Amministratore di sistema: quando va nominato e quali obblighi ci sono

Mettersi in regola, passo per passo

1. Fai l’inventario dei sistemi

   Server e NAS, rete e firewall, posta elettronica, gestionale, sito, cloud, backup, telecamere. Per ognuno annota chi ha le credenziali di amministratore.

2. Individua le persone

   Dipendenti interni con privilegi elevati e, per i fornitori, i nomi delle persone fisiche che entrano davvero nei sistemi.

3. Designa per iscritto

   Una lettera per ogni persona interna, con gli ambiti su cui può operare. Per i fornitori, la nomina a responsabile con l’obbligo di comunicarti i nominativi.

4. Attiva la registrazione degli accessi

   Chiedi al tecnico di raccogliere i log di accesso in un sistema che l’amministratore non possa modificare, conservandoli almeno 6 mesi.

5. Informa i dipendenti

   Rendi conoscibile chi sono gli amministratori, per esempio nell’informativa per il personale o nel regolamento informatico.

6. Programma la verifica annuale

   Una volta l’anno controlla accessi, account attivi e rispetto delle istruzioni, e metti a verbale l’esito.

Chi è, e chi non è, amministratore di sistema

Per il Garante è la figura che gestisce e mantiene un sistema informatico o sue componenti, e per estensione chi amministra database, reti, apparati di sicurezza e software complessi. Conta quello che può fare, non il titolo: se ha credenziali con cui può leggere, copiare, modificare o cancellare dati personali di altri, o cambiare i permessi degli utenti, è amministratore di sistema.

I casi di confine si decidono guardando i privilegi reali. Nel dubbio, trattare la persona come amministratore di sistema costa poco e protegge molto.

I sei obblighi del provvedimento del Garante

Il provvedimento esclude, «allo stato», i trattamenti svolti solo a fini amministrativo-contabili, che all’epoca erano stati semplificati. È un’esclusione stretta: un’azienda che ha posta elettronica, dati di clienti, dipendenti o telecamere difficilmente può considerarsi fuori. E in ogni caso il GDPR chiede misure di sicurezza adeguate: controllare chi ha le chiavi dei sistemi lo è quasi sempre.

I log degli accessi in pratica

La registrazione riguarda gli accessi dell’amministratore: quando entra ed esce dai sistemi e i tentativi falliti. Non è obbligatorio registrare ogni singola operazione che compie, anche se per i sistemi più delicati può essere una scelta prudente.

• Completi: devono coprire tutti i sistemi su cui l’amministratore opera con privilegi, compresi cloud e accessi da remoto.
• Inalterabili: l’amministratore non deve poterli modificare o cancellare. In pratica si inviano a un sistema separato, o a un servizio esterno, con archiviazione in sola scrittura o con impronte digitali (hash) che rivelano ogni modifica.
• Con data, ora ed evento: chi, quando, su quale sistema, esito.
• Conservati almeno 6 mesi: è un minimo. Puoi tenerli di più se lo giustifichi, per esempio per le indagini dopo un attacco, scrivendolo nel registro dei trattamenti.

I log sono utili anche a te: dopo un incidente sono spesso l’unico modo per capire da dove sono entrati e da quando. Vedi ransomware in azienda e, per gli obblighi di notifica, data breach: cosa fare nelle prime 72 ore.

Tecnici esterni, gestionale e cloud

Molte piccole aziende non hanno un amministratore interno: c’è un tecnico o una società di assistenza. Le regole valgono lo stesso, con questi adattamenti:

• il fornitore va nominato responsabile del trattamento con il contratto previsto dall’articolo 28 del GDPR: come si scrive lo spiega responsabile esterno del trattamento;
• nel contratto va scritto che il fornitore designa individualmente i propri tecnici, conserva i loro nomi e te li comunica su richiesta, e può essergli affidata anche la verifica annuale;
• i log degli accessi del fornitore ai tuoi sistemi devono restare a disposizione tua, non solo sui suoi computer;
• gli accessi da remoto vanno fatti con credenziali personali e verifica in due passaggi, mai con un account condiviso: vedi anche VPN e accesso da remoto e password aziendali: le regole minime.

Per i servizi in cloud (posta, archivi, gestionali online) l’infrastruttura la amministra il fornitore, che risponde come responsabile. Ma chi nella tua azienda ha i privilegi di amministratore della console, e può per esempio reimpostare password o leggere le caselle dei colleghi, è un tuo amministratore di sistema.

Amministratore di sistema e controlli sui dipendenti

Le regole sull’amministratore servono a controllare chi ha più poteri sui sistemi, non a sorvegliare i dipendenti. Ma l’amministratore, per il suo ruolo, può vedere molto: posta, navigazione, file. Per questo valgono due limiti.

• Lo Statuto dei lavoratori (articolo 4) vieta i controlli a distanza dell’attività dei dipendenti al di fuori dei casi ammessi. Gli strumenti di lavoro come posta e computer non richiedono un accordo sindacale, ma i dati raccolti si possono usare solo se i lavoratori hanno ricevuto un’informazione adeguata su come vengono controllati. La violazione è anche un reato.
• Il Garante ha indicato che i metadati della posta elettronica (chi ha scritto a chi e quando) si conservano di regola per non più di 21 giorni; oltre, servono accordo sindacale o autorizzazione dell’Ispettorato. Nel 2025 ha sanzionato per 50.000 euro un ente che teneva metadati e log di navigazione dei dipendenti troppo a lungo.

In pratica: l’amministratore non apre caselle o file dei colleghi senza una regola scritta che dica quando e come (per esempio assenza prolungata, con un fiduciario). Se c’è una contestazione basata su questi dati, il dipendente può chiedere quali dati sono stati usati con il diritto di accesso. Per le telecamere vedi telecamere sul posto di lavoro.

Le aziende soggette a NIS2

Le imprese che rientrano nella disciplina NIS2 (D.Lgs. 138/2024), di solito medie e grandi aziende in settori come energia, trasporti, sanità, servizi digitali, manifattura di alcuni prodotti, hanno in più gli obblighi di sicurezza fissati dall’Agenzia per la cybersicurezza nazionale. Le misure di base vanno adottate entro 18 mesi dalla comunicazione di inserimento nell’elenco: per chi è stato inserito nel 2025, in genere entro ottobre 2026. Tra queste ci sono regole sulla gestione degli accessi e delle utenze con privilegi e sul monitoraggio degli eventi.

NIS2 non sostituisce il provvedimento del Garante: i due obblighi si sommano, e conviene gestirli con un’unica procedura. Se non sai se la tua azienda è soggetta, è una verifica da fare con un professionista.

Cosa si rischia

La mancanza di designazioni, di log o di verifiche è una carenza delle misure di sicurezza previste dal GDPR: la sanzione può arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale, e sale alla fascia più alta se sono violati anche i principi o i diritti delle persone. Per una piccola azienda gli importi effettivi sono molto più bassi, ma il problema emerge quasi sempre nel momento peggiore: dopo un attacco informatico o in una causa di lavoro, quando non si riesce a dimostrare chi ha fatto cosa.

Checklist

• Elenco dei sistemi con dati personali e di chi ha credenziali di amministratore.
• Una designazione scritta per ogni amministratore interno, con gli ambiti.
• Contratto con ogni fornitore che amministra i tuoi sistemi, con i nominativi dei tecnici.
• Log degli accessi attivi, protetti dalle modifiche, conservati almeno 6 mesi.
• Identità degli amministratori indicata nell’informativa ai dipendenti o nel regolamento.
• Verbale della verifica annuale.
• Account disattivati subito quando un amministratore lascia l’incarico.
• Tutto riportato nel registro dei trattamenti, tra le misure di sicurezza.

Un esempio concreto

Sara ha uno studio tecnico con 9 dipendenti. Ha un NAS in ufficio, la posta in cloud e un gestionale per le pratiche. Il collega Matteo gestisce la console della posta; per tutto il resto c’è un tecnico esterno, Davide, che interviene da remoto.

• Matteo riceve una designazione scritta: amministrazione degli account di posta, reimpostazione delle password, nessuna lettura delle caselle altrui salvo procedura scritta.
• La ditta di Davide firma la nomina a responsabile, che prevede la designazione dei suoi tecnici e l’invio dei nominativi; Davide e un collega di riserva sono indicati per nome.
• Il tecnico attiva l’invio dei log di accesso del NAS e della posta a un servizio esterno in sola scrittura, con conservazione di 12 mesi, motivata nel registro.
• L’informativa ai dipendenti viene integrata con i nomi degli amministratori.
• A dicembre Sara verifica con il tecnico gli accessi dell’anno e gli account attivi, e trova l’utenza di un ex collaboratore ancora attiva: la disattiva e lo annota nel verbale.

Cosa fa il consulente privacy su Intervento

Descrivi i sistemi che usi, chi li gestisce e quali contratti hai con i fornitori informatici. L’orientamento gratuito ti dice se ci sono amministratori di sistema da designare. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: chi va designato, cosa scrivere nelle designazioni e nel contratto con il tecnico, come impostare log e verifica annuale. Con il livello Soluzione, su preventivo, prepara designazioni, elenco, clausole e verbale di verifica su misura.