cybersecurity non è più facoltativo. Dal 18 dicembre 2023, la SEC impone di segnalare gli incidenti di cybersecurity rilevanti tramite Form 8-K Item 1.05 entro quattro giorni lavorativi dalla determinazione di rilevanza.

Questa guida spiega l'Item 1.05 con parole semplici: quali eventi richiedono un'informativa, che cosa deve includere l'azienda, le regole sui tempi, i rinvii consentiti e come restare conformi.

In breve

Il SEC 8-K Item 1.05, denominato «Material Cybersecurity Incidents», impone alle società quotate di comunicare gli incidenti di cybersecurity rilevanti entro quattro giorni lavorativi dalla determinazione di rilevanza, non quattro giorni lavorativi dalla scoperta. Per «rilevante» si intende un incidente che un investitore ragionevole considererebbe importante nel prendere una decisione di investimento: in genere attacchi ransomware, esfiltrazione di dati dei clienti, blocchi dei sistemi o violazioni della riservatezza o integrità di dati personali. Le aziende devono descrivere gli aspetti rilevanti della natura, della portata e della tempistica dell'incidente, e il suo impatto rilevante, effettivo o ragionevolmente probabile, incluse la situazione finanziaria e i risultati operativi. Il rinvio è consentito soltanto se il Procuratore Generale degli Stati Uniti determina che la comunicazione comporterebbe un rischio sostanziale per la sicurezza nazionale o la sicurezza pubblica e ne dà notifica scritta alla SEC. L'omissione può comportare azioni SEC, sanzioni pecuniarie, provvedimenti contro i dirigenti e danni alla reputazione.

Che cos'è l'informativa di cybersecurity SEC 8-K Item 1.05?

L'Item 1.05, denominato «Material Cybersecurity Incidents», è un nuovo punto informativo aggiunto dalla SEC al Form 8-K (Current Report) con la regola finale, Release No. 33-11216, adottata nel luglio 2023 ed efficace dal 5 settembre 2023, con obbligo di conformità dal 18 dicembre 2023 per la maggior parte degli emittenti (le smaller reporting companies hanno avuto tempo fino al 15 giugno 2024). Il Form 8-K è un documento che le società quotate devono presentare, ai sensi delle Exchange Act Rules 13a-11 e 15d-11, per comunicare determinati «eventi rilevanti», ossia sviluppi aziendali importanti come una fusione, un cambio ai vertici, un fallimento o, con la nuova regola, un incidente di cybersecurity rilevante.

L'Item 1.05 richiede che l'azienda descriva gli aspetti rilevanti della natura, della portata e della tempistica dell'incidente di cybersecurity, e il suo impatto rilevante, effettivo o ragionevolmente probabile, incluse la situazione finanziaria e i risultati operativi, una volta che l'azienda determina che l'incidente è rilevante.

Nota: l'Item 1.05 non va confuso con l'Item 2.05 del Form 8-K, un punto informativo distinto e senza relazione, denominato «Costs Associated with Exit or Disposal Activities» (costi associati ad attività di uscita o dismissione), che riguarda oneri di ristrutturazione, non incidenti di cybersecurity.

La regola si applica a tutte le aziende soggette agli obblighi di rendicontazione SEC, circa 4,000 e più società quotate negli Stati Uniti. Non si applica alle aziende private, anche se le leggi statali sulla notifica delle violazioni e le condizioni delle polizze cyber possono imporre obblighi analoghi.

Quando va presentato un 8-K per un incidente di cybersecurity?

L'evento che fa scattare l'obbligo è la rilevanza. Se un incidente è «rilevante», ossia se un investitore ragionevole lo riterrebbe importante, la società deve presentare il documento entro quattro giorni lavorativi da tale determinazione.

La SEC non stabilisce un'unica soglia netta, come «perdite superiori a $X milioni» o «più di Y record interessati». Le aziende devono invece applicare una verifica qualitativa e quantitativa:

Quantitativa: Impatto finanziario, compresi costi diretti, recupero, rimedio, sanzioni regolamentari e riscatto.
Qualitativa: Impatto sulle attività, sulla fiducia dei clienti, sulla compliance, sulla proprietà intellettuale o sulla posizione competitiva.

Esempi di incidenti generalmente considerati rilevanti:

Attacchi ransomware che impediscono di operare per 24+ ore o richiedono una spesa significativa per riscatto o recupero.
Violazioni di dati che interessano migliaia di record di clienti o dipendenti, inclusi dati personali come SSN, informazioni finanziarie e cartelle sanitarie.
Esfiltrazione di segreti commerciali o informazioni aziendali riservate.
Arresto dei sistemi che interessa funzioni essenziali, come la produzione o i servizi rivolti ai clienti.
Conseguenze regolamentari: Perdita di licenze, coinvolgimento di uno state AG o violazioni HIPAA/PCI.

Se la rilevanza è incerta, la SEC si aspetta che la società scelga di comunicare. Aspettare per vedere se la violazione «diventa più grande» non giustifica un deposito tardivo.

Quali informazioni specifiche vanno comunicate ai sensi dell'Item 1.05?

La regola finale ha ridotto l'elenco informativo proposto per concentrarsi sull'impatto, non sul dettaglio dell'incidente. L'Item 1.05 richiede che l'azienda descriva:

Natura, portata e tempistica dell'incidente: che cosa è accaduto e quando, con un livello di dettaglio che consenta a un investitore di comprendere l'incidente.
Impatto rilevante, effettivo o ragionevolmente probabile, sull'azienda, incluse la situazione finanziaria e i risultati operativi. La SEC ha precisato che questo non si limita alle cifre finanziarie; anche fattori qualitativi come il danno alla reputazione, alle relazioni con clienti o fornitori, o alla competitività, e la possibilità di contenziosi o azioni regolamentari, possono far parte dell'impatto rilevante.

Se le informazioni richieste non sono ancora determinate o disponibili alla scadenza del termine, l'Istruzione 2 dell'Item 1.05 indica all'azienda di dichiararlo nell'8-K e di presentare poi una modifica con le informazioni mancanti entro quattro giorni lavorativi da quando vengono determinate o rese disponibili.

La SEC ha scelto espressamente di non richiedere la comunicazione dello stato degli interventi correttivi, se la risposta è ancora in corso, o se i dati sono stati compromessi, sebbene l'analisi di rilevanza dell'azienda possa comunque portarla a trattare questi punti. L'Istruzione 4 dell'Item 1.05 precisa inoltre che l'azienda non deve comunicare informazioni tecniche o specifiche sulla propria risposta pianificata all'incidente, né sui propri sistemi, reti e dispositivi di cybersecurity, né su potenziali vulnerabilità, con un livello di dettaglio tale da ostacolare la risposta o gli interventi correttivi.

L'informativa deve essere abbastanza specifica da permettere a un investitore di comprendere il rischio, ma non così dettagliata da diventare una guida per altri aggressori.

Che cosa rende «rilevante» un incidente di cybersecurity?

La rilevanza è la questione centrale. La SEC applica lo standard dell'investitore ragionevole: questa informazione influirebbe sulla decisione di comprare, mantenere o vendere il titolo?

Fattori che la SEC considera rilevanti:

Violazione della riservatezza: Accesso non autorizzato o esfiltrazione di dati personali, finanziari o proprietari; 10,000+ record spesso fanno propendere per la rilevanza.
Compromissione dell'integrità: Modifica o eliminazione di sistemi, inventari o registri essenziali, anche senza esfiltrazione.
Perdita di disponibilità: Ransomware o attacchi DoS che interrompono i servizi per 24+ ore o compromettono attività essenziali.
Impatto finanziario: Costi diretti, spese di recupero e di intervento correttivo, ed effetto sui risultati operativi. La SEC non ha fissato una soglia finanziaria netta; è un giudizio basato su fatti e circostanze, non una percentuale o una cifra fissa.
Impatto sul brand o sul mercato: Divulgazione pubblica della violazione, rischio di abbandono dei clienti o perdita di contratti.
Conseguenze regolamentari: Indagini di state AG, sanzioni HIPAA, non conformità PCI o sanzioni di settore.

Casi limite che potrebbero NON essere rilevanti:

Tentativi di phishing bloccati dai filtri email, senza che si sia verificata una violazione.
Credenziali isolate di un dipendente compromesse, se correttamente isolate e sostituite.
Incidenti di fornitori terzi che non riguardano i tuoi sistemi o dati.
Esposizioni di volume ridotto, per esempio 50 record su una base di 500,000 clienti.

Buona prassi: In caso di dubbio, documenta internamente l'analisi di rilevanza e valuta la comunicazione. La SEC considera più grave l'omessa informativa di un incidente rilevante rispetto a una comunicazione anticipata o prudente.

Quali sono i termini per il deposito dell'8-K Item 1.05?

Il termine inderogabile è di quattro giorni lavorativi, ma si conta dalla data in cui l'azienda determina che l'incidente è rilevante, non dalla data in cui l'incidente è stato scoperto o si è verificato. Scoprire un incidente e determinarne la rilevanza sono due passaggi distinti, e la regola finale della SEC si attende che l'azienda compia tale determinazione «senza ritardo ingiustificato» dopo la scoperta, cosicché un'azienda non può rinviare indefinitamente la determinazione per posticipare l'inizio del termine.

Sequenza temporale:

Scoperta: l'incidente viene rilevato e inizia l'indagine.
Indagine: l'azienda raccoglie informazioni sufficienti per l'analisi di rilevanza, senza ritardo ingiustificato.
Determinazione di rilevanza: l'azienda conclude che l'incidente è (o non è) rilevante. Da qui parte il termine di quattro giorni lavorativi.
Deposito: il Form 8-K Item 1.05 è dovuto entro quattro giorni lavorativi dalla determinazione di rilevanza.

Precisazioni importanti:

I fine settimana e le festività non contano: Il termine considera solo i giorni lavorativi, esclusi i giorni festivi federali.
Il termine decorre dalla determinazione, non dalla scoperta: un'azienda che rinvia ingiustificatamente la propria determinazione di rilevanza non elude il termine; la SEC può comunque valutare se la determinazione stessa sia stata compiuta senza ritardo ingiustificato dopo la scoperta.
Sono ammesse informazioni preliminari: se le informazioni richieste non sono ancora determinate o disponibili, l'Istruzione 2 dell'Item 1.05 consente all'azienda di dichiararlo nell'8-K iniziale e di presentare poi una modifica con tali informazioni entro quattro giorni lavorativi da quando vengono determinate o rese disponibili.

Un'azienda può ottenere un'eccezione per rinviare l'informativa 8-K?

Sì, ma la decisione non spetta all'azienda. Ai sensi dell'Item 1.05(c), un'azienda può rinviare il deposito solo se il Procuratore Generale degli Stati Uniti determina che la comunicazione comporterebbe un rischio sostanziale per la sicurezza nazionale o la sicurezza pubblica, e ne dà notifica scritta alla SEC.

Come funziona il rinvio:

Il periodo di rinvio iniziale è specificato dal Procuratore Generale, fino a un massimo di 30 giorni dalla data in cui la comunicazione era altrimenti dovuta.
Tale rinvio può essere prorogato per un ulteriore periodo massimo di 30 giorni se il Procuratore Generale determina nuovamente, per iscritto, che la comunicazione continua a comportare un rischio sostanziale.
In circostanze straordinarie, è possibile un ultimo rinvio aggiuntivo fino a 60 giorni, sempre su notifica scritta del Procuratore Generale, se il rischio per la sicurezza nazionale persiste.
Oltre questo termine, qualsiasi ulteriore rinvio richiede una dispensa (exemptive relief) della SEC stessa.

Il meccanismo di rinvio non esonera l'azienda dagli altri obblighi, tra cui la Regulation FD e le disposizioni antifrode delle leggi sui titoli. Un'azienda non può invocare autonomamente un rinvio basandosi su un'indagine interna o esterna in corso, su un'indagine delle forze dell'ordine da essa stessa avviata, sul segreto professionale tra avvocato e cliente, o sulla propria opinione che la comunicazione sia inopportuna. Il meccanismo funziona solo tramite la determinazione scritta del Procuratore Generale alla SEC.

Se una società invoca impropriamente un rinvio, o deposita in ritardo senza una valida determinazione del Procuratore Generale, si espone ad azioni per il deposito tardivo.

Che cosa accade se una società non comunica ai sensi dell'Item 1.05?

La non conformità comporta sanzioni significative.

Azioni SEC:

Sanzioni civili: la SEC può chiedere sanzioni pecuniarie civili per violazioni informative; gli importi massimi per violazione sono fissati per legge e adeguati periodicamente all'inflazione. Verifica il tabellone sanzionatorio civile vigente della SEC su sec.gov prima di citare una cifra.
Provvedimenti contro i dirigenti: La SEC può impedire agli executive di ricoprire incarichi di officer o director.
Disgorgement: Recupero dei profitti illeciti se i dirigenti hanno negoziato sulla base di informazioni non pubbliche sulla violazione.
Ordini di cessazione: Divieto di violare in futuro le regole di informativa.

Conseguenze secondarie:

Contenzioso degli azionisti: Gli investitori possono avviare class action in materia di titoli, sostenendo di essere stati privati di informazioni rilevanti.
Impatto sul prezzo del titolo: quando una violazione diventa pubblica, tramite il deposito stesso dell'azienda, terzi o azioni regolamentari, la reazione del mercato varia in base all'azienda e all'incidente; la stessa analisi economica della SEC sulla regola cita studi accademici secondo cui una comunicazione tardiva degli incidenti di cybersecurity può causare una valutazione errata dei titoli.
Declassamento del rating: Le agenzie considerano le violazioni non comunicate come carenze di governance.
Diniego della polizza cyber: L'assicuratore può negare l'indennizzo se l'assicurato non aveva comunicato alla SEC una violazione precedente.
Fiducia di clienti e fornitori: Clienti, partner e dipendenti perdono fiducia nella governance e nella postura di sicurezza dell'azienda.

Per le azioni di enforcement effettivamente adottate dalla SEC in relazione all'Item 1.05, consulta direttamente le azioni di enforcement e i contenziosi della SEC invece di affidarti a un riassunto di seconda mano.

Come rispettare l'Item 1.05

1. Predisponi un piano di risposta agli incidenti cyber

Definisci gli indicatori di rilevanza, con soglie quantitative e qualitative.
Assegna i ruoli: team IR, consulente legale, CFO per la stima dei costi e Investor Relations.
Crea un flusso di notifica che informi la direzione entro poche ore dalla scoperta.

2. Monitora e rileva rapidamente gli incidenti

Implementa SIEM, EDR e strumenti di intrusion detection.
Svolgi regolarmente penetration test ed esercitazioni tabletop.
Forma i dipendenti affinché segnalino immediatamente le attività sospette.

3. Valuta la rilevanza con tempestività (in genere entro 24-48 ore)

Raccogli i primi fatti: quali sistemi sono stati colpiti, quali dati e quanti record?
Stima l'impatto finanziario, compresi i costi diretti di recupero, le possibili sanzioni e il riscatto.
Consulta il legale: è rilevante? Si applica un'eccezione per il rinvio?

4. Redigi il deposito 8-K Item 1.05

Usa un linguaggio chiaro ed evita il gergo.
Includi data, tipo, portata e impatto dell'incidente.
Descrivi gli interventi immediati, come patch, isolamento della rete e rotazione delle credenziali.
Stima i costi finanziari e segnala se l'assicurazione potrebbe coprirne una parte.
Indica se l'indagine è in corso e seguirà un 8-K modificato.

Per vedere che cosa hanno comunicato altre aziende, leggi il nostro articolo sugli esempi di informativa 8-K per incidenti di cybersecurity nel 2026.

5. Presenta il documento entro quattro giorni lavorativi

Coordinati con Investor Relations per il deposito tramite EDGAR.
Conserva un registro delle date delle informative per gli audit di compliance.

6. Aggiorna gli azionisti se cambiano i fatti

Se gli accertamenti forensi rivelano una violazione più ampia di quella comunicata inizialmente, deposita un 8-K modificato (Form 8-K/A).
Se i costi superano la stima, comunica l'aggiornamento.
La SEC si aspetta che le dichiarazioni inesatte rilevanti siano corrette tempestivamente.

7. Comunica all'esterno, separatamente dal deposito SEC

Il deposito SEC è destinato agli investitori; la notifica ai clienti è prevista dalle leggi statali, non dalla regola SEC.
Programma la lettera di notifica ai clienti in modo che coincida con il deposito 8-K o lo segua.
Per le violazioni di dati dei dipendenti, controlla anche gli obblighi di diritto del lavoro del tuo stato.

Per un approfondimento sulla regola dei quattro giorni lavorativi, leggi Regole SEC sull'informativa di cybersecurity: i quattro giorni lavorativi.

Coordinamento con gli altri obblighi di compliance

L'informativa Item 1.05 non sostituisce gli altri obblighi:

Leggi statali sulla notifica delle violazioni: La maggior parte degli stati impone di informare i clienti interessati entro un periodo di 30-60 giorni, con termini diversi per stato.
Notifica delle violazioni HIPAA: Le entità sanitarie soggette devono informare gli interessati entro 60 giorni.
Incidenti PCI DSS: I prestatori di servizi di pagamento devono informare le banche acquirer e i circuiti delle carte.
Richieste alla polizza cyber: L'assicurato deve notificare l'assicuratore secondo quanto previsto dalla polizza, in genere entro 30 giorni.

Il deposito SEC avviene spesso per primo, entro 4 giorni, seguito dalle notifiche ai clienti e alle autorità.

Per la compliance multistatale o specifica di settore, valuta strumenti o servizi che monitorano sia gli obblighi SEC sia le regole statali. Se la tua azienda opera nel settore HR o del lavoro, consulta HR Compliance Watch per le norme statali sulle violazioni dei dati dei dipendenti.

Avvertenza legale

Questo articolo ha finalità esclusivamente informative e non costituisce consulenza legale, finanziaria o di investimento. Le valutazioni di rilevanza dipendono dai fatti e richiedono il parere di consulenti legali qualificati e del proprio disclosure counsel. Verifica sempre gli obblighi nelle indicazioni SEC vigenti, nelle istruzioni più recenti del Form 8-K e nelle leggi statali applicabili. La regola finale SEC sull'Item 1.05 e le interpretazioni successive sono disponibili su sec.gov. Se la tua azienda ha subito un incidente di cybersecurity, consulta immediatamente un avvocato specializzato in diritto dei mercati finanziari.

Vuoi restare aggiornato sui depositi 8-K?

Monitorare manualmente i depositi SEC è lento e soggetto a errori. BreachTrigger avvisa in tempo reale i team IR, cyber e MSSP delle informative 8-K rilevanti depositate da concorrenti e aziende comparabili. Puoi così confrontare le prassi di comunicazione, restare aggiornato sulle minacce di settore e intercettare eventi regolamentari o capaci di muovere il mercato prima che arrivino sulle notizie.

Scopri come i professionisti IR e i sottoscrittori di polizze cyber usano BreachTrigger per monitorare i depositi 8-K Item 1.05: Esplora BreachTrigger.

Ultimo aggiornamento: 5 agosto 2026. Indicazioni SEC consultate in base alla SEC Release No. 33-11216, la regola finale del 2023 sull'informativa di cybersecurity Form 8-K Item 1.05 (efficace dal 5 settembre 2023; obbligo di conformità dal 18 dicembre 2023 per la maggior parte degli emittenti).